Chi è responsabile
Il titolare del trattamento dei dati personali qui descritti è AYBARION SOFTWARE LTD, registrata in Inghilterra e Galles con il numero di iscrizione 17473674, sede legale 61 Bridge Street, Kington, HR5 3DJ, United Kingdom («AYBARION», «noi»). AYBARION TRADE è il nostro nome commerciale.
| Contatto privacy | info@aybarion.com |
| Numero di registrazione ICO | [pending] |
| Rappresentante nell’UE (GDPR art. 27) | [to be appointed] |
| Responsabile della protezione dei dati | Non ne abbiamo nominato uno. Utilizzi il contatto privacy indicato sopra. |
Trattiamo i dati personali ai sensi del Regolamento generale sulla protezione dei dati del Regno Unito (UK GDPR) e del Data Protection Act 2018. Se a lei si applica il GDPR dell’UE, si applica anch’esso. Per le persone in Türkiye, l’informativa richiesta dalla Legge n. 6698 è il KVKK Aydınlatma Metni.
La presente informativa è redatta in inglese, e la versione inglese è quella vincolante. Le traduzioni sono fornite per comodità.
Quando il nostro membro è il titolare del trattamento
I nostri membri sono imprese. Per i dati personali che un membro inserisce nella piattaforma riguardanti altre persone, come i suoi record CRM, la sua lista di destinatari di outreach, il contenuto dei messaggi e i documenti che carica, è il membro a decidere perché e come vengono utilizzati i dati ed è il titolare del trattamento. Trattiamo tali dati per conto del membro in qualità di responsabile del trattamento, secondo le condizioni sul trattamento dei dati contenute nei nostri Termini di servizio. Se i suoi dati si trovano in tali record, la preghiamo di contattare prima quel membro.
Cosa trattiamo
Questo elenco rispecchia ciò che la piattaforma memorizza. Non acquistiamo dati personali, non li vendiamo e non creiamo profili pubblicitari.
| Categoria | Dati | Fonte |
|---|---|---|
| Richieste di accesso e di demo | Nome, e-mail di lavoro, azienda, sito web, paese, ruolo, dimensione del team, codici prodotto, il suo messaggio, il suo consenso, lingua, tipo di browser; il suo indirizzo di rete solo come hash con salt | Lei, tramite il modulo di richiesta |
| Account | Nome, indirizzo e-mail di lavoro, password (memorizzata solo come hash scrypt), lingua, fuso orario, e facoltativamente qualifica, numero di telefono e foto, stato di verifica dell’e-mail, eventuale richiesta di ricevere aggiornamenti sul prodotto, ruolo nel team | Lei o l’amministratore che l’ha invitata |
| Sicurezza dell’accesso | Segreto dell’autenticatore (MFA), codici di recupero in hash, codici e-mail monouso, contatore degli accessi non riusciti e blocco temporaneo; se l’accesso con Google o Microsoft è disponibile e lei lo utilizza: l’identificativo dell’account presso il provider e l’indirizzo e-mail verificato | Lei; il suo provider di accesso |
| Sessioni | Un hash del token di sessione, un token contro la falsificazione delle richieste, indirizzo IP, user agent del browser abbreviato, orari di accesso e dell’ultima attività | Il browser |
| Monitoraggio della sicurezza | Conteggi delle richieste rifiutate o non riuscite per indirizzo di rete e ora; un hash del tipo di browser e dell’intervallo di rete per rilevare accessi da nuovi dispositivi; avvisi di sicurezza | La piattaforma |
| Azienda | Nome dell’azienda, paese, ruolo, piano, sito web, descrizione, logo, codici prodotto, LEI e record GLEIF pubblico, numero di registro, stato di verifica e note del revisore | Lei; GLEIF |
| Documenti | File che carica (estratti di registro, certificati, contratti, allegati), relativo checksum, esito della scansione antivirus e stato di revisione | Lei |
| Marketplace e flussi di lavoro | Annunci, offerte, ordini, recensioni, segnalazioni, blocchi, ricerche salvate; deal room, conversazioni, spazi di negoziazione, borse private e missioni commerciali; richieste di trasporto, preventivi e spedizioni (con identificativi e posizioni delle navi per le spedizioni marittime prenotate); flussi di finanziamento e pagamento protetto; report, link di condivisione e relativo registro degli accessi; liste di monitoraggio, preferiti e analisi salvate; interrogazioni di screening sanzioni e relativi risultati | Lei e i membri con cui tratta |
