Privacy Policy

1. Titolare del Trattamento

2. Tipologie di Dati Trattati

Dati di Registrazione:

• Nome utente
• Indirizzo email
• Password (hash crittografico, non reversibile)
• Codice fiscale (crittografato nel database)
• Numero di telefono (opzionale, per notifiche SMS/vocali)
• Data di registrazione

Dati Anagrafici (richiesti alla registrazione):

• Nome e cognome
• Data di nascita
• Luogo di nascita

Dati di Residenza (opzionali):

• Indirizzo di residenza
• CAP, città e provincia

Dati dei Beneficiari:

• Nome e cognome dei beneficiari
• Indirizzi email dei beneficiari

Documenti e Contenuti:

• File digitali caricati dall'utente
• Metadati dei documenti
• Metadati di firma digitale (per documenti firmati caricati)

Dati Tecnici:

• Indirizzo IP
• Log di accesso e attività
• Cookie tecnici
• User agent e informazioni browser

Dati di Sicurezza (2FA):

• TOTP secret per autenticazione a due fattori
• Codici di backup crittografati
• Log di verifica 2FA

Dati di Audit:

• Log completo di tutte le azioni
• Timestamp e IP di ogni operazione
• Tentativi di accesso falliti
• Modifiche ai documenti e permessi

2-bis. Categorie Particolari di Dati (Art. 9 GDPR)

Avvertenza: Skrinium non analizza, legge o elabora il contenuto dei documenti caricati per finalità diverse da quelle strettamente tecniche (crittografia, storage, trasmissione ai beneficiari designati). I documenti rimangono crittografati e accessibili esclusivamente all'utente e ai beneficiari da lui autorizzati.

3. Finalità del Trattamento

4. Base Giuridica del Trattamento

• Esecuzione contrattuale (Art. 6.1.b GDPR): Per fornire il servizio richiesto e gestire il rapporto contrattuale, inclusa la verifica dell'identità dell'utente tramite codice fiscale italiano (per i cittadini italiani) o tramite documento di identità UE valido equivalente (carta d'identità o passaporto, per i cittadini UE non italiani), necessaria per garantire l'autenticità e la responsabilità nell'utilizzo del servizio
• Consenso esplicito (Art. 6.1.a e 9.2.a GDPR): Per il trattamento di categorie particolari di dati (dati sanitari, finanziari sensibili) eventualmente contenuti nei documenti caricati, e per comunicazioni non essenziali al servizio
• Interesse legittimo (Art. 6.1.f GDPR): Per sicurezza informatica, prevenzione frodi, protezione dell'integrità del sistema
• Obbligo legale (Art. 6.1.c GDPR): Per conservazione log e audit ai sensi della normativa applicabile

4-bis. Trattamento dei Dati Personali Post-Mortem (Art. 2-terdecies D.Lgs. 196/2003)

Base Giuridica del Trattamento Post-Mortem

Dopo il decesso dell'utente, il trattamento dei dati personali del defunto si basa su:

• Disposizione preventiva dell'interessato (Art. 2-terdecies, comma 1): L'utente, al momento della registrazione e nelle impostazioni dell'account, esprime la propria volontà circa il trattamento dei propri dati dopo il decesso, inclusa la designazione dei beneficiari e le istruzioni di consegna
• Esecuzione del servizio contrattuale (Art. 6.1.b GDPR): La consegna automatica dei documenti ai beneficiari designati è la finalità principale del contratto, e il suo completamento post-mortem costituisce esecuzione del servizio stesso
• Interesse legittimo (Art. 6.1.f GDPR): Per la gestione degli accessi, la sicurezza dell'account e la prevenzione di frodi anche nel periodo successivo al decesso

Diritti degli Eredi ai sensi dell'Art. 2-terdecies

Gli eredi legali o le persone indicate dall'utente possono esercitare i seguenti diritti GDPR per conto del defunto, scrivendo a privacy@skrinium.it con documentazione comprovante la qualità di erede o avente diritto:

• Diritto di accesso (Art. 15 GDPR): Ottenere informazioni sul trattamento dei dati del defunto, nei limiti della riservatezza dei beneficiari designati
• Diritto alla cancellazione (Art. 17 GDPR): Richiedere la cancellazione dei dati del defunto, previo accordo con i beneficiari già raggiunti; la cancellazione di documenti già consegnati non è tecnicamente garantita
• Diritto di opposizione (Art. 21 GDPR): Opporsi alla consegna ai beneficiari non ancora raggiunta, nei termini e con le procedure di cui all'art. 10-bis dei Termini di Servizio

Conservazione dei Dati Post-Mortem

Dopo il decesso dell'utente e l'attivazione della consegna automatica:

