Dossalis › Privacy
Informativa sulla privacy
Ultimo aggiornamento: 20 settembre 2026
Quali dati trattiamo, su quale base giuridica, per quanto tempo e chi altro li vede. Niente clausole copiate: solo quello che succede davvero in Dossalis.
Scritta per rispettare il Regolamento (UE) 2016/679 e la Ley Orgánica 3/2018 (la legge organica spagnola sulla protezione dei dati), e per essere capita alla prima lettura.
1. Due ruoli diversi, da non confondere
Dossalis tratta dati in due situazioni che la legge tiene separate, e di cui risponde in modo diverso:
- Come titolare del trattamento, per i tuoi dati se visiti questo sito, fai il test o chiedi informazioni, e per i dati del tuo account nel pannello: la registrazione, le persone che accedono e il registro degli accessi. Lì decidiamo noi cosa farne, e questa informativa li copre.
- Come responsabile del trattamento, per i dati che un cliente inserisce nel suo pannello — i contatti dei suoi fornitori, il personale che esegue le verifiche. Quei dati restano dell'azienda cliente: noi li trattiamo solo per suo conto e secondo le sue istruzioni, in base all'accordo sul trattamento dei dati previsto dall'articolo 28 del Regolamento, che fa parte delle condizioni del servizio e si accetta al momento di creare l'account. Se sei un dipendente o un fornitore di un nostro cliente e vuoi esercitare un diritto, devi rivolgerti a quell'azienda, non a noi; noi la assistiamo.
2. Chi tratta i tuoi dati
| Titolare del trattamento | Oscar Escanez Abad |
|---|---|
| NIF (numero fiscale spagnolo) | 23302634T |
| Sede legale | Calle Trece de Septiembre, n.º 10, 1.º, 30310 Cartagena (Murcia), España |
| Email per la privacy | info@dossalis.com |
Non siamo tenuti a nominare un responsabile della protezione dei dati (DPO). Se questo cambia, pubblicheremo qui i suoi recapiti.
3. Cosa trattiamo, esattamente
| Cosa | Per cosa | Base giuridica | Per quanto tempo |
|---|---|---|---|
| Nome, email, telefono se lo fornisci, azienda e attività | Rispondere alla tua domanda o richiesta | Il tuo consenso quando invii il modulo | 1 anno dall'ultimo contatto |
| Risposte del test ed email | Inviarti il risultato e, se lo selezioni, l'email settimanale | Il tuo consenso, che puoi revocare con un clic | Finché non lo revochi; al massimo 2 anni senza interazione |
| Account: nome dell'esercizio, email, attività, comunità autonoma (la regione spagnola) e se importi | Registrarti e fornirti il servizio, gratuito o a pagamento | Esecuzione del contratto | Finché l'account è aperto. Una registrazione che nessuno conferma viene cancellata dopo 7 giorni; un account chiuso, dopo 30; un account gratuito a cui nessuno accede per 24 mesi viene chiuso dopo un preavviso via email di 30 giorni |
| Persone che accedono al pannello: email, nome se lo fornisci, permesso e data dell'ultimo accesso | Che ogni persona abbia il proprio accesso e poterglielo revocare | Esecuzione del contratto | Finché ha accesso; si cancella insieme all'account |
| Se accedi con Google: l'identificativo che Google assegna al tuo account, la tua email verificata e il tuo nome | Accedere senza password | Esecuzione del contratto, su tua richiesta quando premi «Accedi con Google» | Finché l'account è aperto |
| Dati della tua azienda, prodotti, fornitori, verifiche e documenti giustificativi | Fornire il servizio (qui agiamo come responsabile del trattamento per conto del cliente) | Esecuzione del contratto | Finché l'account è aperto; alla chiusura, 30 giorni e poi vengono cancellati. Con «Scarica tutto» puoi portarli via prima |
