Informativa sulla protezione dei dati

Batzenbank tratta dati di genitori e dei loro figli. Poiché sono coinvolti dati di bambini, li trattiamo con più parsimonia di quanto la legge richieda.

Batzenbank si rivolge alle famiglie in Svizzera. Si applica la legge svizzera sulla protezione dei dati (LPD). Chi usa l'app da altrove può farlo, ma la nostra offerta non è rivolta ad altri Paesi.

Chi ne risponde

Responsabile del trattamento di questi dati è:

Severin Frei, Svizzera

kontakt@batzenbank.ch

A questo indirizzo vanno domande, richieste di accesso, rettifiche e opposizioni. L'accesso a tutto ciò che è memorizzato lo ottieni comunque subito e senza richiesta sotto Conto → I miei dati.

Quali dati memorizziamo

Del conto: indirizzo e-mail, nome visualizzato facoltativo, lingua, momento dell'ultimo accesso, e a quale versione delle condizioni d'uso e di questa informativa hai acconsentito. Se attivi Threema, il tuo ID Threema e il momento della conferma. Nessuna password, perché l'accesso avviene con un codice per e-mail. Nessun nome, nessun indirizzo postale, nessun numero di telefono.

Del bambino: nome, data di nascita facoltativa, regione e valuta. Volutamente nessun cognome.

Appartenenze: quali adulti sono registrati per quale bambino. È la base per stabilire chi può vedere e registrare cosa.

Dall'uso: piani di versamento, consegne, salvadanai, cioè il protocollo per cui l'app esiste. Ogni registrazione è concatenata alla precedente con una somma di controllo, così che modifiche a posteriori salterebbero all'occhio.

Delle persone invitate: se inviti qualcuno, memorizziamo il suo indirizzo e-mail finché l'invito viene accettato o scade. L'e-mail di invito dice chi ha invitato e rimanda a questa informativa. Chi non reagisce non sente più nulla da noi.

Tecnica: sessioni con denominazione dell'apparecchio, momenti dei tentativi di accesso e codici di accesso come somma di controllo. Lo stesso vale per il codice con cui confermi un ID Threema: memorizziamo solo la sua somma di controllo, più quanto tempo vale e quante volte è stato digitato sbagliato. Il tuo indirizzo IP non lo memorizziamo. Per difenderci dagli abusi contiamo i tentativi di accesso per indirizzo; in questo conteggio l'indirizzo sta solo come somma di controllo, e tutto il conteggio viene cancellato dopo 24 ore. I protocolli d'errore contengono momento, punto del programma interessato e numeri interni, nessun indirizzo e nessun nome.

Sul tuo apparecchio: oltre ai cookie elencati sotto, il tuo browser tiene i file dell'app in una memoria intermedia, così l'app parte veloce. I tuoi dati non ci stanno dentro.

Da dove vengono i dati

Quasi tutto lo inserisci tu stesso: il tuo conto, le indicazioni sul bambino, le registrazioni. Una piccola parte tecnica viene dal tuo apparecchio appena apri l'app, cioè la denominazione del tuo browser e i momenti dei tuoi accessi.

Due cose non vengono dalla persona di cui si tratta, e va detto:

Le indicazioni sul bambino le inserisce un genitore, non il bambino stesso. Il bambino ha sui suoi dati gli stessi diritti che hai tu sui tuoi, vedi sotto.

L'indirizzo di una persona invitata lo abbiamo da chi invita. Per questo l'e-mail di invito dice da dove abbiamo l'indirizzo, per quanto tempo lo teniamo, e rimanda a questa informativa. Chi non reagisce non sente più nulla da noi.

Altre fonti non ce ne sono. Non compriamo indirizzi, non integriamo nulla da elenchi o da reti sociali, e nessuno ci segnala qualcosa sul tuo conto.

Per cosa

Esclusivamente per far funzionare l'app: accesso, tenuta del protocollo e promemoria. Nessuna pubblicità, nessuna trasmissione, nessuna analisi per altri scopi.

