Politica de confidențialitate KeepNest

Cine este operatorul

Operatorul datelor este Andrei Chelariu, persoană fizică, care publică KeepNest în App Store.

Pentru orice întrebare despre confidențialitate: supporto@casachelariu.com.

Nu a fost numit un responsabil cu protecția datelor (DPO).

În fiecare casă, administratorii decid cine intră și cu ce rol și încarcă documentele familiei.

Ce date prelucrăm

Doar cele de care aplicația are nevoie ca să funcționeze:

• contul tău: nume, adresă de email, rolul în casă, partea publică a cheii tale de acces (passkey; partea privată rămâne în portcheiul iPhone-ului tău) și, pentru administratori, secretul celui de-al doilea factor;
• persoanele din casă: nume și prenume, alte nume sub care apar în documente, data nașterii, anul nașterii și sexul, cetățenia, CNP sau cod fiscal italian, fotografia de profil, note;
• documentele casei: fișierele (PDF, fotografii, scanări), textul extras din ele și ce se citește din ele, adică tipul, titlul, emitentul, locul, datele, sumele, numărul documentului și notele;
• bunurile casei: vehicule cu numărul de înmatriculare, imobile cu adresa, animale cu microcipul;
• termene, sarcini, notificări și banii casei (abonamente și utilități, cu furnizorul și suma);
• dacă în casă este pornită poșta casei, emailurile redirecționate la adresa casei: cine le trimite, subiectul, data, textul, PDF-urile atașate și căsuța din care vin; dacă casa a cerut-o, și cele ale unităților sanitare și cele ale instituțiilor publice pe care le recunoaștem ca sanitare, care pot spune ceva despre sănătate (vezi mai jos);
• dispozitivele: numele, modelul și versiunea iOS a telefonului, versiunea aplicației, un identificator al telefonului și codul pentru notificări; pentru site, tipul de browser;
• datele tehnice despre erori: tipul erorii, locul din program unde s-a produs, versiunile aplicației și ale sistemului, modelul telefonului și, pentru blocările și închiderile bruște ale aplicației, datele pe care le adună iOS, deja reduse pe telefon; casa apare doar ca un cod care nu spune care este. Erorile pe care ți le arată aplicația și cele ale serverului ajung și într-o listă de probleme din baza noastră de date, pe care o văd doar cei care administrează KeepNest. Niciodată mesajul erorii, textul documentelor, numele, conținutul cererilor sau adresa IP;
• date tehnice de securitate: adresa IP și tipul de browser, pentru a limita încercările de autentificare și în sesiunea care precede intrarea, și jurnalul acțiunilor (cine a făcut ce și când: autentificări, modificări, descărcări, exporturi).

Printre documente pot fi cărți de identitate și pașapoarte, analize și certificate medicale, declarații fiscale, acte juridice și documente școlare ale copiilor. Documentele medicale sunt categorii speciale de date conform articolului 9 din GDPR și pot privi membri minori ai familiei.

Nu cerem și nu citim locația, contactele sau calendarul. Din fotografii (JPEG, PNG, HEIC) aplicația șterge coordonatele și metadatele de identificare înainte de a le încărca; un fișier de alt tip, de exemplu un PDF făcut de altă aplicație, se încarcă așa cum este. Pentru a adăuga o zi de naștere în calendar, aplicația deschide fereastra de sistem a iPhone-ului, fără să citească evenimentele. Nu există reclame și nici urmărire, iar datele nu se vând. Nu folosim instrumente de analiză ale altor companii: singurele cifre despre utilizare sunt contoarele de utilizare ale casei, oprite până când le pornești tu (vezi mai jos).

Contoarele de utilizare ale casei. Sunt oprite până când le pornești tu, din Setări, iar comutatorul este valabil pentru telefonul pe care îl atingi. Pornite, numără ce ecrane se deschid și de câte ori un document se adaugă sau se lasă la jumătate, ca să înțelegem ce e de îmbunătățit. Se numără pe casă și pe zi, cu versiunea aplicației: fără conținut, fără nume de fișiere, fără sume, fără persoane. Într-o casă cu o singură persoană însă, cifrele casei sunt ale ei. Le vedem noi, cei de la KeepNest, ca să îmbunătățim aplicația, le vede și administratorul casei, iar după nouăzeci de zile se șterg singure.

Semnalează o problemă. Când scrii o semnalare din Setări, pleacă doar ce ai scris, cu versiunea aplicației: fără capturi de ecran, fără jurnale, fără documente. Ajunge la cei care administrează KeepNest și la administratorii casei tale, cu numele tău. Nu pleacă niciun email: cei care administrează KeepNest primesc un rând în lista lor de probleme, care spune doar că există o semnalare, cu un cod al casei și versiunea aplicației, și o notificare KeepNest care nu spune nimic în plus. Textul este păstrat criptat, apare în copia datelor tale și se șterge când îți ștergi contul.

