Informativa privacy

1. Titolare e responsabile del trattamento

Cronotime S.r.l. — sede: Via Bitritto, 112, 70124 Bari (BA), Italia — P. IVA 05566500723.

Il Responsabile della protezione dei dati (RPD/DPO) è Vito Chieti, presso Prospettive HiTech. È possibile contattarlo all'indirizzo email dpo.cronotime@prospettivehitech.com.

Korero è una piattaforma utilizzata da amministratori di condominio e dai loro assistenti, che decidono se attivarla per i condomìni gestiti e quali fornitori coinvolgere.

Per i dati relativi ai condomìni, ai condòmini, ai fornitori e alle segnalazioni, l'amministratore che attiva Korero determina le finalità e le regole del trattamento. In tale contesto, l'amministratore opera come titolare del trattamento e Cronotime S.r.l. tratta i dati per fornire, mantenere e migliorare il servizio, secondo le istruzioni del titolare, in qualità di responsabile del trattamento.

Cronotime non riutilizza dati identificabili delle segnalazioni per proprie finalità. Può utilizzare informazioni esclusivamente aggregate o anonimizzate per analizzare e migliorare il servizio.

Per i dati trattati per la gestione della piattaforma, degli account dei referenti del cliente, dell'assistenza tecnica e della sicurezza, Cronotime opera come titolare autonomo nei limiti delle finalità indicate in questa informativa. L'amministratore resta titolare autonomo per i trattamenti relativi alla gestione del condominio e delle segnalazioni.

2. Categorie di dati trattati

In relazione alle funzionalità attivate e alle informazioni inserite dagli utenti, Korero può trattare le seguenti categorie di dati.

Account, contatti e autenticazione

• username, indirizzo email, nominativo e numero di telefono dell'utente;
• stato dell'account e ruoli/autorizzazioni;
• dati tecnici di autenticazione e sicurezza, come hash delle password e dei token, sessioni, scadenze, revoche e registri degli eventi;
• dati relativi a notifiche operative, quali destinatario, modello, contenuto/payload e stato.

Il numero di telefono è trattato quando fornito o associato all'account per le funzionalità e le comunicazioni operative abilitate.

Profili dei membri e recapiti

• nome e cognome;
• codice fiscale;
• data e luogo di nascita, se inseriti;
• recapiti configurabili, come telefono o email, e indicazione del recapito principale;
• indirizzo, città, CAP, provincia, paese e tipologia dell'indirizzo.

Organizzazioni, condomìni e immobili

• dati identificativi e organizzativi di amministratori, condomìni e fornitori, quali denominazione, codice, tipologia, stato e dati di profilo;
• contatti dell'organizzazione, inclusi tipo, valore, etichetta, visibilità e indicazione del contatto principale;
• dati delle unità immobiliari, come codice, tipologia, piano e scala;
• dati degli spazi comuni, come nome, edificio, piano e descrizione;
• dati di impianti e beni condominiali, come tipologia, nome, numero seriale, produttore, modello, data di installazione e descrizione.

I profili organizzativi possono includere informazioni ulteriori inserite dagli utenti nei campi configurabili.

Segnalazioni e interventi

• autore della segnalazione e soggetti coinvolti nella sua gestione;
• titolo, descrizione e altri testi inseriti dagli utenti;
• categoria, stato, date ed eventuali motivazioni di annullamento o chiusura;
• riferimenti al condominio, all'unità immobiliare, allo spazio comune o all'impianto interessato;
• assegnazioni ai fornitori, cronologia delle assegnazioni, pianificazioni, note di completamento e rapportini.

I campi testuali e i contenuti allegati possono contenere dati personali inseriti dagli utenti, anche riferiti a terzi. Gli utenti sono invitati a fornire soltanto le informazioni pertinenti alla gestione della segnalazione.