Cookie

Impostiamo sette cookie, tutti tecnicamente necessari o attivati da te:

• `bb_session`: accesso, un anno, prolungato in modo scorrevole
• `bb_challenge`: lega il codice di accesso al tuo browser, dieci minuti
• `bb_csrf`: protezione contro l'abuso dei moduli, termina con il browser
• `bb_email`: ricorda il tuo indirizzo su questo apparecchio, solo se metti la spunta
• `lang`: ricorda la tua scelta di lingua su questo apparecchio, un anno
• `theme`: ricorda chiaro o scuro su questo apparecchio, un anno
• `palette`: porta la scelta di colori del tuo conto su questo apparecchio, un anno

Nessun tracciamento, nessuna misurazione dell'audience, nessun fornitore terzo, nessun carattere esterno. Per questo non ci serve nemmeno un banner di consenso.

Per quanto tempo

• Sessioni: fino alla scadenza, al massimo un anno senza utilizzo
• Tentativi di accesso: 24 ore
• Inviti: validi 14 giorni, rimossi 30 giorni dopo la scadenza
• Altri token: 30 giorni dopo la scadenza
• Messaggi inviati: 90 giorni
• Codici di recupero: 90 giorni dopo la cancellazione del conto
• ID Threema: finché disattivi Threema o cancelli il tuo conto
• ID Threema inserito ma mai confermato: 30 giorni dopo la scadenza del codice
• Protocolli tecnici (output di errori e cron): 14 giorni
• Registro dei nostri interventi (blocco, sblocco, consultazione): 3 anni
• Copie di sicurezza: stati giornalieri 7 giorni, stati mensili al massimo un anno; presso Hostpoint in aggiunta [termine secondo il pacchetto scelto]
• Conto: 30 giorni dopo l'ordine di cancellazione, poi anonimizzato
• Conto inutilizzato: cancellato dopo 24 mesi senza accesso e senza consegne registrate per i tuoi figli; ti avvisiamo prima due volte per e-mail, 30 e 5 giorni prima della cancellazione
• Bambino senza persone registrate: 90 giorni, poi cancellato
• Registrazioni: fino alla cancellazione del bambino

Promemoria

I promemoria arrivano per e-mail. Threema può aggiungersi, se abbiamo sbloccato il canale per il tuo conto; disattivarlo puoi farlo tu stesso in ogni momento.

Scegli tu, per ogni bambino, le occasioni che ti vengono segnalate: consegne in sospeso o registrate, compleanno, inizio della scuola e un giorno personale. Le occasioni scelte e i giorni che hai annotato vengono salvati con le tue impostazioni.

E-mail. Invio tramite i server di posta di Hostpoint in Svizzera. Le e-mail sono cifrate sul percorso di trasporto, se il server del destinatario lo supporta. Se la tua casella si trova presso un fornitore estero, il contenuto lascia inoltre la Svizzera. Su questo non abbiamo influenza. Il contenuto dei nostri promemoria è perciò volutamente essenziale: nome del bambino e data, nessun importo, nessun cognome, nessun saldo, nessuno storico.

Threema. Il canale non c'è di per sé. Lo sblocchiamo conto per conto; solo dopo compare sotto Conto → Promemoria via Threema.

Per attivarlo inserisci il tuo ID Threema. Chiediamo a Threema se questo ID esiste e gli mandiamo un codice di sei cifre. Il canale è attivo solo quando lo hai ridigitato. Questo giro ha una ragione: altrimenti qualcuno potrebbe inserire l'ID di un'altra persona, e il Threema di quella riceverebbe promemoria su bambini estranei.

Poi decidi tu presso ogni bambino cosa arriva per e-mail e cosa via Threema. All'inizio il promemoria di consegna è spuntato su entrambe le vie, là dove passava già per e-mail. Alle tue impostazioni e-mail non tocchiamo nulla.

L'invio passa dal Threema Gateway di Threema GmbH in Svizzera, con cifratura da punto a punto. Threema vede destinatario e momento, non il contenuto. Il messaggio stesso è scarno come l'e-mail: nome del bambino e data, nessun importo.

Se disattivi Threema, il tuo ID e tutte le spunte messe su Threema spariscono. Le impostazioni e-mail restano. Lo stesso vale se non lasciamo più sbloccato il canale per il tuo conto: il promemoria non sparisce, torna a passare per e-mail.

