Informativa sulla privacy
La presente informativa è in vigore dal 16 novembre 2021 · Versione: 1.0
La società SOOMA.COM – WEB SERVICES, LDA. tratta i vostri dati personali con rispetto e trasparenza, in conformità al Regolamento generale sulla protezione dei dati (GDPR). I vostri dati sono trattati e conservati su server situati in Portogallo e i backup sono conservati a Berlino, in Germania, sempre all’interno dell’Unione Europea.
1. Titolare del trattamento
SOOMA.COM – WEB SERVICES, LDA.
Rua Dom João I, 99
4450-143 Matosinhos
Portogallo (UE)
Numero di registrazione (NIPC): 515 060 445
Telefono: 210 205 164 oppure 220 280 335
Email: hello@sooma.com
Website: sooma.com
Contatto: Fernando Costa
Responsabile della protezione dei dati: dpo@sooma.com
È stato formalmente nominato un Responsabile della protezione dei dati.
2. Dati personali che raccogliamo
2.1. Dati che ci fornite direttamente
- Dati identificativi: nome, qualifica professionale, azienda
- Dati di contatto: indirizzo e-mail, numero di telefono
- Dati dell’account: credenziali di accesso al servizio e al pannello di amministrazione
- Dati di fatturazione: indirizzo di fatturazione, numero di identificazione fiscale (NIF/NIPC), dati di pagamento
- Comunicazioni: messaggi inviati tramite i moduli di contatto e l’assistenza
2.2. Dati trattati nell’ambito del servizio e-mail
In qualità di fornitore del servizio e-mail, Sooma conserva e trasmette, per conto del cliente, il contenuto dei messaggi, gli allegati, i contatti e i calendari presenti nelle caselle di posta. Questi dati:
- sono trattati esclusivamente per fornire il servizio sottoscritto;
- non sono analizzati a fini commerciali, pubblicitari o di profilazione;
- sono soggetti alla riservatezza delle comunicazioni prevista dalla legge.
Nei rapporti con i clienti aziendali, Sooma agisce in qualità di responsabile del trattamento (art. 28 GDPR) per i dati personali contenuti nelle caselle di posta, mentre il cliente è il titolare del trattamento. È disponibile un accordo sul trattamento dei dati (DPA), allegato al contratto di servizio e fornito su richiesta.
2.3. Dati raccolti automaticamente
- Dati di utilizzo del sito web: pagine visitate, durata della sessione
- Dati tecnici e log: indirizzo IP, tipo di browser, log di connessione e di consegna della posta (metadati), necessari per il funzionamento, la sicurezza e il contrasto degli abusi
- Cookie e tecnologie simili: come indicato nella nostra Cookie Policy
3. Finalità e basi giuridiche del trattamento
| Finalità | Base giuridica |
|---|---|
| Fornitura dei servizi di e-mail, calendario e contatti | Esecuzione di un contratto (art. 6, par. 1, lett. b, GDPR) |
| Emissione e conservazione delle prove dell’E-mail raccomandata (servizio elettronico di recapito certificato, articolo 43 di eIDAS) | Esecuzione di un contratto (art. 6, par. 1, lett. b, GDPR); legittimo interesse alla conservazione delle prove (art. 6, par. 1, lett. f, GDPR) |
| Fatturazione e gestione finanziaria | Obbligo legale (art. 6, par. 1, lett. c, GDPR) |
| Assistenza tecnica e servizio clienti | Esecuzione di un contratto / legittimo interesse |
| Sicurezza delle reti e dei sistemi informativi, prevenzione di abusi e frodi | Legittimo interesse (art. 6, par. 1, lett. f, GDPR; considerando 49); adempimento degli obblighi in materia di cibersicurezza (Direttiva (UE) 2022/2555, NIS2) |
| Comunicazioni di marketing (newsletter) | Consenso (art. 6, par. 1, lett. a, GDPR) |
| Adempimento di obblighi legali e di ordini delle autorità | Obbligo legale (art. 6, par. 1, lett. c, GDPR) |
4. Conservazione dei dati
Conserviamo ciascuna categoria di dati solo per il tempo necessario alla finalità che ne giustifica il trattamento o per il periodo previsto dalla legge.
