Informativa sulla privacy

Il presente testo italiano è una traduzione di cortesia dell'originale spagnolo, fornita affinché il documento possa essere letto in italiano. In caso di divergenza tra le due versioni prevale la versione spagnola, che è l'unica a produrre effetti giuridici. L'originale spagnolo è pubblicato all'indirizzo blastack.com/es/privacidad.

In una piattaforma di comunicazione interna la stessa azienda tratta dati personali in due posizioni che il Regolamento (UE) 2016/679 (GDPR) distingue con chiarezza, e con obblighi diversi. Separarle è la prima cosa da capire di questo documento.

Blastack come titolare del trattamento

Dei dati di chi visita blastack.com, scrive all'indirizzo di contatto, crea un account di prova o sottoscrive il servizio. Qui siamo noi a decidere per quali finalità e con quali modalità tali dati sono trattati, e ne rispondiamo. È quanto viene illustrato nelle sezioni 3, 8 e 9.

Blastack come responsabile del trattamento

Dei dati che l'azienda cliente inserisce nella piattaforma sul proprio organico. Qui la titolare è l'azienda cliente: decide quali dati inserire, per quali finalità, chi vi accede e per quanto tempo sono conservati. Noi li trattiamo soltanto seguendo le sue istruzioni, in forza del contratto di nomina a responsabile del trattamento previsto dall'articolo 28 del GDPR. È quanto viene illustrato nelle sezioni 4 e 5.

La conseguenza pratica è semplice: se Lei lavora per un'azienda che utilizza Blastack, la titolare dei Suoi dati è la Sua azienda, non noi. Nella sezione sui diritti si spiega a chi rivolgersi e che cosa facciamo se scrive a noi.

Titolare del trattamento

APRENDIZAJES DEL FUTURO, S.L.

Numero di identificazione fiscale (NIF)

B23853310

Sede legale

Passatge Domènech 3, 08470 Sant Celoni (Barcellona), Spagna

Indirizzo e-mail

info@blastack.com

Responsabile della protezione dei dati (DPO)

Non è stato designato un responsabile della protezione dei dati, non ricorrendo nessuna delle ipotesi previste dall'articolo 37 del RGPD.

Qualsiasi questione in materia di protezione dei dati, compreso l'esercizio dei diritti, può essere sollevata all'indirizzo info@blastack.com o per iscritto alla sede legale indicata.

Questi sono i trattamenti su cui decidiamo noi, con la relativa finalità, base giuridica e tempo di conservazione.

Non effettuiamo profilazione né decisioni automatizzate che producano effetti giuridici sulle persone o che incidano su di esse in modo analogamente significativo.

Quando un'azienda sottoscrive Blastack, inserisce nella piattaforma dati del proprio organico. Tali dati restano dell'azienda cliente, che è la titolare del trattamento. Noi li ospitiamo e li trattiamo per suo conto. A seconda delle funzioni che l'azienda decide di utilizzare, possono comprendere:

• Identificazione e contatto: nome e cognome, indirizzo e-mail e numero di telefono.
• Dati organizzativi: mansione, reparto, sede e ruolo all'interno della piattaforma.
• Fotografia del profilo, se la persona la carica.
• Data di compleanno e data di assunzione, se l'azienda attiva le funzioni di auguri e anniversari.
• Contenuti generati: pubblicazioni, commenti, reazioni, messaggi interni, documenti caricati e riconoscimenti tra colleghi.
• Registri di attività necessari al servizio: letture delle pubblicazioni, conferme di lettura dei documenti, conferme di partecipazione agli eventi e risposte ai sondaggi.
• Dati tecnici di accesso: indirizzo IP, browser e date di connessione, e il registro di audit delle azioni amministrative rilevanti.

Non utilizziamo nessuno di questi dati per finalità proprie: né per pubblicità, né per profilazione, né per addestrare sistemi automatici, né li comunichiamo a nessuno. Vi si accede soltanto quando è indispensabile per fornire assistenza o risolvere un problema, e tali accessi restano registrati.

Quando l'azienda cliente contrassegna un sondaggio come anonimo, la risposta viene salvata senza alcun collegamento con la persona che l'ha inviata. Non è una promessa dell'interfaccia: il dato di chi ha risposto che cosa non arriva a esistere nella banca dati, di modo che non può ricostruirlo né un amministratore dell'azienda né noi.

Spetta all'azienda cliente decidere quali dati inserire, disporre di una base giuridica per trattarli, informare il proprio organico nei termini degli articoli 13 e 14 del GDPR e rispettare la normativa in materia di lavoro applicabile, compresa la consultazione delle rappresentanze legali dei lavoratori quando prevista.

