Accordo sul trattamento dei dati

In parole semplici

Quando la tua impresa usa Toimeen, è la tua impresa a decidere cosa accade ai dati personali contenuti nella sua posta e nei suoi documenti: è il titolare del trattamento. Trattiamo quei dati solo per fornire Toimeen, solo secondo le tue istruzioni, e li proteggiamo, ti informiamo delle violazioni, ti aiutiamo a rispondere alle richieste delle persone e li cancelliamo quando te ne vai.

1. Parti e ambito

Il presente accordo ("DPA") è concluso tra l'impresa che usa Toimeen ("Titolare", "tu") e Fidanet Solution Oy, codice d'impresa finlandese (Y-tunnus) 3497432-1, Marinkallio 6b, 02320 Espoo, Finlandia ("Responsabile", "noi"). Integra i Termini d'uso e ne diventa parte quando crei un account. Si applica ogni volta che trattiamo dati personali per tuo conto nel fornire il Servizio.

Termini come dati personali, trattamento, titolare del trattamento, responsabile del trattamento, sub-responsabile, interessato e violazione dei dati personali hanno il significato loro attribuito dal GDPR (Regolamento (UE) 2016/679).

2. Oggetto e durata

Trattiamo dati personali per fornire il Servizio descritto nei Termini: leggere posta e documenti, preparare bozze e proposte, gestire la coda di approvazione e il registro delle azioni, collegarci ai sistemi che scegli e conservare i risultati per i tuoi utenti. Il trattamento dura quanto il tuo account, più il periodo di restituzione e cancellazione di cui alla sezione 11. L'Allegato I elenca le categorie di dati e di interessati.

3. Le tue istruzioni

Trattiamo dati personali solo sulla base delle tue istruzioni documentate: questi termini, il presente DPA e il modo in cui usi le impostazioni e i collegamenti del Servizio. Se la legge impone un trattamento diverso, te lo comunichiamo prima, a meno che la legge non lo vieti. Se riteniamo che un'istruzione violi la normativa sulla protezione dei dati, te lo comunichiamo senza ritardo.

Un agente non invia, non prenota e non modifica mai nulla al di fuori di Toimeen di propria iniziativa: ogni azione di questo tipo attende l'approvazione di una persona della tua impresa. Le approvazioni sono tue istruzioni.

4. Riservatezza

Chiunque in Fidanet Solution Oy possa accedere ai tuoi dati è vincolato alla riservatezza.

5. Sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio, come richiesto dall'art. 32 GDPR. L'Allegato II le descrive. Possiamo migliorarle, ma non ridurre il livello complessivo di protezione.

6. Sub-responsabili

Ci concedi un'autorizzazione generale a ricorrere a sub-responsabili. L'Allegato III li elenca. Prima di aggiungere o sostituire un sub-responsabile che tratta i tuoi dati personali, te lo comunichiamo con almeno 30 giorni di anticipo. Puoi opporti per ragionevoli motivi di protezione dei dati scrivendo a hello@toimeen.com entro tale termine; se non riusciamo a risolvere la questione, puoi recedere dall'accordo prima della modifica.

Vincoliamo ciascun sub-responsabile a obblighi di protezione dei dati non meno rigorosi di questi, e restiamo responsabili nei tuoi confronti del suo operato.

7. Trasferimenti al di fuori dell'UE

I tuoi dati sono conservati in Finlandia. Se un sub-responsabile li tratta al di fuori dell'UE/SEE (vedi Allegato III), il trasferimento si basa sulle Clausole contrattuali tipo della Commissione europea (Decisione (UE) 2021/914). Ci autorizzi a sottoscrivere tali clausole con il sub-responsabile.

8. Richieste degli interessati

Ti aiutiamo a rispondere alle richieste delle persone che esercitano i loro diritti ai sensi del GDPR, tenendo conto della natura del trattamento: su tua richiesta individuiamo, esportiamo, correggiamo o cancelliamo i dati interessati. Se una persona ci contatta direttamente in merito a dati di cui sei titolare, ti inoltriamo la richiesta senza ritardo.