| Attestazioni di verifica: nome dell'esercizio, data, tipo e impronta digitale (hash) del documento | Permettere a chi riceve un'attestazione di controllarla con il suo codice sul sito | Esecuzione del contratto, su richiesta del cliente che la emette | Finché l'account è aperto. La pagina di controllo mostra solo questi quattro dati e solo a chi ha il codice |
| Registro delle attività: cosa è stato fatto, quando e da quale rete (troncata) | Sicurezza e poter dimostrare cosa è stato controllato e quando | Legittimo interesse alla sicurezza e alla prova del servizio | Si conserva concatenato, perché cancellare una riga romperebbe la prova di tutte le altre. Non conserva il contenuto del fascicolo e, una volta cancellato l'account, non è più collegato a nomi o email |
| Fatturazione | Adempiere agli obblighi fiscali e contabili | Obbligo legale | 6 anni (art. 30 del Código de Comercio, il codice di commercio spagnolo) |
| Dati tecnici dell'invio: rete di provenienza, data e ora, browser | Fermare lo spam e l'abuso dei moduli | Legittimo interesse a mantenere attivo il servizio | Vengono ruotati e cancellati automaticamente |
| Copie di sicurezza (backup) | Ripristinare il servizio se il server si guasta | Legittimo interesse e obbligo di sicurezza dell'articolo 32 | 60 giorni. Ciò che viene cancellato sparisce dalle copie entro questo termine; i documenti giustificativi cancellati, il giorno dopo |
Un dettaglio di cui quasi nessuno parla, e che qui raccontiamo: del tuo indirizzo IP non conserviamo l'indirizzo completo. Viene troncato alla rete prima di essere scritto — i primi tre gruppi in IPv4 — perché per distinguere un bot da un cliente basta questo, e così non conserviamo un dato che ti identifica.
4. Cosa non facciamo
- Non ti tracciamo. Questo sito non installa alcun cookie, non usa l'archiviazione locale del browser e non contiene strumenti di analisi: né Google Analytics, né pixel pubblicitari, né pulsanti dei social network. Il pannello usa solo i cookie tecnici indispensabili per mantenere la tua sessione e quello che ricorda la lingua che scegli; sono tutti nell'informativa sui cookie.
- Non carichiamo nulla dall'esterno. I caratteri tipografici e le immagini sono serviti dal nostro server, quindi aprire questo sito non genera nemmeno una richiesta verso un dominio esterno. Il tuo IP non esce da qui.
- Non vendiamo né cediamo i tuoi dati a nessuno, nemmeno in forma aggregata.
- Non facciamo profilazione né prendiamo decisioni automatizzate con effetti giuridici. Il test e il pannello calcolano un risultato a partire da ciò che inserisci tu; è indicativo e non concede né nega nulla.
- Non inviamo email a freddo né facciamo telefonate commerciali. Scriviamo solo a chi ce lo ha chiesto, e ogni email promozionale contiene il suo link per disiscriversi. Le email del pannello (link di accesso, avvisi di scadenza e novità normative nei piani a pagamento) fanno parte del servizio e arrivano solo a chi ha un account.
5. Con chi condividiamo i dati, e perché
Solo con chi serve perché il servizio funzioni:
- Hosting del sito e del pannello, nello Spazio economico europeo, come nostro responsabile del trattamento.
- Posta in uscita, nello Spazio economico europeo, come nostro responsabile del trattamento, per inviarti i link di accesso, gli avvisi, il risultato del test e l'email settimanale.
- Gateway di pagamento (Stripe), solo se passi a un piano a pagamento: tratta direttamente i dati della carta, noi non arriviamo mai a vederli, e lo fa come titolare del trattamento secondo la propria informativa sulla privacy, che include le sue garanzie per i trasferimenti al di fuori dello Spazio economico europeo.