Anche se installi Batzenbank sul telefono, resta così: l'app non invia notifiche push e non accede a nulla sull'apparecchio. È un sito web che si apre come un'app.

I tuoi diritti

Accesso. Sotto Conto → I miei dati ottieni subito tutto ciò che è memorizzato come file, in un formato corrente che puoi riutilizzare anche altrove. Se preferisci chiedere per iscritto, rispondiamo entro 30 giorni e gratuitamente. In quel caso verifichiamo che la richiesta venga davvero da te.

Rettifica. I dati del conto e del bambino puoi modificarli da te in ogni momento. Le registrazioni non si possono riscrivere a posteriori, è il senso di un protocollo. Una registrazione sbagliata viene corretta con uno storno, ed entrambe restano visibili.

Contestazione. Se non sei d'accordo con una registrazione e non si riesce a chiarire chi ha ragione, puoi apporre tu stesso una nota alla registrazione che indica che è contestata. Scegli fra quattro motivi; un campo di testo libero non c'è, di proposito. La nota non cambia la registrazione, le si mette accanto. È visibile a tutte le persone coinvolte e rimane. Se la cosa si chiarisce più tardi, puoi contrassegnarla come chiarita; non sparisce, si aggiunge solo una riga.

Opposizione e revoca. Threema puoi disattivarlo tu stesso in ogni momento, anche se nel frattempo non abbiamo più lasciato sbloccato il canale. Puoi opporti al trattamento nel suo insieme; in pratica ciò equivale alla cancellazione del conto.

Cancellazione. Il tuo conto puoi cancellarlo in ogni momento. Dopo sei disconnesso ovunque e non ricevi più promemoria. Indirizzo e nome visualizzato restano per 30 giorni come periodo di riflessione; se in questo tempo accedi di nuovo, la cancellazione è annullata. Chi non vuole un periodo di riflessione può anche cancellare subito e definitivamente.

All'esecuzione rimuoviamo indirizzo e-mail, nome visualizzato, ID Threema, sessioni, impostazioni e messaggi inviati. Le registrazioni restano. Sono al tempo stesso il protocollo del bambino, sul quale un'altra persona fa affidamento; per genitori che vivono separati è proprio questo il senso. Come autore compare poi soltanto «Conto cancellato».

Con l'ultimo messaggio ricevi per ogni bambino un codice di recupero, valido 90 giorni. Con esso puoi rientrare presso un bambino; le altre persone coinvolte ne vengono informate. Da noi il codice è memorizzato senza legame con il tuo indirizzo.

Cancellare un bambino è possibile solo con il consenso di tutte le persone coinvolte e con 14 giorni di periodo di riflessione. Tutte vengono informate, ognuna può annullare fino all'esecuzione. Un genitore non deve poter distruggere da solo la verità comune. Dopo, tutto viene rimosso definitivamente: piani, registrazioni, salvadanai.

Se per un bambino non è più registrato nessuno, viene cancellato automaticamente 90 giorni dopo l'uscita dell'ultima persona.

Diritti del bambino. Il bambino ha gli stessi diritti sui suoi dati. Finché è piccolo, li esercitate voi come genitori. Un bambino abbastanza grande da capire la questione può anche rivolgersi direttamente a noi.

Dove questi diritti finiscono. Ci sono due limiti, ed entrambi hanno una ragione.

Le registrazioni non si possono riscrivere né cancellare una per una, nemmeno su richiesta. Sono al tempo stesso il protocollo del bambino, da cui un'altra persona dipende. Per questo ci sono lo storno e la nota che indica che una registrazione è contestata.

E possiamo limitare un'informazione quando vi si oppongono interessi preponderanti di altre persone (art. 26 LPD). Da noi questo vale esattamente una volta: se blocchiamo un conto per abuso e ti mandiamo l'informazione, gli indirizzi e i nomi visualizzati delle altre persone coinvolte ne sono tolti. Altrimenti proprio quell'informazione metterebbe recapiti altrui in mano a qualcuno. Tutto ciò che riguarda te stesso vi sta dentro per intero.

