Informativa sul trattamento dei dati personali

Il Titolare del trattamento è INTASCA Società a Responsabilità Limitata Semplificata, in persona del legale rappresentante pro tempore, con sede legale in Via Nuova Poggioreale Torre 7 SNC, 80143 Napoli (NA), P.IVA/C.F. 11039821217, PEC [email protected].

INTASCA S.r.l.s., ove abbia provveduto alla nomina del Responsabile della Protezione dei Dati (RPD/DPO), rende disponibili i relativi recapiti presso la propria sede o tramite comunicazione scritta. Per qualsiasi richiesta relativa alla protezione dei dati personali è possibile contattare direttamente il Titolare all’indirizzo PEC sopra indicato.

I dati personali forniti da clienti, fornitori, collaboratori, professionisti e referenti aziendali saranno trattati per le seguenti finalità:

• esecuzione di contratti aventi ad oggetto servizi di sviluppo software, web-app, siti internet, gestionali e applicazioni digitali;
• erogazione di servizi di hosting, manutenzione, assistenza tecnica e supporto informatico;
• gestione dei servizi di fatturazione elettronica tramite Sistema di Interscambio (SdI);
• gestione di attività di marketing, comunicazione digitale e gestione dei canali social dei clienti;
• gestione amministrativa, contabile, fiscale e organizzativa dei rapporti contrattuali;
• adempimento di obblighi previsti da leggi, regolamenti o disposizioni delle Autorità competenti;
• tutela dei diritti del Titolare e gestione di eventuali contenziosi;
• elaborazioni statistiche e analisi finalizzate al miglioramento dei servizi offerti.

La base giuridica del trattamento è costituita:

• dall’esecuzione del contratto o di misure precontrattuali adottate su richiesta dell’interessato (art. 6, par. 1, lett. b GDPR);
• dall’adempimento di obblighi legali cui è soggetto il Titolare (art. 6, par. 1, lett. c GDPR);
• dal legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR);
• dal consenso espresso dell’interessato, ove richiesto dalla normativa vigente (art. 6, par. 1, lett. a GDPR).

Il conferimento dei dati necessari all’esecuzione del rapporto contrattuale è facoltativo ma indispensabile; l’eventuale rifiuto comporterà l’impossibilità di instaurare o proseguire il rapporto contrattuale. Il trattamento sarà effettuato con strumenti informatici e telematici nel rispetto delle misure di sicurezza previste dalla normativa vigente. INTASCA S.r.l.s. adotta idonee misure tecniche e organizzative per prevenire perdita dei dati, accessi non autorizzati, utilizzi illeciti o divulgazioni non consentite.

I dati personali potranno essere comunicati, nei limiti delle finalità indicate, alle seguenti categorie di soggetti:

• dipendenti, collaboratori e soggetti espressamente autorizzati al trattamento;
• consulenti fiscali, contabili, legali e informatici;
• istituti di credito e intermediari finanziari;
• società che prestano servizi informatici, cloud, hosting, manutenzione e sicurezza;
• Pubbliche Amministrazioni, Enti pubblici e Autorità competenti per obblighi di legge;
• soggetti terzi coinvolti nell’esecuzione dei servizi richiesti dal cliente;
• Amministratori di Sistema interni ed esterni incaricati della gestione e della sicurezza delle infrastrutture informatiche, dei sistemi cloud, dei database, delle web-app e dei servizi tecnologici erogati dal Titolare.

In particolare, il Titolare si avvale di fornitori qualificati che possono operare quali Responsabili del trattamento ai sensi dell’art. 28 GDPR, tra cui:

• Hetzner Online GmbH per servizi di hosting su infrastrutture ubicate nell’Unione Europea;
• Cloudflare, Inc. e Cloudflare Germany GmbH per servizi di sicurezza informatica, CDN, protezione DDoS e archiviazione (R2) degli allegati e dei contenuti multimediali;
• Meta Platforms Ireland Ltd. per i servizi WhatsApp Business Platform, Instagram, Facebook, Messenger, Threads e inserzioni Meta, quando l’azienda cliente li collega (sezione 11);
• Google Ireland Ltd. per i servizi Google collegati dall’utente (sezione 12);
• Microsoft Ireland Operations Ltd. per i servizi Outlook/Microsoft 365 collegati dall’utente (sezione 13);
• i fornitori di modelli di intelligenza artificiale scelti dall’azienda cliente con chiavi proprie, per le sole funzioni che l’azienda attiva.

