Informativa sulla Privacy

1. Titolare del trattamento

Il Titolare del trattamento può essere contattato per qualsiasi richiesta relativa al trattamento dei dati personali utilizzando i recapiti sopra indicati.

2. Categorie di dati personali trattati

La Piattaforma raccoglie e tratta le seguenti categorie di dati personali:

a) Dati di navigazione

I sistemi informatici preposti al funzionamento della Piattaforma acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell’uso dei protocolli di comunicazione Internet. In questa categoria rientrano: indirizzi IP, tipo di browser, sistema operativo, nome di dominio e indirizzi dei siti web da cui è stato effettuato l’accesso o l’uscita, informazioni sulle pagine visitate all’interno della Piattaforma, orario di accesso, permanenza sulla singola pagina, analisi del percorso interno e altri parametri relativi al sistema operativo e all’ambiente informatico dell’Utente.

b) Dati forniti volontariamente dall’Utente

• Indirizzo email per la registrazione e l’autenticazione degli Amministratori
• Credenziali di accesso (la password è conservata esclusivamente in forma di hash crittografico e non è mai memorizzata in chiaro)
• Qualsiasi ulteriore dato personale eventualmente contenuto nei file caricati dall’Utente sulla Piattaforma

c) Dati di log e audit

• Indirizzo IP e user-agent del dispositivo utilizzato per l’accesso
• Timestamp e dettagli delle azioni eseguite sulla Piattaforma (upload, download, condivisione, gestione aree client)
• Statistiche di download e visualizzazione delle pagine
• Dati relativi ai tentativi di accesso (riusciti e non riusciti)

3. Finalità e base giuridica del trattamento

a) Erogazione del Servizio

Base giuridica: esecuzione del contratto o di misure precontrattuali (art. 6, par. 1, lett. b) GDPR).

• Autenticazione e gestione degli accessi alle aree riservate
• Caricamento, archiviazione e distribuzione dei file
• Gestione delle aree client e dei link condivisi
• Invio di comunicazioni operative (email di verifica, notifiche di upload, alert di sicurezza)

b) Sicurezza della Piattaforma

Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f) GDPR). Il legittimo interesse consiste nella necessità di garantire la sicurezza, l’integrità e la disponibilità della Piattaforma e dei dati in essa contenuti.

• Prevenzione di accessi non autorizzati e attività fraudolente
• Rate limiting e protezione da attacchi brute-force
• Registrazione degli accessi e delle attività (audit trail)
• Blocco temporaneo degli account in caso di attività sospetta
• Rilevamento e risposta a incidenti di sicurezza

c) Analisi e miglioramento del Servizio

Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f) GDPR). Il legittimo interesse consiste nella necessità di monitorare le performance del Servizio e migliorare l’esperienza d’uso.

• Statistiche aggregate sull’utilizzo della Piattaforma
• Analisi delle performance e ottimizzazione del Servizio
• Geolocalizzazione approssimativa degli accessi a fini esclusivamente statistici

d) Adempimento di obblighi di legge

Base giuridica: adempimento di un obbligo legale al quale è soggetto il Titolare (art. 6, par. 1, lett. c) GDPR).

• Conservazione dei log di accesso ai sensi della normativa vigente
• Adempimenti fiscali, contabili e amministrativi

4. Modalità di trattamento e misure di sicurezza

Il trattamento dei dati personali è effettuato mediante strumenti informatici e telematici, con logiche strettamente correlate alle finalità sopra indicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati stessi. Sono adottate le seguenti misure di sicurezza tecniche e organizzative ai sensi dell’art. 32 GDPR:

• Cifratura delle credenziali di autenticazione mediante algoritmo bcrypt con fattore di costo elevato
• Comunicazioni cifrate tramite protocollo TLS/HTTPS su tutte le connessioni
• Controllo degli accessi basato su sessioni con token crittografici a scadenza
• Meccanismi di rate limiting per la prevenzione di attacchi brute-force
• Blocco temporaneo degli account dopo tentativi di accesso falliti consecutivi
• Registrazione immutabile delle attività amministrative con tracciamento di IP e dispositivo
• Intestazioni di sicurezza HTTP (HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy)
• Backup periodici dei dati con politiche di conservazione e rotazione definite
• Architettura applicativa con separazione logica degli ambienti e principio del minimo privilegio

