Conformità GDPR | Kroqi

1. Premessa

Anche se l’obbligo non è formalmente stabilito nel GDPR, è indispensabile che i software, programmi o altre applicazioni (che chiamiamo per comodità «prodotto») permettano ai loro utenti (imprese o enti pubblici) di rispettare gli obblighi posti dal GDPR.

Si possono distinguere 3 tipi di vincoli:

i vincoli relativi al prodotto stesso;
i vincoli relativi all’uso del prodotto;
i vincoli relativi alla sicurezza del prodotto.

Si precisa che, in qualità di cliente Kroqi, sei titolare del trattamento ai sensi del GDPR e devi rispondere direttamente ai requisiti di questo riferimento.

Il presente documento costituisce la lista di tali requisiti e precisa come Kroqi consenta di soddisfarli.

2. Punti relativi al prodotto

Si tratta essenzialmente di vincoli endogeni legati al prodotto stesso.

2.1 Aggiornamento dei dati

Art. 16 GDPR: Diritto di rettifica : «L’interessato ha il diritto di ottenere dal titolare del trattamento la rettifica dei dati personali inesatti che lo riguardano senza ingiustificato ritardo. Tenuto conto delle finalità del trattamento, l’interessato ha il diritto di ottenere l’integrazione dei dati personali incompleti, anche fornendo una dichiarazione integrativa.»
Risposta Kroqi: Ogni utente Kroqi può in qualsiasi momento modificare e rettificare i propri dati personali (sezione Il mio account) e riceve un messaggio che conferma l’avvenuta registrazione delle modifiche.

2.2 Accesso e copia dei dati

Art. 15.1 GDPR: Diritto di accesso dell’interessato
«L’interessato ha il diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento di dati personali che lo riguardano (…)»
Art. 15.3 GDPR: Diritto di copia
«Il titolare del trattamento fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall’interessato, il titolare del trattamento può addebitare un contributo spese ragionevole basato sui costi amministrativi. Se l’interessato presenta la richiesta mediante mezzi elettronici, le informazioni sono fornite in un formato elettronico di uso comune, salvo indicazione diversa dell’interessato.»
Risposta Kroqi
Diritto di accesso dell’interessato: la politica di protezione dei dati personali elenca i trattamenti effettuati sui dati personali da Kroqi. Il titolare del trattamento può in qualsiasi momento trasmettere questo documento a una persona che desideri esercitare tale diritto.
Diritto di copia: i dati suscettibili di essere utilizzati per un trattamento sono quelli mostrati nella sezione Il mio account (accessibili, modificabili e copiabili dall’utente finale).

2.3 Portabilità dei dati

Art. 20 GDPR: Diritto alla portabilità dei dati: «Gli interessati hanno il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che li riguardano forniti a un titolare del trattamento e hanno il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti da parte del titolare del trattamento cui li hanno forniti…»
**Risposta Kroqi
**Kroqi offre una funzionalità di esportazione di tutte le attività legate a un utente e consente la copia dei dati personali dalla sezione Il mio account.

2.4 Cancellazione totale o parziale

Art. 5 e) GDPR: cancellazione dei dati al termine di un certo periodo: «I dati personali devono essere conservati in una forma che consenta l’identificazione degli interessati per un arco di tempo non superiore al conseguimento delle finalità per le quali sono trattati; i dati personali possono essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente a fini di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici, fatta salva l’attuazione di misure tecniche e organizzative adeguate richieste dal presente regolamento a tutela dei diritti e delle libertà dell’interessato («limitazione della conservazione»);»
**Risposta Kroqi
**La durata di conservazione dei dati personali non supera quella necessaria alle finalità per cui sono trattati (lavoro di squadra trasparente, gestione di progetto, tracciabilità).
Quando un account Kroqi viene eliminato (essendo divenute obsolete le finalità del trattamento), tutti i dati personali degli utenti di tale account sono ugualmente eliminati entro 30 giorni dalla cancellazione dell’account.

