Informativa sulla privacy

1. Chi tratta i dati

Il titolare del trattamento è Ing. Alessio Sanavio, Corso di Porta Nuova 15, 20121 Milano (P. IVA 04464310962).

Per ogni domanda sui vostri dati e per esercitare i vostri diritti potete scrivere a [email protected] oppure usare la pagina Contatti.

2. Quali dati trattiamo

• Dati dell'account: nome e cognome, email di lavoro, ruolo in azienda, password (conservata solo in forma cifrata non reversibile), data dell'ultimo accesso.
• Dati dell'azienda: nome, settore, dimensione, città, sito.
• Contenuti del percorso: tutto quello che scrivete nelle tappe (inquadramento, punto di contatto, inventario, fornitori, misure, incidenti, verbali, registri) e i documenti che ne nascono.
• File caricati come prove o nello scadenzario: fogli presenze, attestati, report, contratti, certificati, anche quelli caricati dai vostri fornitori con il loro link.
• Dati dei fornitori che inserite: nome dell'azienda, referente, email e telefono, usati per mandare loro il link e gli avvisi di scadenza dei documenti che vi forniscono.
• Richieste di contatto: nome, email, telefono se lo indicate, e il testo del messaggio.
• Richieste del webinar «NIS2 in pratica»: nome e cognome, email, azienda, ruolo, telefono se lo indicate, la pagina o la campagna da cui siete arrivati, quando aprite il link personale e quanta parte del webinar guardate (percentuale e capitoli). Se date il consenso facoltativo alle comunicazioni commerciali conserviamo anche, come prova, il testo che avete accettato, la data e l'ora, l'indirizzo IP e il tipo di browser. Per ogni richiesta arriva un avviso con questi dati alla casella dei contatti del titolare.
• Dati tecnici: indirizzo IP, data e ora delle richieste, tipo di browser, registrati nei log del server per la sicurezza e la diagnosi dei guasti.
• Registro delle attività: per ogni azione nell'area riservata (creare, modificare o eliminare un dato, caricare o scaricare un file, esportare, approvare, accedere, uscire, sbagliare la password o il codice) registriamo chi l'ha fatta (nome, email e ruolo in quel momento, oppure il fornitore dal suo link, oppure il sistema), quando, su cosa, i valori prima e dopo la modifica, l'indirizzo IP, il tipo di browser e un'impronta della sessione. Password, codici, token e chiavi non vengono mai registrati in chiaro.

Non usiamo i dati dell'account e i contenuti del percorso per profilazione o pubblicità. Non vendiamo i dati e non li usiamo per addestrare sistemi di intelligenza artificiale. Le comunicazioni commerciali partono solo verso chi ha dato il consenso dal modulo del webinar.

3. Perché li trattiamo e su quale base

Finalità	Base giuridica
Creare l'account e fornirvi il servizio	Esecuzione del contratto (art. 6.1.b)
Rispondere alle richieste di informazioni e assistenza	Misure precontrattuali e contratto (art. 6.1.b)
Webinar: mandarvi il link personale, confermare che l'email è vostra e farvi guardare il webinar	Esecuzione della vostra richiesta (art. 6.1.b)
Webinar: sapere quanta parte ne avete guardato e da dove siete arrivati, per migliorarlo e capire quali argomenti interessano	Legittimo interesse (art. 6.1.f); potete opporvi in ogni momento scrivendoci
Solo con il vostro consenso: aggiornamenti sulla NIS2, inviti a webinar e proposte commerciali via email	Consenso (art. 6.1.a e art. 130 del Codice privacy), facoltativo e revocabile in ogni momento. L'accesso al webinar non dipende da questo consenso, e vale solo dopo che avete confermato l'email aprendo il link
Email di servizio: recupero password, inviti, promemoria e avvisi delle scadenze (anche ai fornitori indicati da voi)	Esecuzione del contratto (art. 6.1.b); i promemoria si possono disattivare dall'account
Sicurezza del servizio, prevenzione degli abusi, diagnosi dei guasti	Legittimo interesse (art. 6.1.f)
Registro delle attività: sicurezza dei dati (art. 32 GDPR) e prova di chi ha fatto cosa, per voi, per noi e verso terzi (autorità, revisori, giudici), anche per la tracciabilità richiesta dalla NIS2	Legittimo interesse del titolare e della vostra azienda a poter dimostrare le operazioni (art. 6.1.f)
Obblighi fiscali e contabili, se il servizio è a pagamento	Obbligo di legge (art. 6.1.c)

4. I contenuti che inserite voi

Nei contenuti del percorso e nei file caricati possono comparire dati personali di altre persone: per esempio i nomi dei colleghi nel registro della formazione, del punto di contatto o dei referenti dei fornitori. Per questi dati il titolare del trattamento è la vostra azienda, che decide cosa inserire e perché; noi li trattiamo soltanto per vostro conto, come responsabile del trattamento (art. 28 GDPR), per conservarli e mostrarveli. Vi chiediamo di inserire solo i dati necessari e di non caricare categorie particolari di dati (salute, opinioni, dati giudiziari).

5. Dove stanno i dati e chi li vede

I dati sono conservati su server gestiti dal titolare presso Oracle Cloud Infrastructure, a Milano. Le copie di sicurezza vanno su un server separato di Hetzner Online GmbH, nell'Unione europea. Prima di essere salvato, ogni file caricato viene analizzato da un server antivirus gestito dal titolare. I file sono salvati cifrati; le chiavi che li proteggono sono custodite da un servizio separato di Cloudflare, Inc., che riceve soltanto il numero interno della vostra azienda e le chiavi dei singoli file: mai i file, i loro nomi o altri dati personali. I dati personali non vengono trasferiti fuori dall'Unione Europea. Possono accedervi solo le persone autorizzate dal titolare per l'amministrazione e l'assistenza tecnica del servizio, tenute alla riservatezza. All'interno della vostra azienda, i contenuti sono visibili ai colleghi che avete invitato.