Il rapporto tra l'azienda cliente, in qualità di titolare, e Blastack, in qualità di responsabile del trattamento, è documentato in un contratto di nomina a responsabile del trattamento conforme all'articolo 28 del GDPR, che è parte integrante delle Condizioni del servizio e viene accettato al momento della sottoscrizione. Può essere fornito firmato separatamente su richiesta del cliente. In forza di tale contratto ci obblighiamo a:

• Trattare i dati unicamente seguendo le istruzioni documentate del titolare, e avvisarlo qualora riteniamo che un'istruzione violi la normativa in materia di protezione dei dati.
• Mantenere la riservatezza, anche dopo la fine del rapporto, ed esigere lo stesso impegno da chiunque possa accedere ai dati.
• Applicare le misure tecniche e organizzative dell'articolo 32 del GDPR riassunte nella sezione sulla sicurezza.
• Non ricorrere a un altro responsabile del trattamento senza l'autorizzazione del titolare. I sub-responsabili attuali figurano nella sezione sui destinatari, e qualsiasi modifica viene comunicata con anticipo sufficiente affinché il cliente possa opporsi.
• Assistere il titolare affinché possa dare seguito alle richieste di esercizio dei diritti che riceve dal proprio organico.
• Aiutarlo ad adempiere ai suoi obblighi di cui agli articoli da 32 a 36 del GDPR, comprese le valutazioni d'impatto quando necessarie.
• Notificargli senza ingiustificato ritardo qualsiasi violazione dei dati personali che riguardi i suoi dati, con le informazioni necessarie affinché possa adempiere ai propri obblighi di notifica.
• Restituire o cancellare i dati al termine della prestazione, a scelta del titolare, nei termini della sezione sulla conservazione.
• Mettere a sua disposizione le informazioni necessarie per dimostrare la conformità e consentire audit, comprese le ispezioni, con ragionevole preavviso.

Il servizio è erogato da server propri situati nell'Unione Europea, in un centro dati in Francia gestito da Hostinger International Limited. Le copie di sicurezza rimangono nella stessa giurisdizione.

Non vengono effettuati trasferimenti internazionali di dati al di fuori dello Spazio Economico Europeo. Né l'hosting, né le copie di sicurezza, né l'assistenza, né le attività di amministrazione sono svolti da fuori del SEE, di modo che non è necessario ricorrere a clausole contrattuali tipo né ad altre garanzie del capo V del GDPR.

I file caricati sulla piattaforma sono conservati sul disco del server stesso, in una cartella per ciascuna azienda, e non sono accessibili tramite indirizzo diretto: ogni download verifica nuovamente la sessione e l'appartenenza all'azienda. La banca dati è accessibile soltanto dal server stesso e non è esposta a internet.

I caratteri tipografici e le altre risorse del sito sono serviti dal nostro server. Caricando una pagina di blastack.com il browser non effettua alcuna richiesta a terzi, quindi nessun terzo riceve il Suo indirizzo IP per il solo fatto che ci visita.

Non comunichiamo dati personali a terzi. Vengono comunicati soltanto quando sussiste un obbligo di legge — all'amministrazione finanziaria, alle forze dell'ordine o agli organi giudiziari — oppure quando risulta necessario per far valere o difendere un diritto.

• Hostinger International Limited, in qualità di fornitore dell'infrastruttura in cui si trovano i server. Agisce come responsabile del trattamento, ha sottoscritto il relativo contratto e non accede ai contenuti.
• I consulenti esterni che prestano servizi di contabilità, fiscalità o consulenza legale, limitatamente ai dati di fatturazione e vincolati al segreto professionale.

Non utilizziamo servizi di analisi web, di pubblicità, di gestione di campagne né plug-in di social network, di modo che nessuna di tali aziende riceve dati di chi visita il sito o utilizza la piattaforma.

Il sito commerciale, blastack.com, non utilizza cookie. Non c'è analisi, né misurazione di campagne, né pubblicità, né pulsanti di social network. È questo il motivo per cui non vedrà un avviso che Le chiede il consenso: non c'è nulla da consentire.

La piattaforma, app.blastack.com, utilizza un unico cookie proprio e strettamente necessario per mantenere la sessione aperta:

È un cookie esente dall'obbligo di consenso ai sensi dell'articolo 22, comma 2, della LSSI-CE, in quanto indispensabile per fornire un servizio espressamente richiesto. Può essere bloccato dal browser, ma in tal caso non è possibile accedere alla piattaforma.

In qualità di titolare, conserviamo ciascuna categoria di dati per il periodo indicato nella relativa scheda della sezione 3. Terminato tale periodo, i dati vengono bloccati finché sussistono responsabilità legali e successivamente vengono cancellati.

