Questa è una traduzione. In caso di differenze rispetto al testo inglese, prevale il testo inglese. Le sezioni per gli utenti negli Stati Uniti sono solo in inglese.
Queste condizioni descrivono come screenme.science tratta i dati personali per conto di un’organizzazione che gestisce un programma di screening. Integrano la nostra Informativa sulla privacy e si applicano quando un partecipante prende parte tramite un datore di lavoro, una scuola, una scuola dell’infanzia, un’università, un corso o un altro programma. Insieme alle Condizioni per i coordinatori costituiscono l’accordo sul trattamento dei dati ai sensi dell’articolo 28 del GDPR.
1. Il nostro ruolo
Quando un partecipante prende parte tramite un programma, l’organizzazione che gestisce quel programma è il titolare del trattamento dei dati personali e decide quale screening viene effettuato e perché. screenme.science agisce in qualità di suo responsabile del trattamento e tratta i dati solo su sue istruzioni documentate — le impostazioni che il titolare sceglie nell’app e queste condizioni — salvo che la legge disponga diversamente, nel qual caso informiamo prima il titolare, a meno che la legge non lo vieti. Informiamo il titolare se riteniamo che un’istruzione violi la normativa sulla protezione dei dati.
Quando una persona utilizza screenme.science per conto proprio, senza far parte di un programma, screenme.science è il titolare del trattamento e si applica integralmente la nostra Informativa sulla privacy al posto di queste condizioni.
Gli screening che un visitatore paga tramite un link per visitatori non sono trattati per conto del titolare: per essi siamo noi il titolare del trattamento, come descritto nella nostra Informativa sulla privacy.
2. Che cosa trattiamo e perché
Categorie di dati: dati dell’account (nome, e-mail); la registrazione dello screening; le immagini fisse estratte da essa, compresi il volto del partecipante e il dispositivo per il test; la fotografia di riferimento registrata dal partecipante; il risultato e l’esito del test; e dati tecnici e di log.
Categorie di interessati: i partecipanti iscritti al programma del titolare e i coordinatori che lo amministrano.
Finalità: verificare che uno screening sia stato eseguito dal partecipante invitato, emettere una registrazione con marca temporale e rendere disponibile lo stato del programma ai suoi coordinatori.
Categorie particolari di dati: il confronto del volto tratta dati biometrici intesi a identificare in modo univoco una persona, e i risultati degli screening sono dati relativi alla salute.
Durata: per tutta la durata del contratto con il titolare, e i periodi di conservazione indicati nella sezione 7 della nostra Informativa sulla privacy.
Per la verifica dell’identità prima del primo screening di un partecipante: l’esito, il nome letto dal documento d’identità, l’ora della verifica e il riferimento del servizio di verifica.
3. Il consenso è responsabilità del titolare
Il titolare è responsabile di stabilire una base giuridica per il trattamento che dispone, compreso l’ottenimento del consenso esplicito del partecipante al controllo del volto ai sensi dell’articolo 9(2)(a) del GDPR, e di informare i partecipanti al riguardo.
Quando il partecipante è un minore, il titolare è responsabile di ottenere il consenso di chi esercita la responsabilità genitoriale e delle disposizioni che richiedono la presenza di un adulto durante lo screening.
Chiediamo a ciascun partecipante nell’app il consenso al riconoscimento facciale, separatamente dalle nostre Condizioni per i membri e prima che venga registrata una foto del volto, e registriamo quale versione del testo del consenso è stata mostrata e quando. Il partecipante può revocarlo nel proprio profilo in qualsiasi momento. Tale registrazione supporta l’obbligo del titolare; non lo sostituisce.
4. Sub-responsabili del trattamento
Il titolare ci autorizza a ricorrere ai seguenti sub-responsabili del trattamento:
Contabo GmbH — ospita i nostri server e il nostro database — ubicazione dei server: Francia (UE).
Cloudflare R2 (Cloudflare, Inc.) — archivia registrazioni, immagini fisse, foto del volto, certificati e backup — ubicazione dell’archiviazione: Europa (regione Europa orientale); il fornitore ha sede negli USA.