5. Luogo di trattamento e destinatari dei dati

I dati personali sono trattati presso la sede del Titolare e presso i data center dei fornitori di servizi di seguito indicati, tutti operanti in qualità di Responsabili del trattamento ai sensi dell’art. 28 GDPR, con i quali sono stati sottoscritti appositi accordi per il trattamento dei dati.

a) Servizi di archiviazione file (Object Storage)

I file caricati sulla Piattaforma sono conservati su infrastruttura di archiviazione distribuita S3-compatibile con data center situati nell’Unione Europea. I dati non lasciano il territorio dell’Unione Europea.

b) Servizi di invio email transazionali

Per l’invio di email transazionali (verifiche di identità, notifiche operative, alert di sicurezza) la Piattaforma si avvale di fornitori terzi specializzati. Qualora il trattamento comporti il trasferimento dei dati verso paesi situati al di fuori dello Spazio Economico Europeo, sono garantite adeguate garanzie ai sensi degli artt. 46-49 GDPR, ivi incluse le Clausole Contrattuali Standard approvate dalla Commissione Europea, decisioni di adeguatezza, o altre garanzie appropriate previste dalla normativa vigente.

c) Servizi di hosting e infrastruttura

La Piattaforma è ospitata su server dedicati con data center situati nell’Unione Europea. Il fornitore di infrastruttura opera in qualità di Responsabile del trattamento e garantisce misure di sicurezza fisiche e logiche adeguate.

d) Servizi di geolocalizzazione IP

Per le funzionalità di analisi statistica della dashboard amministrativa, l’indirizzo IP degli accessi può essere elaborato da servizi terzi al solo fine di determinare la localizzazione geografica approssimativa (a livello di città o regione). Tale elaborazione avviene in tempo reale e il dato di geolocalizzazione è utilizzato esclusivamente in forma aggregata a fini statistici.

Al di fuori dei casi sopra descritti, i dati personali non sono comunicati a terzi, diffusi, o trasferiti a soggetti diversi da quelli indicati, salvo che ciò sia richiesto dalla legge o da provvedimenti delle autorità competenti.

6. Periodo di conservazione dei dati

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti, nel rispetto del principio di limitazione della conservazione (art. 5, par. 1, lett. e) GDPR). In particolare:

• Dati di account amministratore: per tutta la durata dell’account attivo e per 12 mesi successivi alla cancellazione, per finalità di sicurezza e audit
• Dati di sessione: per la durata della sessione attiva (predefinita: 12 ore) e successivamente eliminati in modo automatico
• Log delle attività (audit trail): per 24 mesi dalla data di registrazione dell’evento
• Statistiche di download e visualizzazione: per 24 mesi dalla data di registrazione
• Dati di rate limiting: per la durata della finestra temporale di protezione (massimo 2 ore) e successivamente eliminati
• File caricati: per la durata stabilita dalla configurazione dell’area client o fino alla cancellazione da parte dell’Amministratore
• Link condivisi: fino alla data di scadenza impostata o fino alla revoca da parte dell’Amministratore

Decorsi i termini di conservazione sopra indicati, i dati sono cancellati in modo sicuro o resi anonimi in modo irreversibile.

