Accordo sul trattamento dei dati

Questo accordo fa parte dei termini di servizio e si accetta con essi. Regola il trattamento dei dati personali che il Cliente mette nel suo workspace e che «ragione sociale da completare» («KeenHour») tratta per suo conto, come previsto dall'articolo 28 del Regolamento (UE) 2016/679 («GDPR»).

1. Ruoli

Per i dati personali contenuti nel workspace il Cliente è titolare del trattamento e KeenHour è responsabile. Per i dati dell'account e della fatturazione KeenHour è titolare: vale l'informativa sulla privacy.

2. Oggetto e durata

KeenHour tratta i dati per fornire il servizio descritto nei termini: conservarli, mostrarli agli utenti autorizzati, calcolare ciò che il servizio calcola, mandare le notifiche, esportarli quando il Cliente lo chiede. L'accordo dura quanto il workspace: finisce quando il Cliente lo elimina.

I dettagli (dati, interessati, operazioni) sono nell'Allegato A.

3. Istruzioni

KeenHour tratta i dati solo secondo le istruzioni documentate del Cliente: questi termini, l'uso delle funzioni da parte degli utenti autorizzati e le istruzioni scritte che il Cliente invia a privacy@keenhour.com. Se un'istruzione sembra violare la normativa, KeenHour lo dice subito al Cliente. KeenHour non usa i dati per scopi propri, non li vende e non li usa per pubblicità.

4. Riservatezza

Accedono ai dati solo le persone di KeenHour che ne hanno bisogno per fornire il servizio o assistere il Cliente, vincolate alla riservatezza.

5. Sicurezza

KeenHour applica le misure tecniche e organizzative dell'Allegato B (art. 32 GDPR) e le aggiorna con lo stato dell'arte, senza ridurne il livello.

6. Sub-responsabili

Il Cliente autorizza in generale KeenHour a servirsi dei sub-responsabili dell'Allegato C. KeenHour:

• impone a ognuno, per contratto, obblighi di protezione dei dati non meno rigorosi di questi;
• sceglie solo fornitori che trattano i dati in Unione europea;
• avvisa il proprietario del workspace per email almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile. Il Cliente può opporsi per motivi legati alla protezione dei dati; se non si trova una soluzione, può disdire senza costi per il periodo che resta;
• resta responsabile verso il Cliente dell'operato dei sub-responsabili.

7. Diritti degli interessati

Il prodotto permette al Cliente di rispondere da sé alla maggior parte delle richieste: correggere e cancellare contenuti, togliere persone dal workspace, esportare tutti i dati. Se una richiesta arriva a KeenHour, la inoltriamo al Cliente senza rispondere al suo posto, e lo aiutiamo per quanto serve.

8. Violazioni dei dati

Se KeenHour viene a conoscenza di una violazione dei dati del workspace, la comunica al Cliente senza ingiustificato ritardo, e comunque entro 48 ore, con ciò che sa: la natura della violazione, le categorie e il numero approssimativo di interessati e di dati, le conseguenze probabili, le misure prese o proposte. Poi aggiorna il Cliente a mano a mano che sa di più, perché possa fare le sue notifiche (artt. 33 e 34 GDPR).

9. Altra assistenza

KeenHour fornisce al Cliente le informazioni che ha e che servono per la valutazione d'impatto e la consultazione preventiva (artt. 35 e 36 GDPR).

10. Trasferimenti fuori dall'Unione europea

I dati del workspace sono trattati in Unione europea. Se un giorno servisse un trasferimento fuori dall'UE, KeenHour lo farà solo con le garanzie del Capo V del GDPR e dopo averlo comunicato come un nuovo sub-responsabile.

11. Fine del trattamento

Il proprietario può esportare tutti i dati del workspace in qualsiasi momento, anche in sola lettura. Quando elimina il workspace, KeenHour cancella subito i dati dal database e i file dall'archivio; le copie di sicurezza del database scadono entro 14 giorni e le versioni precedenti dei file entro 30. Restano solo i dati che la legge obbliga a conservare.

12. Verifiche

KeenHour mette a disposizione del Cliente le informazioni che servono a dimostrare il rispetto di questo accordo. Il Cliente può chiedere una verifica, anche da parte di un revisore vincolato alla riservatezza, con almeno 30 giorni di preavviso, a sue spese e non più di una volta l'anno, salvo dopo una violazione dei dati. Prima si usano le informazioni e le certificazioni disponibili.