De ce le prelucrăm și pe ce temei

• Pentru a-ți oferi serviciul pe care l-ai acceptat intrând cu invitația: păstrarea documentelor și a fișelor, calculul termenelor, trimiterea notificărilor, sincronizarea telefoanelor. Temei: executarea serviciului (art. 6 alin. (1) lit. b) GDPR).
• Ca să te anunțăm în Inbox când un furnizor scrie casei (sau un expeditor adăugat de casă, sau o instituție publică în casele în care am pornit poșta instituțiilor publice), să-ți propunem suma și scadența scrise în email și să recunoaștem la ce utilitate a casei se referă PDF-urile, dacă în casă este pornită poșta casei (vezi mai jos). Temei: executarea serviciului (art. 6 alin. (1) lit. b) GDPR).
• Ca să trecem în «Cheltuielile casei», deja achitate și fără să așteptăm o atingere, chitanțele clare care sosesc cu poșta casei (vezi mai jos). Temei: executarea serviciului (art. 6 alin. (1) lit. b) GDPR).
• Ca să anunțăm administratorii când o unitate sanitară scrie casei (sau o instituție publică, cu un email pe care îl recunoaștem ca sanitar) și să păstrăm PDF-urile ei, dacă casa a cerut și această poștă (vezi mai jos). Temei: consimțământul explicit al administratorului care a creat adresa casei, dat în aplicație sau în scris, pentru datele privind sănătatea sa și a copiilor minori al căror părinte este (art. 9 alin. (2) lit. a) GDPR).
• Pentru a proteja datele casei: jurnalul acțiunilor, limitarea încercărilor de autentificare, revocarea telefoanelor, copii de siguranță. Temei: interesul legitim privind securitatea (art. 6 alin. (1) lit. f) GDPR).
• Pentru a-ți propune tipul, titlul, datele și suma unui document prin citirea automată, când este nevoie (vezi mai jos). Temei: consimțământul tău (art. 6 alin. (1) lit. a) GDPR) și, pentru datele privind sănătatea, consimțământul tău explicit (art. 9 alin. (2) lit. a) GDPR), pe care le dai în aplicație și le poți retrage oricând; documentele marcate «Privat» nu pleacă oricum. Același lucru este valabil și pentru PDF-urile sosite cu poșta casei, în casele în care citirea automată a poștei este pornită.
• Ca să înțelegem ce e de îmbunătățit, cu contoarele de utilizare ale casei. Temei: consimțământul tău (art. 6 alin. (1) lit. a) GDPR), pe care îl dai pornindu-le din Setări și îl retragi oprindu-le.
• Ca să citim și să rezolvăm o problemă pe care o semnalezi. Temei: executarea serviciului (art. 6 alin. (1) lit. b) GDPR).
• Ca să observăm erorile și să le reparăm. Temei: interesul legitim pentru funcționarea serviciului (art. 6 alin. (1) lit. f) GDPR).

Când accepți invitația, dacă ești adult, citești și accepți regula casei despre cine vede ce. Acceptarea se înregistrează împreună cu amprenta textului exact pe care l-ai citit.

Categorii speciale de date și minori. În prezent KeepNest îl folosesc câteva familii invitate: fiecare își încarcă propriile documente pentru viața propriei case, și niciuna nu le vede pe ale celorlalte. Printre ele sunt și documente medicale și documente ale copiilor. Le văd doar membrii acelei case: baza de date împiedică o casă să vadă datele alteia, iar în interiorul casei aplicația hotărăște cine ce vede, după rolul fiecăruia; fișierele medicale și de identitate sunt salvate criptate, în timp ce alte fișiere, cum ar fi carnetele de note, nu. Un document medical ajunge la citirea automată doar dacă cel care îl încarcă și-a dat permisiunea, care cuprinde consimțământul explicit pentru datele privind sănătatea sa și a copiilor minori al căror părinte este (art. 9 alin. (2) lit. a) GDPR).

Nicio decizie cu efecte juridice asupra ta nu se ia exclusiv automat și nu facem profilare.

Citirea automată a documentelor

Când sosește un document, KeepNest încearcă mai întâi să-l înțeleagă singur: din numele fișierului, din textul PDF-ului, din codurile citite pe telefon. Numai dacă lipsește ceva îl trimite modelului Claude al Anthropic, care propune tipul, titlul, datele și suma. Poate trimite și documente de identitate, medicale și de tip nerecunoscut; niciodată pe cele marcate «Privat» și foile cu date de acces și parole. Propunerea o confirmă întotdeauna o persoană.

Nimic din toate acestea nu se întâmplă fără o permisiune explicită. Fiecare adult o dă pentru sine în aplicația actualizată, la prima intrare sau din Setări, după ce a citit ce pleacă și către cine; o poate retrage oricând din același loc, iar din acel moment documentele lui nu mai pleacă. Permisiunea se înregistrează împreună cu amprenta textului exact pe care l-a citit. Când textul permisiunii se schimbă, permisiunea dată înainte nu mai este valabilă și aplicația o cere din nou. Fără permisiune aplicația funcționează la fel: tipul, titlul și datele se scriu de mână.