| CRM e outreach | Account e attività CRM (la piattaforma vi rifiuta indirizzi e-mail e numeri di telefono); destinatari di outreach inseriti da un membro (e-mail, nome, azienda, paese, base giuridica ed evidenza), campagne ed eventi di consegna; disiscrizioni conservate solo come hash con chiave dell’indirizzo | Il membro; eventi del provider e-mail |
| Fatturazione | Identificativi cliente e abbonamento Stripe, piano, stato, date di prova e di periodo, numeri di fattura, importi e link alle ricevute. Dati della carta, indirizzo di fatturazione e codice fiscale sono raccolti e conservati da Stripe, non da noi | Stripe |
| Team e notifiche | Inviti (e-mail, ruolo, autore dell’invito, date); notifiche in app e preferenze; log delle e-mail che inviamo (indirizzo, oggetto, testo); sottoscrizioni web push (indirizzo e chiavi del servizio push, lingua) | Il suo amministratore; la piattaforma; il suo browser |
| API per sviluppatori e consegna dati | Chiavi API (memorizzate in hash), log delle richieste API con indirizzo IP, endpoint webhook e destinazioni di consegna (con i relativi segreti cifrati), contatori di utilizzo | Lei |
| Documenti legali | Quale versione dei Termini di servizio ha accettato e di quale versione della presente informativa ha preso visione, quando, da quale indirizzo IP e con quale browser | Il browser |
| Log di audit | Chi ha fatto cosa e quando (ad esempio accessi, approvazioni, decisioni di moderazione), con indirizzo IP | La piattaforma |
| Domande ad AYBİ | Il testo della domanda, da cui vengono rimossi indirizzi e-mail e numeri di telefono prima della memorizzazione, e il suo feedback sulla risposta. Il suo indirizzo IP viene utilizzato solo per la limitazione della frequenza e non viene memorizzato con la domanda | Lei |
| E-mail che ci invia | Il suo messaggio e i suoi recapiti nelle nostre caselle di posta aziendali | Lei |
| Log del server | Log di accesso del server web con indirizzo IP, indirizzo richiesto, ora e browser; cookie e intestazioni di autorizzazione vengono rimossi dai log | Il browser |
Statistiche di ricerca: per migliorare la ricerca contiamo, ogni giorno, quante volte viene usato un termine di ricerca, quante volte non trova nulla e quanto tempo richiede. Queste statistiche sono anonime e aggregate: non sono collegate al suo account, alla sua azienda, alla sessione o all’indirizzo di rete. I termini che sembrano un indirizzo e-mail, un numero di telefono o un altro numero lungo non vengono registrati affatto, e un termine viene conservato così come scritto solo quando ogni parola è già un termine della directory dei prodotti o delle aziende; qualsiasi altro termine viene conservato solo come breve hash unidirezionale. Le statistiche vengono eliminate automaticamente dopo 30 giorni.
Non chiediamo categorie particolari di dati (come dati sulla salute od opinioni politiche). La preghiamo di non inserire nella piattaforma tali dati, né dati personali che non è autorizzato a condividere.
Dati pubblici su aziende e persone incluse nelle liste
- Directory aziendale: costruita da registri ufficiali delle imprese e dataset aperti (elencati nelle note legali). Contiene solo persone giuridiche: nome, paese, regione e città, settore, forma giuridica, stato, numero di registro, LEI, anno di fondazione e sito web. Le ditte individuali e le altre forme di persona fisica sono escluse. Non conserviamo nomi di amministratori, titolari o referenti, indirizzi e-mail, numeri di telefono o indirizzi postali. Il nome di un’azienda può comunque contenere il nome di una persona, se l’azienda è registrata così.
- Liste di sanzioni: a supporto dello screening carichiamo le liste ufficiali di sanzioni OFAC, del Regno Unito e dell’UE. Contengono nomi, alias, paesi e programmi delle persone e delle entità elencate, così come pubblicati. Non conserviamo nient’altro dalle liste e sostituiamo i dati a ogni aggiornamento di una lista.
- Bandi e ricerca: per i bandi EU TED e i risultati di ricerca OpenAlex conserviamo solo i metadati degli avvisi e delle pubblicazioni, senza punti di contatto, nomi degli autori o abstract.
- Può opporsi all’utilizzo di dati che riguardano lei o la sua azienda, o chiedere una rettifica, all’indirizzo info@aybarion.com. Esaminiamo le evidenze e rettifichiamo, limitiamo o rimuoviamo il record.
