Accordo sul trattamento dei dati

Questo accordo fa parte dei termini di servizio e si accetta con essi. Regola il trattamento dei dati personali che il Cliente mette nel suo workspace e che «ragione sociale da completare» («KeenHour») tratta per suo conto, come previsto dall'articolo 28 del Regolamento (UE) 2016/679 («GDPR»).

1. Ruoli

Per i dati personali contenuti nel workspace il Cliente è titolare del trattamento e KeenHour è responsabile. Per i dati dell'account e della fatturazione KeenHour è titolare: vale l'informativa sulla privacy.

2. Oggetto e durata

KeenHour tratta i dati per fornire il servizio descritto nei termini: conservarli, mostrarli agli utenti autorizzati, calcolare ciò che il servizio calcola, mandare le notifiche, esportarli quando il Cliente lo chiede. L'accordo dura quanto il workspace: finisce quando il Cliente lo elimina.

I dettagli (dati, interessati, operazioni) sono nell'Allegato A.

3. Istruzioni

KeenHour tratta i dati solo secondo le istruzioni documentate del Cliente: questi termini, l'uso delle funzioni da parte degli utenti autorizzati e le istruzioni scritte che il Cliente invia a privacy@keenhour.com. Se un'istruzione sembra violare la normativa, KeenHour lo dice subito al Cliente. KeenHour non usa i dati per scopi propri, non li vende e non li usa per pubblicità.

4. Riservatezza

Accedono ai dati solo le persone di KeenHour che ne hanno bisogno per fornire il servizio o assistere il Cliente, vincolate alla riservatezza.

5. Sicurezza

KeenHour applica le misure tecniche e organizzative dell'Allegato B (art. 32 GDPR) e le aggiorna con lo stato dell'arte, senza ridurne il livello.

6. Sub-responsabili

Il Cliente autorizza in generale KeenHour a servirsi dei sub-responsabili dell'Allegato C. KeenHour:

• impone a ognuno, per contratto, obblighi di protezione dei dati non meno rigorosi di questi;
• sceglie solo fornitori che trattano i dati in Unione europea;
• avvisa il proprietario del workspace per email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Il Cliente può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, può disdire senza costi per il periodo che resta;
• resta responsabile verso il Cliente dell'operato dei sub-responsabili.

7. Diritti degli interessati

Il prodotto permette al Cliente di rispondere da sé alla maggior parte delle richieste: correggere e cancellare contenuti, togliere persone dal workspace, esportare tutti i dati. Se una richiesta arriva a KeenHour, la inoltriamo al Cliente senza rispondere al suo posto, e lo aiutiamo per quanto serve.

8. Violazioni dei dati

Se KeenHour viene a conoscenza di una violazione dei dati del workspace, la comunica al Cliente senza ingiustificato ritardo, e comunque entro 48 ore, con ciò che sa: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati, le conseguenze probabili, le misure prese o proposte. Poi aggiorna il Cliente a mano a mano che sa di più, perché possa fare le sue notifiche (artt. 33 e 34 GDPR).

9. Altra assistenza

KeenHour fornisce al Cliente le informazioni che ha e che servono per la valutazione d'impatto e la consultazione preventiva (artt. 35 e 36 GDPR).

10. Trasferimenti fuori dall'Unione europea

I dati del workspace sono trattati in Unione europea. Se un giorno servisse un trasferimento fuori dall'UE, KeenHour lo farà solo con le garanzie del Capo V del GDPR e dopo averlo comunicato come un nuovo sub-responsabile.

11. Fine del trattamento

Il proprietario può esportare tutti i dati del workspace in qualsiasi momento, anche in sola lettura. Quando elimina il workspace, KeenHour cancella subito i dati dal database e i file dall'archivio; le copie di sicurezza del database scadono entro 14 giorni e le versioni precedenti dei file entro 30. Restano solo i dati che la legge obbliga a conservare.

12. Verifiche

KeenHour mette a disposizione del Cliente le informazioni che servono a dimostrare il rispetto di questo accordo. Il Cliente può chiedere una verifica, anche da parte di un revisore vincolato alla riservatezza, con almeno 30 giorni di preavviso, a sue spese e non più di una volta l'anno, salvo dopo una violazione dei dati. Prima si usano le informazioni e le certificazioni disponibili.

13. Responsabilità e prevalenza

La responsabilità di ciascuno è quella dell'articolo 82 GDPR e dei termini di servizio. Per la protezione dei dati personali, questo accordo prevale sui termini.

Allegato A · Il trattamento

• Interessati: dipendenti e collaboratori del Cliente; i suoi clienti, fornitori e referenti invitati come ospiti; le persone citate nei contenuti.
• Dati: nome, email e fuso orario degli utenti; ciò che il Cliente scrive o carica: task, commenti, menzioni, ore registrate per persona, capacità e carico, rischi, documenti, allegati; con l'economia della commessa, i clienti del Cliente con i loro dati di fatturazione e referenti, tariffe e costi orari per persona e per ruolo, spese con le ricevute; i registri delle attività nel workspace.
• Dati particolari: il servizio non è pensato per i dati dell'articolo 9 (salute, opinioni, dati biometrici…) né per quelli giudiziari dell'articolo 10. Se il Cliente ne carica, ne valuta la necessità e le misure.
• Operazioni: raccolta, conservazione, consultazione, elaborazione (scadenze, carico, punteggi, avanzamento), comunicazione agli utenti autorizzati, notifiche via email, risposte e proposte dell'intelligenza artificiale se il proprietario la accende (con i nomi delle persone pseudonimizzati), esportazione, cancellazione.

Allegato B · Misure di sicurezza

• Workspace isolati con tre difese indipendenti: il workspace nel percorso di ogni richiesta, il filtro in ogni interrogazione del database, chiavi composte che il database stesso fa rispettare.
• Permessi decisi dal server, ruolo per ruolo; gli ospiti vedono solo gli Space a cui sono invitati.
• Accesso: password di almeno 10 caratteri conservate con un hash lento, verifica in due passaggi facoltativa, limiti ai tentativi, sessione in un cookie non leggibile dagli script, richieste da altri siti rifiutate.
• Connessioni cifrate (HTTPS) dal browser al servizio.
• Contenuti: testo senza HTML eseguibile; allegati scaricati solo attraverso il servizio, con il controllo dei permessi, mai aperti come pagina.
• Registri senza password, email né contenuti, conservati 30 giorni.
• Copie di sicurezza del database ogni notte e prima di ogni aggiornamento, conservate 14 giorni; prova di ripristino ogni tre mesi; versioni dei file per 30 giorni.
• Accesso ai server solo con chiavi personali, mai con password né come amministratore diretto; segreti solo nelle variabili d'ambiente.
• Fornitori in Unione europea, ognuno con un accordo sul trattamento (Allegato C).