13. Responsabilità e prevalenza

La responsabilità di ciascuno è quella dell'articolo 82 GDPR e dei termini di servizio. Per la protezione dei dati personali, questo accordo prevale sui termini.

Allegato A · Il trattamento

• Interessati: dipendenti e collaboratori del Cliente; i suoi clienti, fornitori e referenti invitati come ospiti; le persone citate nei contenuti.
• Dati: nome, email e fuso orario degli utenti; ciò che il Cliente scrive o carica: task, commenti, menzioni, ore registrate per persona, capacità e carico, rischi, documenti, allegati; con l'economia della commessa, i clienti del Cliente con i loro dati di fatturazione e referenti, tariffe e costi orari per persona e per ruolo, spese con le ricevute; i registri delle attività nel workspace; con GitHub o GitLab collegati dal Cliente, i nomi dei branch, i titoli delle pull e merge request e i messaggi dei commit dei repository scelti, con i nomi dei loro autori presso il fornitore (non il codice); con l'app Slack installata dal Cliente, il testo dei messaggi da cui gli utenti creano un task, con il nome del loro autore e il link al messaggio; con file di Google Drive, OneDrive o Dropbox collegati da un utente a task, documenti e commenti, il nome, il tipo, il link, la dimensione e l'ultima modifica di ogni file (non il contenuto); con il calendario Google o Outlook collegato da un utente con i suoi eventi, gli eventi del suo calendario principale da 30 giorni fa a un anno da oggi (titolo, descrizione, luogo, orari, ripetizione, invitati con le loro risposte, promemoria e link della videochiamata) e il link delle riunioni Microsoft Teams che Outlook crea per gli eventi a cui l'utente le aggiunge; con Zoom collegato da un utente, il titolo, l'inizio, la durata e il fuso degli eventi a cui l'utente aggiunge una riunione Zoom (che KeenHour manda a Zoom) e l'identificativo e il link delle riunioni.
• Dati particolari: il servizio non è pensato per i dati dell'articolo 9 (salute, opinioni, dati biometrici…) né per quelli giudiziari dell'articolo 10. Se il Cliente ne carica, ne valuta la necessità e le misure.
• Operazioni: raccolta, conservazione, consultazione, elaborazione (scadenze, carico, punteggi, avanzamento), comunicazione agli utenti autorizzati, notifiche via email e, se il Cliente installa l'app Slack, nei canali Slack scelti e nei messaggi privati degli utenti che collegano il loro account, ricezione dei messaggi Slack da cui gli utenti creano un task, risposte e proposte dell'intelligenza artificiale se il proprietario la accende (con i nomi delle persone pseudonimizzati), ricezione di branch, pull e merge request e commit dai repository GitHub o GitLab che il Cliente collega, lettura da Google Drive e OneDrive, con il permesso dell'utente che collega il suo account, dei dati dei file che sceglie di collegare, ricezione dal selettore di Dropbox dei dati dei file che sceglie, sincronizzazione nei due sensi degli eventi con il calendario Google o Outlook degli utenti che lo collegano (gli inviti e le modifiche agli invitati li manda il loro calendario), invio a Zoom dei dati delle riunioni create dagli utenti che collegano il loro account, esportazione, cancellazione.

Allegato B · Misure di sicurezza

• Workspace isolati con tre difese indipendenti: il workspace nel percorso di ogni richiesta, il filtro in ogni interrogazione del database, chiavi composte che il database stesso fa rispettare.
• Permessi decisi dal server, ruolo per ruolo; gli ospiti vedono solo gli Space a cui sono invitati.
• Accesso: password di almeno 10 caratteri conservate con un hash lento, verifica in due passaggi facoltativa, limiti ai tentativi, sessione in un cookie non leggibile dagli script, richieste da altri siti rifiutate.
• Connessioni cifrate (HTTPS) dal browser al servizio.
• Contenuti: testo senza HTML eseguibile; allegati scaricati solo attraverso il servizio, con il controllo dei permessi, mai aperti come pagina.
• Registri senza password, email né contenuti, conservati 30 giorni.
• Copie di sicurezza del database ogni notte e prima di ogni aggiornamento, conservate 14 giorni; prova di ripristino ogni tre mesi; versioni dei file per 30 giorni.
• Accesso ai server solo con chiavi personali, mai con password né come amministratore diretto; segreti solo nelle variabili d'ambiente.
• Fornitori in Unione europea, ognuno con un accordo sul trattamento (Allegato C).