Finalità e basi giuridiche
| Finalità | Base giuridica (UK GDPR art. 6) |
|---|---|
| Fornitura della piattaforma: account, profilo aziendale, marketplace, flussi di lavoro, team, notifiche, assistenza, fatturazione | Esecuzione del contratto, art. 6(1)(b); per gli utenti che agiscono per conto di un membro, il legittimo interesse nostro e del membro a gestire il servizio da esso ordinato, art. 6(1)(f) |
| Risposta alle richieste di accesso e di demo | Misure precontrattuali adottate su sua richiesta, art. 6(1)(b), e legittimo interesse, art. 6(1)(f) |
| Sicurezza: protezione dell’accesso, MFA, sessioni, limiti di frequenza, scansione antivirus, monitoraggio della sicurezza, log di audit, prevenzione di frodi e abusi | Legittimo interesse a un servizio sicuro, art. 6(1)(f) |
| Verifica delle aziende, moderazione delle segnalazioni, decisioni secondo il principio dei quattro occhi | Legittimo interesse a un marketplace affidabile, art. 6(1)(f) |
| Dati della directory aziendale e delle liste di sanzioni | Legittimo interesse dei nostri membri e nostro a individuare partner commerciali e a sottoporli a screening, art. 6(1)(f) |
| Tenuta delle scritture contabili e fiscali, riscontro alle autorità | Obbligo legale, art. 6(1)(c) |
| Accertamento, esercizio o difesa di diritti in sede giudiziaria (ad esempio i record di accettazione) | Interessi legittimi, art. 6(1)(f) |
| E-mail di aggiornamento sul prodotto da lei richieste; notifiche push del browser da lei attivate | Consenso, art. 6(1)(a), che può revocare in qualsiasi momento |
| Trattamento dei dati CRM, di outreach e dei messaggi di un membro per conto di tale membro | Base giuridica del membro; agiamo in qualità di responsabile del trattamento |
Quando ci basiamo sul legittimo interesse, lei può opporsi (si veda «I suoi diritti»). Per utilizzare la piattaforma deve fornire i dati dell’account contrassegnati come obbligatori; senza di essi non possiamo fornire il servizio.
Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o effetti analogamente significativi nei suoi confronti. I punteggi sono confronti spiegabili di dati commerciali, e i risultati dello screening delle sanzioni richiedono sempre una verifica umana.
Chi riceve i dati
Gli altri membri vedono ciò che lei pubblica o condivide con loro (ad esempio annunci, offerte, messaggi, documenti di una Deal Room o una pratica di finanziamento che ha acconsentito a condividere). Gli annunci anonimi nascondono la sua azienda finché un’offerta non viene accettata. Gli operatori della piattaforma AYBARION vedono ciò che serve per assistenza, verifica e moderazione. Ci avvaliamo dei seguenti fornitori di servizi:
| Provider | Finalità | Dati | Posizione |
|---|---|---|---|
| OVHcloud (OVH SAS) | Server che ospita sito web, API, database e file | Tutti i dati della piattaforma | Roubaix, Francia |
| Cloudflare, Inc. | DNS per aybarion.com; archiviazione dei backup esterni (Cloudflare R2) | DNS: nessun dato che la riguardi. Backup: tutti i dati della piattaforma, cifrati sul nostro server prima del caricamento, così che Cloudflare non possa leggerli | Stati Uniti (società); regione di archiviazione del nostro bucket R2 |
| Resend, Inc. | Invio delle e-mail transazionali (codici di verifica, reimpostazione della password, notifiche, inviti, conferme delle richieste di accesso) | Indirizzo del destinatario, oggetto, testo | Stati Uniti |
| Stripe Payments UK Ltd e società del gruppo Stripe | Pagamenti con carta, abbonamenti, fatture e ricevute | Dati aziendali e di fatturazione, dati della carta, cronologia dei pagamenti | Regno Unito; società del gruppo Stripe, compresi gli Stati Uniti |
| Hostinger | Le nostre caselle di posta aziendali | E-mail che ci invia e nostre risposte | Data center Hostinger utilizzati dal nostro piano di posta |
| Servizi web push del produttore del suo browser (Google, Mozilla, Microsoft, Apple) | Invio delle notifiche del browser, solo se le attiva | Messaggio cifrato, indirizzo push del dispositivo | Globale |
| Google / Microsoft | Single sign-on, solo se lo offriamo e lei lo sceglie | Richiesta di accesso; riceviamo l’identificativo dell’account, il nome e l’e-mail verificata | Globale |
| GLEIF (Global Legal Entity Identifier Foundation) | Verifica del LEI inserito dalla sua azienda | Solo il LEI | Svizzera |
| aisstream.io | Posizioni delle navi in tempo reale per le spedizioni marittime prenotate, solo quando questa funzione è attiva | Solo identificativi delle navi (MMSI) | Servizio online |
La scansione antivirus dei file caricati avviene sul nostro server (ClamAV); nessun file viene inviato a terzi per la scansione. L’assistente AYBİ funziona sul nostro server. Quando non sa rispondere a una domanda, può usare il testo della domanda come termine di ricerca in fonti pubbliche come Wikipedia, Wikidata e la Banca Mondiale; la preghiamo quindi di non inserire dati personali nelle domande.