- Google, solo se scegli «Accedi con Google»: Google ti identifica sulla sua pagina e ci restituisce il tuo identificativo, la tua email verificata e il tuo nome. Ciò che accade sulla sua pagina è regolato dalla sua informativa. Se non premi quel pulsante, il pannello non comunica nulla a Google: nemmeno il suo logo viene caricato dai suoi server.
Se un giorno cambiamo fornitore o ne aggiungiamo uno nuovo, questo elenco viene aggiornato prima.
6. Dati sanitari: cosa il pannello non conserva
Dossalis documenta prodotti e fornitori, non pazienti. Il pannello non ha schede paziente, né campi per la diagnosi, né cartelle cliniche, e non è progettato per trattare dati sanitari. Una registrazione di reclamo annota che c'è stato un problema con un codice di riferimento e un lotto, non a chi è stato applicato il prodotto.
Ti chiediamo di mantenerlo così: non scrivere dati sanitari né dati che identificano pazienti nei campi di testo libero. Se comunque comparissero, resterebbero sotto la responsabilità dell'azienda cliente, e noi li tratteremmo come responsabile del trattamento con lo stesso obbligo di riservatezza — ma la cosa sensata è che non entrino affatto.
7. Sicurezza: cosa facciamo e cosa non ancora
Cosa facciamo oggi: la connessione viaggia cifrata (HTTPS); i dati dei moduli vengono salvati fuori dalla cartella pubblica del server, dove il browser non arriva; il sito usa intestazioni di sicurezza che impediscono l'esecuzione di codice di un altro dominio o l'inserimento del sito in una pagina altrui; ci sono limiti per indirizzo e un freno globale perché nessuno possa inondare o mandare in tilt il modulo; i fascicoli generati dal pannello vengono sigillati con la loro impronta SHA-256 e la loro data, in modo che una modifica successiva si possa rilevare.
Nel pannello: nessuna password per i clienti (si accede con Google o con un link monouso che scade dopo quindici minuti); secondo fattore di autenticazione obbligatorio per gli account di amministrazione; ogni persona con il proprio accesso, che il titolare dell'account revoca all'istante; protezione contro la falsificazione delle richieste in tutti i moduli; registro delle attività concatenato tramite impronta SHA-256; backup giornaliero del database e dei documenti giustificativi, verificato al momento della creazione.
Cosa non ancora: non abbiamo la certificazione ISO 27001 né uno schema equivalente, e non diremo di averla finché non l'avremo. I backup si trovano ancora sullo stesso server e non sono cifrati separatamente; quando verranno spostati altrove, lo scriveremo qui con la data.
8. I tuoi diritti
Puoi chiederci, quando vuoi e senza costi, di accedere ai tuoi dati, rettificarli, cancellarli, limitarne il trattamento, opporti al trattamento e ricevere una copia in un formato che puoi portare con te. Se hai un account, due di questi li hai a un clic nel pannello, in «Il mio piano»: Scarica tutto (una copia completa in ZIP) e Chiudi il mio account (viene cancellato dopo 30 giorni). Puoi anche revocare il consenso che hai dato, senza che questo incida su quanto fatto prima.
Scrivi a info@dossalis.com indicando quale diritto vuoi esercitare. Rispondiamo entro un mese al massimo. Se non ti rispondiamo, o la risposta non ti convince, puoi presentare reclamo all'Agencia Española de Protección de Datos, l'autorità spagnola per la protezione dei dati (aepd.es), senza costi e senza avvocato. Se vivi in un altro Paese dell'Unione europea, puoi anche presentare reclamo all'autorità di protezione dei dati del tuo Paese (in Italia, il Garante per la protezione dei dati personali).
9. Minori e modifiche
Il servizio è rivolto ad aziende e professionisti. Non è pensato per i minori di quattordici anni e non raccogliamo consapevolmente dati di persone di quell'età.
Se cambiamo qualcosa di rilevante, ti avvisiamo via email prima che entri in vigore. La data nell'intestazione indica sempre la versione in vigore.