• Contează permisiunea celui care încarcă documentul: cu ea, KeepNest citește documentele pe care le încarcă el, chiar și când privesc alte persoane din casă: copii, persoane fără cont, adulți pe care nu i-a recunoscut încă. Dacă un document este deja legat de un alt adult care nu și-a dat permisiunea, nu îl citește. Un document de identitate sau medical pe care aplicația nu l-a legat încă de nimeni nu îl citește cât timp în casă există un alt adult care nu și-a dat permisiunea. Pentru documentele încărcate de un minor decide un administrator al casei.
• Nu pleacă niciodată: documentele marcate «Privat» și foile cu date de acces și parole. Un document se marchează «Privat» când este încărcat, din butonul Partajare sau din fișa documentului; marcajul îl poate scoate cine l-a pus sau un administrator al casei, niciodată un minor. Documentele care erau deja închise citirii automate înainte de această schimbare rămân private până când un administrator le redeschide.
• Cine trimite un document cu butonul Partajare al altei aplicații găsește comutatorul «Privat», oprit de la început: cine îl pornește ține documentul în afara citirii automate. În versiunile anterioare ale aplicației comutatorul se numește «Sensibil» și unele documente se închid singure.
• Implicit pot pleca documentele financiare și juridice permise, cum ar fi formulare fiscale italiene (ISEE, 730, F24), date bancare și acte notariale. Este o alegere a operatorului serviciului, una singură pentru tot serverul, care o poate opri.
• Pleacă textul documentului; dacă documentul nu are text, de exemplu o scanare sau o fotografie, nu pleacă fișierul: pleacă doar imaginea paginilor lui, refăcută de aplicație fără nicio dată ascunsă, nici măcar locația, doar dacă este scurt: până la 3 pagini, o fotografie de până la 5 MB. Documentul însuși poate conține nume și numere; datele familiei salvate în aplicație (nume, date de naștere, numere de înmatriculare, adrese) nu se adaugă.
• Există un plafon lunar de cheltuieli: odată depășit, citirea automată se oprește până luna următoare.
• Documentele aflate deja în arhivă nu sunt recitite de la sine: un document care încă așteaptă să fie verificat în Inbox pleacă doar dacă cineva din casă cere să fie citit din nou, după aceleași reguli.

Poșta casei

Poșta casei este oprită de la început și se poate porni doar în casele pe care le activăm noi. În aceste case o pornește un administrator, din aplicație, cu un cod recent al celui de-al doilea factor, și o oprește când vrea. Pornită, casa are propria adresă de email, cu un cod secret în ea: aplicația o arată o singură dată, iar în baza de date rămâne doar o amprentă a ei. Un administrator o poate schimba, iar cea veche nu mai funcționează din acel moment. După ce poșta se oprește, adresa nu mai duce la casă; avizele deja sosite rămân, pe duratele spuse mai jos, în afară de cele sanitare, care se șterg la prima curățenie de noapte când în casă consimțământul nu mai este valabil. Consimțământul dat în aplicație este valabil doar cât timp există o adresă folosită: cu poșta oprită nu mai e valabil, deci avizele sanitare se șterg. Când o oprești sau schimbi adresa, scoate și redirecționarea din căsuța ta: cât timp există, emailurile continuă să treacă prin Cloudflare și prin receptorul nostru, cum se spune mai jos, chiar dacă la casă nu mai ajung.

Către această adresă se redirecționează din propria căsuță, de exemplu cu un filtru, emailurile furnizorilor casei și, în casele în care am pornit și poșta instituțiilor publice, cele ale instituțiilor. Intră doar cele ale furnizorilor și ale instituțiilor pe care KeepNest îi cunoaște, cu o semnătură digitală validă a domeniului de pe care scriu. O instituție pe care o cunoaștem doar din lista oficială a administrațiilor publice italiene (IndicePA) intră doar dacă emailul poartă semnătura digitală exactă a domeniului ei. Celelalte se elimină, iar serverul nostru nu păstrează nimic din ele, în afară de numărătoarea descrisă mai jos. Trec însă și ele prin Cloudflare, cum se spune mai jos: de aceea e bine să redirecționezi doar emailurile furnizorilor și ale instituțiilor, nu toată poșta.

În aplicație, la «Furnizorii tăi», un adult din casă poate bifa furnizorii de la care casa primește emailuri și, în casele în care am pornit poșta instituțiilor publice, și instituțiile și propria primărie (Comune). Alegerea se salvează pentru casă, iar primăria aleasă spune, de obicei, unde locuiește familia. Servește doar la pregătirea regulilor de pus în propria căsuță: nu schimbă ce emailuri intră.

