Software per oscurare dati e protezione dei dati
«Il nostro reparto IT e il nostro responsabile della protezione dei dati devono approvare qualsiasi novità.» Con un software per oscurare dati, la protezione dei dati è la prima cosa che chiederanno, perché lo strumento tratta proprio i documenti che Lei vuole proteggere. Ecco sette domande da porre a qualsiasi strumento di oscuramento prima di dire sì. Per ciascuna, una risposta breve su Dress Docs e un link alla risposta completa nel nostro dossier di conformità. Il dossier è scritto per la sua verifica; questo articolo è la mappa.
Software per oscurare dati e protezione dei dati: cosa è in gioco
Secondo il GDPR, il titolare del trattamento deve integrare la protezione dei dati nei mezzi di trattamento che sceglie (art. 25). Le linee guida 4/2019 dell’EDPB (in inglese) precisano che ciò vale anche al momento dell’acquisto di software, hardware e servizi. Aggiungono che i titolari non dovrebbero scegliere produttori o responsabili del trattamento i cui sistemi non consentono di rispettare questo obbligo. Se un fornitore tratta dati personali per suo conto, l’articolo 28 richiede un contratto con esso (art. 28; linee guida 07/2020 dell’EDPB, in inglese). Le organizzazioni che rientrano nella NIS2 devono inoltre gestire la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti (art. 21 NIS2).
Le domande che seguono traducono questi obblighi in punti verificabili.
Dove va il documento?
Se lo strumento carica il file, il fornitore detiene una copia proprio dei dati che Lei sta rimuovendo. Dress Docs: il suo documento non lascia mai il suo dispositivo. Apertura, oscuramento ed esportazione avvengono nel browser o nell’app; nessun documento, pagina o estratto viene caricato. Risposta completa: Flusso dei dati · È sicuro caricare documenti online?
Chi tratta cosa?
La risposta stabilisce se le serve un contratto con un responsabile del trattamento, e per quali dati. Dress Docs: i documenti sono trattati solo sul suo dispositivo, quindi, come dice il dossier, non trattiamo alcun contenuto dei documenti per suo conto. Per i dati dell’account dei piani a pagamento, il titolare è Vzlaio digital LLC (USA). È la nostra lettura dei ruoli previsti dal GDPR, non una consulenza legale; decide il suo responsabile della protezione dei dati. Risposta completa: Non trattiamo i suoi documenti
Cos’altro arriva al fornitore?
Chieda l’elenco completo di ciò che lo strumento invia, oltre al documento. Dress Docs: conteggi delle pagine senza cookie verso il nostro server di statistiche in Germania, log del server con dati come indirizzo IP, ora, pagina, referrer e browser, e segnalazioni di errore a Sentry negli Stati Uniti con soli dettagli tecnici, mai il contenuto dei documenti. Nei piani a pagamento, e-mail e piano sono conservati negli Stati Uniti e Stripe gestisce il pagamento. Risposta completa: La telemetria, detta chiaramente
L’oscuramento regge?
Un oscuramento che si può sollevare è una divulgazione, non un oscuramento. Dress Docs: ogni pagina esportata è un’unica immagine piatta, quindi nulla di ciò che sta sotto un oscuramento è nel file; autore, titolo, programma di origine, date e impronta del PDF vengono cancellati. Abbiamo svolto un’autovalutazione rispetto a ISO/IEC 27038; Dress Docs non ha alcuna certificazione. Risposta completa: Metodo di oscuramento · Cosa chiede la norma ISO/IEC 27038 a uno strumento di oscuramento
Lavoro salvato ed eliminazione sul dispositivo
Chieda cosa resta sul computer e come lo si elimina. Dress Docs: i documenti sono temporanei per impostazione predefinita, e le copie di documenti d’identità lo sono sempre. Il salvataggio è facoltativo: il lavoro viene salvato in questo browser su questo dispositivo e cifrato con la passphrase dell’utente; «Elimina tutto su questo dispositivo» elimina il lavoro salvato e distrugge la sua chiave. Il registro degli oscuramenti (Pro) viene salvato tra i file dell’utente e non contiene nulla del documento (il registro degli oscuramenti). Risposta completa: Archiviazione sul dispositivo
Accessibilità
Nel Regno Unito gli enti pubblici devono rispettare le WCAG 2.2 AA sui propri siti e app, e le linee guida del governo britannico chiedono di includere l’accessibilità negli acquisti (gov.uk, Regno Unito). Dress Docs: progettato secondo le WCAG 2.2 AA; nessuna valutazione formale è stata ancora pubblicata. Con il piano Organizzazione può richiedere un rapporto di conformità. Risposta completa: Dichiarazione di accessibilità
Fatture e postazioni
L’ufficio acquisti vorrà sapere chi fattura e come si gestiscono le postazioni. Dress Docs: con Team gestisce le postazioni del suo studio, con fatture con IVA emesse tramite Stripe, il merchant of record. Organizzazione aggiunge il supporto sul dossier di conformità: incontri di revisione e risposte ai suoi questionari. Risposta completa: Prezzi · Richieda un preventivo
Indichiamo anche ciò che non dichiariamo: nessuna certificazione e nessuna «conformità al GDPR» dello strumento in sé. Uno strumento la aiuta a condividere e conservare meno dati personali; la conformità spetta alla sua organizzazione (ciò che non dichiariamo). Per le risposte complete, legga il dossier di conformità.