Política de privacidad de DutyTask

DutyTask es un servicio ofrecido por:

GR SOLUZIONI DI GIUSEPPE RICCIO Empresa individual NIF-IVA: 11121011214 REA: NA-1156478 Email: hello@dutytask.com

En lo sucesivo, «DutyTask», «nosotros» o el «titular del tratamiento» designan a GR SOLUZIONI DI GIUSEPPE RICCIO.

La presente Política de privacidad describe el tratamiento de datos personales efectuado a través del sitio web y la aplicación DutyTask.

Se aplica a los visitantes del sitio, a los titulares y administradores de las empresas registradas, a los empleados y a los demás usuarios autorizados a utilizar el servicio, así como a las personas que contactan con DutyTask para asistencia, información comercial u otras solicitudes.

DutyTask está diseñado principalmente para un uso profesional y empresarial.

Respecto de los datos relativos al registro de cuentas, a la relación comercial, a la facturación, a la seguridad del servicio, a la asistencia y a la administración de la plataforma, GR SOLUZIONI DI GIUSEPPE RICCIO actúa generalmente como titular del tratamiento.

Cuando una empresa utiliza DutyTask para gestionar datos relativos a sus empleados, colaboradores, tareas operativas, archivos adjuntos e historial correspondiente, la empresa cliente determina generalmente las finalidades del tratamiento y actúa como titular del tratamiento, mientras que DutyTask trata dicha información por su cuenta en calidad de encargado del tratamiento.

El tratamiento efectuado por DutyTask por cuenta de las empresas clientes debe regirse por un acuerdo conforme al art. 28 GDPR.

La empresa cliente sigue siendo responsable de la licitud de los datos introducidos en DutyTask y de informar a sus propios empleados y colaboradores.

DutyTask puede tratar las siguientes categorías de datos.

Datos de la cuenta e identificadores: nombre, apellidos, correo electrónico, rol, organización y credenciales técnicas de autenticación.

Datos empresariales: denominación de la organización, sector, país, ajustes, plan suscrito, áreas operativas y usuarios invitados.

Datos operativos: títulos y contenidos de las tareas, fechas de vencimiento, asignaciones, recurrencias, prioridades, estados, problemas notificados y soluciones, notas, personas involucradas, fecha y hora de las operaciones.

Archivos adjuntos: ficheros, imágenes o fotografías cargados por los usuarios en relación con las tareas.

Historial operativo: información sobre quién realizó una acción y cuándo.

Datos técnicos: dirección IP, datos de sesión, información del navegador o del dispositivo, registros técnicos e información necesaria para la seguridad y el funcionamiento del servicio.

Datos de notificaciones: identificadores técnicos necesarios para enviar notificaciones push cuando el usuario habilita esta función.

Datos comerciales y de pago: plan suscrito, estado de la suscripción, identificadores Stripe, datos de facturación e información fiscal que sea necesaria.

Comunicaciones: datos contenidos en las solicitudes de asistencia u otros contactos.

DutyTask está diseñado para conservar un historial del trabajo realizado dentro de la organización.

Los usuarios ordinarios no pueden reescribir ni suprimir arbitrariamente los eventos del historial a través de las funciones normales del producto. Ello permite al cliente reconstruir lo ocurrido.

Conservar un historial no significa que los datos se almacenen de forma indefinida. La conservación se rige por la sección dedicada de la presente información.

Los responsables pueden utilizar el dictado para crear tareas mediante la voz.

Cuando se utiliza esta función, el audio se envía al servicio de inteligencia artificial utilizado por DutyTask para transcribir e interpretar la solicitud.

La IA puede proponer, por ejemplo, el título, el asignatario, la hora de vencimiento, una recurrencia o un requisito de archivo adjunto.

DutyTask no conserva la grabación de audio después del tratamiento.

La propuesta de la IA se muestra al responsable, quien puede revisarla antes de que se cree la tarea.

DutyTask puede utilizar sistemas de inteligencia artificial para generar un resumen operativo destinado a los responsables.

Para generar el Daily AI Brief se envía al proveedor de IA información relativa a las tareas y a sus estados, en la medida necesaria para el resumen.

El servicio utilizado actualmente para estas funciones es OpenAI.