Stripe agisce come nostro responsabile del trattamento per alcuni trattamenti e come titolare autonomo del trattamento per altri, come la prevenzione delle frodi e i propri obblighi di legge; si veda l’informativa sulla privacy di Stripe. Possiamo inoltre condividere dati con consulenti professionali, con le autorità quando la legge lo richiede e con un acquirente della nostra attività, che sarebbe tenuto a rispettare la presente informativa. Non vendiamo dati personali.
Trasferimenti internazionali
Il nostro server principale si trova in Francia. Il Regno Unito riconosce che il SEE offre una protezione adeguata e l’UE riconosce il Regno Unito. Alcuni dei fornitori sopra indicati trattano dati in altri paesi, in particolare negli Stati Uniti. Per questi trasferimenti ci basiamo sui regolamenti di adeguatezza del Regno Unito (inclusa l’estensione britannica dell’EU-US Data Privacy Framework quando il fornitore è certificato) oppure sulle clausole contrattuali standard con l’UK Addendum, o sull’UK International Data Transfer Agreement, previsti nelle condizioni di trattamento dei dati del fornitore. Puoi chiederci i dettagli delle garanzie scrivendo a info@aybarion.com.
Per quanto tempo conserviamo i dati
| Dati | Conservazione |
|---|---|
| Richieste di accesso e di demo | Eliminate automaticamente dopo 180 giorni. Una copia dell’e-mail di notifica al nostro team resta nel log delle e-mail (si veda sotto) e nella nostra casella di posta |
| Sessioni | Valida al massimo 7 giorni e chiusa dopo 12 ore di inattività. Il record di sessione (con indirizzo IP e browser) viene eliminato quando esce dall’account, cambia la password o viene rimosso dal team, quando viene riutilizzata una sessione scaduta, oppure quando l’account viene eliminato |
| Codici e-mail monouso, verifiche di accesso, stato del single sign-on | Validi rispettivamente per 15 minuti, 5 minuti e 10 minuti; eliminati dopo l’uso |
| Inviti al team | Il link è valido per 7 giorni; il record resta associato all’account aziendale |
| Account, azienda, documenti e record da lei creati | Finché l’account esiste. Può eliminare lei stesso in qualsiasi momento documenti, annunci, elementi salvati e molti altri record |
| Account aziendale eliminato | Eliminazione completata da un operatore della piattaforma entro 30 giorni dalla richiesta del proprietario, una volta definiti gli ordini aperti e i pagamenti protetti. I dati personali e i record privati vengono eliminati; gli ordini completati e le recensioni restano in forma anonimizzata; i record condivisi (ad esempio una conversazione con un altro membro) restano disponibili all’altra parte senza i suoi dati personali |
| Dati di fatturazione | I nostri record sugli abbonamenti e sullo stato delle fatture sono conservati come scritture contabili (la legge del Regno Unito richiede almeno 6 anni). All’eliminazione dell’account disdiciamo l’abbonamento, eliminiamo il cliente Stripe e rimuoviamo i link alle ricevute; Stripe conserva i dati di pagamento come la legge le impone |
| Record di accettazione legale | Finché l’account esiste e per 10 anni dopo la sua eliminazione, come prova del contratto |
| Outreach commerciale (se mai utilizzato) | Log dei messaggi 24 mesi; destinatari con opt-in non confermato 30 giorni; eventi del provider e-mail 90 giorni; voci di disiscrizione e di soppressione conservate come hash con chiave senza data di scadenza, così che l’indirizzo non venga mai più contattato |
| Log delle richieste all’API per sviluppatori, log di consegna dei webhook | 30 giorni; contatori di utilizzo 400 giorni |
| Contatori del monitoraggio della sicurezza | 30 giorni |
| Contatori di visualizzazione degli annunci | 2 giorni |
| Statistiche di ricerca (conteggi giornalieri anonimi) | 30 giorni |
| Sottoscrizioni web push | Finché non disattiva le notifiche, finché il servizio push non segnala il dispositivo come non più esistente, dopo 10 consegne non riuscite o all’eliminazione dell’account; messaggi push in coda 7 giorni |
| Dati delle liste di sanzioni | Sostituiti all’aggiornamento della lista (verificata ogni giorno). La sua cronologia di screening resta fino all’eliminazione dell’account |