Pe lângă furnizorii pe care KeepNest îi cunoaște, o casă își poate adăuga expeditorii ei, de exemplu primăria, școala sau un spital, cu semnătura digitală a domeniului lor sau, pentru expeditorii pe care casa ne cere să-i marcăm, cu verificarea pe care iCloud o face când emailul ajunge în căsuță. Această verificare spune de pe ce serviciu de poștă a plecat emailul, nu cine l-a scris: cine folosește același serviciu ca expeditorul, de exemplu Aruba, Google sau Microsoft, s-ar putea da drept el. De aceea marcajul se pune doar pe expeditorii pe care îi alege casa. Lista aceasta este valabilă doar pentru casa respectivă. Expeditorii îi adaugă și îi scoate un administrator, din aplicație, cu un cod recent al celui de-al doilea factor; cei adăugați de noi la cererea casei se scot scriindu-ne. Adulții casei văd lista în aplicație, cu data ultimului email intrat, în afară de unitățile sanitare, pe care le văd doar administratorii. Dacă o casă adaugă o platformă care scrie în numele altora, cum ar fi catalogul electronic al școlii, portalul de servicii al primăriei sau aplicația clubului sportiv, intră poșta tuturor celor care o folosesc ca să scrie casei: alegerea este a casei.

Emailurile unităților sanitare, de exemplu un spital sau o ASL, intră doar în casele în care administratorul care redirecționează poșta ne-a dat în scris consimțământul explicit, pentru datele privind sănătatea sa și a copiilor minori al căror părinte este (art. 9 alin. (2) lit. a) GDPR). Trebuie să redirecționeze doar emailurile care îl privesc pe el sau pe acești copii. Își poate retrage consimțământul oricând, scriindu-ne: din acel moment emailurile respective se elimină, ca în casele care nu și-au dat consimțământul. Avizele sanitare deja sosite se șterg la prima curățenie de noapte; documentele rămân până când un administrator le șterge.

Consimțământul se dă și se retrage și în aplicație, din «Poșta casei». Îl dă un administrator, pentru sine, și se înregistrează împreună cu amprenta textului exact pe care l-a citit; dacă textul se schimbă, cel dat înainte nu mai este valabil și trebuie dat din nou. În aplicație, pentru casă contează consimțământul celui care a creat adresa folosită acum, cât timp rămâne administrator activ al casei: dacă îl retrage, dacă nu mai este administrator activ sau dacă un alt administrator schimbă adresa fără să fi dat consimțământul în aplicație, emailurile respective se elimină, cum se spune mai sus. Consimțământul dat în scris este valabil până când ni se cere să-l scoatem, și atunci îl scoatem noi. Este valabil doar cât timp nimeni din casă nu a dat sau nu a retras un consimțământ în aplicație.

