Informativa sul trattamento dei dati personali
Ultimo aggiornamento: [DATA ULTIMO AGGIORNAMENTO]
La presente informativa è resa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 ("GDPR") e descrive come vengono trattati i dati personali di chi visita il sito pubblico di VISTÒ, di chi richiede una demo e degli utenti che accedono alla console del servizio.
1. Titolare del trattamento
Il titolare del trattamento è CapoWeb S.r.l. ("CapoWeb"), con sede legale in Via Mulino di Pile, 11 – 67100 L'Aquila (AQ), P.IVA 01633230667, PEC [PEC].
Per qualsiasi questione relativa ai dati personali è possibile scrivere a info@capoweb.it. [DATI DI CONTATTO DEL DPO, SE NOMINATO]
2. Ambito: quando CapoWeb è titolare e quando no
VISTÒ è un servizio che CapoWeb fornisce a organizzazioni abbonate (Comuni e altre pubbliche amministrazioni, catene di punti vendita, agenzie). Occorre distinguere due situazioni.
- CapoWeb è titolare dei trattamenti descritti in questa informativa: navigazione del sito pubblico, richieste di demo, gestione degli account della console per finalità di sicurezza, assistenza e gestione del rapporto contrattuale con l'organizzazione abbonata.
- CapoWeb è responsabile del trattamento (art. 28 GDPR) per i dati che le organizzazioni abbonate inseriscono nella console e diffondono tramite il servizio (contenuti delle campagne, anagrafiche dei punti vendita e dei loro referenti, registro attività, dati di misurazione). Per questi dati il titolare è l'organizzazione abbonata, alla quale gli interessati possono rivolgersi.
Il portale cittadino pubblicato da un'organizzazione abbonata (indirizzi /city/...) è descritto da un'informativa propria resa dall'organizzazione stessa.
3. Dati trattati, finalità e basi giuridiche
3.1 Visitatori del sito pubblico
Il sito pubblico non richiede registrazione e non utilizza cookie di profilazione né strumenti di analisi statistica di terze parti (vedi l'informativa sui cookie).
Durante la navigazione i sistemi informatici acquisiscono alcuni dati tecnici necessari al funzionamento:
- nei log applicativi: data e ora della richiesta, metodo, percorso della pagina richiesta (senza parametri), esito e tempo di risposta. Per le normali richieste di pagina l'indirizzo IP non viene registrato nei log applicativi;
- nei log del server web: possono essere registrati l'indirizzo IP del visitatore, la pagina richiesta, il tipo di browser e l'esito della richiesta.
Finalità: erogare il sito, garantirne la sicurezza, individuare malfunzionamenti e abusi.
Base giuridica: legittimo interesse del titolare alla sicurezza e al corretto funzionamento dei propri sistemi (art. 6, par. 1, lett. f GDPR).
3.2 Richiesta di una demo
Chi compila il modulo "Richiedi una demo" fornisce: nome, organizzazione di appartenenza, indirizzo email, numero di telefono (facoltativo) e il messaggio. Il modulo viene inoltrato via email a CapoWeb e non viene salvato nel database del servizio.
Finalità: ricontattare il richiedente, organizzare la dimostrazione e fornire informazioni o un'offerta commerciale.
Base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b GDPR); quando il richiedente agisce per conto di un ente, legittimo interesse di CapoWeb a rispondere alle richieste ricevute (art. 6, par. 1, lett. f GDPR).
Il conferimento di nome, organizzazione ed email è necessario per ricevere risposta; il telefono è facoltativo. I dati non sono usati per newsletter o comunicazioni promozionali successive senza un consenso specifico.
3.3 Utenti della console
Gli utenti della console sono persone (dipendenti, collaboratori, consulenti) autorizzate da un'organizzazione abbonata o da CapoWeb ad accedere al servizio. Per ciascun utente sono trattati:
- dati dell'account: nome visualizzato, indirizzo email (usato anche come nome utente), organizzazioni di appartenenza e ruolo in ciascuna, stato attivo o disattivato, data di creazione e data dell'ultimo accesso;
- credenziali: la password non viene mai conservata in chiaro, ma solo come impronta crittografica (hash con salt); sono inoltre conservati il conteggio dei tentativi di accesso falliti e l'eventuale blocco temporaneo dell'account;
- log di sicurezza: per ogni accesso riuscito sono registrati email, data, ora e indirizzo IP; per ogni accesso non riuscito data, ora, esito e indirizzo IP;
- registro attività: accessi, accessi non riusciti, cambi di organizzazione, cambi di password e modifiche ai dati della console, con indicazione di chi ha agito (email), cosa è stato fatto e quando;
- dati tecnici di sessione: un cookie tecnico di autenticazione e un cookie di protezione dei moduli (vedi l'informativa sui cookie).