2.5 Limitazione

**Art. 18 GDPR: Diritto alla limitazione del trattamento:
**1. L’interessato ha il diritto di ottenere dal titolare del trattamento la limitazione del trattamento quando ricorra una delle seguenti ipotesi:
a) l’interessato contesta l’esattezza dei dati personali, per il periodo necessario al titolare del trattamento per verificare l’esattezza di tali dati personali;
b) il trattamento è illecito e l’interessato si oppone alla cancellazione dei dati personali e chiede invece che ne sia limitato l’utilizzo;
c) benché il titolare del trattamento non ne abbia più bisogno ai fini del trattamento, i dati personali sono necessari all’interessato per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria;
d) l’interessato si è opposto al trattamento ai sensi dell’articolo 21, paragrafo 1, in attesa della verifica in merito all’eventuale prevalenza dei motivi legittimi del titolare del trattamento rispetto a quelli dell’interessato.
La nozione di «limitazione» è esplicitata all’articolo 4 «definizioni» del GDPR che precisa
«limitazione del trattamento»: il contrassegno dei dati personali conservati con l’obiettivo di limitarne il trattamento in futuro»
**Risposta Kroqi
**Kroqi può applicare una limitazione del trattamento su semplice richiesta scritta del cliente (titolare del trattamento) a dpo-wimi@racine.eu specificando la natura della limitazione desiderata, il trattamento o i trattamenti interessati e l’utente o gli utenti interessati.

2.6 Cancellazione

**Art. 17 GDPR: diritto alla cancellazione («diritto all’oblio»):
**«L’interessato ha il diritto di ottenere dal titolare del trattamento la cancellazione dei dati personali che lo riguardano senza ingiustificato ritardo e il titolare del trattamento ha l’obbligo di cancellare senza ingiustificato ritardo i dati personali, se sussiste uno dei motivi seguenti:
a) i dati personali non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati;
b) l’interessato revoca il consenso su cui si basa il trattamento conformemente all’articolo 6, paragrafo 1, lettera a), o all’articolo 9, paragrafo 2, lettera a), e se non sussiste altro fondamento giuridico per il trattamento;
c) l’interessato si oppone al trattamento ai sensi dell’articolo 21, paragrafo 1, e non sussiste alcun motivo legittimo prevalente per procedere al trattamento (…)»
**Risposta Kroqi
**Kroqi si impegna a cancellare i dati personali di un utente che desideri esercitare il diritto all’oblio su semplice richiesta scritta del cliente (titolare del trattamento) a dpo-wimi@racine.eu specificando l’utente o gli utenti interessati.

2.7 Account utente

**Artt. 13 e 14 GDPR: Informazioni e accesso ai dati personali:
**Quando i dati personali riguardanti un interessato sono raccolti presso lo stesso, il titolare del trattamento gli fornisce diverse informazioni tra cui:
L’identità e i dati di contatto del titolare del trattamento (in mancanza del suo rappresentante);
Le finalità del trattamento dei dati;
I destinatari dei dati; ecc.
**Risposta Kroqi
**Ogni utente di Kroqi può consultare la nostra politica di protezione dei dati personali dal sito www.kroqi.fr che fornisce all’utente tutte le informazioni richieste dal GDPR.

2.8 Consenso

**Art. 7: Condizioni per il consenso:
**«1. Qualora il trattamento sia basato sul consenso, il titolare del trattamento deve essere in grado di dimostrare che l’interessato ha prestato il proprio consenso al trattamento dei propri dati personali.»
**Risposta Kroqi
**Quando un nuovo utente viene aggiunto a un account Kroqi, presta il proprio consenso al trattamento che sarà effettuato dei dati personali che caricherà su Kroqi.

3. Punti relativi alla sicurezza

3.1 Sicurezza del trattamento

**L’articolo 32 «sicurezza del trattamento»:
**precisa che il titolare del trattamento (cliente) e il responsabile (fornitore) attuano misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio.
**Risposta Kroqi
**Il server frontale cifra tutte le connessioni esterne con un meccanismo di policy di sicurezza web (HTTP Strict Transport Security, ovvero HSTS). Ciò protegge i nostri servizi da attacchi di rete attivi e passivi (intercettazione). Un attaccante «man-in-the-middle» ha una capacità molto ridotta di intercettare le richieste e le risposte tra un utente e i nostri server di applicazioni web.
Inoltre, Kroqi beneficia di un’isolazione di rete. L’isolazione di rete significa che tutti i server della nostra infrastruttura sono isolati all’interno del data center e collegati da reti private dedicate.