• Fiecare email acceptat devine un aviz în Inbox, cu un titlu neutru, «Messaggio di» (mesaj de la) și numele furnizorului sau al instituției, și cu data. Titlul spune cine scrie, nu despre ce: poate fi o factură sau o reclamă. Îl văd adulții casei, în afară de avizele sanitare.
• Dacă scrie o unitate sanitară, avizul se numește «Messaggio sanitario» (mesaj sanitar), fără numele unității, și îl văd doar administratorii. Din textul acelui email nu păstrăm nimic, deci nu propunem nici sumă, nici scadență.
• Tratăm ca sanitare și emailurile instituțiilor publice pe care le recunoaștem ca sanitare după subiect sau text, de exemplu când vorbesc despre un certificat de concediu medical, un rezultat medical sau un dosar de invaliditate civilă: se aplică aceleași reguli ca pentru unitățile sanitare, inclusiv consimțământul. Le recunoaștem după cuvinte: un email despre sănătate scris cu alte cuvinte poate intra ca un email obișnuit.
• Suma și scadența se propun doar dacă sunt scrise în textul emailului. Le caută serverul după reguli fixe, fără inteligență artificială, și le confirmă o persoană: dintr-un aviz nu se naște niciodată singur un termen de achitat. Fac excepție chitanțele clare, cele în care KeepNest recunoaște cu siguranță că ai achitat deja, cât și cui. Pe acestea KeepNest le trece singur în «Cheltuielile casei», ca deja achitate și marcate ca venite prin poștă, iar avizul se închide. Azi face asta cu chitanțele serviciilor cu abonament al căror format îl cunoaște, adică deocamdată cele de la Apple. Aceste intrări le văd doar adulții casei, și oricare dintre ei le poate anula cu «Anulează», cât timp nimeni nu le-a schimbat: revin cum erau înainte de email.
• În casele în care am pornit această funcție și pentru pagoPA și pentru aplicația IO, KeepNest se uită și la chitanțele lor, dacă sosesc după pornire, de la adresele lor oficiale și cu semnătura digitală a domeniului lor. O chitanță de la IO devine singură o intrare deja achitată în «Cheltuielile casei» doar dacă cifra e sigură și dacă e pentru o instituție pe care KeepNest o cunoaște și care nu e sanitară, de exemplu ACI sau Agenzia delle Entrate: dacă instituția nu se înțelege, sau nu e printre acestea, singură nu se creează nimic. Intrarea poate fi mutată în altă secțiune. Chitanțele de la pagoPA nu devin niciodată singure o intrare, pentru că nu spun cu siguranță cine a primit plata. Ziua intrării este ziua în care s-a achitat, dacă chitanța o scrie clar și data este credibilă; dacă nu, folosim ziua emailului și semnalăm asta în aplicație. KeepNest nu unește niciodată singur două chitanțe: dacă în casă există deja o intrare care poate fi aceeași plată, nu se creează nimic, iar avizul rămâne în Inbox cu o sugestie pentru o persoană. Din chitanță, în intrare păstrăm doar cifra, ziua și numele instituției. Textul emailului nu ajunge niciodată în intrare. Chitanțele sosite după pornire pe care le recunoaștem ca fiind pentru o unitate sanitară sau socio-asistențială nu devin niciodată o intrare, nici măcar ca propunere, și contează ca emailuri sanitare, cu regulile spuse mai sus. Le recunoaștem după nume și după cuvinte: una scrisă altfel poate intra ca un email obișnuit, dar nu devine o intrare, pentru că intrările se creează doar pentru instituțiile pe care KeepNest le cunoaște. Chitanțele sosite înainte de pornire nu devin niciodată singure o intrare: cel mult KeepNest propune cifra, iar decizia o ia o persoană. Când e vreo îndoială nu se creează nimic, iar avizul rămâne în Inbox ca înainte. Ca și celelalte, aceste intrări le văd doar adulții casei și se anulează cu «Anulează».
• În casele în care am pornit această funcție, când un furnizor îți scrie că factura e disponibilă, dar nu o atașează, KeepNest citește din email, după reguli fixe și fără inteligență artificială, doar numărul facturii, codul de client, datele, perioada și totalul. Datele, perioada și totalul le păstrează criptate împreună cu avizul timp de 24 de luni. Numărul și codul de client le păstrează separat doar într-o formă care nu se poate reciti; pot rămâne însă în textul emailului, care se păstrează criptat pe duratele spuse mai jos. Când în casă intră documentul acelei facturi, KeepNest îl leagă singur de aviz doar dacă e sigur că e aceeași factură; altfel, dacă găsește un singur document care seamănă, îl propune și hotărăște un adult sau un administrator al casei, niciodată un minor.
• PDF-urile atașate, până la trei și doar dacă sunt PDF-uri adevărate, devin documente în Inbox, «Documento di» (document de la) și numele furnizorului sau al instituției, în numele administratorului care a creat adresa, iar de acolo urmează regulile celorlalte documente. Din textul lor serverul citește după reguli fixe și codurile furnizării (POD, PDR, cod de client) și păstrează separat doar o amprentă a lor, care nu se poate reciti: va servi la a recunoaște la ce utilitate a casei se referă.
• Un PDF nu intră când cel care a creat adresa nu mai este activ în casă, când același fișier este deja în casă sau când depășește limitele unei încărcări obișnuite. Avizul ajunge oricum. Dacă PDF-ul lipsește pentru că cel care a creat adresa nu mai este activ, documentul poate fi adus în casă cu butonul Partajare.
• PDF-urile unei unități sanitare se numesc «Documento sanitario» (document sanitar) și intră doar dacă cel care a creat adresa este încă administrator. Se salvează criptate și pornesc «Riservato» (confidențial): nu ajung la citirea automată, nici cu «Citește din nou», până când un administrator nu scoate «Riservato». Le văd administratorii, adulții care au acceptat regula după care în casă adulții văd tot și minorii cărora un administrator le-a dat permisiunea să vadă tot.
• Textul emailurilor nu ajunge niciodată la modelul Claude. PDF-urile atașate, în schimb, în casele în care am pornit această funcție, ajung singure la citirea automată când vin de la un furnizor pe care KeepNest îl cunoaște și, în casele în care am pornit și poșta instituțiilor publice, de la o instituție pe care KeepNest o cunoaște. Se aplică aceleași reguli scrise mai sus: e nevoie de permisiunea administratorului în numele căruia a intrat PDF-ul, iar un PDF deja legat de un alt adult care nu și-a dat permisiunea nu pleacă; documentele marcate «Privat» și foile cu date de acces și parole nu pleacă; PDF-urile emailurilor sanitare, inclusiv cele ale instituțiilor publice pe care le recunoaștem ca sanitare după subiect sau text, nu ajung acolo singure, pentru că pornesc «Riservato» (confidențial), cum se spune mai sus; se aplică plafonul lunar. O instituție care nu este o unitate sanitară poate totuși să atașeze un document care vorbește despre sănătate: și pentru acesta e valabilă permisiunea, care cuprinde consimțământul pentru datele privind sănătatea. PDF-urile structurilor socio-asistențiale, cum ar fi căminele de bătrâni, cele ale unui expeditor adăugat de casă și cele sosite înainte ca funcția să fie pornită ajung acolo doar dacă cineva din casă le deschide și atinge «Citește din nou». În celelalte case rămâne totul ca înainte: niciun PDF din poștă nu ajunge singur la model.
• KeepNest nu îți arată linkuri sau IBAN-uri luate din textul emailurilor, iar PDF-ul atașat îl vezi așa cum a sosit. Dacă atașamentul este un aviz pagoPA, pe fișa lui poate apărea butonul «Plătește»: te ajută să copiezi codul avizului și codul creditorului și deschide site-ul oficial. Plata o faci tu, în afara aplicației, și rămâne alegerea ta.