Finalità e basi giuridiche:
- consentire l'accesso al servizio e gestire gli account, in esecuzione del contratto con l'organizzazione abbonata (art. 6, par. 1, lett. b GDPR, quando l'utente è parte del rapporto; altrimenti legittimo interesse di CapoWeb e dell'organizzazione abbonata a dare esecuzione al contratto, art. 6, par. 1, lett. f GDPR);
- proteggere il servizio da accessi non autorizzati e abusi, ricostruire eventuali incidenti di sicurezza: legittimo interesse (art. 6, par. 1, lett. f GDPR) e adempimento degli obblighi di sicurezza dell'art. 32 GDPR (art. 6, par. 1, lett. c GDPR);
- fornire assistenza tecnica su richiesta dell'utente o dell'organizzazione: esecuzione del contratto;
- inviare comunicazioni di servizio (inviti, reimpostazione della password, avvisi tecnici): esecuzione del contratto.
3.4 Referenti contrattuali e amministrativi
Per la gestione del rapporto con le organizzazioni abbonate (offerte, contratti, fatturazione, solleciti) CapoWeb tratta i dati di contatto dei referenti indicati dall'organizzazione (nome, ruolo, email, telefono). Base giuridica: esecuzione del contratto e adempimento di obblighi di legge, in particolare fiscali e contabili (art. 6, par. 1, lett. b e c GDPR).
4. Modalità del trattamento e sicurezza
I dati sono trattati con strumenti informatici, da personale autorizzato e istruito, con misure tecniche e organizzative adeguate. Tra queste: connessioni cifrate HTTPS, password conservate solo come hash, blocco temporaneo dell'account dopo 5 tentativi falliti, limitazione del numero di tentativi di accesso, separazione dei dati tra le organizzazioni abbonate, cifratura delle chiavi e dei token di integrazione, registro delle attività.
Non vengono effettuati processi decisionali automatizzati né profilazione.
5. Destinatari dei dati
I dati possono essere comunicati, nei limiti strettamente necessari, a:
- fornitori di servizi infrastrutturali che agiscono come responsabili del trattamento per conto di CapoWeb: Aruba S.p.A. (data center in Italia che ospita i server del servizio, gestiti da CapoWeb) e il fornitore del servizio di posta elettronica usato per l'invio delle email di servizio e la ricezione delle richieste di demo (Aruba S.p.A.);
- organizzazione abbonata di cui l'utente fa parte: i suoi amministratori vedono l'elenco degli utenti dell'organizzazione e il registro attività;
- consulenti e professionisti (ad esempio commercialisti e legali), vincolati alla riservatezza, per la gestione amministrativa e la tutela dei diritti;
- autorità pubbliche, quando previsto dalla legge.
Durante l'uso delle mappe nella console, il browser dell'utente scarica le immagini delle mappe direttamente dai server di OpenStreetMap Foundation oppure, se l'organizzazione utilizza le mappe Google, da Google; questi soggetti ricevono quindi l'indirizzo IP dell'utente e trattano i dati secondo le proprie informative.
I dati non sono diffusi né venduti.
6. Trasferimenti fuori dallo Spazio Economico Europeo
I server del servizio si trovano in Italia. Un trasferimento verso paesi terzi può avvenire solo nei casi seguenti:
- caricamento delle mappe da OpenStreetMap Foundation (Regno Unito, paese oggetto di decisione di adeguatezza della Commissione europea);
- uso delle mappe Google, quando attivato dall'organizzazione abbonata (Google può trattare dati negli Stati Uniti, sulla base del Data Privacy Framework UE-USA o delle clausole contrattuali tipo).
7. Tempi di conservazione
| Dati | Conservazione |
|---|---|
| Log applicativi (inclusi i log di accesso con email e IP) | 30 giorni, poi cancellati automaticamente |
| Log del server web | [PERIODO DI CONSERVAZIONE LOG DEL SERVER WEB] |
| Richieste di demo | fino a [12] mesi dall'ultimo contatto, salvo che ne derivi un contratto |
| Account della console | per la durata del rapporto con l'organizzazione abbonata; alla cessazione secondo quanto previsto dall'accordo sul trattamento dei dati |
| Registro attività | per la durata del rapporto con l'organizzazione abbonata; alla cessazione secondo quanto previsto dall'accordo sul trattamento dei dati |
| Dati contrattuali e di fatturazione | 10 anni, come previsto dalla normativa civilistica e fiscale |
| Copie di backup | fino a [PERIODO DI ROTAZIONE DEI BACKUP], poi sovrascritte |
8. Diritti degli interessati
L'interessato può esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione al trattamento basato sul legittimo interesse.
Le richieste vanno inviate a info@capoweb.it o via PEC a [PEC]. CapoWeb risponde entro un mese, prorogabile nei casi previsti dall'art. 12 GDPR. Se la richiesta riguarda dati trattati per conto di un'organizzazione abbonata, CapoWeb la inoltra senza ritardo all'organizzazione titolare e la assiste nella risposta.
L'interessato ha inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato membro in cui risiede o lavora.
9. Modifiche
La presente informativa può essere aggiornata per adeguarla a modifiche del servizio o della normativa. La versione in vigore è sempre pubblicata a questo indirizzo, con la data dell'ultimo aggiornamento.