OpenAI pone a disposición un Data Processing Addendum para servicios empresariales y de desarrolladores y declara que actúa como encargado del tratamiento de los Customer Data tratados por cuenta del cliente; los datos empresariales/API no se utilizan para entrenar los modelos de forma predeterminada.

Cuando el estudio archiva un fichero del módulo Clientes, DutyTask puede enviar a OpenAI el documento (fichero PDF o imagen, y un extracto de texto cuando esté disponible) para generar un título, un resumen y palabras clave de búsqueda. Los ficheros que quedan solo en el chat no se envían. DutyTask no utiliza un asistente conversacional sobre los mensajes del chat Clientes.

DutyTask no utiliza las funciones de IA para adoptar decisiones exclusivamente automatizadas que produzcan efectos jurídicos o análogamente significativos sobre los usuarios.

Los datos se tratan para:

• crear y gestionar cuentas y organizaciones;
• autenticar a los usuarios;
• prestar las funciones operativas de DutyTask;
• gestionar tareas, recurrencias, archivos adjuntos, notificaciones, informes e historial;
• prestar las funciones de dictado e IA solicitadas;
• gestionar la prueba gratuita, las suscripciones y los pagos;
• prestar asistencia;
• proteger las cuentas, los datos y la infraestructura;
• prevenir abusos, fraudes y accesos no autorizados;
• cumplir obligaciones administrativas, fiscales, contables y legales;
• formular, ejercer o defender derechos.

Según el caso, el tratamiento se basa en la ejecución de un contrato o de medidas precontractuales, en el cumplimiento de obligaciones legales o en el interés legítimo relativo a la seguridad y al correcto funcionamiento del servicio.

Los datos necesarios para crear la cuenta y prestar DutyTask son precisos para utilizar el servicio.

La falta de facilitación puede impedir el registro o el uso de algunas funciones.

Las funciones que requieren permisos del dispositivo, como el micrófono o las notificaciones push, siguen siendo facultativas.

DutyTask utiliza actualmente estos proveedores técnicos principales:

Supabase

Autenticación, base de datos y almacenamiento de ficheros.

El proyecto principal DutyTask está configurado en West EU (Ireland), eu-west-1. Supabase confirma que la región elegida determina la localización primaria de los datos del proyecto.

Vercel

Alojamiento y distribución de la aplicación.

Resend

Correo electrónico transaccional: confirmación de registro, credenciales de acceso y recuperación de contraseña, desde noreply@dutytask.com. El envío está configurado en Ireland (eu-west-1). Resend es un proveedor extra-EEE y pone a disposición su propio DPA. El inicio de sesión y los tokens permanecen en Supabase Auth.

Notificaciones push

Las notificaciones en el dispositivo utilizan el protocolo Web Push (VAPID) hacia el navegador del usuario. No se trata de un servicio de correo electrónico.

OpenAI

Transcripción del dictado, generación del Daily AI Brief e indexación de los ficheros Clientes archivados por el estudio.

Stripe

Pagos y suscripciones.

Stripe puede actuar, según el tratamiento, como encargado del tratamiento o como titular autónomo y pone a disposición su propio Data Processing Agreement.

La lista de proveedores puede actualizarse si cambia la arquitectura técnica del servicio.

Los pagos de las suscripciones DutyTask se gestionan a través de Stripe.

DutyTask no recaba ni almacena los datos completos de las tarjetas de pago.

Stripe puede tratar, entre otras informaciones, el nombre, el correo electrónico, la dirección de facturación, identificadores fiscales, datos relativos al pago y datos del método de pago necesarios para la transacción.

DutyTask conserva la información necesaria para conocer el plan suscrito, el estado de la suscripción y los identificadores técnicos requeridos para la integración con Stripe.

La base de datos primaria de DutyTask está alojada en Ireland, en la Unión Europea.

Algunos proveedores utilizados por DutyTask son, no obstante, organizaciones internacionales y pueden tratar datos fuera del Espacio Económico Europeo.

Cuando sea necesario, dichas transferencias se rigen por los mecanismos previstos por la normativa aplicable, incluidos el Data Privacy Framework, las decisiones de adecuación y las Cláusulas Contractuales Tipo.

Vercel, por ejemplo, prevé en su DPA el uso de las SCC 2021 para las transferencias sujetas a dichas cláusulas. Stripe utiliza DPF y SCC según las condiciones aplicables. Supabase utiliza SCC y otros mecanismos de su DPA para las transferencias extra-EEE. Resend pone a disposición un DPA y salvaguardias de transferencia para su cuenta y registros, mientras que el envío transaccional de DutyTask está configurado en Ireland.

