Accordo sul trattamento dei dati (articolo 28 del GDPR)

Oggetto, natura e durata

• Oggetto e finalità: ricevere i codici QR letti dall'app, ricomporre e decifrare ogni file, verificarlo e metterlo a disposizione dell'account, al solo fine di fornire il servizio.
• Natura: ricezione, decifratura, controllo di integrità, conservazione temporanea, messa a disposizione, cancellazione.
• Durata: quella dell'abbonamento; ogni file è conservato al massimo 7 giorni, oppure eliminato appena scaricato con l'apposita opzione.
• Dati: il contenuto dei file che Lei sceglie di trasferire, i loro nomi e i dati dell'account (nome utente, indirizzo e-mail, log di accesso).
• Interessati: gli utenti dei Suoi account e qualsiasi persona i cui dati compaiano nei file trasferiti.

Istruzioni e riservatezza

• Trattiamo i dati soltanto su Sue istruzioni documentate: l'uso del servizio e le impostazioni del Suo account o della Sua istanza. Se un'istruzione ci sembra violare il GDPR, La informiamo.
• Non apriamo mai un file per altri scopi, non lo vendiamo e non lo usiamo per addestrare un modello.
• Le persone autorizzate ad accedere al server sono vincolate alla riservatezza.

Misure di sicurezza (articolo 32)

Sono descritte, limiti compresi, nella pagina sulla sicurezza; in sintesi:

• trasferimenti cifrati con una chiave propria di ciascun account (XSalsa20-Poly1305), trasporto solo HTTPS;
• account nominativi, hash scrypt delle password, tentativi limitati, secondo fattore TOTP;
• registro di audit di ogni trasferimento, in cui ogni manomissione è rilevabile, conservato 365 giorni, esportabile;
• conservazione breve, cancellazione facoltativa dopo il download, quote;
• opzioni per le organizzazioni: approvazione a quattro occhi, tipi di file ammessi, autorizzazione documentata, direzioni autorizzate separatamente.

Il server decifra i file per ricomporli; l'applicazione non dichiara alcuna cifratura dei dati a riposo. Se la Sua analisi lo richiede, è possibile un'istanza dedicata o un'installazione sui Suoi server.

Sub-responsabili del trattamento

Lei ci concede un'autorizzazione generale a ricorrere ai sub-responsabili elencati di seguito, ciascuno per la propria parte:

• Hetzner Online GmbH: server, database e file trasferiti, data center di Helsinki (Finlandia, UE). I file trasferiti sono trattati solo lì.
• Stripe Payments Europe, Ltd. (Irlanda): pagamento; nessun file trasferito.
• Cloudflare, Inc. (Stati Uniti): nomi di dominio e ricezione delle e-mail inviate a contact@getbouraq.com; il traffico dell'applicazione non passa dai suoi server.
• Google Ireland Limited: la nostra casella di posta, per le e-mail che Lei ci invia.

La informiamo via e-mail di ogni aggiunta o sostituzione con almeno 30 giorni di anticipo; Lei può opporsi e, in mancanza di accordo, recedere senza costi. Ogni sub-responsabile è vincolato per contratto a obblighi equivalenti a quelli del presente accordo. I trasferimenti al di fuori dell'Unione europea che alcuni di essi comportano si basano sull'EU-U.S. Data Privacy Framework o sulle clausole contrattuali tipo della Commissione europea.

Assistenza e violazioni dei dati personali

• La aiutiamo a rispondere alle richieste degli interessati che esercitano i propri diritti e a svolgere le Sue valutazioni d'impatto e consultazioni preventive, nella misura in cui conosciamo il trattamento.
• Se una violazione dei dati personali riguarda i Suoi dati, La informiamo senza ingiustificato ritardo e al più tardi 48 ore dopo esserne venuti a conoscenza, indicando la natura della violazione, le categorie e il numero approssimativo di persone e di registrazioni interessate, le probabili conseguenze e le misure adottate.

Fine del trattamento

Alla fine del contratto, o su Sua richiesta, eliminiamo i file e i dati dell'account; prima può recuperarli, in un unico file ZIP dal Suo spazio. Restano solo le voci del registro di audit (account, nome del file, dimensione, impronta e ora, mai il contenuto), per la durata di conservazione del registro (365 giorni), conservate a fini di prova e di sicurezza, poi eliminate.

Informazioni e audit

Mettiamo a disposizione le informazioni necessarie per dimostrare il rispetto del presente accordo: la pagina sulla sicurezza, il dossier di approvazione, le esportazioni del registro di audit e le ricevute firmate. Lei può svolgere un audit, o farlo svolgere da un auditor indipendente vincolato alla riservatezza: una volta all'anno, a Sue spese e con un preavviso di 30 giorni, oppure in qualsiasi momento dopo una violazione che La riguardi.