Ce se păstrează și cât timp:

• Mesajul întreg nu îl salvăm niciodată: receptorul nostru îl citește în memorie și trimite serverului doar părțile de care e nevoie. Adresa expeditorului nu se salvează. Subiectul rămâne împreună cu textul emailului, curățat și criptat la fel și pe aceleași durate, spuse mai jos; din emailurile unităților sanitare nu se păstrează nici subiectul. Separat rămâne codul de confirmare a redirecționării, descris mai jos.
• Textul emailului este curățat de linkurile, adresele de email, IBAN-urile, numerele de telefon și codurile lungi pe care filtrele noastre le recunosc: unele, scrise altfel, pot rămâne. Textul este criptat cu cheia casei și servește doar la propunerea sumei și a scadenței. Se șterge când avizul se închide sau, dacă rămâne deschis, la prima curățenie de noapte după 30 de zile. Din emailurile unităților sanitare textul nu se păstrează deloc.
• Rândul mesajului, cu furnizorul, data, mărimea, numărul de PDF-uri și o amprentă care împiedică repetarea aceluiași aviz, rămâne 24 de luni și se șterge la prima curățenie de noapte de după. Odată cu el dispar legătura dintre PDF-uri și emailul cu care au sosit și amprentele codurilor furnizării; documentele rămân.
• Ca să lege o căsuță, administratorul deschide din aplicație o fereastră de 15 minute: în acest timp poate intra și emailul prin care căsuța cere confirmarea redirecționării (deocamdată doar cel de la Gmail), iar din el se păstrează numai codul scris în subiect, criptat. Administratorii îl văd în aplicație 15 minute; apoi rămâne salvat până când fereastra se redeschide, adresa se schimbă sau poșta se oprește.
• Serverul nostru poate păstra o numărătoare a livrărilor de poștă pe care le primește, zi de zi și pe motiv: câte au intrat și câte au fost eliminate, și de ce. Numărătoarea nu spune cine le-a trimis, ce scria în ele și nici cărei case îi erau adresate; dacă însă poșta este pornită în puține case, numărătoarea unei zile se poate referi la una singură. Aceste numere se șterg după 13 luni.
• Ce se află în baza de date rămâne și în copiile de siguranță, pe duratele spuse mai jos.

Emailurile trec prin Cloudflare, cu serviciile Email Routing și Workers: le primește, iar receptorul nostru, care rulează acolo, le duce la server. Rețeaua Cloudflare este globală, deci mesajele pot trece și în afara Uniunii Europene, cu garanțiile descrise mai jos. Cât timp trec, Cloudflare vede emailurile întregi, cu atașamentele, adresa casei cu codul ei și căsuța din care au fost redirecționate. Pentru fiecare email care sosește, inclusiv pentru cele pe care apoi le eliminăm, Cloudflare înregistrează expeditorul, destinatarul și subiectul. Destinatarul este adresa casei, cu codul ei; expeditorul unui email redirecționat poate fi căsuța din care vine; subiectul îl alege cine scrie și poate spune lucruri delicate, inclusiv despre sănătate în emailurile unităților sanitare: cel al confirmării redirecționării de la Gmail, de exemplu, conține codul și căsuța care redirecționează. Aceste date le văd și cei care administrează KeepNest: panoul Cloudflare le arată până la 30 de zile, iar statisticile sale le păstrează 31 de zile. Sunt duratele cât pot fi consultate, nu dovada că dispar peste tot. Că Cloudflare nu păstrează conținutul emailurilor o spune pagina serviciului; contractul nu vorbește despre asta și nu spune cât timp rămân copiile temporare ale mesajului. Jurnalele apelurilor receptorului nostru la Cloudflare sunt oprite.

Cui ajung datele

KeepNest folosește acești furnizori. Fiecare primește doar ce îi trebuie pentru sarcina lui.

Invitațiile

Invitațiile le trimite un administrator prin mijlocul pe care îl preferă, de exemplu un mesaj WhatsApp: în acest caz textul invitației, cu numele persoanei și linkul, trece prin serviciul ales. Linkul este valabil 48 de ore și se folosește o singură dată. Dacă îl deschizi în browser, adresa cu codul invitației rămâne 1 zi în jurnalele cererilor Vercel.

Transferuri în afara Uniunii Europene

Anthropic prelucrează în Statele Unite documentele primite, inclusiv documente medicale, de identitate și ale copiilor minori, pe baza clauzelor contractuale standard. Vercel, Neon, Cloudflare și Backblaze țin datele principale în regiuni UE, dar sunt companii americane: participă la Data Privacy Framework și folosesc clauze contractuale standard, iar Vercel declară că prelucrarea sa principală are loc în Statele Unite. Poșta casei, în casele care au pornit-o, trece în schimb prin rețeaua globală Cloudflare, și în afara UE: către Statele Unite se aplică Data Privacy Framework UE-SUA, către alte țări clauzele contractuale standard, în modulul dintre operator și persoana împuternicită (Modulul Doi). Backblaze anexează clauzele în forma pe module din 2021, fără să citeze în text numărul deciziei europene. Scaleway și healthchecks.io prelucrează datele în UE; healthchecks.io declară și furnizori proprii în afara Spațiului Economic European. Apple livrează notificările în toată lumea: pentru notificări nu există un acord de prelucrare, iar Apple nu participă la Data Privacy Framework. Sentry prelucrează erorile în regiunea sa UE de la Frankfurt și le păstrează 30 de zile; păstrează în Statele Unite doar datele contului celui care administrează panoul. Este o companie din Statele Unite: aderă la Data Privacy Framework UE-SUA și folosește clauzele contractuale standard.

