Accordo sul trattamento dei dati
Questo accordo riguarda i dati personali che un team inserisce in Subsigno: i nomi delle sue persone, le e-mail di lavoro, i dati del ruolo, le firme salvate, le foto, i loghi e i banner. Per questi dati il team è il titolare del trattamento e Subsigno è il responsabile del trattamento. Fa parte dei Termini e si accetta usando gli account di team.
Bozza — in revisione legale, non è una consulenza legale. Può cambiare prima di avere effetto.
Chi è chi
Il Cliente è il team, tramite chi ne è titolare. Il responsabile del trattamento è Ruben José Dos Santos Marques (RJDSM), l'imprenditore individuale che gestisce Subsigno, un marchio di Solvetus; le note legali riportano l'identificazione completa. Per i dati di accesso di titolari e membri, e per il registro di sicurezza, Subsigno decide da sé le finalità ed è titolare del trattamento a pieno titolo, come spiega la pagina Privacy.
Cosa viene trattato, e per quanto tempo
Oggetto: fornire gli account di team, le immagini ospitate e i link permanenti, e le firme di team salvate. Interessati: i titolari e i membri del Cliente e gli utenti delle sue caselle condivise. Dati: nomi, e-mail di lavoro, qualifiche, reparti, numeri di telefono, dati dell'azienda, link social, foto, loghi, banner e contenuto delle firme, oltre ai dati di accesso. Non sono previste categorie particolari di dati e il Cliente non deve inserirne. Durata: finché il team esiste, e poi solo per il tempo indicato dalla pagina Privacy in «Per quanto tempo conserviamo i dati».
Istruzioni e riservatezza
Subsigno tratta i dati solo per fornire il servizio e su istruzioni documentate del Cliente — le azioni dei titolari nelle pagine dell'account e i Termini. Avvisa il Cliente se un'istruzione sembra violare la normativa sulla protezione dei dati. Chiunque possa accedere ai dati è vincolato alla riservatezza.
Sicurezza
Subsigno applica misure adeguate al rischio, tra cui: cifratura in transito (HTTPS con HSTS) e dei backup; accesso senza password, con una passkey come secondo passaggio per i titolari; l'area dell'operatore dietro Cloudflare Access; identificativi casuali; hash unidirezionali con chiave per i codici di accesso e i contatori; immagini riscritte per eliminare i metadati incorporati; limiti di frequenza; nessun registro delle richieste delle immagini ospitate; un backup cifrato fuori sede, ripristinato in un test ogni trimestre; e una procedura scritta per le violazioni di dati personali.
Sub-responsabili
Il Cliente accetta questi sub-responsabili: Cloudflare (hosting, il database D1, l'archiviazione delle immagini R2 nella giurisdizione UE, DNS e cache); Microsoft (consegna delle e-mail di accesso e di avviso tramite Microsoft 365); OVH (backup cifrati, in Francia). Subsigno resta responsabile nei loro confronti e vincola ciascuno a condizioni di protezione dei dati. Avvisa i titolari via e-mail 30 giorni prima di aggiungerne o sostituirne uno; un titolare che si oppone può scaricare i dati del team ed eliminarlo prima che la modifica abbia effetto.
Trasferimenti fuori dallo SEE
Cloudflare e Microsoft sono società statunitensi. Quando i dati arrivano a loro fuori dallo Spazio economico europeo, il trasferimento si basa sul quadro UE–USA per la protezione dei dati o sulle clausole contrattuali tipo della Commissione europea.
Aiutare il Cliente
I titolari possono scaricare i dati del team (pagina Panoramica) ed eliminare il team da soli (pagina Zona pericolosa), e ogni persona può scaricare i propri dati (pagina Profilo) ed eliminare il proprio account (pagina Elimina il mio account). Per tutto il resto — una richiesta di un interessato, una valutazione d'impatto, una domanda di un'autorità — scrivi a privacy(at)subsigno.com e Subsigno aiuta in tempi ragionevoli.
Violazioni di dati personali
Se Subsigno viene a conoscenza di una violazione di dati personali che riguarda i dati del team, lo comunica ai titolari del team senza ingiustificato ritardo, con ciò che sa: la natura della violazione, i dati e le persone coinvolti, le probabili conseguenze e ciò che sta facendo.
Eliminazione e restituzione
In qualsiasi momento i titolari possono scaricare i dati del team e chiederne l'eliminazione. Trascorsa la finestra di 30 giorni i dati vengono cancellati; i backup e la finestra di ripristino del database scadono secondo il calendario della pagina Privacy. Restano per sempre solo identificativi casuali e una data, che non contengono dati personali.
Audit
Subsigno fornisce al Cliente le informazioni necessarie a dimostrare il rispetto di questo accordo e consente un audit del Cliente o del suo revisore, con 30 giorni di preavviso, al massimo una volta l'anno, a spese del Cliente e senza accesso ai dati di altri clienti.
Accettazione e modifiche
Un team accetta questo accordo usando gli account di team, come dicono i Termini. Subsigno può modificarlo avvisando i titolari con 30 giorni di anticipo.