L’elenco aggiornato dei Responsabili del trattamento è disponibile presso la sede del Titolare e può essere richiesto dall’interessato.

Per le attività di gestione, manutenzione, monitoraggio e sicurezza delle proprie infrastrutture informatiche e dei servizi erogati ai clienti, INTASCA S.r.l.s. si avvale di soggetti autorizzati a svolgere funzioni di Amministratore di Sistema, nominati secondo quanto previsto dalla normativa vigente e dai provvedimenti dell’Autorità Garante per la Protezione dei Dati Personali. Gli Amministratori di Sistema operano nell’ambito delle attività di:

• gestione e manutenzione di server, hosting e infrastrutture cloud;
• configurazione e gestione di siti web, web-app, gestionali e database;
• gestione delle credenziali di accesso e dei profili autorizzativi;
• esecuzione delle procedure di backup e ripristino dei dati;
• monitoraggio della sicurezza dei sistemi e prevenzione di accessi non autorizzati;
• assistenza tecnica e interventi correttivi sui servizi erogati;
• verifica dell’integrità, disponibilità e continuità operativa delle piattaforme informatiche.

Nell’espletamento di tali attività, gli Amministratori di Sistema possono accedere ai dati personali trattati dal Titolare esclusivamente nei limiti strettamente necessari allo svolgimento delle funzioni affidate e nel rispetto delle istruzioni impartite da INTASCA S.r.l.s., adottando idonee misure di sicurezza e riservatezza. L’elenco aggiornato degli Amministratori di Sistema e delle relative funzioni è conservato presso la sede del Titolare ed è disponibile nei casi previsti dalla normativa applicabile.

I dati personali saranno conservati per il tempo necessario al perseguimento delle finalità sopra indicate e, successivamente, per il periodo previsto dalla normativa applicabile. In particolare:

• i dati contrattuali, amministrativi e fiscali saranno conservati per almeno 10 anni dalla cessazione del rapporto;
• i dati relativi ai servizi erogati saranno conservati per tutta la durata del rapporto contrattuale e per il periodo necessario alla tutela dei diritti del Titolare;
• i dati trattati per finalità di marketing saranno conservati fino alla revoca del consenso o all’esercizio del diritto di opposizione;
• i messaggi WhatsApp, i commenti e i messaggi diretti ricevuti sui profili social collegati sono conservati per il periodo impostato da ciascuna azienda cliente (da 7 a 365 giorni; 30 giorni se non modificato) e poi cancellati automaticamente (sezione 11);
• i file multimediali caricati per la pubblicazione sui social sono cancellati 24 ore dopo la pubblicazione (impostazione modificabile dall’azienda) e comunque entro 30 giorni se restano in bozza o falliti;
• i token di accesso ai servizi Meta, Google e Microsoft sono conservati cifrati per la sola durata del collegamento e cancellati allo scollegamento o alla revoca;
• i dati contenuti nei sistemi di backup saranno conservati secondo le politiche di sicurezza adottate dal Titolare.

L’interessato può esercitare in qualsiasi momento i diritti riconosciuti dagli artt. 15-22 del Regolamento (UE) 2016/679, tra cui:

• ottenere conferma dell’esistenza o meno di dati personali che lo riguardano;
• accedere ai dati personali;
• richiederne la rettifica o l’aggiornamento;
• richiederne la cancellazione nei casi previsti dalla legge;
• ottenere la limitazione del trattamento;
• opporsi al trattamento per motivi legittimi;
• ricevere i dati in formato strutturato e richiederne la portabilità, ove applicabile;
• revocare il consenso eventualmente prestato.

I diritti sopra indicati potranno essere esercitati mediante:

• PEC: [email protected]
• Posta ordinaria: INTASCA S.r.l.s. – Via Nuova Poggioreale Torre 7 SNC, 80143 Napoli (NA).

Ai medesimi recapiti è possibile richiedere ulteriori informazioni sul trattamento dei dati personali o ottenere l’elenco aggiornato dei responsabili del trattamento.

Qualora ritenga che il trattamento dei dati personali effettuato dal Titolare violi la normativa vigente, l’interessato ha il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali, ai sensi dell’art. 77 del Regolamento (UE) 2016/679, ovvero di adire le competenti sedi giudiziarie.