• I documenti consegnati ai beneficiari sono eliminati dall'account dell'utente defunto entro 30 giorni dalla consegna, salvo diverse istruzioni dell'utente
• I dati anagrafici e di account del defunto sono conservati per il tempo necessario alla gestione delle eventuali controversie ereditarie (massimo 5 anni dal decesso accertato), poi eliminati in modo sicuro
• I log di audit relativi all'account del defunto sono conservati per 2 anni ai sensi della normativa applicabile
• I dati di fatturazione sono conservati per 10 anni per obbligo fiscale

5. Misure di Sicurezza dei Dati

6. Conservazione dei Dati

7. Comunicazione a Terzi e Responsabili del Trattamento

I dati possono essere comunicati a:

• Beneficiari designati: Solo dopo attivazione del sistema di consegna (mancata conferma vita o consegna programmata)
• Stripe Inc.: Per la gestione dei pagamenti e degli abbonamenti (dati di fatturazione e carta di credito)
• Twilio Inc.: Per invio SMS e chiamate vocali di conferma vita (solo per piani Professional e Lifetime, se hai fornito un numero di telefono)
• Provider di hosting/storage: Per l'archiviazione sicura dei documenti (con garanzie contrattuali)
• Autorità competenti: Su richiesta legale motivata

Responsabili del Trattamento (Art. 28 GDPR): Stripe Inc. e Twilio Inc. operano come Responsabili del Trattamento ai sensi dell'art. 28 GDPR. Sono stati stipulati specifici Accordi sul Trattamento dei Dati (DPA - Data Processing Agreement) con ciascun fornitore. Copia dei DPA è disponibile su richiesta.

Notifica ai Beneficiari (Art. 14 GDPR): I beneficiari designati, i cui dati (nome, indirizzo email) vengono raccolti e trattati dal Titolare su indicazione dell'utente, riceveranno al momento dell'attivazione della consegna un'informativa ai sensi dell'art. 14 GDPR che indica l'origine dei dati, le finalità del trattamento e i diritti esercitabili.

Non vendiamo mai i tuoi dati a terzi per finalità commerciali o di marketing.

8. Diritti dell'Interessato

Ai sensi degli artt. 15-22 del GDPR, hai il diritto di:

9. Sicurezza dei Dati

10. Cookie Policy

Questa Cookie Policy descrive cosa sono i cookie, quali tipologie utilizziamo, le finalità del loro utilizzo e come puoi gestire le tue preferenze, in conformità con il Regolamento UE 2016/679 (GDPR), la Direttiva ePrivacy 2002/58/CE e il D.Lgs. 196/2003 (Codice Privacy italiano) come modificato dal D.Lgs. 101/2018.

10.1 Cosa sono i Cookie

I cookie sono piccoli file di testo che vengono memorizzati sul tuo dispositivo (computer, tablet, smartphone) quando visiti un sito web. Servono a migliorare l'esperienza di navigazione, memorizzare preferenze e garantire il corretto funzionamento dei servizi.

10.2 Tipologie di Cookie Utilizzati

Cookie Tecnici (Strettamente Necessari)

Questi cookie sono essenziali per il funzionamento del sito e non possono essere disabilitati. Non richiedono consenso ai sensi dell'Art. 122 del Codice Privacy.

Cookie di Terze Parti (Funzionali)

Questi cookie sono impostati da servizi esterni integrati nel sito per fornire funzionalità specifiche.

10.3 Base Giuridica per l'Utilizzo dei Cookie

• Cookie tecnici: Interesse legittimo (Art. 6.1.f GDPR) - Non richiedono consenso preventivo
• Cookie funzionali di terze parti: Consenso dell'utente (Art. 6.1.a GDPR) - Richiesto tramite banner

10.4 Come Gestire i Cookie

Puoi gestire le tue preferenze sui cookie in diversi modi:

10.5 Trasferimento Dati Extra-UE

Alcuni cookie di terze parti (Stripe) potrebbero comportare il trasferimento di dati verso gli Stati Uniti. Stripe Inc. aderisce al EU-US Data Privacy Framework e garantisce un livello di protezione adeguato ai sensi della Decisione di Adeguatezza della Commissione Europea.

10.6 Aggiornamenti Cookie Policy

Questa Cookie Policy può essere aggiornata periodicamente. La data dell'ultimo aggiornamento è indicata in calce al documento. Ti consigliamo di consultare regolarmente questa pagina.