Comunicazioni WhatsApp e contenuti multimediali

Se la funzionalità WhatsApp è attivata, Korero può trattare:

• numero WhatsApp e nome del profilo del mittente, se reso disponibile;
• testo dei messaggi, didascalie, tipo e identificativi dei messaggi;
• foto, documenti, note vocali e altri media inviati o ricevuti, insieme ai relativi metadati, quali tipo MIME, nome file, dimensione, identificativi e impronta tecnica;
• stati e orari di ricezione, invio e consegna, eventuali errori e dati tecnici contenuti nelle notifiche webhook;
• registrazioni degli accessi, delle anteprime, dei download, dell'elaborazione e delle cancellazioni dei media.

Messaggi, allegati e payload tecnici possono contenere informazioni personali ulteriori inserite o trasmesse dagli utenti.

Dati derivati da funzioni vocali o di intelligenza artificiale

Quando le funzioni AI vengono utilizzate, possono essere trattati la trascrizione di un messaggio vocale e i risultati dell'elaborazione automatica, come riepiloghi, categorie o informazioni proposte per la segnalazione. Le funzioni AI sono abilitate in Korero ma, alla data di aggiornamento dell'informativa, non sono ancora state utilizzate in produzione.

Dati di audit e tecnici

Korero registra identificativi degli utenti che creano o modificano dati, date delle operazioni, cronologie delle modifiche e identificativi tecnici di tracciamento. Possono inoltre essere trattati dati tecnici generati dall'utilizzo del servizio, quali indirizzi IP, data e ora delle richieste, identificativi di sessione, informazioni sul dispositivo e log dell'infrastruttura, nella misura necessaria alla sicurezza, al funzionamento e alla diagnosi del servizio.

3. Destinatari e fornitori

Nei limiti necessari alla gestione delle segnalazioni e all'erogazione di Korero, i dati possono essere comunicati o resi accessibili ai seguenti destinatari e fornitori:

• Amministratore del condominio da cui proviene la segnalazione, che riceve e gestisce le segnalazioni relative al condominio;
• Fornitore incaricato dall'amministratore, che riceve le informazioni e gli eventuali allegati pertinenti all'intervento assegnato;
• WhatsApp Ireland Limited e i soggetti Meta/WhatsApp coinvolti, per il recapito e la ricezione di messaggi, allegati e aggiornamenti di stato tramite WhatsApp Business Cloud API. I trattamenti e gli eventuali sub-responsabili sono disciplinati dai termini e dagli accordi WhatsApp applicabili;
• OpenAI Ireland Ltd. e i sub-responsabili indicati da OpenAI, quando vengono utilizzate le funzioni abilitate di trascrizione dei messaggi vocali o di elaborazione AI dei dati della segnalazione. Alla data di aggiornamento dell'informativa, queste funzioni sono attive ma non sono ancora state utilizzate in produzione; quando utilizzate, comportano la trasmissione a OpenAI dei contenuti necessari all'elaborazione, secondo i termini contrattuali e il DPA applicabili;
• OVHcloud, quale fornitore del server dedicato di produzione, del dominio cronoturni.it e del servizio email gestito tramite cPanel. Cronotime conferma che server, caselle e relay email e backup sono localizzati in Germania. Il servizio include 500 GB di backup, conservati per 30 giorni. OVHcloud può avvalersi di società affiliate e sub-responsabili secondo i termini contrattuali e il DPA applicabili; la documentazione e gli elenchi aggiornati sono disponibili nella pagina contratti OVHcloud;

La funzione di telefonia/VoIP non è attualmente attiva in Korero. Se sarà attivata, l'informativa sarà aggiornata per indicare l'operatore e i relativi trattamenti prima dell'avvio.

Il server dedicato e i servizi OVH indicati sono localizzati in Germania. Il server è stato descritto come dotato di protezione anti-DDoS, antivirus, firewall e disponibilità SLA del 99,95%, con backup incluso da 500 GB conservati per 30 giorni. Queste caratteristiche descrivono il servizio infrastrutturale dichiarato; non equivalgono a una certificazione di Korero né sostituiscono le misure di sicurezza gestite da Cronotime.

Gli amministratori e i fornitori incaricati accedono alle segnalazioni in ragione dei rispettivi compiti. I fornitori ricevono soltanto le informazioni pertinenti all'intervento assegnato. I trattamenti affidati a Meta/WhatsApp e OpenAI e gli eventuali trasferimenti internazionali sono regolati dai rispettivi termini contrattuali e accordi sul trattamento dei dati. Gli elenchi aggiornati dei sub-responsabili sono disponibili nelle pagine di WhatsApp e OpenAI.

