Informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento è l’editore del servizio: Benjamin Marchand EI, 6 allée Alphonse Daudet, 77600 Conches-sur-Gondoire, France (vedi le note legali).

Contatto per i tuoi dati personali: technique@cronhound.eu.

2. Dati trattati

• Account: indirizzo e-mail, nome, password (conservata solo in forma di hash Argon2id), lingua dell’interfaccia, data di creazione, stato di verifica dell’e-mail e data di accettazione delle condizioni generali di utilizzo e di vendita (CGU/CGV). Se usi l’accesso con Google: l’identificativo Google, il nome e l’e-mail trasmessi da Google.
• Novità della piattaforma: preferenza « Ricevi le novità via e-mail » (disattivata per impostazione predefinita) e data della tua ultima lettura delle novità mostrate nell’app.
• Feedback (suggerimenti, osservazioni, bug): tipo, titolo e messaggio che scrivi nel modulo «Invia un feedback», con il tuo nome, il tuo indirizzo e-mail, la pagina dell’applicazione (senza parametri), l’organizzazione corrente, la lingua, la versione dell’applicazione e il tuo browser (user agent).
• Contenuto dei job: nome, pianificazione, URL di destinazione, metodo, intestazioni, corpo e credenziali di autenticazione delle richieste. La configurazione delle richieste (URL, intestazioni, corpo, credenziali) e quella dei canali di avviso sono cifrate a riposo con AES-256-GCM.
• Cronologia delle esecuzioni: data, durata, modalità di avvio, numero di tentativi, codice HTTP, estratto della risposta e messaggio di errore.
• Organizzazioni e inviti: nome delle organizzazioni e dei progetti, membri e ruoli, inviti (indirizzo e-mail invitato, ruolo, data di scadenza), canali di avviso (indirizzo e-mail o URL del webhook).
• Abbonamento: piano, stato e periodo in corso dell’abbonamento di ciascuna organizzazione.
• Profilo di fatturazione: tipo di cliente, nome o ragione sociale, indirizzo, paese, indirizzo e-mail di fatturazione e numero di partita IVA o numero di impresa, inseriti dal titolare o da un amministratore dell’organizzazione. Compare sulle fatture.
• Sessioni e token API: identificativi conservati solo in forma di hash, nome del token, date di creazione, di scadenza e di ultimo utilizzo.
• Log tecnici: vengono registrati solo gli errori interni (data, metodo, modello di route e messaggio di errore), senza indirizzo IP, senza URL della richiesta e senza password, token o cookie. Il tuo indirizzo IP serve anche, in memoria, a limitare il numero di richieste.
• Registro di audit: per ogni azione che modifica dati o riguarda la sicurezza (accesso riuscito o fallito, creazione, modifica o eliminazione, accesso negato, azione di amministrazione), la data, l’autore (identificativo e indirizzo e-mail), l’azione, il suo esito, l’elemento interessato, l’indirizzo IP, il browser (user agent) e un identificativo della richiesta. Non contiene password, token né contenuto delle richieste. I proprietari e gli amministratori di un’organizzazione vedono gli eventi di quest’ultima, senza indirizzo IP né browser.
• Misurazione dell’audience: pagina pubblica visitata (senza parametri), data e ora, sito di provenienza (senza parametri), tipo di browser, di sistema e di dispositivo, lingua e indirizzo IP anonimizzato. Vedi la sezione 10.
• Cookie e archiviazione locale: vedi la sezione 9.

3. Finalità e basi giuridiche

• Creare e gestire il tuo account, eseguire i job pianificati, conservarne la cronologia, inviare gli avvisi e le e-mail di servizio (verifica, reimpostazione della password, inviti), gestire le organizzazioni e l’abbonamento: esecuzione del contratto (articolo 6, paragrafo 1, lettera b), del GDPR).
• Mostrare le novità della piattaforma nell’app e ricordare la loro lettura: esecuzione del contratto (articolo 6, paragrafo 1, lettera b), del GDPR).
• Gestire i tuoi feedback, risponderti e migliorare il servizio: legittimo interessedell’editore (articolo 6.1.f del GDPR). Questi feedback restano sui nostri server in Francia e sono letti solo tramite l’indirizzo tecnico dell’editore, ospitato in Francia, e dagli amministratori del servizio. Il monitoraggio delle correzioni riceve solo un riferimento anonimo, senza il tuo nome, il tuo indirizzo né il tuo messaggio.
• Inviare le novità via e-mail, solo se hai attivato la preferenza « Ricevi le novità via e-mail »: consenso (articolo 6, paragrafo 1, lettera a), del GDPR). Questo consenso è esplicito, disattivato per impostazione predefinita e revocabile in qualsiasi momento (sezione 6).
• Pagamento, fatturazione e conservazione dei documenti contabili: obbligo legale (articolo 6, paragrafo 1, lettera c), del GDPR).
• Sicurezza del servizio e prevenzione degli abusi (limitazione del numero di richieste, protezione dalla falsificazione di richieste, log tecnici, sospensione degli account abusivi): legittimo interesse dell’editore a proteggere il servizio e i suoi utenti (articolo 6, paragrafo 1, lettera f), del GDPR).
• Registro di audit: conservazione dei dati che permettono di identificare l’autore di un’azione, richiesta ai fornitori di hosting (articolo 6 della legge per la fiducia nell’economia digitale e decreto n. 2011-219): obbligo legale (articolo 6, paragrafo 1, lettera c), del GDPR); sicurezza del servizio e prova delle azioni: legittimo interesse (articolo 6, paragrafo 1, lettera f), del GDPR).
• Misurazione anonima dell’audience delle pagine pubbliche, per conoscerne la frequentazione e migliorarle: legittimo interesse dell’editore (articolo 6, paragrafo 1, lettera f), del GDPR), trattamento esentato dal consenso (vedi la sezione 10).