Amazon Web Services (Amazon Rekognition) — confronta il volto in uno screening con la foto di riferimento e verifica che le immagini mostrate ad altri non contengano alcun volto — Francoforte, Germania (UE).
TwelveLabs (Twelve Labs, Inc.) — analizza il video dello screening per verificare che i passaggi del test siano stati eseguiti — USA.
OpenRouter, Inc. — trasmette immagini fisse di uno screening, e testo, a modelli di IA di Google (Gemini) e OpenAI (GPT) per controllare la cassetta del test e il codice stampato su di essa, e per creare le istruzioni vocali — USA.
Anthropic, PBC (Claude) — valuta le descrizioni testuali di uno screening prodotte dall’analisi del video e smista i messaggi di feedback — USA.
Didit Identity Spain, S.L. (Barcellona, Spagna; didit.me) — verifica dell’identità prima del primo screening di una persona: controlla un documento d’identità e un selfie, compresi un controllo di vitalità e un confronto del selfie con la foto del documento. Il trattamento avviene nell’UE ed eventualmente in altri paesi, con garanzie adeguate. Didit conserva le immagini del documento d’identità e del selfie secondo le proprie regole di conservazione; noi conserviamo solo lo stato della verifica, il nome, l’ora della verifica e il riferimento Didit. Il ritratto del documento viene usato una sola volta per confrontarlo con la foto di riferimento e non viene conservato da noi.
Stripe — pagamenti, verifica delle carte di pagamento e pagamento delle commissioni ai coordinatori (Stripe Connect); non riceve alcun dato degli screening — Irlanda (UE) e USA.
SendGrid (Twilio Inc.) — invia i codici di accesso e le e-mail di notifica — USA.
Google — accesso con "Continua con Google", se lo utilizzi — USA. Cookie di Google Ads solo se li accetti (sezione 13).
Porkbun LLC — il nostro dominio e l’inoltro delle e-mail che invii a un indirizzo @screenme.science — USA.
Telegram — avvisi tecnici al gestore, che contengono identificativi interni ma nessun nome, immagine o risultato — al di fuori del SEE.
Il servizio push del tuo browser (Google, Mozilla o Apple) — recapita le notifiche push, solo se le attivi — al di fuori del SEE.
Imponiamo a ciascun sub-responsabile obblighi in materia di protezione dei dati che non offrono una tutela inferiore a queste condizioni e restiamo responsabili nei confronti del titolare per il loro adempimento. Informeremo il titolare prima di aggiungere o sostituire un sub-responsabile, e il titolare può opporsi per ragionevoli motivi di protezione dei dati.
Quando un sub-responsabile tratta dati al di fuori dello Spazio economico europeo, il trasferimento avviene sulla base delle clausole contrattuali tipo della Commissione europea o di un altro meccanismo di trasferimento riconosciuto dal GDPR.
5. Riservatezza
Chiunque autorizziamo a trattare i dati personali del titolare — il gestore e qualsiasi revisore che lavori per noi — è vincolato alla riservatezza, per contratto o per legge, e tratta i dati solo su istruzione del titolare. Tale obbligo permane dopo la cessazione della loro attività per noi.
6. Misure tecniche e organizzative
Proteggiamo i dati personali con le seguenti misure, che manteniamo aggiornate:
Crittografia in transito: ogni connessione a screenme.science e alla sua API è crittografata con TLS. Le connessioni non crittografate vengono reindirizzate e ai browser viene indicato di utilizzare solo connessioni crittografate (HSTS).
Crittografia a riposo: registrazioni, immagini fisse, foto del volto e backup sono archiviati presso il nostro fornitore di archiviazione, che li crittografa a riposo.
Nessun link pubblico ai contenuti multimediali: registrazioni e immagini non sono mai accessibili pubblicamente. L’app e i nostri revisori le aprono solo tramite link firmati che scadono al massimo dopo un’ora, e per le immagini fisse dopo cinque minuti.
Accesso limitato e registrato: solo un numero ristretto di revisori, che accedono con un account Google approvato, può aprire i contenuti multimediali degli screening, e solo per gli screening che richiedono la revisione da parte di una persona. Ogni visualizzazione di un’immagine del volto viene registrata con il revisore e l’ora, e le richieste di registrazioni vengono annotate nel log degli accessi del nostro server. I coordinatori non possono aprire il video di uno screening né alcuna immagine del volto di un membro.
