Informativa sulla privacy

01 Titolare del trattamento

Luis Coronado (Ads&Nexus), NIF 79273745-J, con domicilio in Castellar del Vallès (Barcelona), España.

Contatto in materia di protezione dei dati: info@adsandnexus.com.

Responsabile della protezione dei dati (DPO): non è stato designato, in quanto non ricorre nessuna delle ipotesi dell’articolo 37.1 del RGPD: non siamo un’autorità pubblica, la nostra attività principale non consiste nel monitoraggio regolare e sistematico di persone su larga scala, né nel trattamento su larga scala di categorie particolari di dati. Per qualsiasi questione in materia di protezione dei dati puoi scrivere a info@adsandnexus.com, che è un canale presidiato.

Se il volume o la natura dei trattamenti cambiassero e ricorresse una di quelle ipotesi, sarà designato un responsabile della protezione dei dati e il suo nome e contatto saranno pubblicati qui.

02 Due trattamenti distinti, non confonderli

Kommyt è TITOLARE del trattamento dei dati dei propri clienti: la persona o l’attività che richiede l’attivazione, fattura e usa il pannello in qualità di cliente di Kommyt.

Kommyt è RESPONSABILE DEL TRATTAMENTO dei dati che ogni attività inserisce nel CRM sulle persone che gestisce (i propri clienti, soci, pazienti, allievi… a seconda della sua attività). In questo caso il titolare è l’attività: decide quali dati raccogliere e per quale scopo, ed è lei a dover rispondere all’esercizio dei diritti di tali persone.

Questo rapporto è formalizzato in un contratto di responsabile del trattamento ai sensi dell’articolo 28 del RGPD, che viene sottoscritto con l’attivazione dell’attività.

03 Dati trattati e finalità

Dati di contatto e di fatturazione dell’attività e della persona responsabile, per attivare l’account, fornire il servizio ed emettere fatture.

Dati tecnici di utilizzo (registri di accesso, indirizzo IP, attività nell’applicazione) per garantire la sicurezza, risolvere le anomalie e mantenere la tracciabilità richiesta.

Dati che ci fornisci scrivendoci, per rispondere alla tua richiesta.

Come sei arrivato fin qui: all’invio del modulo di contatto o di attivazione viaggia con esso il canale da cui sei entrato (per esempio «google», «adsandnexus» o «diretto»), il dominio o l’etichetta del link che hai cliccato e la pagina di settore da cui sei entrato, se vi sei entrato da una. Serve a sapere quali canali ci portano clienti. Per ottenerlo NON viene salvato nulla nel tuo browser: viene dedotto all’ingresso, esiste solo nella memoria della pagina per tutta la durata della visita e viene inviato solo se invii il modulo.

04 Base giuridica

Esecuzione del contratto, per fornire il servizio e fatturarlo.

Adempimento di obblighi di legge, in materia fiscale e contabile.

Legittimo interesse, per la sicurezza del servizio e la prevenzione delle frodi.

Consenso, quando sia richiesto in modo esplicito e separato.

05 Conservazione

I dati del cliente sono conservati per tutta la durata del rapporto e, dopo, bloccati per i termini di prescrizione legale.

I dati ospitati per conto di un’attività sono restituiti o cancellati alla fine, a sua scelta, entro un termine massimo di 30 giorni di calendario; se non esprime alcuna preferenza, vengono RESTITUITI e non distrutti. Lo disciplina la clausola 17 del contratto di responsabile del trattamento.

Termini concreti, per categoria:

· Richieste di informazioni e preventivi che non si concludono con un contratto: fino a un anno dall’ultimo contatto.

· Dati del rapporto contrattuale e documentazione commerciale: per tutta la durata del rapporto e, dopo, sei anni, ai sensi dell’articolo 30 del Codice di commercio spagnolo.

· Fatture e giustificativi con effetti fiscali: quattro anni dalla fine del termine di dichiarazione, ai sensi della Ley General Tributaria (Legge generale tributaria spagnola).

· Registro di audit e tracce di accesso AL SISTEMA (chi entra nel programma, da dove e che cosa fa): dodici mesi, salvo che debbano essere conservate più a lungo per dimostrare un incidente di sicurezza.

· Controllo di ingressi e uscite delle persone gestite da un’attività (chi accede al locale e quando, sia che si identifichi a mano sia con la sua tessera): NON sono tracce del sistema, ma dati dell’attività. Li conserva l’attività, ed è essa a decidere il loro termine, secondo il punto successivo. Kommyt non li cancella di propria iniziativa.

· Dati ospitati per conto di un’attività: quelli che quell’attività decida, secondo il punto precedente; Kommyt non li conserva di propria iniziativa oltre quei 30 giorni.

Decorsi i termini, i dati vengono cancellati o anonimizzati in modo da non poter più identificare nessuno.

06 Destinatari e responsabili del trattamento

Non vendiamo né cediamo dati a terzi per finalità commerciali.

I fornitori coinvolti sono indicati uno per uno, con la loro finalità e la loro ubicazione, nell’Allegato II del contratto di responsabile del trattamento, consultabile in questa stessa sezione legale.

In sintesi: l’hosting del database, sempre attivo; il deposito di file, la posta elettronica e i fornitori di intelligenza artificiale, DISATTIVATI per impostazione predefinita e attivi solo se l’attività li configura.