4.1. Dati dell’account, contrattuali e di fatturazione
| Dati | Finalità | Conservazione | Accesso |
|---|---|---|---|
| Nome, indirizzo e-mail, dati di contatto e dell’account | Esecuzione del contratto e assistenza clienti | Per la durata del contratto e fino a 10 anni dopo la sua cessazione | Amministrazione dei sistemi, assistenza clienti, direzione |
| Dati di fatturazione e di pagamento | Adempimento degli obblighi fiscali | 10 anni | Contabilità, direzione |
| Comunicazioni con l’assistenza clienti | Prova e seguito della richiesta | 2 anni dopo la chiusura della richiesta | Assistenza clienti, amministrazione dei sistemi |
4.2. Contenuto del servizio
| Dati | Finalità | Conservazione | Accesso |
|---|---|---|---|
| Contenuto delle caselle di posta, dei calendari e dei contatti | Fornitura del Servizio | Durata del servizio; cancellazione 60 giorni dopo la cessazione | Nessun accesso, salvo quanto strettamente necessario per fornire il Servizio o su richiesta del Cliente |
| Prove dell’E-mail raccomandata (certificati di invio e di consegna, con marca temporale qualificata) | Prova di invio, di consegna e del contenuto (servizio elettronico di recapito certificato, articolo 43 di eIDAS) | 7 anni dall’emissione, secondo i Termini e condizioni; messe a disposizione del Cliente in una cartella dedicata della sua casella di posta | Amministrazione dei sistemi |
4.3. Log tecnici
Non conserviamo dati di traffico a fini di indagine penale. I log indicati di seguito sono destinati esclusivamente a garantire il funzionamento del Servizio, prevenire gli abusi e rispondere agli incidenti di sicurezza.
| Sistema | Dati registrati | Finalità | Conservazione | Accesso |
|---|---|---|---|---|
| Webmail e pannello di amministrazione | Data, ora e indirizzo IP dell’accesso | Rilevamento di accessi non autorizzati | 14 giorni | Amministrazione dei sistemi, assistenza clienti |
| Server SMTP e filtri anti-spam | Mittente, destinatario, identificativo e dimensione del messaggio. Non vengono registrati né il contenuto né l’oggetto | Prova della consegna o della ricezione in caso di reclamo; prevenzione degli abusi | 14 giorni | Amministrazione dei sistemi, assistenza clienti |
| Server IMAP e POP3 | Account, data, ora e indirizzo IP della connessione | Verifica di accessi non autorizzati | 14 giorni | Amministrazione dei sistemi, assistenza clienti |
| Sito web sooma.com | Dati di accesso al server web | Sicurezza e funzionamento del sito web | 14 giorni | Amministrazione dei sistemi |
Trascorsi tali periodi, i log vengono cancellati o anonimizzati, salvo che debbano essere conservati per l’indagine su uno specifico incidente di sicurezza o per adempiere a un ordine legittimo di un’autorità competente relativo a dati specifici.
4.4. Altro
| Dati | Conservazione |
|---|---|
| Comunicazioni di marketing | Fino alla revoca del consenso |
| Candidature | Vedere la sezione 9 |
5. Condivisione dei dati con terzi
Sooma non vende, non cede in locazione e non scambia dati personali. I dati possono essere condivisi con:
- Autorità di certificazione qualificate (Asseco, Multicert): per il rilascio dei certificati eIDAS, solo i dati strettamente necessari
- Istituti di pagamento: i dati strettamente necessari all’elaborazione dei pagamenti sono condivisi con istituti bancari e parabancari partner stabiliti nell’Unione europea
- Autorità pubbliche: ove richiesto dalla legge o da un ordine giudiziario valido emesso da un’autorità competente ai sensi del diritto portoghese o europeo
I server di Sooma sono installati in data center situati in Portogallo, in regime di housing (colocation). Il fornitore della struttura mette a disposizione soltanto spazio, alimentazione elettrica, raffreddamento e sicurezza fisica, e non ha accesso alle apparecchiature né ai dati in esse conservati. I backup sono conservati, cifrati, in un data center situato a Berlino, in Germania, all’interno dell’Unione Europea.