Ogni azienda vede soltanto i propri dati. Le connessioni sono cifrate.

Controllo antispam dei moduli pubblici. Quando usate il modulo contatti, quello del webinar, la registrazione o la richiesta di una nuova password, un controllo di Cloudflare Turnstile (Cloudflare, Inc.) verifica che a compilarli sia una persona e non un programma automatico. Per farlo Cloudflare riceve l'indirizzo IP e alcune caratteristiche tecniche del browser; non riceve ciò che scrivete nel modulo e non installa cookie di profilazione. È un nostro legittimo interesse proteggere il servizio dagli abusi (art. 6.1.f GDPR). Cloudflare può trattare questi dati anche fuori dall'Unione europea, con le garanzie previste dal GDPR (EU-US Data Privacy Framework).

Il registro delle attività lo consultano il titolare della vostra azienda (solo per la vostra azienda) e gli amministratori del servizio; anche le loro consultazioni e le loro azioni sulla vostra azienda finiscono nel registro. Le righe non si possono modificare né cancellare, nemmeno da noi: ognuna contiene l'impronta della precedente e ogni giorno la catena riceve una marca temporale da un'autorità di certificazione pubblica (oggi DigiCert, con Sectigo e FreeTSA di riserva). All'autorità arriva soltanto un'impronta numerica (hash), che non contiene e non permette di ricavare nessun dato. Se la vostra azienda viene cancellata, il suo registro resta per il periodo indicato al punto 6.

Fa eccezione la navigazione sulle pagine pubbliche del sito: solo se date il consenso, alcuni dati di navigazione (indirizzo IP, pagine viste, identificativi dei cookie) vengono raccolti con strumenti di statistiche forniti da: Google Ireland Ltd. Alcuni di questi fornitori possono trasferire i dati fuori dall'Unione europea, con le garanzie previste dal GDPR. La base giuridica è il vostro consenso, che potete revocare in ogni momento. I contenuti che inserite nell'area riservata non vengono mai condivisi con questi fornitori.

6. Per quanto tempo

• Account e contenuti: finché l'account dell'azienda resta attivo. Potete esportare tutto o cancellare l'azienda in qualsiasi momento dalla pagina «I dati dell'azienda»; la cancellazione è immediata e definitiva.
• Richieste di contatto: per il tempo necessario a rispondervi e comunque non oltre 24 mesi.
• Richieste del webinar: 12 mesi dall'ultimo contatto (l'ultima richiesta, apertura del link o visione). Se avete dato il consenso commerciale e confermato l'email, 24 mesi dall'ultimo contatto. Poi vengono cancellate in automatico. Se revocate il consenso, smettiamo subito di mandarvi comunicazioni commerciali e vale di nuovo il termine di 12 mesi. La richiesta, il consenso e la sua revoca restano anche nel registro delle attività, come prova (art. 7.1 GDPR), per il periodo indicato qui sotto.
• Log tecnici: per un periodo limitato, di norma non oltre 12 mesi.
• Registro delle attività: 5 anni da ogni evento, anche dopo la cancellazione dell'account o dell'azienda, perché è il termine entro cui un'autorità può contestare un adempimento e sanzionarlo (art. 28 della legge 689/1981, che vale anche per le sanzioni NIS2). Poi le righe vengono tolte.
• Copie di sicurezza: i dati cancellati possono restare nelle copie di sicurezza fino alla loro naturale sovrascrittura.

7. I vostri diritti

Potete chiedere in ogni momento di accedere ai vostri dati, farli correggere o cancellare, limitarne il trattamento, opporvi al trattamento basato sul legittimo interesse e ricevere i dati in un formato leggibile da un altro sistema (portabilità). Basta scrivere all'indirizzo indicato al punto 1: rispondiamo entro un mese.

Il consenso alle comunicazioni commerciali si revoca in ogni momento, con il link in fondo a ogni nostra email commerciale oppure scrivendoci: la revoca vale da subito, non tocca quello che è avvenuto prima (art. 7.3 GDPR) e non toglie l'accesso al webinar.

Per il registro delle attività il diritto di accesso si esercita con l'estratto (il titolare lo scarica dalla pagina «Registro attività»; gli altri utenti possono chiederlo a noi). Le righe non si correggono e non si cancellano prima del termine, perché servono come prova (art. 17.3.e GDPR): se un dato è sbagliato, si aggiunge una nota.

Se ritenete che il trattamento violi la normativa, potete presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

8. Obbligo di fornire i dati

Nome, email e password sono necessari per creare l'account: senza non possiamo fornire il servizio. Tutti gli altri dati li inserite voi liberamente, man mano che seguite il percorso.

Per il webinar servono nome, email, azienda e ruolo: senza non possiamo mandarvi il link. Il telefono e il consenso alle comunicazioni commerciali sono facoltativi.

9. Cookie

Il servizio usa cookie tecnici e, solo con il vostro consenso, cookie di terze parti sulle pagine pubbliche. I dettagli sono nella pagina sui cookie.

10. Modifiche

Se questa informativa cambia in modo rilevante, lo segnaliamo agli utenti registrati. La data in alto indica l'ultima revisione.