Accesso limitato al database: l’applicazione utilizza un account del database che può solo leggere e scrivere record. Non può modificare la struttura del database né gestire altri account.
Backup: il database viene sottoposto a backup ogni notte e ogni backup viene verificato. Le copie sono conservate sul server, leggibili solo dal gestore, e presso il nostro fornitore di archiviazione, crittografate a riposo.
Accesso: non ci sono password da rubare — accedi con un codice monouso inviato alla tua e-mail, oppure con Google. Un accesso scade dopo 12 ore. Le richieste sono soggette a limiti di frequenza e il sito invia intestazioni di sicurezza rigorose.
Eliminazione: i contenuti multimediali degli screening vengono eliminati automaticamente secondo il calendario indicato nella sezione 7.
7. Assistenza al titolare
Tenendo conto della natura del trattamento, assistiamo il titolare, con misure tecniche e organizzative adeguate, nel rispondere alle richieste dei partecipanti che esercitano i loro diritti ai sensi del capo III del GDPR — ad esempio fornendo un’esportazione dei dati di un partecipante, rettificandoli o cancellandoli su istruzione del titolare. Se un partecipante ci contatta direttamente in merito a dati che trattiamo per il titolare, inoltriamo la richiesta al titolare senza ingiustificato ritardo e non vi rispondiamo direttamente, salvo istruzione del titolare in tal senso.
Assistiamo inoltre il titolare, con le informazioni a nostra disposizione, nell’adempimento dei suoi obblighi in materia di sicurezza, violazioni dei dati personali, valutazioni d’impatto sulla protezione dei dati e consultazione preventiva (articoli da 32 a 36 del GDPR).
8. Violazioni dei dati personali
Notifichiamo al titolare una violazione dei dati personali che riguardi i suoi dati senza ingiustificato ritardo, e al più tardi entro 48 ore dal momento in cui ne veniamo a conoscenza, tramite e-mail all’account del coordinatore. La notifica descrive, per quanto noto in quel momento, la natura della violazione, le categorie e il numero approssimativo di persone e di record interessati, le probabili conseguenze e le misure adottate o proposte. Forniamo ulteriori informazioni man mano che diventano disponibili e adottiamo le misure necessarie per contenere la violazione e limitarne le conseguenze.
9. Informazioni e audit
Su richiesta, mettiamo a disposizione del titolare le informazioni necessarie per dimostrare il rispetto dell’articolo 28 del GDPR, compresa una descrizione aggiornata delle nostre misure tecniche e organizzative e l’elenco dei sub-responsabili del trattamento. Il titolare può richiedere questa documentazione una volta all’anno e, in aggiunta, dopo una violazione dei dati personali o quando un’autorità di controllo lo richieda.
Quando tale documentazione non è sufficiente, consentiamo e contribuiamo alle attività di revisione, comprese le ispezioni, svolte dal titolare o da un revisore da esso incaricato e vincolato alla riservatezza, con un preavviso ragionevole e senza un pregiudizio sproporzionato per il servizio.
10. Cancellazione e restituzione al termine
Alla cessazione del contratto con il titolare cancelliamo i dati personali che deteniamo per suo conto, oppure li restituiamo, a scelta del titolare, salvo quando la legge ci impone di conservarli.
I periodi di conservazione durante il contratto sono indicati nella sezione 7 della nostra Informativa sulla privacy. Un partecipante che revoca il consenso al controllo del volto vede cancellata la propria fotografia di riferimento senza che il suo account venga chiuso.
11. Accordo firmato
Su richiesta è disponibile un accordo sul trattamento dei dati firmato ai sensi dell’articolo 28 del GDPR. Contattaci utilizzando i recapiti riportati di seguito.
Gestore
screenme.science · E-mail: [email protected]
Contatti
Per un accordo sul trattamento dei dati, la documentazione descritta nella sezione 9 o domande su queste condizioni, contattaci all’indirizzo [email protected].
Ultimo aggiornamento: 10 ottobre 2026