Vercel, Anthropic și Cloudflare folosesc la rândul lor alți furnizori, subcontractanții lor, pe care îi enumeră în paginile lor juridice. Printre serviciile Cloudflare pe care le folosim sunt arhiva fișierelor (R2), receptorul poștei (Workers) și Email Routing: pentru R2 și Workers, Cloudflare enumeră Google și Oracle, pentru Email Routing nu enumeră niciunul; pe lângă ei sunt societățile din grupul său și serviciile pentru asistență. Recitim aceste liste o dată la douăsprezece luni.

Cât timp păstrăm datele

• Cont șters din aplicație: se șterge imediat. Dispar adresa de email cu care intri, cheile de acces, sesiunile, al doilea factor și codurile de recuperare, iar de pe telefoanele conectate numele și codul pentru notificări; numele și emailul contului devin valori anonime. Ultimul administrator al unei case nu își poate șterge propriul cont cât timp în casă mai sunt alte persoane cu cont. Dacă a rămas singur, aplicația i-o spune și, dacă confirmă, odată cu contul se șterge și casa, cu toate documentele.
• Ieșirea dintr-o casă: ca să ieși singur trebuie mai întâi să descarci copia documentelor tale. Accesul se închide imediat pe toate dispozitivele, iar după 30 de zile contul se șterge ca mai sus.
• Ce rămâne în ambele cazuri: fișa persoanei și documentele, care aparțin casei; jurnalul acțiunilor; acceptarea regulii de vizibilitate; apartenența ca rând închis; telefoanele folosite, ca rânduri revocate și fără nume. Când odată cu contul se șterge și casa, rămân doar jurnalul acțiunilor și ce trimite la el: apartenențele închise, telefoanele revocate și fișele reduse la un identificator, fără nume, date și note.
• Documentele din coș: după 30 de zile se șterg din baza de date și din arhiva de fișiere, dar rămân în copiile de siguranță (vezi mai jos). Documentele delicate sau medicale care privesc un minor așteaptă aprobarea a doi administratori, care încă nu există: până atunci rămân în coș.
• Copia documentelor tale cerută din aplicație: rămâne disponibilă 7 zile și se șterge și imediat ce o descarci integral.
• Pe telefon: datele aplicației se șterg când ieși, când telefonul este revocat și la prima deschidere după 7 zile fără contact cu serverul. Documentele scanate și încă netrimise rămân pe telefon până le trimiți sau le ștergi și dispar la ieșirea confirmată sau la revocare.
• Baza de date: restaurarea continuă Neon permite revenirea în urmă până la 7 zile, deci o dată ștearsă rămâne recuperabilă până la 7 zile.
• Adresa IP și tipul de browser: în sesiunea-punte de 15 minute care precede intrarea, ștearsă când este folosită și, dacă nu este folosită, la prima trecere de noapte după expirare; în tabelul încercărilor de autentificare, scoase când fereastra acelei limite a trecut și oricum până în noaptea următoare.
• Jurnalele cererilor la Vercel: 1 zi.
• Contoarele de utilizare ale casei: 90 de zile. Semnalările: până la ștergerea contului celui care le-a scris sau până la ieșirea sa din casă, dacă aceasta are loc mai devreme.
• Erorile la Sentry: 30 de zile.
• Lista problemelor: 12 luni de la ultima dată când problema a apărut, apoi rândul se șterge singur.
• Poșta casei: duratele sunt scrise în secțiunea ei, mai sus.

Copiile de siguranță pe Backblaze: 90 de zile, și pentru copiile bazei de date și pentru copia fișierelor, care stau în aceeași arhivă. După 90 de zile copia este retrasă și ștearsă definitiv în două săptămâni de o regulă a furnizorului. Jurnalul acțiunilor: 24 de luni, apoi rândurile mai vechi se șterg în fiecare noapte. Amprenta adresei IP în limitatoarele de încercări: cât durează limita pe care o numără, adică un minut sau o oră pentru aproape toate și 24 de ore pentru limitele zilnice ale recuperării accesului, și oricum ștearsă până în noaptea următoare.

• Copiile bazei de date și ale fișierelor pe Backblaze sunt protejate împotriva ștergerii 90 de zile, cu o blocare în mod guvernanță pe care administratorul contului o poate ridica. După 90 de zile o regulă a furnizorului le retrage și le șterge definitiv în două săptămâni; în fiecare noapte un control al nostru verifică să nu rămână în arhivă nimic mai vechi și ne avertizează dacă găsește.

