Informativa sul trattamento dei dati personali
Come Kosmira tratta i dati dei consulenti, delle persone delle aziende clienti che entrano nell'area azienda e di chi ci scrive.
Ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
1. Chi siamo
Kosmira è un software gestionale online per consulenti della sicurezza sul lavoro, fornito in abbonamento da:
[NOME E COGNOME / RAGIONE SOCIALE], [forma giuridica], con sede in [INDIRIZZO], P.IVA [P.IVA], C.F. [C.F.]
Email per la privacy: [privacy@dominio] — PEC: [PEC]
Di seguito "Kosmira", "noi".
2. A chi si rivolge questa informativa
Questa informativa spiega come trattiamo i dati di cui siamo titolari, cioè:
- i dati dei consulenti che si abbonano a Kosmira e delle persone del loro studio che usano l'account;
- i dati delle persone delle aziende clienti a cui il consulente dà accesso all'area "azienda";
- i dati di chi ci scrive o visita il sito.
Importante: i dati che il consulente inserisce in Kosmira sulle proprie aziende clienti e sui loro lavoratori (anagrafiche, formazione, visite mediche, documenti, nomine, ecc.) non sono trattati da noi come titolari. Per quei dati il titolare è il consulente o l'azienda cliente; Kosmira agisce come responsabile del trattamento (o sub-responsabile) secondo l'accordo previsto dall'art. 28 GDPR che fa parte del contratto di abbonamento. Per sapere come vengono trattati quei dati, i lavoratori devono rivolgersi al proprio datore di lavoro o al consulente.
3. Quali dati trattiamo, perché e su quale base
| Dati | Perché li usiamo | Base giuridica (art. 6 GDPR) | Per quanto tempo |
|---|---|---|---|
| Nome, cognome, email, nome dello studio, ruolo, dati di accesso (password cifrata) | Creare e gestire l'account su invito, permettere l'accesso | Esecuzione del contratto (lett. b) | Per la durata dell'abbonamento, poi [12] mesi per eventuali contestazioni |
| Dati di fatturazione: ragione sociale, P.IVA, C.F., indirizzo, codice SDI/PEC, dati del pagamento [gestiti da: FORNITORE PAGAMENTI] | Emettere fatture e incassare l'abbonamento | Contratto (lett. b) e obbligo di legge (lett. c) | 10 anni (art. 2220 c.c.) |
| Dati tecnici: indirizzo IP, data e ora di accesso, tipo di browser, log di sistema | Sicurezza del servizio, prevenzione di accessi abusivi, risoluzione di errori | Legittimo interesse (lett. f) | [90] giorni, salvo necessità di accertare un incidente |
| Email operative (riepiloghi settimanali e mensili, avvisi di scadenza, inviti) | Far funzionare il servizio come previsto dal contratto | Contratto (lett. b) | Per la durata dell'abbonamento |
| Messaggi inviati all'assistenza | Rispondere alle richieste | Contratto o legittimo interesse | [24] mesi dalla chiusura della richiesta |
| Comunicazioni su novità del servizio [solo se previste] | Informare su aggiornamenti e nuove funzioni | Legittimo interesse per i clienti (art. 130 c. 4 Codice privacy), altrimenti consenso | Fino all'opposizione |
Non usiamo i dati per profilazione, pubblicità o decisioni automatizzate con effetti giuridici.
4. Dati delle persone dell'area "azienda"
Quando il consulente invita una persona della sua azienda cliente, riceviamo nome, email e azienda di appartenenza per creare l'accesso. Li trattiamo per far funzionare l'account (base: esecuzione del contratto con il consulente e legittimo interesse a gestire accessi sicuri). Il resto dei dati visibili nell'area azienda appartiene al consulente o all'azienda (vedi punto 2).
5. A chi comunichiamo i dati
I dati sono trattati da noi e da fornitori che ci aiutano a erogare il servizio, nominati responsabili del trattamento:
| Fornitore | Servizio | Dove sono i dati |
|---|---|---|
| Supabase Inc. | Database, login, archivio file | [REGIONE DEL PROGETTO, es. UE - Francoforte] — da verificare |
| Vercel Inc. | Ospitalità del sito e dell'applicazione | [REGIONE DELLE FUNZIONI] — da verificare |
| Resend (Plus Five Five Inc.) | Invio delle email | [REGIONE] — da verificare |
| [FORNITORE PAGAMENTI, es. Stripe] | Incasso dell'abbonamento | [ ] |
| [COMMERCIALISTA] | Contabilità e adempimenti fiscali | Italia |
I dati possono essere comunicati ad autorità pubbliche solo quando lo impone la legge.
6. Trasferimenti fuori dall'Unione europea
Alcuni fornitori hanno sede negli Stati Uniti. Quando i dati sono trasferiti o accessibili da fuori dello Spazio economico europeo, il trasferimento avviene sulla base della decisione di adeguatezza UE-USA (EU-US Data Privacy Framework) per i fornitori certificati, oppure delle Clausole contrattuali standard approvate dalla Commissione europea, con le misure supplementari necessarie. Puoi chiederci copia delle garanzie scrivendo a [privacy@dominio].
7. Come proteggiamo i dati
Tra le misure adottate: accesso solo su invito; separazione dei dati per consulente a livello di database (ogni consulente vede solo i propri dati); archivio file privato; connessioni cifrate (HTTPS); password conservate in forma cifrata dal fornitore di autenticazione; eliminazione "morbida" con possibilità di recupero; chiavi amministrative conservate solo lato server. [Aggiungere: backup, autenticazione a due fattori, registrazione degli accessi, quando attivi.]
8. Cookie
Kosmira usa solo cookie tecnici necessari al login e a mantenere la sessione (cookie di autenticazione di Supabase) e, se presenti, a ricordare preferenze dell'interfaccia. Non usiamo cookie di profilazione né strumenti di analisi di terze parti. Per i cookie tecnici non serve il consenso (art. 122 Codice privacy; Linee guida Garante del 10 giugno 2021). [Se in futuro si aggiungono statistiche o strumenti di terzi, servirà un banner e un'informativa cookie dedicata.]
9. I tuoi diritti
Puoi chiederci in ogni momento: accesso ai tuoi dati, rettifica, cancellazione, limitazione del trattamento, portabilità, e opporti ai trattamenti basati sul legittimo interesse (artt. 15-22 GDPR). Scrivi a [privacy@dominio]: rispondiamo entro un mese.
Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
Se sei un lavoratore di un'azienda cliente e vuoi esercitare i tuoi diritti sui dati inseriti dal consulente, rivolgiti al tuo datore di lavoro o al consulente: se la richiesta arriva a noi, la inoltriamo a loro senza ritardo.
10. Obbligatorietà dei dati
I dati per l'account e la fatturazione sono necessari: senza, non possiamo fornire il servizio.
11. Modifiche
Possiamo aggiornare questa informativa. La versione in vigore è sempre pubblicata in questa pagina con la data dell'ultimo aggiornamento; le modifiche importanti vengono comunicate via email.
Ultimo aggiornamento: [DATA]