I tuoi dati non sono venduti, non sono utilizzati a fini pubblicitari e non sono sottoposti a profilazione.

4. Periodi di conservazione

• Account e contenuti (job, progetti, organizzazioni): fino alla loro eliminazione da parte tua o all’eliminazione dell’account. Un’organizzazione che elimini viene archiviata: i suoi dati restano conservati, inaccessibili ai suoi membri, fino alla loro eliminazione definitiva da parte dell’amministratore del servizio.
• Account con password la cui e-mail non è mai stata verificata: eliminato dopo 7 giorni.
• Feedback: eliminati 90 giorni dopo la chiusura e al più tardi 365 giorni dopo l’invio, o con il tuo account se viene eliminato prima.
• Cronologia delle esecuzioni: 7 giorni con il piano Basic, 30 giorni con Starter e 90 giorni con Pro, poi eliminazione automatica.
• Sessione di accesso: 30 giorni, prolungata mentre usi il servizio; eliminata alla disconnessione.
• Link di verifica dell’e-mail: 24 ore. Link di reimpostazione della password: 1 ora.
• Invito a unirsi a un’organizzazione: 7 giorni.
• Preferenza sulle novità e data di lettura: per tutta la durata dell’account, cancellate insieme a esso. Nessuna e-mail di novità viene inviata dopo la revoca del consenso.
• Token API: fino alla sua revoca da parte tua o all’eliminazione dell’account.
• Sessioni, link e inviti scaduti: eliminati automaticamente ogni ora.
• Log degli errori: per un periodo limitato, necessario alla diagnosi.
• Registro di audit: 365 giorni (un anno, decreto n. 2011-219), poi eliminazione automatica. Viene conservato dopo l’eliminazione dell’account: il tuo indirizzo e-mail viene allora sostituito da uno pseudonimo, mentre indirizzo IP, browser e date restano conservati fino al termine di questo periodo.
• Ambiente di test developers.cronhound.eu: l’accesso richiede un account Cronhound e una chiave sandbox. L’ambiente conserva solo un riferimento opaco di questo account, senza indirizzo e-mail né identificativo leggibile. I dati di test di questo account (organizzazione, progetto, job e cronologia) vengono eliminati automaticamente 24 ore dopo la creazione; la chiamata successiva ne crea uno vuoto. Il registro di audit di questo ambiente, che contiene indirizzo IP e browser, segue il periodo indicato sopra.
• Misurazione dell’audience: dati grezzi conservati per 13 mesi al massimo, poi eliminati; oltre tale periodo si conservano solo statistiche aggregate e anonime.
• Fatture: conservate per 10 anni (articolo L123-22 del Codice di commercio francese), poi eliminate automaticamente insieme al relativo PDF. Una volta emessa la fattura, i dati di fatturazione copiati su di essa vengono cancellati; il registro conserva numero, date, importi e stato. Il profilo di fatturazione è conservato finché esiste l’organizzazione.

5. Destinatari e responsabili del trattamento

• Le persone autorizzate dell’editore, per la gestione e l’assistenza del servizio.
• Il fornitore di hosting: OVH SAS (OVHcloud), su un server situato in Francia.
• Il fornitore del servizio di invio delle e-mail di servizio: Non indicato.
• Google, solo se scegli « Continua con Google ». Questo accesso è facoltativo: puoi sempre utilizzare un indirizzo e-mail e una password. Se lo scegli, lo fai sotto la tua responsabilità, e ciò che Google fa dei tuoi dati è disciplinato dai suoi termini e dalla sua informativa sulla privacy. Google ti autentica e ci trasmette il tuo nome, la tua e-mail e il tuo identificativo Google. Google LLC (Stati Uniti) è certificata nell’ambito dell’EU-US Data Privacy Framework, riconosciuto adeguato dalla Commissione europea (decisione del 10 luglio 2023).
• Pagamento: Mollie B.V. (Paesi Bassi), fornitore di pagamento. Riceve l’indirizzo e-mail dell’account, l’identificativo dell’organizzazione e i dati di pagamento inseriti presso di lui. Cronhound non conserva dati delle carte di pagamento.
• I membri delle tue organizzazioni vedono il tuo nome, la tua e-mail e il tuo ruolo; i membri di un progetto vedono i suoi job, comprese le relative intestazioni.
• I server che indichi come destinazione ricevono le richieste che configuri.

