Informativa sulla privacy e impegni GDPR

BCN Student (il «titolare del trattamento») determina le modalità e le finalità del trattamento dei Suoi dati personali. Referente per tutte le questioni relative alla protezione dei dati, compreso l’esercizio dei diritti descritti di seguito: [email protected].

Il Suo indirizzo email, per farLa accedere. Le risposte che inserisce per ogni domanda: nomi, numero di passaporto, NIE se ne ha uno, sesso, dati di nascita, nazionalità, stato civile, nomi dei genitori, il Suo indirizzo in Spagna, telefono ed email, la data di ingresso in Spagna e i documenti che dichiara di avere. Quando paga una domanda, il Suo nome, l’indirizzo di fatturazione e, per un’azienda, il codice fiscale, che Stripe raccoglie per la fattura.

Lei digita i Suoi dati. Se lo desidera, può invece fotografare la pagina dei dati del Suo passaporto: con il Suo consenso esplicito, la foto viene letta sul nostro server (non viene inviata a terzi), le righe a lettura ottica servono a proporLe i dati e la foto non viene conservata né registrata. Vengono salvati solo i valori che Lei conferma. Non viene caricato nient’altro.

Base giuridica: esecuzione di un contratto con Lei (art. 6, par. 1, lett. b, GDPR). Raccogliamo questi dati perché i moduli di residenza spagnoli li richiedono, non perché li vogliamo. Non raccogliamo dati sulla salute, dati biometrici né alcuna categoria particolare di dati ai sensi dell’art. 9.

Le Sue risposte sono cifrate a riposo con AES-256-GCM, ogni domanda con una propria chiave e legata a quella domanda. Tali chiavi sono a loro volta cifrate con una chiave principale conservata separatamente dal database e dai suoi backup: una copia del database o di un backup non decifra quindi nulla da sola, e un record compromesso non ne espone mai un altro. Anche il Suo indirizzo email è cifrato; un hash con chiave distinta ci permette di trovare il Suo account all’accesso senza conservare l’indirizzo in chiaro.

Tutto il traffico è servito solo tramite TLS 1.3, con HTTP Strict Transport Security. I dati della carta di pagamento sono gestiti interamente da Stripe e non raggiungono mai i nostri server.

Un limite dichiarato con onestà: si tratta di una solida cifratura a riposo, ma non di una cifratura end-to-end. Il nostro software decifra le Sue risposte per compilare i Suoi moduli e le chiavi si trovano sullo stesso server. Nessuno schermo mostra le Sue risposte a una persona nell’ambito del servizio, e il pannello dell’operatore conta soltanto le domande. Qualsiasi servizio che Le dica di custodire il Suo passaporto con cifratura end-to-end e allo stesso tempo compila la Sua documentazione descrive qualcosa che non può essere vero.

Una domanda che non è stata toccata per 30 giorni viene eliminata in modo permanente e automatico. Ciò avviene come attività programmata, non come promessa manuale, e l’eliminazione è irreversibile. Può anche eliminare Lei stesso una domanda, o l’intero account, in qualsiasi momento dal Suo pannello, e l’eliminazione è immediata.

Un account senza domande viene eliminato due anni dopo l’ultimo accesso. Un account il cui link di accesso non è mai stato usato viene eliminato dopo una settimana.

Una sola cosa sopravvive all’eliminazione, e solo questa: i dati di fatturazione. La normativa commerciale e tributaria spagnola (Código de Comercio, art. 30; Ley General Tributaria) impone di conservare le fatture per diversi anni, e tale obbligo prevale sulle richieste di cancellazione di quei registri specifici ai sensi dell’art. 17, par. 3, lett. b, GDPR. Una fattura contiene il nome del pagante, l’indirizzo di fatturazione e, per un’azienda, il codice fiscale — conservati cifrati — oltre agli importi. Non include mai il Suo numero di passaporto né le Sue risposte.

Stripe (elaborazione dei pagamenti, Irlanda/USA nell’ambito del Data Privacy Framework UE-USA); Resend (invio delle nostre email, come i Suoi link di accesso); e il fornitore del nostro server con sede nell’UE — ciascuno con un contratto di responsabile del trattamento. Non vendiamo i Suoi dati, non li condividiamo con inserzionisti e non li trasferiamo fuori dal SEE se non nei casi qui indicati.

Le autorità pubbliche ricevono solo ciò che Lei stesso presenta loro, a proprio nome.

Può chiedere l’accesso ai Suoi dati, la rettifica di inesattezze, la cancellazione, la limitazione del trattamento e la portabilità in un formato leggibile da dispositivo automatico, e può opporsi al trattamento. Dal Suo pannello può scaricare in un file tutto ciò che conserviamo su di Lei, e cancellarlo. Quando il trattamento si basa sul consenso, può revocarlo in qualsiasi momento.

Rispondiamo entro un mese. Se non è soddisfatto, può presentare reclamo all’Agencia Española de Protección de Datos (AEPD), C/ Jorge Juan 6, 28001 Madrid, o su aepd.es.

Se si verifica una violazione che possa comportare un rischio per i Suoi diritti, la notifichiamo all’AEPD entro 72 ore e Lo informiamo direttamente senza ingiustificato ritardo. Le diremo a cosa si è avuto accesso, non una vaga rassicurazione.

Questo sito non imposta cookie pubblicitari e non esegue tracker di terze parti. Misura le visite con uno strumento di analisi ospitato da noi che non imposta cookie e non La identifica. I cookie che imposta sono: bcn_user, che La mantiene connesso fino a 30 giorni; bcn_app, che tiene aperta la domanda su cui sta lavorando fino a 7 giorni; e, durante il pagamento, i cookie che Stripe imposta per prevenire le frodi.

Altri due cookie propri vengono impostati solo se segue un link della guida o scarica la nostra guida: bcn_src, che registra il link della scuola da cui è arrivato, e bcn_guide, un identificativo anonimo di download. Ciascuno dura 30 giorni, non contiene nome, email né altro dato su di Lei ed è usato solo per contare quanti lettori della guida avviano poi una domanda.