Procedure automatiche. Tre cose avvengono senza che una persona ci guardi: un conto viene cancellato dopo 24 mesi senza accesso, un bambino senza persone registrate 90 giorni dopo l'uscita dell'ultima, e chi richiede moltissimi codici di accesso di seguito deve aspettare fino all'ora successiva. Sono termini che scadono uguali per tutti, e non una valutazione della tua persona. La cancellazione del conto la annunciamo due volte, 30 e 5 giorni prima, e la eviti accedendo una sola volta.

Non prendiamo decisioni individuali automatizzate ai sensi dell'art. 21 LPD. Se malgrado ciò dovesse toccarti qualcosa deciso automaticamente, scrivici: allora se lo guarda una persona.

Reclamo. Se ritieni che non trattiamo i tuoi dati correttamente, scrivici prima a noi. Oltre a ciò puoi rivolgerti all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

Chi tratta

L'esercizio gira presso la Hostpoint AG, Rapperswil-Jona. Lì si trovano banca dati e file, e attraverso i loro server di posta escono i nostri messaggi. Hostpoint è responsabile del trattamento su mandato: può trattare i dati solo per l'esercizio dell'hosting, non per scopi propri. Ciò è regolato nell'accordo sul trattamento dei dati su mandato, che fa parte delle CG di Hostpoint. Hostpoint si riserva di visionare contenuti in caso di guasti, su ordine delle autorità o a campione.

Hostpoint può ricorrere a sub-responsabili per singole prestazioni. Cosa significhi questo per il luogo del trattamento sta nella prossima sezione.

I messaggi Threema passano per il Gateway della Threema GmbH in Svizzera, anch'essa responsabile del trattamento su mandato secondo le nostre istruzioni.

Le richieste sui tuoi dati le rivolgi a noi, non a Hostpoint. Hostpoint inoltra comunque tali richieste a noi.

Come ogni server web, anche quello di Hostpoint scrive protocolli di accesso con indirizzo IP completo, momento, indirizzo richiamato e identificativo del browser. Questi protocolli servono alla sicurezza dell'esercizio e alla ricerca degli errori. Vengono cancellati dopo [X giorni] e non vengono collegati al tuo conto.

Per il resto nessuno trasmette i dati. Nessuna analisi, nessuna pubblicità, nessuna trasmissione a terzi.

Se i dati vanno all'estero

Noi stessi non trasmettiamo dati all'estero. Banca dati, file e le nostre copie di sicurezza stanno in Svizzera, i server di posta stanno in Svizzera, e i messaggi Threema passano da un gateway svizzero.

Due strade portano comunque fuori. Nessuna delle due dipende da noi, e per questo stanno qui:

La tua casella di posta. Se il tuo indirizzo e-mail sta presso un fornitore estero, ogni messaggio diretto a te lascia la Svizzera nel momento in cui viene consegnato. Su questo non abbiamo influenza. Proprio per questo il contenuto dei nostri promemoria è tenuto così scarno. Se per te conta, prendi un indirizzo presso un fornitore svizzero.

I sub-responsabili di Hostpoint. Hostpoint può far intervenire terzi per singole prestazioni e deve informarci con 60 giorni di anticipo prima che qualcosa cambi. Se un giorno dovesse entrare in gioco un ente fuori dalla Svizzera, lo nomineremmo qui con il paese e con la base su cui poggia la trasmissione, e prima che valga. I 60 giorni servono esattamente a questo.

Che cosa vediamo noi stessi

Per la gestione esiste un'area amministrativa. Del tuo conto vi vediamo: l'indirizzo e-mail, se è attivo o bloccato, la lingua, quale tariffa vale e quindi se Threema è sbloccato per te, quando è stato creato, quando ti sei collegato l'ultima volta, quanti dispositivi sono collegati, se ci sono ancora inviti in sospeso, quanti bambini ne fanno parte e per quanti di loro non esiste ancora un piano di versamento. Inoltre un elenco degli ultimi messaggi a te destinati, con motivo, momento e l'indicazione se la consegna è riuscita.

Non sono visibili: i nomi dei bambini, gli importi, le registrazioni, i salvadanai, gli estratti conto, il contenuto dei messaggi e il tuo ID Threema. Noi sblocchiamo il canale, non vediamo per quale ID lo usi. Non possiamo nemmeno accedere al tuo posto. Se ti serve aiuto per una singola registrazione, non possiamo consultarla, possiamo solo spiegarti come correggerla tu stesso.