10.7 Riferimenti Normativi

• Regolamento UE 2016/679 (GDPR)
• Direttiva 2002/58/CE (ePrivacy)
• D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018
• Linee guida del Garante Privacy italiano sui cookie (10 giugno 2021)
• Provvedimento Garante n. 229/2014

11. Trasferimenti Internazionali

I dati sono conservati su server localizzati nell'Unione Europea. Alcuni servizi di terze parti (Stripe, Twilio) possono comportare il trasferimento di dati specifici verso gli Stati Uniti, nel rispetto delle seguenti garanzie:

• EU-US Data Privacy Framework: I fornitori aderiscono al framework di adeguatezza riconosciuto dalla Commissione Europea
• Standard Contractual Clauses (SCC): Clausole contrattuali standard approvate dalla Commissione Europea
• Minimizzazione dei dati: Vengono trasferiti solo i dati strettamente necessari al funzionamento del servizio

12. Notifica di Violazione dei Dati (Data Breach)

In conformità agli articoli 33 e 34 del GDPR, il Titolare ha adottato una procedura interna di gestione degli incidenti di sicurezza:

1. Rilevamento e contenimento: Ogni potenziale violazione viene immediatamente identificata, classificata per gravità e contenuta
2. Valutazione del rischio: Il team di sicurezza valuta le categorie di dati coinvolte, il numero di interessati e il livello di rischio per i diritti e le libertà
3. Notifica al Garante (Art. 33 GDPR): In caso di violazione con rischio per gli interessati, il Titolare notificherà il Garante Privacy italiano entro 72 ore dalla scoperta, includendo: natura della violazione, categorie e numero approssimativo di interessati coinvolti, possibili conseguenze, misure adottate o proposte
4. Comunicazione agli Interessati (Art. 34 GDPR): Se la violazione comporta un rischio elevato, gli utenti coinvolti saranno informati senza ingiustificato ritardo tramite email e notifica nell'area riservata, con indicazioni concrete per proteggersi (es. cambio password)
5. Registro delle violazioni (Art. 33.5 GDPR): Ogni violazione, anche se non notificata, viene documentata nel registro interno del Titolare

13. Processo Decisionale Automatizzato (Art. 22 GDPR)

Il servizio utilizza i seguenti processi automatizzati che possono produrre effetti significativi:

14. Protezione dei Dati dei Minori

Il servizio Skrinium è destinato esclusivamente a persone maggiorenni (almeno 18 anni di età). Non raccogliamo consapevolmente dati personali di minori. Se dovessimo venire a conoscenza di aver raccolto dati di un minore, procederemo alla cancellazione immediata degli stessi e dell'account associato.

14-bis. Informativa ai Beneficiari (Art. 14 GDPR)

I beneficiari designati dall'utente sono soggetti al trattamento dei propri dati personali (nome, cognome, indirizzo email) da parte del Titolare. Tali dati sono raccolti indirettamente dall'utente che li fornisce al momento della designazione.

• Finalità: Invio delle notifiche di consegna documenti e delle comunicazioni necessarie al funzionamento del servizio
• Base giuridica: Interesse legittimo del Titolare e dell'utente designante (Art. 6.1.f GDPR) — base primaria, in quanto il trattamento è strettamente necessario per eseguire il servizio a beneficio del soggetto designato —, e in senso lato, esecuzione di un contratto a favore di terzo ai sensi dell'art. 1411 c.c. (Art. 6.1.b GDPR in senso esteso). L'interesse legittimo è bilanciato dalla minimizzazione dei dati trattati (solo nome, cognome, email) e dalla possibilità di opposizione di cui al punto successivo
• Conservazione: I dati del beneficiario sono conservati per tutta la durata del rapporto contrattuale con l'utente e cancellati entro 30 giorni dalla rimozione da parte dell'utente o dalla cancellazione dell'account
• Diritti: I beneficiari possono esercitare tutti i diritti previsti dagli artt. 15-22 GDPR scrivendo a privacy@skrinium.it
• Notifica: I beneficiari riceveranno l'informativa completa ai sensi dell'art. 14 GDPR al momento dell'invio della prima comunicazione da parte del sistema
• Opposizione preventiva (opt-out): Un soggetto che ritenga di poter essere o essere già stato designato come beneficiario da un utente del servizio può richiedere di non essere registrato o mantenuto come beneficiario inviando una richiesta motivata a privacy@skrinium.it. Il Titolare registrerà l'opposizione e, nei limiti tecnici e contrattuali, la comunicherà all'utente interessato; l'opposizione non impedisce la designazione da parte dell'utente, che rimane nella sua responsabilità, ma il Titolare adotterà le misure ragionevoli per rispettare la volontà del soggetto opponente

15. Aggiornamenti della Privacy Policy

Eventuali modifiche sostanziali saranno comunicate con almeno 30 giorni di preavviso tramite:

• Email di notifica all'indirizzo registrato
• Avviso prominente nell'area riservata
• Banner informativo al primo accesso successivo alla modifica

Le modifiche non sostanziali (aggiornamenti redazionali, correzioni formali) possono essere apportate senza preavviso. La data dell'ultimo aggiornamento è sempre visibile in calce al documento.

16. Contatti Privacy

Autorità Garante: In caso di problemi non risolti, puoi rivolgerti al Garante per la Protezione dei Dati Personali (www.gpdp.it)