7. Diritti dell’interessato

In qualità di interessato, ai sensi degli artt. 15-22 del GDPR, Lei ha il diritto di:

• Accesso (art. 15 GDPR): ottenere conferma dell’esistenza di un trattamento di dati che La riguardano, l’accesso ai dati stessi e le informazioni relative al trattamento
• Rettifica (art. 16 GDPR): ottenere la correzione dei dati inesatti che La riguardano o l’integrazione dei dati incompleti
• Cancellazione (art. 17 GDPR): ottenere la cancellazione dei dati che La riguardano, nei casi previsti dalla normativa (“diritto all’oblio”)
• Limitazione (art. 18 GDPR): ottenere la limitazione del trattamento nei casi previsti dalla normativa
• Portabilità (art. 20 GDPR): ricevere i dati che La riguardano in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare senza impedimenti
• Opposizione (art. 21 GDPR): opporsi in qualsiasi momento al trattamento dei dati fondato sul legittimo interesse del Titolare, per motivi connessi alla Sua situazione particolare
• Revoca del consenso (art. 7 GDPR): revocare in qualsiasi momento il consenso eventualmente prestato, senza che ciò pregiudichi la liceità del trattamento basato sul consenso prima della revoca

8. Modalità di esercizio dei diritti

Per esercitare i diritti sopra elencati, l’interessato può inviare una richiesta scritta al Titolare del trattamento utilizzando i seguenti recapiti:

Il Titolare si impegna a fornire riscontro alla richiesta dell’interessato senza ingiustificato ritardo e, in ogni caso, entro 30 giorni dal ricevimento della richiesta. Tale termine può essere prorogato di ulteriori 60 giorni, ove necessario, tenuto conto della complessità e del numero delle richieste pervenute. In tal caso, il Titolare informerà l’interessato della proroga e dei motivi del ritardo entro 30 giorni dal ricevimento della richiesta iniziale.

L’esercizio dei diritti è gratuito. Tuttavia, in caso di richieste manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il Titolare potrà addebitare un contributo spese ragionevole o rifiutare di soddisfare la richiesta, ai sensi dell’art. 12, par. 5, GDPR.

9. Diritto di reclamo all’autorità di controllo

L’interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione del GDPR ha il diritto di proporre reclamo all’autorità di controllo competente, ai sensi dell’art. 77 GDPR. In Italia, l’autorità di controllo è:

10. Natura del conferimento dei dati

Il conferimento dei dati di navigazione è necessario per il funzionamento tecnico della Piattaforma. Il conferimento dei dati di autenticazione (indirizzo email e password) è necessario per l’accesso alle aree riservate del Servizio. Il mancato conferimento di tali dati comporta l’impossibilità tecnica di erogare il Servizio.

Il conferimento di ulteriori dati personali, eventualmente contenuti nei file caricati sulla Piattaforma, avviene su base volontaria e sotto l’esclusiva responsabilità dell’Utente che effettua il caricamento.

11. Processi decisionali automatizzati

La Piattaforma non effettua processi decisionali automatizzati, inclusa la profilazione, ai sensi dell’art. 22 GDPR. I meccanismi automatici di sicurezza (rate limiting, blocco temporaneo degli account) operano esclusivamente sulla base di parametri tecnici oggettivi e non comportano decisioni che producano effetti giuridici sull’interessato.

12. Cookie

Per informazioni dettagliate sui cookie utilizzati dalla Piattaforma, si prega di consultare la Cookie Policy.

13. Modifiche alla presente Informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente Informativa in qualsiasi momento, dandone adeguata comunicazione agli Utenti registrati. In caso di modifiche sostanziali che incidano sulle modalità di trattamento dei dati personali, sarà fornita comunicazione individuale via email agli Amministratori registrati. La versione aggiornata dell’Informativa è sempre consultabile sulla Piattaforma, con indicazione della data di ultimo aggiornamento.

L’utilizzo continuativo della Piattaforma successivamente alla pubblicazione delle modifiche costituisce presa d’atto delle stesse.

14. Riferimenti normativi

• Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 (GDPR)
• D.Lgs. 30 giugno 2003 n. 196 — Codice in materia di protezione dei dati personali, come modificato dal D.Lgs. 10 agosto 2018 n. 101
• Provvedimenti e Linee Guida del Garante per la Protezione dei Dati Personali
• Direttiva 2002/58/CE relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (Direttiva ePrivacy)