4. Finalità e basi giuridiche

Trattamenti svolti per conto dell'amministratore

L'amministratore che attiva Korero determina le finalità e le regole applicabili ai dati dei condomìni, dei condòmini, dei fornitori e delle segnalazioni. In qualità di responsabile, Cronotime tratta tali dati su istruzioni dell'amministratore per:

• registrare, ricevere, classificare e gestire le segnalazioni di guasto o servizio;
• associare le segnalazioni al condominio, all'unità, allo spazio comune o all'impianto pertinente;
• assegnare e rendere disponibili le informazioni necessarie all'amministratore e al fornitore incaricato;
• gestire gli aggiornamenti, le comunicazioni operative, gli interventi e la relativa chiusura;
• ricevere e associare alla segnalazione messaggi, fotografie, documenti e note vocali inviati tramite i canali attivati;
• trascrivere i messaggi vocali e produrre proposte di riepilogo o classificazione con strumenti di intelligenza artificiale, quando tali funzioni vengono utilizzate. Le proposte sono sottoposte a verifica umana e non determinano da sole decisioni con effetti giuridici o analogamente significativi sull'interessato.

Per questi trattamenti, la base giuridica relativa agli interessati dei condomìni è individuata dall'amministratore, quale titolare del trattamento. Cronotime opera secondo le istruzioni documentate e l'accordo sul trattamento dei dati stipulato con il titolare.

Trattamenti svolti da Cronotime per proprie finalità

Per i trattamenti in cui Cronotime opera come titolare autonomo, le finalità e le basi giuridiche sono le seguenti, da coordinare con i contratti e con le diverse categorie di utenti:

Korero invia comunicazioni di servizio e aggiornamenti necessari al funzionamento o alla gestione delle segnalazioni. Cronotime non invia comunicazioni promozionali agli utenti nell'ambito descritto in questa informativa.

I trattamenti necessari alla fornitura del servizio non sono fondati automaticamente sul consenso. Eventuali trattamenti facoltativi che richiedessero il consenso saranno presentati separatamente, con una richiesta specifica e revocabile, prima della loro attivazione.

Per le basi giuridiche si vedano l'articolo 6 del Regolamento (UE) 2016/679 e i principi fondamentali illustrati dal Garante per la protezione dei dati personali. La base relativa ai dati trattati per conto dell'amministratore deve essere determinata dal singolo amministratore titolare.

5. Trasferimenti di dati fuori dallo Spazio economico europeo

Cronotime conferma che il server OVHcloud di Korero, il servizio email gestito tramite cPanel e i backup sono localizzati in Germania. I backup inclusi sono conservati per 30 giorni. Eventuali accessi da parte di società affiliate o sub-responsabili OVHcloud sono disciplinati dai termini contrattuali e dal DPA applicabili, consultabili nella pagina contratti OVHcloud.

L'utilizzo di WhatsApp Business Cloud API può comportare il trasferimento di dati europei a società Meta negli Stati Uniti e ad altri subfornitori. Le condizioni di WhatsApp prevedono l'impiego, a seconda dei soggetti e dei trasferimenti interessati, di strumenti riconosciuti dalla normativa, tra cui il Data Privacy Framework o le clausole contrattuali standard. WhatsApp Business Data Transfer Addendum

Quando sono utilizzate le funzioni AI, i dati necessari all'elaborazione sono trasmessi a OpenAI. I termini di trattamento di OpenAI prevedono che i dati europei siano trattati da OpenAI Ireland e contemplano possibili trasferimenti successivi fuori dallo Spazio economico europeo sulla base di garanzie adeguate, quali clausole contrattuali standard o decisioni di adeguatezza. L'integrazione Korero utilizza l'endpoint API standard e non risulta configurata per limitare l'elaborazione esclusivamente a una regione europea. OpenAI Data Processing Addendum

Per i trasferimenti descritti, Cronotime e l'amministratore, ciascuno per i trattamenti di propria competenza, si avvalgono delle garanzie e degli accordi contrattuali applicabili ai servizi utilizzati. Meta/WhatsApp e OpenAI aggiornano i rispettivi elenchi dei sub-responsabili nelle pagine collegate sopra; eventuali trasferimenti successivi sono disciplinati dai relativi accordi e dalle garanzie di trasferimento previste.