Cum protejăm datele

• Conexiuni mereu criptate (HTTPS), iar site-ul le cere browserelor să folosească doar HTTPS.
• Fără parole: intri cu o cheie de acces (passkey), deblocată cu Face ID sau cu codul telefonului. Acțiunile delicate ale administratorilor cer și un cod recent al celui de-al doilea factor.
• Criptate cu AES-256-GCM și o cheie pentru fiecare casă, protejată la rândul ei de o cheie principală (criptare în plic): CNP și cod fiscal, data nașterii, numerele documentelor, numere de înmatriculare, adresele imobilelor, microcipuri, notele persoanelor, documentelor și abonamentelor, coduri pentru notificări, rezultatele citirii automate, textul semnalărilor.
• Criptate doar cu cheia principală: adresa și codul celui care deschide o casă prin înregistrare, linkurile din emailurile care pleacă, răspunsurile pe care serverul le păstrează ca să recunoască cererile repetate.
• Lizibile pentru server, pentru că sunt necesare la căutare și ca aplicația să funcționeze: nume și alte nume, anul nașterii și sexul, cetățenia, adresele de email ale conturilor și invitațiilor, titluri, emitenți, locuri, date, sume și notele publice ale documentelor, termene, sarcini, banii casei, numele și modelele telefoanelor, jurnalul acțiunilor, contoarele de utilizare ale casei.
• Fișierele de identitate și delicate, medicale, financiare și juridice, textul lor extras și fotografiile persoanelor sunt criptate pe blocuri cu cheia casei înainte de a fi salvate și se deschid doar prin server, care verifică permisiunile. Celelalte fișiere și textul lor sunt salvate fără o criptare a noastră și se descarcă printr-un link valabil 5 minute.
• Fiecare vede doar ce îi permit rolul său și regula casei. În jurnalul acțiunilor se poate doar adăuga.
• Pe telefon, accesul și cheile stau în portcheiul iOS, lizibile doar cu telefonul deblocat, iar aplicația nu intră pe un iPhone fără cod. Un administrator poate revoca oricând un telefon.
• Poșta casei: cum o protejăm și ce vede Cloudflare sunt scrise în secțiunea ei, mai sus.

Limitele, spuse clar:

• cheia principală stă în setările protejate ale Vercel: cine administrează acel cont, în prezent operatorul, poate tehnic decripta datele;
• un fișier abia încărcat rămâne într-o zonă de așteptare, încă necriptat, pe durata prelucrării;
• separarea dintre case diferite o face codul aplicației, verificat prin teste automate, și o impune și baza de date; rămân în afara acestui control doar câteva lucrări interne ale serverului care nu privesc o singură casă, cum ar fi copiile de siguranță și coada de lucrări.

Dacă are loc o încălcare a securității datelor, anunțăm persoanele din casă cu ce știm și, când legea o cere, autoritatea de supraveghere în 72 de ore.

Minori

Într-o casă pot exista copii minori: fișele și documentele lor le gestionează administratorii, ca părinți.

Un minor intră în aplicație numai cu invitația unui administrator, care îi alege rolul; cu rolul de minor vede doar ce îi permite acel rol. Aplicația nu verifică vârsta și nu controlează dacă rolul corespunde vârstei.

Documentele care privesc un minor nu intră în copiile de documente cerute din aplicație, cu excepția cazului în care cel care o cere este singura persoană din casă cu cont: atunci copia conține toată casa, inclusiv documentele copiilor.

La citirea automată, documentele copiilor pleacă cu permisiunea celui care le încarcă; cele încărcate de un minor pleacă doar dacă un administrator al casei și-a dat permisiunea. Un minor nu poate scoate marcajul «Privat».

Drepturile tale

Poți să îți accesezi datele, să le corectezi, să le ștergi, să restricționezi prelucrarea, să te opui, să le primești într-un format lizibil și să retragi un consimțământ dat, fără efect asupra a ceea ce s-a făcut înainte (articolele 15-22 din GDPR).

• Corectare: fișele și documentele se corectează din aplicație, după rolul tău.
• O copie: în aplicație, Setări, «Cere o copie a documentelor mele». Conține documentele pe care rolul tău îți permite să le scoți din casă (pentru un adult, propriile documente de identitate și medicale); pentru celelalte care te privesc, cere unui administrator.
• Ștergerea contului: în aplicație, în partea de jos a Setărilor, sub «Ieși», «Șterge contul».
• Retragerea permisiunii pentru citirea automată: în aplicație, Setări, «Citire automată».
• Retragerea acceptării regulii de vizibilitate: în aplicație, Setări, «Cine vede ce în casă», «Retrage»; sau scrie la supporto@casachelariu.com.
• Orice altceva: scrie la supporto@casachelariu.com.

Când ieși dintr-o casă, documentele rămân casei: ca să ieși singur trebuie mai întâi să descarci copia ta. Răspundem în termenele prevăzute de GDPR, de regulă în cel mult o lună.

Poți depune și o plângere la autoritatea de supraveghere din țara UE în care locuiești, de exemplu în România la ANSPDCP (www.dataprotection.ro), sau la autoritatea italiană, Garante per la protezione dei dati personali (www.garanteprivacy.it).

Modificări

Când se schimbă ceva important, actualizăm această pagină și data de sus.