3.2 Condizioni di accesso al prodotto

**Considerando 57 GDPR:
**«L’identificazione dovrebbe includere l’identificazione digitale di un interessato, ad esempio mediante un meccanismo di autenticazione come le stesse credenziali utilizzate dall’interessato per accedere al servizio online proposto dal titolare del trattamento».
**Risposta Kroqi
**Kroqi offre un’autenticazione rafforzata tramite l’attivazione dell’opzione «Politica di password avanzata». In tal caso, le password devono rispondere alle seguenti condizioni:
almeno 8 caratteri
una minuscola e una maiuscola
un numero o un simbolo
non essere già state utilizzate
Kroqi offre inoltre un’autenticazione tramite identità esistenti nella directory aziendale dei suoi clienti via SAML V2. In tal caso, le credenziali sono strettamente identiche a quelle utilizzate presso il titolare del trattamento (cliente).

3.3 Condizioni di accesso al prodotto

**Art. 5 f) GDPR:
**Trattamento che garantisce la sicurezza dei dati, protezione contro il trattamento illecito e la perdita
**Risposta Kroqi
**Kroqi dispone di log di storicizzazione e di alert che consentono di tracciare un’attività sospetta. Gli accessi a questi log sono strettamente controllati e limitati. In generale, tutti gli accessi all’infrastruttura Kroqi avvengono via VPN: solo alcuni IP predefiniti sono autorizzati a stabilire un tunnel (whitelist di indirizzi IP) tramite chiave RSA 4096. Questo tunnel di comunicazione è poi cifrato in AES-256-CBC e hashato in SHA-512. Gli amministratori devono autenticarsi in SSH tramite chiave privata (ED25519 o ECDSA) protetta da passphrase. I data center utilizzati da Kroqi hanno una sicurezza fisica massima. Tutti gli accessi ai locali sono strettamente controllati. Per proteggersi da intrusioni e pericoli, i data center sono dotati di recinzioni con filo spinato. Sistemi di rilevamento del movimento e videosorveglianza sono inoltre in funzione continua. L’attività nei data center e all’esterno degli edifici è controllata e registrata sui server sicuri, e il team di sorveglianza è in loco 24/7.

3.4 Sicurezza tecnica e organizzativa

**Art. 32 c.1 GDPR:
**«(…) il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio (…)»
Art. 39 GDPR **:
**«I dati personali dovrebbero essere trattati in maniera tale da garantire un’adeguata sicurezza e riservatezza dei dati, anche per impedire l’accesso o l’utilizzo non autorizzato di tali dati e delle attrezzature impiegate per il trattamento.»
**Risposta Kroqi
**Il numero di dipendenti Kroqi che hanno accesso all’infrastruttura è estremamente limitato. Queste persone sono tenute da un impegno di riservatezza specifico e da una clausola di riservatezza nel proprio contratto di lavoro.
Tutti gli accessi all’infrastruttura Kroqi sono strettamente controllati, monitorati e avvengono via VPN: solo alcuni IP predefiniti sono autorizzati a stabilire un tunnel (whitelist) tramite chiave RSA 4096.
Questo tunnel di comunicazione è poi cifrato in AES-256-CBC e hashato in SHA-512.
Gli amministratori devono autenticarsi in SSH tramite chiave privata (ED25519 o ECDSA) protetta da passphrase.
Le basi dati sono salvate ogni 3 ore. I file sono replicati e salvati ogni notte. I server di backup sono sicuri, isolati e accessibili solo dalle applicazioni di backup.

3.5 Gestione delle vulnerabilità di sicurezza

Riferimento GDPR Obbligo di sicurezza del GDPR
**Implementazione
**La nostra infrastruttura si basa prevalentemente su tecnologie open source, che hanno il vantaggio di federare comunità di contributori e utenti estremamente ampie grazie alle quali le vulnerabilità di sicurezza vengono individuate rapidamente. Applichiamo sistematicamente tutte le patch di sicurezza approvate e considerate stabili.