Governance dei dati
Come gestiamo i dati della sua filiera.
Questa pagina è la dichiarazione pubblica di Tracebud sulla governance dei dati per acquirenti, partner e verifiche di approvvigionamento. Si affianca alla nostra informativa sulla privacy e alla panoramica su dati e sicurezza.
Ambito
Che cosa copre.
Tracebud AS (Oslo, Norvegia) fornisce una app di campo incentrata sull'EUDR, un dashboard per le organizzazioni e un'API. Trattiamo dati personali e operativi affinché agricoltori, cooperative e acquirenti possano mappare gli appezzamenti, conservare le evidenze e preparare le dichiarazioni di due diligence.
Proprietà
Agricoltori e organizzazioni sono proprietari dei propri dati.
- Gli appezzamenti, i documenti e le ricevute di consegna di un produttore appartengono al produttore. Li conserva nella propria app e può portarli a un altro acquirente.
- Elenchi dei membri, lotti, sigilli e presentazioni appartengono all'organizzazione che li ha creati. L'esportazione è disponibile; lasciare Tracebud non significa perdere i propri dati.
- Tracebud è il vettore, non il proprietario. Non vendiamo i dati di filiera dei clienti né li usiamo per fissare prezzi a suo danno.
Consenso
La condivisione segue il consenso a registro.
I dati attraversano i confini tra organizzazioni solo con il consenso allegato (per esempio una spedizione sigillata o una concessione esplicita). Gli agricoltori possono rivedere e gestire la condivisione tramite il portafoglio dei consensi su app.tracebud.com. Gli utenti della scrivania richiedono e rispettano tali concessioni.
Portafoglio dei consensi (agricoltori)Sub-responsabili del trattamento
Chi tratta i dati per noi.
Il database principale, l'autenticazione, l'API, il Redis per il rate limiting e le Vercel Functions funzionano nell'UE: Supabase Francoforte (eu-central-1), Railway EU West per api.tracebud.com, Upstash Redis eu-central-1 e Vercel Functions a Francoforte (fra1). L'acquisizione del monitoraggio errori usa Sentry Germania. I responsabili residui al di fuori del SEE includono Twilio (OTP via SMS), Expo/Apple/Google (push e OTA) e Notion (strumenti pilota). La CDN Edge di Vercel resta multi-regione. Non affermiamo che ogni responsabile del trattamento sia solo UE.
I responsabili attivi includono Supabase (database, autenticazione, archiviazione), Railway (hosting dell'API), Vercel (marketing e dashboard), Sentry (monitoraggio errori con rimozione dei dati personali), Expo/EAS (build mobili e OTA), Apple APNs e Google FCM (token push) e Twilio Verify (OTP telefonico). I responsabili facoltativi, come Resend (e-mail) o Stripe (fatturazione), vengono utilizzati quando tali funzioni sono attive.
Un registro più completo è mantenuto internamente per i DPA dei clienti. Questionari di approvvigionamento: hello@tracebud.com.
Conservazione e cancellazione
Conservare ciò che la legge richiede; distruggere ciò che consente.
Gli strumenti di cancellazione dell'account e di distruzione crittografica sono implementati per i campi personali dove la normativa sulla conservazione lo consente. L'EUDR e i relativi obblighi di conservazione possono richiedere di mantenere alcuni riferimenti di conformità. Le richieste di esportazione e di rettifica vengono rispettate. Le dichiarazioni assolute di «certificazione GDPR» sono riservate fino all'approvazione del consulente legale.
Livello di sicurezza
I controlli che applichiamo oggi.
TLS in transito, cifratura a riposo del fornitore, isolamento tra clienti, accesso limitato per ruolo, registri di audit per le azioni di conformità, limitazione della frequenza delle richieste e CAPTCHA sulle superfici di autenticazione. La certificazione indipendente (SOC 2, ISO 27001) è nella roadmap: non è una certificazione attuale.