Accordo sul trattamento dei dati

Quando metti in Toomynd i dati dei tuoi clienti, quei dati restano tuoi: sei tu il titolare del trattamento, e noi li trattiamo soltanto per conto tuo, come responsabile del trattamento (art. 28 del Regolamento UE 2016/679, il GDPR). Questo accordo dice come, ed è il contratto che la legge chiede in questi casi.

Le parti sono la tua attività, come titolare, e Fabio De Gabrieli, Via Madonna della Fiducia 48, 73010 Surbo (LE), P. IVA IT 05247580755, che fornisce Toomynd, come responsabile. L'accordo fa parte delle condizioni d'uso, si accetta con loro quando attivi Toomynd e dura quanto il contratto, più il tempo che serve a restituirti o cancellare i dati (§8). Se una regola sui dati personali scritta qui non coincide con le condizioni, vale questa.

1. Cosa trattiamo per tuo conto, e perché

Toomynd non chiede dati sulla salute né altre categorie particolari (art. 9 GDPR). Le note però sono un campo libero, e in un salone capita di annotare un'allergia o una sensibilità della pelle: è un dato sulla salute. Se lo scrivi, scrivi solo quello che serve a fare bene il trattamento, e la base giuridica per farlo è tua da avere.

I dati di chi usa la piattaforma, cioè tu e le persone del tuo team con il loro account, li trattiamo invece come titolari, per gestire il contratto: quelli stanno nell'informativa privacy, non qui.

2. Facciamo quello che ci chiedi tu

Trattiamo i dati solo sulle tue istruzioni. Le istruzioni sono queste condizioni, le impostazioni che scegli e quello che fai nella piattaforma: se mandi un promemoria, lo mandiamo; se cancelli un cliente, lo cancelliamo. Non usiamo i tuoi dati per scopi nostri, non li vendiamo e non li mettiamo insieme a quelli di altre attività.

I dati stanno nell'Unione Europea. Alcuni fornitori hanno la casa madre negli Stati Uniti, e quei passaggi avvengono solo con le garanzie scritte al §9 dell'informativa privacy. Se una legge ci obbligasse a trattarli in modo diverso da come chiedi, te lo diremmo prima, a meno che quella stessa legge non lo vieti.

Se una tua istruzione ci sembra contraria al GDPR o ad altre norme sulla protezione dei dati, te lo diciamo subito, e finché non ne parliamo non la eseguiamo.

3. Chi può vedere i tuoi dati da parte nostra

Solo le persone che lavorano su Toomynd e che ne hanno bisogno, tenute alla riservatezza per iscritto o per legge. E non entrano nei tuoi dati per altro che per tre ragioni: un'assistenza che ci chiedi tu, un guasto da riparare, o un obbligo di legge.

4. Come li proteggiamo

Le misure tecniche e organizzative dell'art. 32 sono quelle descritte al §11 dell'informativa privacy. Le principali:

• ogni attività è separata dalle altre dentro il database, con regole che il database applica da solo, e non solo dal programma che lo usa
• tutto viaggia cifrato, e le password si conservano solo come impronta
• le chiavi dei servizi che colleghi (WhatsApp, Google Calendar) sono conservate cifrate
• ai server si accede solo con chiavi crittografiche, dietro un firewall
• del server si fa una copia ogni giorno, e se ne tengono sette a rotazione

Le misure le aggiorniamo quando cambia il rischio o la tecnica, e non le rendiamo mai meno protettive di come sono scritte qui.

5. Chi ci aiuta: i sub-responsabili

Per alcune parti del servizio ci serviamo di altri fornitori, che trattano i dati per conto nostro: l'elenco aggiornato, con cosa fanno e dove, è al §13 dell'informativa privacy. Accettando questo accordo ci dai un'autorizzazione generale a servircene (art. 28.2).

Se aggiungiamo o cambiamo un fornitore che tocca i dati dei tuoi clienti, ti scriviamo almeno 15 giorni prima. Se hai una ragione concreta per non essere d'accordo, dillo entro quel termine: ne parliamo, e se non troviamo una soluzione puoi disdire senza aspettare la scadenza, con il rimborso della parte già pagata e non usata.

A ciascun fornitore imponiamo per contratto gli stessi obblighi di protezione di questo accordo, e se uno di loro non li rispetta ne rispondiamo noi verso di te (art. 28.4).

6. Quando un tuo cliente esercita i suoi diritti

Accesso, rettifica, cancellazione, opposizione e gli altri diritti degli artt. 15-22 si esercitano verso di te. La piattaforma ti dà gli attrezzi per rispondere da solo: correggere una scheda, cancellarla, esportarla, togliere un consenso.

Se una richiesta arriva a noi invece che a te, te la giriamo senza ritardo e non rispondiamo al posto tuo. Se per rispondere ti serve qualcosa che dalla piattaforma non riesci a fare, ti aiutiamo noi.

7. Se qualcosa va storto

Se veniamo a sapere di una violazione che riguarda i dati dei tuoi clienti (un accesso non autorizzato, una perdita, una divulgazione), te lo diciamo senza ingiustificato ritardo e comunque entro 48 ore, per email e per telefono, con quello che sappiamo a quel punto: cosa è successo, quali dati e quante persone riguarda, cosa può comportare, cosa abbiamo fatto e cosa stiamo facendo. Quello che scopriamo dopo te lo diciamo appena lo sappiamo.

La notifica al Garante (art. 33) e l'eventuale avviso ai tuoi clienti (art. 34) spettano a te, come titolare, e ti aiutiamo a farli con le informazioni che abbiamo. Ti aiutiamo allo stesso modo se devi fare una valutazione d'impatto o consultare il Garante (artt. 35-36).

8. Quando il contratto finisce

Alla fine del servizio i dati dei tuoi clienti te li restituiamo o li cancelliamo, e la scelta è tua (art. 28.3.g). In pratica:

• Restituirteli vuol dire che li scarichi tu, quando vuoi, con l'esportazione completa descritta al §8 delle condizioni: durante il contratto e per tutti i 60 giorni di sola lettura che lo seguono.
• Cancellarli lo facciamo entro i 30 giorni successivi ai 60, oppure subito se ce lo chiedi. Ti confermiamo per email che è stato fatto. Dalle copie di sicurezza i dati spariscono entro altri 7 giorni, perché le copie si sovrascrivono a rotazione.

Puoi cambiare la tua scelta fino all'ultimo giorno, scrivendo a privacy@toomynd.app. Se non ci dici niente, alla fine dei 60 giorni cancelliamo. Non conserviamo i dati dei tuoi clienti oltre quei termini, salvo che una legge ce lo imponga: in quel caso ti diciamo quali e per quanto.

9. Come verifichi che lo facciamo davvero

Ti diamo tutte le informazioni che servono a dimostrare che rispettiamo questo accordo: basta chiederle. Se vuoi controllare di persona, tu o un revisore che scegli, vincolato alla riservatezza, potete fare una verifica con un preavviso di 30 giorni, in orario di lavoro e senza mettere a rischio i dati delle altre attività. Le spese della verifica sono tue. Di regola una volta l'anno, ma senza limiti se c'è stata una violazione o se te lo chiede un'autorità.

10. Responsabilità

Fra noi due vale quello che dice il §11 delle condizioni, nei limiti in cui la legge permette di regolarlo per contratto. Verso le persone i cui dati trattiamo, ciascuno risponde come stabilisce l'art. 82 del GDPR.

11. Contatti

Per tutto quello che riguarda questo accordo: privacy@toomynd.app · +39 328 719 8742.