Privacy
Informativa sul trattamento dei dati personali — Portale ANIS
Premessa
La presente informativa, resa ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR), descrive come vengono trattati i dati personali degli utenti del portale ANIS. Il portale è un'area riservata, destinata al personale dell'associazione e ai referenti delle imprese associate o in fase di ammissione: l'accesso avviene solo con credenziali personali.
Titolare del trattamento
Il titolare del trattamento è ________________, con sede in ________________ (P.IVA ________________, C.F. ________________). Contatti: email ________________, PEC ________________, telefono ________________.
Non è stato nominato un Responsabile della protezione dei dati (DPO), non ricorrendo i presupposti previsti dall'art. 37 del GDPR. Per ogni richiesta relativa ai dati personali è possibile scrivere direttamente al titolare, ai recapiti indicati.
Dati trattati
Dati dell'account: nome, cognome, indirizzo email, ruolo, impresa di appartenenza, password (conservata solo in forma cifrata) e codici di accesso temporanei inviati via email.
Dati di accesso e di navigazione: indirizzo IP, data e ora, pagine richieste, tipo di browser e dispositivo, registrati dai sistemi informatici per il funzionamento e la sicurezza del portale.
Dati delle imprese e dei loro referenti inseriti o caricati sul portale: anagrafica, contatti, legali rappresentanti, sedi, committenti, documenti, rilevazioni su organico e veicoli, pagamenti, esito dell'iter di ammissione e di certificazione.
Comunicazioni scambiate con l'associazione tramite il portale o via email.
Registro delle attività: per sicurezza e tracciabilità il portale registra le operazioni compiute dagli utenti, dell'associazione e delle imprese (chi ha eseguito l'operazione, quando, di che operazione si tratta, su quale impresa e, per le modifiche, i valori prima e dopo).
Finalità e basi giuridiche
a) Gestire l'accesso al portale e il rapporto associativo, compreso l'iter di ammissione e di certificazione ANIS: esecuzione del rapporto associativo e di misure precontrattuali (art. 6, par. 1, lett. b GDPR).
b) Adempiere a obblighi di legge, in particolare contabili e fiscali: obbligo legale (art. 6, par. 1, lett. c GDPR).
c) Garantire la sicurezza del portale, prevenire accessi non autorizzati e abusi, tutelare i diritti dell'associazione: legittimo interesse (art. 6, par. 1, lett. f GDPR).
d) Elaborare rilevazioni statistiche sul settore, presentate in forma aggregata: legittimo interesse (art. 6, par. 1, lett. f GDPR).
e) Tenere traccia delle operazioni svolte sul portale (registro delle attività), per garantire la correttezza dei dati, la sicurezza e la possibilità di ricostruire chi ha compiuto un'operazione: legittimo interesse (art. 6, par. 1, lett. f GDPR).
Natura del conferimento
Il conferimento dei dati dell'account e dei dati dell'impresa è necessario per usare il portale e per gestire il rapporto associativo: senza di essi non è possibile fornire il servizio. I dati di accesso sono registrati automaticamente.
Destinatari dei dati
I dati sono trattati dal personale dell'associazione autorizzato, in base al proprio ruolo. Il registro delle attività è consultabile solo dal personale dell'associazione abilitato (amministratore, operatori e utenti di sola consultazione): le imprese non vi hanno accesso. Per il funzionamento del portale ci si avvale di fornitori che agiscono come responsabili del trattamento (art. 28 GDPR):
hosting e infrastruttura del portale: Vercel Inc. (applicazione eseguita in data center a Francoforte, Germania);
database: Prisma Postgres (Prisma Data, Inc.), in data center a Francoforte (Germania);
archiviazione dei file caricati: Vercel Blob, in data center a Francoforte (Germania);
invio delle email di servizio (codici di accesso, comunicazioni): Resend, Inc. [DA VERIFICARE: regione di invio impostata su Resend].
I dati possono inoltre essere comunicati a consulenti dell'associazione, vincolati alla riservatezza, e ad autorità pubbliche quando previsto dalla legge. I dati non sono diffusi.
Trasferimenti verso Paesi extra UE
Applicazione, database e file caricati sono ospitati in data center situati nell'Unione europea (Francoforte, Germania). Alcuni fornitori (Vercel Inc., Prisma Data, Inc., Resend, Inc.) sono società con sede negli Stati Uniti: per eventuali accessi o trasferimenti legati all'erogazione del servizio (assistenza tecnica, invio delle email) si ricorre alla decisione di adeguatezza della Commissione europea sul EU-US Data Privacy Framework, per i fornitori che vi aderiscono, oppure alle clausole contrattuali standard approvate dalla Commissione europea. [DA VERIFICARE: strumento di trasferimento previsto dai contratti con ciascun fornitore.]
Tempi di conservazione
Account: per tutta la durata dell'utilizzo del portale; dopo la disattivazione, per il tempo necessario a tutelare i diritti dell'associazione.
Dati e documenti del rapporto associativo, contabili e fiscali: per la durata del rapporto e per 10 anni dopo la sua cessazione.
Registro delle attività: per la durata del rapporto associativo e per 10 anni dopo la sua cessazione.
Codici di accesso temporanei: pochi minuti, poi non più utilizzabili.
Registri tecnici di accesso (log): sono generati e conservati dall'infrastruttura di hosting per un periodo breve, da poche ore a pochi giorni a seconda del servizio, e poi cancellati automaticamente. Il portale non ne conserva una copia.
Messaggi di servizio inviati via email (codici di accesso, comunicazioni): restano nel registro del fornitore di invio per un periodo limitato, stabilito dal fornitore.
Sicurezza
Le password sono cifrate; l'accesso richiede un codice monouso inviato via email; la comunicazione con il portale è protetta (HTTPS); ogni utente vede solo i dati consentiti dal proprio ruolo; i file sono conservati in archivi non pubblici.
Cookie
Il portale usa solo cookie tecnici, necessari al funzionamento. Per i dettagli si veda la Cookie Policy.
Diritti dell'interessato
Ai sensi degli artt. 15-22 del GDPR è possibile chiedere l'accesso ai dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, e opporsi al trattamento fondato sul legittimo interesse. Le richieste vanno inviate a ________________ o alla PEC ________________. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
Aggiornamenti
L'associazione può modificare la presente informativa: la versione in vigore è sempre quella pubblicata in questa pagina.