BOZZA NON PUBBLICABILE — Informativa privacy Clouvelio

Titolare e contatti
[DA COMPLETARE: identità e sede del fornitore, contatto privacy; DPO soltanto se designato]. Questa informativa riguarda i dati trattati dal fornitore per gestione degli account, rapporto commerciale e sicurezza. Per i contenuti dei clienti aziendali il ruolo del fornitore può essere quello di responsabile ai sensi dell’art. 28 GDPR: l’azienda determina finalità e istruzioni e fornisce le proprie informative ai soggetti interessati.

Dati e provenienza
Nome, cognome, indirizzo email, appartenenza aziendale, ruolo, credenziali protette, identificativi dispositivo, operazioni amministrative e registrazioni di accettazione. I dati possono essere forniti dall’interessato oppure dal responsabile aziendale che crea l’accesso. Il server e gli eventuali fornitori di rete possono trattare dati tecnici di connessione: [DA COMPLETARE sulla configurazione reale, inclusi log proxy e relativi tempi]. Non raccogliere dati ulteriori soltanto perché potrebbero essere utili in futuro.

Finalità e basi giuridiche
Erogazione del servizio e gestione dei rapporti, obblighi amministrativi/fiscali e protezione del servizio. Individuare per ciascun trattamento la base applicabile (esecuzione del contratto quando l’interessato ne è parte, obbligo legale, o interesse legittimo valutato per contatti professionali e sicurezza): [DA COMPLETARE con finalità, basi e valutazione pertinenti]. Non usare automaticamente il contratto con l’azienda come base contrattuale per tutti i dati dei suoi dipendenti. Non è attivo marketing né profilazione pubblicitaria.

Conferimento, destinatari e trasferimenti
I dati necessari all’account sono richiesti per consentire l’accesso; in mancanza non è possibile attivarlo. Destinatari e persone autorizzate: [DA COMPLETARE]. Specificare ubicazione del server, fornitori effettivi, ruolo di Cloudflare e altri eventuali subfornitori, luoghi di trattamento e basi/garanzie per trasferimenti extra SEE: [DA COMPLETARE]. Non dichiarare che tutti i dati restano in Italia senza una verifica dell’intera filiera.

Conservazione
Definire tempi o criteri distinti per account attivi/cessati, inviti, sessioni, log, accettazioni e dati amministrativi: [DA COMPLETARE]. Il codice di un invito scade dopo 48 ore; l’accesso Android ha durata offline configurata dall’azienda fra 1 e 30 giorni dall’ultima verifica online. I vecchi codici dispositivo non sono più utilizzabili. La scadenza di un accesso non equivale a eliminazione dei relativi record dal database. Il calendario di cancellazione e le copie di backup devono essere descritti e attuati prima della vendita.

Diritti e contatti
L’interessato può esercitare, ove applicabili, accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, e proporre reclamo al Garante per la protezione dei dati personali. Il canale per le richieste è [DA COMPLETARE]. Per dati gestiti dall’azienda come titolare, indirizzare le richieste a quest’ultima e descrivere l’assistenza del fornitore. Eventuale revoca riguarda solo trattamenti fondati sul consenso, senza pregiudicare la liceità precedente. Non vengono effettuate decisioni automatizzate con effetti giuridici o analogamente significativi nel blocco attuale.

Versione e aggiornamenti
Indicare data di efficacia, versione e modalità di comunicazione delle modifiche. La visione di questa informativa non costituisce consenso generalizzato; eventuali trattamenti facoltativi futuri richiederanno una valutazione autonoma.

Scheda trattamenti da completare prima della pubblicazione
Account e inviti: dati identificativi e professionali, email, appartenenza, ruoli e permessi, forniti dal referente aziendale o dall’interessato; finalità accesso/assistenza. Per l’interessato parte del contratto valutare art.6(1)(b); per dipendenti e referenti art.6(1)(f), con valutazione di necessità e bilanciamento documentata [DA COMPLETARE]. Nessun consenso generico richiesto per account necessario.
Amministrazione commerciale: dati del referente, ordine, documenti fiscali trattati anche fuori dal software; base obbligo legale art.6(1)(c) per adempimenti pertinenti, contratto ove applicabile. Tempi normativi e categorie [DA COMPLETARE].
Sicurezza: hash credenziali/token, identificativo installazione, verifiche/revoche, tentativi di login pseudonimizzati e audit; finalità prevenzione abuso e tutela servizio; interesse legittimo da valutare, obblighi di sicurezza applicabili. Log applicativi, web server e tunnel hanno configurazioni distinte [DA COMPLETARE tempi e destinatari]. Non sono necessari password/token in chiaro nei log.
Accettazioni: azienda, attore, istante, release, digest documenti e ordine, approvazioni espresse; finalità prova del rapporto e tutela dei diritti, base applicabile e termine rispetto a prescrizione/controversie [DA COMPLETARE]. Non vengono aggiunti IP o fingerprint del browser alle ricevute per mera comodità.
Contenuti operativi: clienti, attrezzature, ubicazioni, rapporti, foto, firme, calendario e movimenti, trattati per conto dell’azienda nel DPA; informative e basi dei trattamenti aziendali competono al titolare. Le immagini di firma non sono presentate come riconoscimento biometrico automatizzato.

Destinatari e filiera
Personale autorizzato per supporto/amministrazione; fornitori effettivi di hosting/rete/email e consulenti legittimati. Cloudflare Tunnel è documentato nell’architettura, ma entità contrattuale, servizi attivi, ubicazioni e garanzie devono essere verificati; SMTP è configurabile e non identifica un provider specifico. Inserire [PROVIDER], [SUB-RESPONSABILI], paesi e meccanismi del capo V ove necessari. Nessun DPO è dichiarato: indicarlo soltanto se realmente designato.

Diritti e modalità
Richieste a [EMAIL PRIVACY], previa verifica proporzionata dell’identità; risposta entro i termini normativi applicabili, con motivazione degli eventuali limiti. Il diritto alla portabilità GDPR dipende da base e modalità del trattamento e non coincide con l’export contrattuale di tutti i dati aziendali. Reclamo al Garante (www.garanteprivacy.it). Fonte non diretta: comunicare anche provenienza e categorie secondo art.14 ove applicabile. Versione LP-2026-09, efficacia [DATA ENTRATA IN VIGORE]; modifiche sostanziali comunicate con canali appropriati.