Non si utilizzano strumenti di analisi, pubblicità né telemetria di terzi.

07 Trasferimenti internazionali

La posta elettronica e i fornitori di intelligenza artificiale hanno sede negli Stati Uniti. Entrambi sono disattivati per impostazione predefinita: finché l’attività non li attiva, nessun dato esce dallo Spazio economico europeo per questa via.

Nessun trasferimento viene effettuato senza che sia coperto da un meccanismo valido del capo V del RGPD: decisione di adeguatezza o clausole contrattuali tipo. Tale obbligo è nostro e non viene trasferito all’attività.

L’assistente di intelligenza artificiale NON ha accesso alla base di dati: può chiedere solo quattro cose concrete, e sono queste quattro.

· Di una persona: il suo nome, il suo numero e il saldo del suo portafoglio prepagato.

· Di un prodotto: il suo nome e il suo prezzo.

· Un quadro di cifre dell’attività: il consumo del mese e il suo andamento, quante persone risultano attive, il saldo complessivo dei portafogli prepagati, i prodotti più e meno venduti, i prossimi eventi con i posti e gli iscritti, e fino a cinque persone con quanto hanno ancora da pagare e da quanti giorni.

· E preparare un addebito, che NON viene salvato: resta in sospeso e viene confermato da una persona sullo schermo.

Oltre a questo non si accede al documento d’identità, all’immagine, all’indirizzo, alla data di nascita né alle note. Questa è la garanzia principale, ed è una garanzia di progettazione.

Inoltre, prima di inviare qualsiasi cosa, dal testo vengono eliminati i numeri di documento, gli IBAN e le carte, i numeri di telefono, gli indirizzi e-mail, gli indirizzi postali e le date di nascita eventualmente scritti dal personale.

Con la stessa franchezza del resto di questo documento: NON possiamo garantire che un dato sanitario scritto in testo libero da una persona venga rilevato automaticamente, perché non esiste un modo affidabile per farlo. Per questo l’assistente avverte sullo schermo che tali dati non devono essere scritti, e per questo i suoi strumenti non leggono i campi delle note.

I dati del servizio sono ospitati interamente nello Spazio economico europeo: il database presso Neon, Inc. (regione di Francoforte, Germania) e i server applicativi presso Hetzner Online GmbH (Norimberga, Germania). Per nessuno dei due si verifica un trasferimento internazionale.

Intervengono inoltre due fornitori statunitensi per funzioni accessorie: Cloudflare, Inc. (distribuzione e protezione del traffico) e Resend (invio di posta transazionale). Nel caso di Resend, i dati della posta — destinatario, oggetto, contenuto, registri di invio e metadati — sono conservati negli Stati Uniti. Con entrambi si applicano le clausole contrattuali tipo approvate dalla Commissione europea, incorporate nelle loro condizioni di trattamento dei dati.

08 I tuoi diritti

Puoi esercitare i diritti di accesso, rettifica, cancellazione, opposizione, limitazione e portabilità, nonché revocare il consenso prestato.

Scrivendo a info@adsandnexus.com, dimostrando la tua identità.

Se i tuoi dati si trovano nel CRM di un’attività che usa Kommyt (come cliente, socio, paziente… di quell’attività), rivolgiti prima a quell’attività: è lei a decidere su tali dati; Kommyt li tratta solo per suo conto.

Puoi anche presentare reclamo presso l’Agenzia spagnola per la protezione dei dati (Agencia Española de Protección de Datos, AEPD; www.aepd.es).

09 Sicurezza

Si applicano misure tecniche e organizzative adeguate al rischio: cifratura IN TRANSITO (HTTPS), controllo degli accessi per ruoli e permessi, isolamento dei dati di ciascuna attività a livello di base di dati, limite ai tentativi di accesso e registro di audit. L’Allegato III del contratto di responsabile del trattamento le descrive una per una.

Esistono copie di sicurezza automatiche giornaliere. Vengono cifrate prima di uscire dal server e conservate al di fuori di esso; si conservano quelle degli ultimi 30 giorni e quelle più vecchie vengono cancellate automaticamente. Una volta al mese si ripristina una copia reale su un sistema isolato per verificare che il ripristino sia davvero possibile: una copia che non si ripristina mai non è una copia, è una supposizione.

Con la stessa franchezza: NON si applica la cifratura a riposo a livello applicativo. Questa carenza è dichiarata nella clausola 10 di quel contratto, con l’impegno a correggerla. Preferiamo dirlo qui piuttosto che lasciare che qualcuno lo dia per scontato.

Va tenuta presente una conseguenza di quanto sopra: quando i dati vengono cancellati, scompaiono subito dal sistema, ma possono restare in una copia di sicurezza fino alla scadenza di quella copia, al massimo 30 giorni dopo. In quel periodo non vengono usati per alcuno scopo: esistono solo nel caso in cui fosse necessario ripristinare il servizio.

In caso di violazione della sicurezza che riguardi i dati di un’attività, questa viene notificata entro le 24 ore successive alla sua conoscenza, affinché abbia margine entro le 72 ore che il RGPD le concede nei confronti dell’Agenzia spagnola per la protezione dei dati.