9. Violazioni dei dati personali

Ti informiamo di una violazione dei dati personali che riguarda i tuoi dati senza ingiustificato ritardo e al più tardi entro 48 ore da quando ne veniamo a conoscenza, indicando ciò che sappiamo sulla sua natura, sui dati e sulle persone coinvolti, sulle probabili conseguenze e su ciò che abbiamo fatto o proponiamo di fare. Ti aiutiamo ad adempiere ai tuoi obblighi ai sensi degli artt. 33 e 34 GDPR.

10. Valutazioni d'impatto e verifiche

Ti aiutiamo, per quanto ragionevole, con le valutazioni d'impatto sulla protezione dei dati e con la consultazione preventiva dell'autorità. Ti forniamo le informazioni necessarie a dimostrare che rispettiamo l'art. 28 GDPR. Puoi verificare la nostra conformità una volta all'anno con un preavviso scritto di 30 giorni, in orario lavorativo, con obbligo di riservatezza e a tue spese, salvo che la verifica riscontri una violazione sostanziale del presente DPA.

11. Restituzione e cancellazione

Alla cessazione dell'accordo, puoi chiedere i tuoi dati in un formato leggibile da dispositivo automatico per 60 giorni. Successivamente li cancelliamo entro 30 giorni, a meno che il diritto dell'Unione o il diritto finlandese ci imponga di conservarli.

12. Responsabilità e ordine di prevalenza

La responsabilità segue i limiti previsti dai Termini, salvo nei casi in cui la legge non consente una limitazione. Per le questioni relative ai dati personali, il presente DPA prevale sui Termini. Si applica la legge finlandese, e le controversie sono risolte secondo quanto previsto dai Termini.

Allegato I: Descrizione del trattamento

Natura e finalità: conservazione e lettura di posta, allegati e documenti; preparazione di bozze, proposte, fatture e ordini da approvare; registrazione delle decisioni; trasferimento del lavoro approvato ai sistemi collegati; ricerca su fonti pubbliche su richiesta; invio di notifiche.

Interessati:

• gli utenti del Titolare (titolari, dipendenti, altre persone che invita);
• le persone che compaiono nella posta e nei documenti del Titolare: referenti di clienti e fornitori, mittenti e destinatari;
• le persone su cui il Titolare chiede una ricerca su fonti pubbliche, se l'ha attivata.

Categorie di dati personali:

• nomi, indirizzi email, numeri di telefono, qualifiche professionali e dati aziendali;
• il contenuto di posta, allegati e documenti, e le bozze e proposte ricavate da essi;
• i dati di accesso degli utenti (hash della password, sessioni con indirizzo IP e browser), le azioni nel registro delle azioni, l'ID della chat Telegram se collegata;
• i risultati delle ricerche su fonti pubbliche.

Categorie particolari: il Servizio non è concepito per categorie particolari di dati personali (art. 9 GDPR). Non inserirvi tali dati a meno che tu non disponga di una base giuridica e non abbia concordato con noi come trattarli.

Frequenza e durata: continua, finché l'account è attivo, più il periodo di cui alla sezione 11.

Allegato II: Misure tecniche e organizzative

• Server in Finlandia (Hetzner, Helsinki); connessioni cifrate con TLS.
• Dati di ciascuna impresa separati nel database con la sicurezza a livello di riga.
• Password conservate come hash scrypt; chiavi di accesso ai servizi collegati cifrate con AES-256-GCM mediante una chiave del server conservata al di fuori del database.
• Indirizzi email confermati alla registrazione; la modifica della password disconnette gli altri dispositivi, la reimpostazione li disconnette tutti; tentativi di accesso limitati.
• I ruoli all'interno di ciascuna impresa stabiliscono chi vede e approva cosa; un limite di approvazione riserva le approvazioni di importo elevato a titolari e amministratori.
• Ogni approvazione, rifiuto e modifica delle impostazioni è registrato nel registro delle azioni.
• Azioni verso l'esterno solo dopo l'approvazione di una persona.
• Accesso ai server limitato a persone nominativamente individuate di Fidanet Solution Oy.
• Agente di ricerca: solo fonti pubbliche, si identifica come ToimeenBot, rispetta robots.txt, ricerca su singole persone disattivata per impostazione predefinita, risultati cancellati dopo 180 giorni per impostazione predefinita.

Allegato III: Sub-responsabili

I servizi che scegli di collegare (la tua casella di posta, il programma di contabilità, il punto vendita, Telegram e altri) non sono nostri sub-responsabili: operano in base ai propri accordi con te.