I dati personali sono conservati ed elaborati prevalentemente all’interno dell’Unione Europea. INTASCA S.r.l.s. adotta infrastrutture e servizi localizzati in UE. Qualora, per esigenze tecniche o operative, si rendesse necessario il trasferimento dei dati verso Paesi non appartenenti all’Unione Europea, tale trasferimento avverrà nel rispetto degli artt. 44-49 del GDPR, mediante l’adozione delle Clausole Contrattuali Standard approvate dalla Commissione Europea o di altri strumenti di garanzia previsti dalla normativa vigente.

In particolare, per i servizi collegati dall’utente o dall’azienda cliente le controparti contrattuali nell’Unione Europea sono Meta Platforms Ireland Ltd., Google Ireland Ltd. e Microsoft Ireland Operations Ltd.; i dati possono essere trattati anche da Meta Platforms, Inc., Google LLC e Microsoft Corporation negli Stati Uniti, sulla base della decisione di adeguatezza della Commissione Europea del 10 luglio 2023 relativa al Data Privacy Framework UE-USA (art. 45 GDPR), cui tali società aderiscono, e delle Clausole Contrattuali Standard (art. 46, par. 2, lett. c GDPR) incluse nei rispettivi accordi sul trattamento dei dati.

INTASCA S.r.l.s. non adotta processi decisionali interamente automatizzati che producano effetti giuridici nei confronti dell’interessato ai sensi dell’art. 22 del GDPR. Eventuali attività di analisi statistiche, monitoraggio del traffico web o misurazione delle performance sono effettuate esclusivamente per migliorare la qualità dei servizi erogati e non comportano decisioni automatizzate aventi effetti significativi sulla persona interessata.

Le aziende clienti possono collegare alla piattaforma i propri canali Meta. In questi servizi INTASCA S.r.l.s. opera come «fornitore di soluzioni tecnologiche» (Tech Provider, Meta Platform Terms, sezione 5.b) per conto dell’azienda cliente, che è il titolare del trattamento dei dati delle persone con cui comunica; INTASCA S.r.l.s. è responsabile del trattamento ai sensi dell’art. 28 GDPR. I dati ricevuti da Meta sono tenuti separati per ciascuna azienda cliente e per ciascun cliente finale dell’azienda, non sono mai usati per finalità proprie di INTASCA S.r.l.s., non sono venduti né uniti a dati provenienti da altre piattaforme. Nessuna persona che scrive o commenta viene profilata e non viene svolta alcuna analisi delle emozioni (Regolamento (UE) 2024/1689, art. 5, par. 1, lett. f).

Ogni utente può collegare il proprio account Google alla piattaforma, per la sola azienda in cui lo collega. Il collegamento avviene tramite OAuth 2.0 di Google e chiede le autorizzazioni elencate qui; l’utente le vede nella schermata di consenso di Google e può revocarle in qualsiasi momento.

In concreto, per i dati ricevuti dalle API Google ci impegniamo a:

• usarli soltanto per fornire o migliorare le funzioni visibili all’utente nell’interfaccia della piattaforma (posta, calendario, contatti, file, attività), mai per altri scopi;
• non trasferirli a terzi, salvo che sia necessario per fornire quelle funzioni con il consenso dell’utente, per motivi di sicurezza, per adempiere a obblighi di legge, o nell’ambito di una fusione o cessione con il consenso esplicito dell’utente;
• non usarli né trasferirli per pubblicità, compreso il retargeting e la pubblicità personalizzata o basata sugli interessi, né a piattaforme pubblicitarie, data broker o rivenditori di informazioni;
• non consentirne la lettura da parte di persone, salvo che l’utente lo abbia espressamente autorizzato per messaggi o file specifici, che sia necessario per la sicurezza (per esempio per indagare un abuso), che lo imponga la legge, o che i dati siano aggregati e anonimizzati per operazioni interne.

• Autorizzazioni richieste (Microsoft Graph): openid, profile, email, offline_access, User.Read, Mail.Read, Mail.Send, Calendars.ReadWrite.
• Dati trattati: indirizzo e nome dell’account collegato; messaggi e allegati della casella, letti in diretta; eventi del calendario.
• Finalità: leggere la posta e inviare e-mail dalla piattaforma (solleciti, risposte) e sincronizzare il calendario con le scadenze, per l’utente che collega l’account. Base giuridica: esecuzione del contratto (lett. b).
• Conservazione: token cifrati per la durata del collegamento, cancellati allo scollegamento; i messaggi non sono copiati stabilmente nei nostri sistemi.
• Revoca: dalla piattaforma («Scollega Microsoft») oppure da account.microsoft.com → Privacy → App e servizi.