Cronotime conferma che le caselle e il relay email OVH sono localizzati in Germania. La funzione VoIP non è attualmente attiva in Korero; i relativi trasferimenti saranno valutati prima della sua eventuale attivazione.

6. Periodi di conservazione e cancellazione

I dati sono conservati per il tempo necessario alle finalità per cui sono trattati, tenendo conto degli eventuali obblighi di legge. Per le categorie applicative indicate in tabella si applicano i termini di conservazione e anonimizzazione definiti da Cronotime; per i media WhatsApp si applica il periodo stabilito nel contratto con ciascun amministratore.

I processi di conservazione, cancellazione e anonimizzazione descritti per le categorie applicative indicate in tabella sono automatizzati. Al termine dei 12 mesi i dati personali sono anonimizzati. I media WhatsApp seguono invece il periodo specifico indicato in tabella: alla scadenza il file viene eliminato e i metadati identificativi vengono anonimizzati. I backup OVHcloud sono sovrascritti o eliminati secondo il ciclo di conservazione di 30 giorni. I dati da conservare per obblighi di legge sono mantenuti per il periodo previsto dalla normativa applicabile. I record e i collegamenti storici possono restare conservati solo in forma anonima, salvo tali obblighi o la necessità di gestire uno specifico contenzioso.

La disattivazione di un account e la scadenza di una sessione sono operazioni distinte dalla cancellazione o anonimizzazione dei dati storici collegati. I dati personali eventualmente conservati oltre i periodi indicati sono limitati agli obblighi di legge o alle specifiche esigenze di tutela dei diritti.

7. Diritti delle persone e modalità per esercitarli

Le persone interessate possono esercitare, nei casi e nei limiti previsti dalla normativa, il diritto di ottenere conferma che siano trattati dati personali che le riguardano e di accedervi; chiedere la rettifica o l'aggiornamento dei dati inesatti o incompleti; chiedere la cancellazione o la limitazione del trattamento; opporsi al trattamento; e ottenere la portabilità dei dati quando ne ricorrono i presupposti. Se un trattamento si basa sul consenso, questo può essere revocato in qualsiasi momento, senza pregiudicare la liceità del trattamento svolto prima della revoca.

Per i dati relativi a un condominio, a un condomino, a un fornitore o a una segnalazione, la richiesta deve essere inviata direttamente all'amministratore del condominio, tramite la piattaforma Korero. L'amministratore, quale titolare di quei trattamenti, gestisce la richiesta; Cronotime fornisce l'assistenza tecnica necessaria.

Per i trattamenti per i quali Cronotime opera come titolare autonomo, l'interessato può scrivere a Cronotime S.r.l., Via Bitritto, 112, 70124 Bari (BA), Italia, all'indirizzo email segnalazioni@cronotime.it oppure all'indirizzo PEC cronotime@pec.it.

Per questioni relative alla protezione dei dati personali, l'interessato può inoltre contattare il RPD/DPO, Vito Chieti (Prospettive HiTech), all'indirizzo dpo.cronotime@prospettivehitech.com.

Il titolare fornisce riscontro senza ingiustificato ritardo e, di norma, entro un mese dal ricevimento della richiesta. In caso di richieste complesse o numerose, il termine può essere prorogato nei limiti previsti dalla normativa, informando l'interessato e spiegando i motivi della proroga. Se ritiene che il trattamento dei propri dati violi la normativa, l'interessato può inoltre proporre reclamo al Garante per la protezione dei dati personali.

8. Cookie e tecnologie analoghe

Korero utilizza cookie proprietari necessari alle funzioni richieste dall'utente e alla gestione delle preferenze:

I cookie di autenticazione sono impostati come HttpOnly e SameSite=Lax; in produzione sono impostati anche come Secure. Il cookie della lingua è un cookie funzionale di prima parte. Nel codice frontend esaminato non risultano integrati strumenti di analytics, pubblicità o tracciamento di terze parti e non sono emersi altri cookie applicativi.