5.1. Cosa non facciamo
A scanso di equivoci, dichiariamo espressamente che Sooma in nessun caso:
- vende, cede in locazione o trasferisce dati personali a terzi;
- analizza il contenuto delle comunicazioni a fini commerciali o pubblicitari;
- crea profili degli utenti (profilazione) a partire dai dati trattati;
- adotta decisioni automatizzate che producano effetti giuridici o effetti analogamente significativi sugli interessati;
- utilizza i dati a fini di pubblicità comportamentale, propria o di terzi.
6. Trasferimenti internazionali
I dati personali sono trattati e conservati esclusivamente su server nell’Unione Europea: in Portogallo e, per i backup, a Berlino, in Germania. Non trasferiamo dati personali verso paesi terzi. Sooma non è soggetta a normative di paesi terzi sull’accesso extraterritoriale ai dati (come il CLOUD Act statunitense).
7. I vostri diritti
Ai sensi del GDPR: accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20), opposizione (art. 21) e revoca del consenso in qualsiasi momento.
Portabilità nella pratica: il contenuto delle caselle di posta, dei calendari e dei contatti può essere esportato in qualsiasi momento dal Cliente stesso, tramite i protocolli aperti IMAP, CalDAV e CardDAV, in formati di uso comune e leggibili da dispositivo automatico, senza alcuna richiesta preventiva. Per tutti gli altri dati è sufficiente inviare una richiesta al Responsabile della protezione dei dati.
Per esercitare i vostri diritti: dpo@sooma.com. Rispondiamo entro un massimo di 30 giorni. Avete inoltre il diritto di proporre reclamo all’autorità portoghese per la protezione dei dati, la CNPD (Comissão Nacional de Proteção de Dados,cnpd.pt).
8. Sicurezza dei dati
Sooma ha adottato misure tecniche e organizzative adeguate (art. 32 GDPR), tra cui:
- Cifratura TLS 1.3 in transito e cifratura AES-256 a riposo
- Hardware Security Module (HSM) certificati FIPS 140-2 Level 3 per la sigillatura delle prove dell’E-mail raccomandata
- Controllo degli accessi basato sui ruoli e registrazione degli accessi
- Backup regolari e infrastruttura ridondante
- Monitoraggio continuo della sicurezza
Sooma sta implementando e certificando un SGSI conforme alla norma ISO/IEC 27001 e si sta allineando ai requisiti della Direttiva (UE) 2022/2555 (NIS2).
In caso di violazione dei dati personali suscettibile di presentare un rischio per gli interessati, Sooma ne darà notifica alla CNPD entro 72 ore (art. 33 GDPR) e agli interessati coinvolti ove previsto dalla legge (art. 34).
9. Candidature
- I dati personali inviati dai candidati, spontaneamente o in risposta a un annuncio di lavoro, sono trattati esclusivamente ai fini del processo di selezione, sulla base di misure precontrattuali adottate su richiesta dell’interessato.
- In caso di stipula di un contratto di lavoro, i dati sono conservati in conformità alla normativa applicabile in materia di lavoro.
- Se non viene stipulato alcun contratto, i dati sono cancellati entro 6 mesi dalla comunicazione della decisione, salvo che il candidato acconsenta espressamente alla loro conservazione per future opportunità.
10. Documenti correlati
La presente Informativa va letta insieme ai Termini e condizioni d’uso, alla Politica anti-spam e alla Cookie Policy, disponibili su sooma.com. Nei rapporti con clienti aziendali ed enti pubblici si applica inoltre l’accordo sul trattamento dei dati (DPA) allegato al contratto di servizio.
11. Modifiche alla presente Informativa
La presente informativa può essere aggiornata. La versione in vigore è sempre disponibile su sooma.com, con l’indicazione della data dell’ultimo aggiornamento. Le modifiche sostanziali saranno comunicate ai clienti.