I tuoi dati sono ospitati in Francia. Se un responsabile del trattamento tratta dati al di fuori dell’Unione europea, il trasferimento è disciplinato da una decisione di adeguatezza o dalle clausole contrattuali tipo della Commissione europea.

6. I tuoi diritti

Hai il diritto di accesso, di rettifica, di cancellazione, di limitazione del trattamento, di portabilità e di opposizione (articoli da 15 a 21 del GDPR), nonché il diritto di impartire direttive relative alla sorte dei tuoi dati dopo la morte (articolo 85 della legge Informatique et Libertés).

• Dalla pagina Account: « Esporta i miei dati » (accesso e portabilità, file JSON, che include gli eventi del registro di audit di cui sei l’autore), « Elimina il mio account » (cancellazione, con la riserva del registro di audit descritta nella sezione 4), e la modifica del tuo nome e della tua lingua (rettifica).
• Novità via e-mail: revoca del consenso in qualsiasi momento, dalla pagina Account (« Ricevi le novità via e-mail ») oppure tramite il link di annullamento dell’iscrizione presente in ogni e-mail, senza accedere. La revoca non annulla gli invii già effettuati.
• Per ogni altra richiesta: technique@cronhound.eu. Rispondiamo entro un mese (articolo 12 del GDPR) e possiamo chiedere una prova dell’identità in caso di ragionevole dubbio.

7. Reclamo presso la CNIL

Se ritieni che i tuoi diritti non siano rispettati, puoi proporre un reclamo presso la Commission nationale de l’informatique et des libertés (CNIL), l’autorità di controllo francese: www.cnil.fr.

8. Sicurezza

• Password con hash Argon2id; token di sessione, token API e link di invito conservati solo in forma di hash.
• Configurazione delle richieste e dei canali di avviso cifrata a riposo con AES-256-GCM.
• Cookie di sessione HttpOnly, protezione dalla falsificazione di richieste tra siti (CSRF) e verifica dell’origine.
• Limitazione del numero di richieste e blocco delle destinazioni di rete private o interne.
• Controllo degli accessi per organizzazione, progetto e ruolo.

9. Cookie e archiviazione locale

• ch_session: mantiene il tuo accesso (30 giorni al massimo).
• ch_csrf: protegge le tue azioni dalla falsificazione di richieste (stessa durata).
• ch_oauth: solo durante un accesso con Google, per proteggere lo scambio (10 minuti).
• Archiviazione locale del browser: la lingua (cronhound-locale) e il tema (cronhound-theme) che scegli.
• mtm_consent_removed: solo se ti opponi alla misurazione dell’audience (sezione 10), per ricordare questa scelta (13 mesi).

Questi cookie e questa archiviazione sono strettamente necessari al servizio che richiedi o per ricordare la tua opposizione; sono esentati dal consenso (articolo 82 della legge Informatique et Libertés). Cronhound non utilizza cookie di misurazione dell’audience, pubblicitari o di tracciamento e non carica alcuno script di terze parti: l’unico script di misurazione, Matomo, è servito dal nostro stesso server e non deposita alcun cookie di misurazione. Per questo non viene mostrato alcun banner di consenso.

10. Misurazione dell’audience

Per conoscere la frequentazione delle pagine pubbliche del sito e migliorarle, usiamo Matomo, uno strumento libero che ospitiamo noi stessi sullo stesso server di Cronhound, in Francia. La misurazione è configurata per essere esentata dal consenso secondo le linee guida della CNIL:

• Vengono misurate solo le pagine pubbliche (home page, confronto, pagine legali, accesso, registrazione e password). Lo spazio riservato agli utenti connessi, gli inviti e il pagamento non vengono mai misurati, e l’indirizzo trasmesso non contiene parametri né token.
• Nessun cookie di misurazione è depositato e nessun identificativo è memorizzato nel tuo browser.
• Il tuo indirizzo IP viene anonimizzato (gli ultimi 2 byte sono mascherati) prima di essere registrato.
• Nessun tracciamento tra siti, nessun identificativo utente, nessun collegamento con altri dati (in particolare con il tuo account) e nessun dato comunicato a terzi.
• I dati grezzi sono conservati per 13 mesi al massimo, poi eliminati; oltre tale periodo si conservano solo statistiche aggregate e anonime.
• Base giuridica: legittimo interesse dell’editore a misurare la frequentazione del proprio sito (articolo 6, paragrafo 1, lettera f), del GDPR); questa misurazione è esentata dal consenso (articolo 82 della legge Informatique et Libertés).
• Se il tuo browser invia il segnale « Do Not Track », non viene effettuata alcuna misurazione.

Puoi opporti in qualsiasi momento con il pulsante qui sotto. Il tuo rifiuto viene ricordato nel cookie mtm_consent_removed per 13 mesi, su questo browser; se cancelli i cookie, dovrai ripetere questa scelta.

11. Modifiche a questa informativa

Possiamo aggiornare questa informativa. La data dell’ultimo aggiornamento è indicata in cima alla pagina; in caso di modifica sostanziale, ne sarai informato via e-mail o nel servizio.