9. Misure di sicurezza

Cronotime adotta misure tecniche e organizzative proporzionate ai dati trattati e ai rischi del servizio. Le misure applicative riscontrate nel codice comprendono la memorizzazione delle password mediante hash Argon2id, la conservazione degli hash dei token di rinnovo, controlli di autenticazione e autorizzazione e la verifica della firma dei webhook WhatsApp. I cookie di autenticazione sono configurati con gli attributi HttpOnly e SameSite=Lax e, in produzione, Secure.

Per gli allegati WhatsApp è attivo un controllo antivirus prima dell'accettazione o dell'invio del file. Se lo scanner non approva il file, non è disponibile o supera il tempo massimo, l'operazione viene rifiutata.

L'infrastruttura è ospitata da OVHcloud in Germania e, secondo le informazioni fornite da Cronotime, include firewall, antivirus e protezione anti-DDoS. I backup, anch'essi localizzati in Germania, sono conservati per 30 giorni; Cronotime effettua manualmente una verifica di ripristino dei backup con cadenza mensile.

I dati conservati sul server, nei file e nei backup non sono cifrati a riposo. Il registro degli accessi è trasmesso via email al Responsabile della protezione dei dati (RPD/DPO).

In caso di sospetto incidente di sicurezza, la segnalazione può essere inviata a segnalazioni@cronotime.it; il registro degli accessi è trasmesso via email al RPD/DPO. Cronotime assegna un identificativo all'evento, ne registra tempi e informazioni disponibili, conserva le evidenze pertinenti e adotta misure di contenimento proporzionate, come la revoca di sessioni o credenziali e la limitazione o l'isolamento degli accessi interessati. Gli incidenti sono valutati per determinare se abbiano coinvolto dati personali e per documentarne natura, impatto, decisioni e azioni correttive, anche quando non ricorrono i presupposti per una notifica.

Quando l'incidente riguarda dati trattati per conto di un amministratore, Cronotime informa senza ingiustificato ritardo l'amministratore interessato e gli fornisce gli elementi disponibili, aggiornandolo quando emergono ulteriori informazioni. Come obiettivo operativo, Cronotime mira a inviare una prima comunicazione entro 24 ore dalla conferma di una violazione che coinvolge i dati del condominio, senza attendere la conclusione dell'analisi. L'amministratore, quale titolare, valuta e decide se notificare la violazione al Garante, ove possibile entro 72 ore dalla conoscenza quando sussiste un rischio per i diritti e le libertà delle persone, e se comunicarla agli interessati in caso di rischio elevato. Cronotime assiste l'amministratore e documenta le violazioni e le misure adottate. Per i trattamenti di cui Cronotime è titolare autonomo, le valutazioni e gli eventuali adempimenti sono svolti da Cronotime. Il RPD/DPO fornisce supporto e consulenza; la decisione e gli adempimenti restano in capo al titolare competente.

10. Aggiornamenti dell'informativa

Questa informativa sarà aggiornata quando cambieranno in modo rilevante i trattamenti, le funzionalità di Korero, i fornitori coinvolti o le prescrizioni applicabili. In ogni versione saranno indicati la data di aggiornamento e, quando opportuno, i principali cambiamenti.

La versione vigente sarà resa disponibile nella pagina pubblica /privacy. Per le modifiche che incidono in modo sostanziale sulle persone interessate, Cronotime e l'amministratore, ciascuno per i trattamenti di propria competenza, informeranno gli interessati tramite email prima che le nuove modalità diventino applicabili, quando richiesto dalla normativa. Per i trattamenti relativi ai condomìni, l'amministratore coordinerà l'invio agli interessati usando i recapiti disponibili e le regole concordate con Cronotime. Per informazioni sugli aggiornamenti o per contattare Cronotime è disponibile l'indirizzo segnalazioni@cronotime.it; resta inoltre disponibile la PEC cronotime@pec.it.