Ogni consultazione di un conto e ogni intervento vengono registrati: chi, quando, che cosa e per quale motivo. Conserviamo questo registro per tre anni. Se cancelli il tuo conto, la voce rimane, ma l'indirizzo che vi compare viene sostituito da un identificativo che non riconduce più a te.

Se blocchiamo un conto, ne vieni a conoscere il motivo non appena inserisci il prossimo codice di accesso.

In caso di blocco per abuso possiamo contemporaneamente contrassegnare il conto per la cancellazione. Ti inviamo allora per e-mail un rendiconto dei tuoi dati registrati, come file, così come avresti potuto scaricarlo tu stesso. Le indicazioni sulle altre persone coinvolte, il loro indirizzo e il loro nome visualizzato, ne sono rimosse, affinché il rendiconto non dia a nessuno i dati di contatto altrui. Il conto viene poi trattato come una richiesta di cancellazione e anonimizzato dopo 30 giorni. Poiché sei bloccato, non puoi fermare tu stesso questa cancellazione; le registrazioni restano come protocollo del bambino.

Da questo va distinto l'accesso tecnico al server. Chi lo possiede raggiunge la banca dati e quindi, in linea di principio, tutti i dati. Questo accesso ce l'ha una sola persona e serve alla gestione e alla ricerca degli errori, non a guardare dentro le singole famiglie.

Copie di sicurezza

Una volta al giorno viene creata una copia della banca dati e trasferita cifrata su un sistema privato in Svizzera (Canton Zurigo) che gestisco io stesso. Le copie di sicurezza servono solo a ripristinare l'esercizio dopo un guasto. Non vengono analizzate e non vengono usate per l'esercizio normale. Le copie giornaliere vengono sovrascritte dopo sette giorni, gli stati mensili dopo un anno.

In aggiunta, Hostpoint crea proprie copie di sicurezza dei suoi sistemi.

Se cancelli il tuo conto o un bambino, nell'app in esercizio è efficace subito. I dati cancellati possono però esistere ancora nelle copie di sicurezza di Hostpoint fino a [termine secondo il pacchetto scelto] e nelle nostre copie fino a un anno. Da lì non vengono ripristinati, salvo per rimediare a un guasto totale. Perché un ripristino non annulli la tua cancellazione, teniamo un giornale delle cancellazioni: ogni cancellazione viene annotata con il momento, e dopo il caricamento di una copia di sicurezza tutte le cancellazioni avvenute da allora vengono applicate di nuovo, prima che l'app venga riaperta.

Sicurezza

La connessione all'app è cifrata (TLS). Non memorizziamo password, perché non ce ne sono; codici di accesso e sessioni stanno da noi solo come somma di controllo. La banca dati non è raggiungibile dall'esterno. Le copie di sicurezza vengono trasferite cifrate [e archiviate]. L'accesso a server e copie di sicurezza ce l'ha una sola persona. La sicurezza assoluta non esiste; se succede qualcosa, informiamo le persone interessate. Se Hostpoint viene a conoscenza di una violazione della sicurezza dei dati, ce lo segnala, e noi ti informiamo se esiste un rischio per te o per il tuo bambino.

Se Batzenbank viene cessato

Se terminiamo l'esercizio, ti informiamo almeno 90 giorni prima per e-mail. In questo tempo puoi scaricare tutti i dati sotto Conto → I miei dati. Poi cancelliamo la banca dati presso Hostpoint e le nostre copie di sicurezza.

Modifiche

Se nel trattamento dei dati cambia qualcosa che ti riguarda, per esempio un nuovo canale di promemoria o un altro termine di conservazione, ti informiamo per e-mail prima che valga. Ciò vale anche se Hostpoint modifica le condizioni del trattamento su mandato in un modo che ti riguarda. Piccole correzioni al testo le facciamo senza annuncio. Vale la versione pubblicata su batzenbank.ch.

Questa informativa è scritta in tedesco. Le traduzioni devono renderla comprensibile, non modificarla. In caso di contraddizioni tra le versioni linguistiche fa fede il testo tedesco.