| Backup | Le copie giornaliere sul nostro server sono conservate per 14 giorni. I backup esterni sono cifrati prima del caricamento; conserviamo le copie giornaliere per 14 giorni, quelle settimanali per 8 settimane e quelle mensili per 12 mesi. I dati eliminati possono quindi rimanere nei backup cifrati fino a circa 12 mesi. I backup servono solo a ripristinare il servizio e, se ne ripristiniamo uno, ripetiamo le eliminazioni effettuate da allora |
| Log del server | Ruotati automaticamente in base alla dimensione e sovrascritti; non archiviati |
| Registro e-mail (messaggi inviati, compresi i codici di verifica) | Eliminato automaticamente 90 giorni dopo l’invio |
| Notifiche nell’app | Le notifiche lette vengono eliminate automaticamente dopo 180 giorni. Tutte le notifiche vengono eliminate con l’account aziendale e Lei può eliminarle in qualsiasi momento |
| Log di audit | Conservato per 6 anni, poi eliminato automaticamente |
| Avvisi di sicurezza | Eliminato automaticamente dopo 180 giorni |
| Domande ad AYBİ | Non è ancora stato fissato un periodo di eliminazione automatica. Sono conservate finché non ne fissiamo uno, che pubblicheremo qui |
| E-mail che invia alle nostre caselle di posta | Per il tempo necessario a gestire la sua richiesta e a conservare la nostra documentazione aziendale |
Sicurezza
Le password sono sottoposte a hash con scrypt; le sessioni usano token casuali di cui viene conservato solo un hash; le azioni sensibili richiedono la MFA; ogni richiesta viene verificata rispetto all’azienda proprietaria del record; dei file caricati viene controllato il tipo reale e vengono analizzati alla ricerca di malware; i segreti di consegna memorizzati sono cifrati; moderazione e approvazioni seguono il principio dei quattro occhi e vengono registrate. I dati sono cifrati in transito (HTTPS) e i backup esterni sono cifrati. Maggiori dettagli nella pagina sulla sicurezza.
I suoi diritti e come esercitarli
Lei ha il diritto di accedere ai suoi dati personali, di riceverne una copia in un formato portabile, di ottenerne la rettifica o la cancellazione, di limitarne il trattamento, di opporsi al trattamento basato sul legittimo interesse e di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.
- Copia dei suoi dati: Impostazioni › Privacy e dati › Scarica i miei dati le fornisce i suoi record di account, azienda e marketplace in un unico file. Un amministratore del membro può esportare i record di outreach dell’azienda nella pagina Outreach commerciale.
- Rettifica: modifichi il suo profilo in Impostazioni in qualsiasi momento; un amministratore può modificare i dati dell’azienda.
- Eliminazione dell’account aziendale: il proprietario dell’account la richiede in Impostazioni › Privacy e dati.
- Eliminazione delle proprie credenziali come utente del team: chieda all’amministratore della sua azienda di rimuoverla, poi ci scriva ed elimineremo le sue credenziali di accesso.
- E-mail di aggiornamento sul prodotto e altri consensi: ci scriva per revocarli. Disattivi le notifiche del browser in Impostazioni o nel browser.
- Qualsiasi altra richiesta, comprese opposizione e limitazione: scrivere a info@aybarion.com. Potremmo chiederle di confermare la sua identità. Rispondiamo entro un mese; per le richieste complesse possiamo prorogare tale termine fino a due ulteriori mesi, indicandogliene i motivi.
Può presentare reclamo all’Information Commissioner’s Office del Regno Unito (ico.org.uk). Se vive o lavora nell’UE, può presentare reclamo anche all’autorità di protezione dei dati di quel paese. Le saremmo grati se ci desse prima la possibilità di occuparci della questione.
Cookie e archiviazione del browser
Impostiamo solo cookie strettamente necessari (la sessione di accesso e, durante l’accesso con Google o Microsoft, un cookie di collegamento di breve durata) e conserviamo le sue preferenze di visualizzazione nel browser. Non utilizziamo cookie di analisi, pubblicitari o di terze parti e non carichiamo script di terze parti nel browser. Dettagli: Cookie Policy.
Solo utenti aziendali
La piattaforma è destinata alle imprese e al loro personale. Non è rivolta ai minori e non devono essere creati account per persone di età inferiore ai 18 anni.
Modifiche alla presente informativa
Il numero di versione e le date in cima a questa pagina cambiano a ogni aggiornamento. Informiamo gli utenti delle modifiche sostanziali via e-mail al proprietario dell’account e nell’app prima che si applichino.