In qualità di responsabile del trattamento, conserviamo i dati della piattaforma finché è in vigore il contratto con l'azienda cliente. Al termine, l'azienda dispone di 30 giorni di calendario per esportare le proprie informazioni. Trascorso tale termine, i dati e i file vengono cancellati definitivamente entro un massimo di 30 giorni ulteriori, comprese le copie di sicurezza, salvo quanto dobbiamo conservare per obbligo di legge, che si limita ai dati di fatturazione.

Gli account di prova che non sfociano in una sottoscrizione vengono chiusi al termine dei 15 giorni e i loro dati vengono cancellati secondo lo stesso criterio.

Applichiamo le misure tecniche e organizzative adeguate al rischio, ai sensi dell'articolo 32 del GDPR. Tra le altre:

• Le password non vengono memorizzate: si conserva un derivato ottenuto con scrypt e un salt diverso per ciascun utente.
• L'identificativo di sessione è conservato cifrato, di modo che un'estrazione della tabella non consente di sostituirsi a nessuno.
• L'isolamento tra le aziende viene verificato a ogni interrogazione della banca dati, non solo nell'interfaccia.
• La banca dati non è esposta a internet ed è accessibile soltanto dal server stesso.
• Le comunicazioni viaggiano cifrate e i file vengono serviti verificando sessione e appartenenza a ogni download.
• Blocco temporaneo dell'accesso dopo diversi tentativi falliti, e chiusura delle sessioni aperte al cambio della password.
• Registro di audit degli inserimenti, delle disattivazioni, dei cambi di ruolo e delle approvazioni di contenuti.
• Copie di sicurezza periodiche all'interno della stessa giurisdizione.

Il dettaglio di come tutto questo è costruito, compreso ciò che ancora non offriamo, si trova nella pagina dedicata alla sicurezza.

Il GDPR riconosce alle persone i seguenti diritti sui propri dati:

Accesso

Sapere se trattiamo i Suoi dati e ottenerne una copia.

Rettifica

Correggere i dati inesatti o completare quelli incompleti.

Cancellazione

Chiedere che siano cancellati quando non sono più necessari o il trattamento non è giustificato.

Opposizione

Opporsi al trattamento fondato sul legittimo interesse per motivi connessi alla Sua situazione particolare.

Limitazione

Chiedere che siano conservati ma non utilizzati mentre si risolve una contestazione.

Portabilità

Ricevere in formato strutturato e di uso comune i dati che ci ha fornito.

Revoca del consenso

Quando il trattamento si fonda sul Suo consenso, revocarlo in qualsiasi momento senza che ciò pregiudichi la liceità del trattamento precedente.

Per esercitarli è sufficiente scrivere a info@blastack.com o alla sede legale indicata nella sezione 2, precisando quale diritto esercita e allegando copia di un documento che attesti la Sua identità. Risponderemo entro un mese, prorogabile di altri due mesi se la richiesta è particolarmente complessa, nel qual caso gliene daremo comunicazione. L'esercizio di questi diritti è gratuito.

Se Lei lavora per un'azienda che utilizza Blastack e la Sua richiesta riguarda i dati presenti nella piattaforma, chi deve darle seguito è la Sua azienda, perché è la titolare del trattamento. Se scrive a noi glielo indicheremo e trasmetteremo la richiesta alla Sua azienda senza indugio, affinché non si perda per strada.

Se ritiene che non abbiamo dato seguito correttamente alla Sua richiesta, può presentare reclamo all'Agenzia spagnola per la protezione dei dati (Agencia Española de Protección de Datos, C/ Jorge Juan, 6, 28001 Madrid, www.aepd.es), che è l'autorità di controllo competente per questo titolare. Ai sensi dell'articolo 77 del GDPR può inoltre rivolgersi all'autorità di controllo dello Stato in cui risiede abitualmente, in cui lavora o in cui si è verificata la presunta violazione — in Italia il Garante per la protezione dei dati personali (www.garanteprivacy.it). Non è necessario presentare reclamo prima a noi, anche se apprezziamo l'occasione di risolvere la questione in prima battuta.

Il servizio è rivolto alle aziende e alle persone che vi lavorano. Non è pensato per i minori di 16 anni e non raccogliamo deliberatamente i loro dati. Se un'azienda cliente inserisce dati di persone al di sotto di tale età, spetta a essa disporre della base giuridica corrispondente.

La presente informativa può essere aggiornata per modifiche normative, per raccomandazioni delle autorità di controllo o per l'evoluzione del servizio. La versione vigente è sempre quella pubblicata su questa pagina, con la data di aggiornamento indicata all'inizio.

Quando la modifica è sostanziale, i clienti vengono avvisati per posta elettronica o all'interno della piattaforma con ragionevole anticipo rispetto alla sua entrata in vigore.