Mientras una suscripción está activa, los datos de la organización se conservan para prestar DutyTask.

Tras la baja

Cuando el Cliente da de baja la suscripción, DutyTask conserva los datos operativos de la organización durante un máximo de 6 meses después de la finalización del servicio.

Esta conservación tiene por objeto que el Cliente pueda reactivar DutyTask dentro de ese plazo y encontrar las tareas, usuarios e historial que existían anteriormente.

Transcurridos 6 meses, los datos operativos de la organización se suprimen, salvo la información que DutyTask deba conservar más tiempo por obligaciones legales, administrativas, fiscales, contables o para la tutela de sus derechos.

Supresión anticipada a petición

El titular de la organización o una persona debidamente autorizada puede solicitar la supresión anticipada sin esperar los 6 meses escribiendo a:

hello@dutytask.com

DutyTask podrá efectuar comprobaciones razonables sobre la identidad y los poderes del solicitante antes de proceder.

Una vez ejecutada la supresión definitiva, la organización y su historial operativo no podrán recuperarse.

Quedan excluidos de la supresión los datos que deban conservarse por ley o para la tutela de derechos en un procedimiento judicial.

El GDPR reconoce el derecho de supresión cuando concurren los presupuestos y regula específicamente la devolución o supresión de los datos en las relaciones con los encargados del tratamiento.

Las eventuales copias técnicas presentes en los sistemas de copia de seguridad pueden eliminarse según los ciclos normales de copia de seguridad y recuperación ante desastres de los proveedores.

La grabación de audio utilizada para el dictado no es conservada por DutyTask después de su tratamiento.

DutyTask no utiliza actualmente Google Analytics, Meta Pixel ni otros sistemas publicitarios o de elaboración de perfiles.

DutyTask registra internamente eventos de producto de origen propio (por ejemplo, primera tarea creada, primera invitación, conversión de la prueba a un plan de pago) para comprobar si se utiliza el servicio. Estos eventos permanecen en la base de datos de DutyTask, no se comparten con plataformas publicitarias y no perfilan a las personas fuera de la empresa.

Solo se utilizan las tecnologías necesarias para el funcionamiento del servicio, incluidos instrumentos para mantener la sesión autenticada y las preferencias de idioma y localización.

Las cookies e instrumentos estrictamente técnicos no requieren consentimiento previo cuando se utilizan exclusivamente para las finalidades necesarias al servicio; la Autoridad italiana de protección de datos distingue estos instrumentos de los de elaboración de perfiles o seguimiento.

Si en el futuro DutyTask introduce instrumentos de analítica o marketing que requieran consentimiento, las modalidades de recogida del consentimiento y la presente información se actualizarán antes de su activación.

DutyTask adopta medidas técnicas y organizativas para proteger los datos tratados.

Entre ellas figuran la autenticación de los usuarios, HTTPS, la separación lógica de los datos entre organizaciones, controles de acceso basados en el rol y el almacenamiento privado de los archivos adjuntos.

Supabase también pone a disposición un DPA e instrumentos para proyectos con requisitos GDPR.

Ningún sistema informático puede, no obstante, garantizar una seguridad absoluta.

Cuando así lo prevea la normativa aplicable, el interesado puede ejercer los derechos de:

• acceso;
• rectificación;
• supresión;
• limitación del tratamiento;
• portabilidad;
• oposición.

Cuando el tratamiento se base en el consentimiento, este puede retirarse en cualquier momento.

Las solicitudes pueden enviarse a:

hello@dutytask.com

Cuando la solicitud se refiera a datos tratados por DutyTask por cuenta de una empresa cliente, DutyTask podrá dirigir la solicitud a la empresa que actúa como titular del tratamiento o colaborar con ella para que pueda responder.

El interesado también puede presentar una reclamación ante el Garante per la protezione dei dati personali.

DutyTask puede actualizar la presente Política de privacidad a raíz de cambios legales, técnicos, organizativos o de los proveedores.

La versión actualizada se pondrá a disposición en el sitio, con la fecha de actualización.

En caso de modificaciones sustanciales, DutyTask también podrá informar a los usuarios por correo electrónico o mediante un aviso en la aplicación.