Informativa privacy e cookie

1. Titolare del trattamento

Titolare

Denominazione

,

Sede

E-mail privacy

Rappresentante nell'UE

Non è stato nominato un Responsabile della protezione dei dati, non ricorrendo i presupposti dell'art. 37 del Regolamento.

1-bis. Due normative si applicano insieme

Il titolare è stabilito in Svizzera e si rivolge a clienti stabiliti nell'Unione europea. Di conseguenza il trattamento è soggetto sia alla legge federale svizzera sulla protezione dei dati (nLPD), sia al Regolamento UE 2016/679, che si applica ai titolari extra-UE che offrono beni o servizi a interessati che si trovano nell'Unione (art. 3.2). Dove le due discipline divergono, il titolare applica la più tutelante.

La Commissione europea ha adottato il 15 gennaio 2024 una decisione che riconosce l'adeguatezza del livello di protezione dei dati offerto dalla Svizzera: i dati personali possono quindi circolare dall'Unione europea verso la Svizzera senza necessità di clausole contrattuali tipo o di altre garanzie supplementari.

2. Due ruoli distinti: sito e servizio

Questa informativa parla di due cose diverse, e conviene tenerle separate fin da subito perché a te cambia a chi devi rivolgerti.

Il sito. Chi lo visita, chi scrive per informazioni, chi fa una domanda in chat: di questi dati il fornitore è titolare del trattamento. Decide lui perché raccoglierli e per quanto tenerli, e risponde lui delle scelte. È il §3.

Il gestionale. Dentro il prodotto è il cliente a inserire i dati: i referenti dei suoi committenti, i tecnici del suo studio, i lavoratori a cui i dispositivi sono assegnati, chi firma i verbali. Di quei dati titolare è il cliente; il fornitore li tratta soltanto per far funzionare il servizio, su istruzione del cliente, come responsabile del trattamento ai sensi dell'art. 28 del Regolamento. È il §4.

Un terzo caso, che non è né l'uno né l'altro: il pagamento. I dati di fatturazione li raccoglie Creem, che agisce come titolare autonomo per i propri obblighi fiscali. Ne parla il §7.

3. Dati trattati per il sito e i contatti

4. Dati trattati dentro il gestionale

Nell'uso del prodotto il cliente inserisce dati che possono riferirsi a persone fisiche: referenti dei committenti, tecnici verificatori, lavoratori assegnatari dei dispositivi, firmatari dei verbali. Il fornitore agisce come responsabile del trattamento e:

• tratta i dati solo per erogare il servizio e su istruzione documentata del cliente;
• impone ai propri incaricati un obbligo di riservatezza;
• adotta misure tecniche e organizzative adeguate, tra cui cifratura in transito e a riposo, separazione logica dei dati fra clienti, controllo degli accessi e registrazione delle operazioni;
• assiste il cliente nel dare riscontro alle richieste degli interessati e nelle notifiche di violazione;
• alla cessazione del contratto restituisce o cancella i dati secondo le istruzioni ricevute.

5. Le fotografie e i loro metadati

Il prodotto acquisisce fotografie dei dispositivi verificati e ne conserva i metadati tecnici: data e ora di scatto, modello del dispositivo di ripresa e, quando presenti nel file, coordinate geografiche. Questi elementi servono a documentare che il controllo è stato eseguito in un determinato momento e luogo, e a segnalare eventuali incoerenze.

Il file originale non compresso viene conservato quando l'esito della verifica è non conforme o fuori uso; per le verifiche conformi resta la copia d'archivio ridimensionata. In entrambi i casi l'impronta SHA-256 calcolata sui byte originali resta associata alla fotografia. Il piano Studio consente di conservare l'originale su tutte le verifiche. È una scelta di minimizzazione: si conserva per intero ciò che può servire come prova, e non il resto.

Le coordinate geografiche e l'identificativo del dispositivo di ripresa possono costituire dati personali riferibili all'operatore che ha eseguito la verifica. Il trattamento è fondato sul legittimo interesse a garantire l'attendibilità della documentazione tecnica prodotta; il cliente, in qualità di titolare, è tenuto a informare i propri operatori di questa funzione. Il prodotto consente di disattivare la raccolta della posizione a livello di organizzazione.

6. Assistente automatico in chat

Il sito e il prodotto mettono a disposizione un assistente automatico basato su un modello di intelligenza artificiale. Le domande poste e le risposte fornite sono conservate per migliorare il servizio e per dare seguito alle richieste che vengono trasferite a un operatore.

L'assistente non adotta decisioni che producano effetti giuridici o incidano significativamente sull'utente ai sensi dell'art. 22 del Regolamento: fornisce informazioni e, quando la richiesta esce dal proprio ambito, la inoltra a una persona. Si raccomanda di non inserire in chat dati personali non necessari.

Il modello è fornito da Anthropic, nominata responsabile del trattamento. I contenuti trasmessi al modello sono cancellati da Anthropic entro trenta giorni e non sono utilizzati per addestrare modelli. La conservazione più lunga indicata al punto 9 riguarda la copia che il fornitore mantiene per dare seguito alle richieste di assistenza.

7. Destinatari e responsabili del trattamento

I dati possono essere comunicati a soggetti che svolgono attività strumentali all'erogazione del servizio, nominati responsabili del trattamento ai sensi dell'art. 28 del Regolamento:

I dati non sono diffusi né ceduti a terzi per finalità commerciali proprie di questi ultimi. L'elenco aggiornato dei responsabili è disponibile su richiesta e viene comunicato ai clienti prima di ogni variazione rilevante.

8. Trasferimenti fuori dall'Unione Europea

I dati del gestionale, cioè anagrafiche, schede di verifica, documenti e immagini, sono archiviati nella regione Unione europea dell'infrastruttura Supabase. La distribuzione del sito avviene attraverso la rete Cloudflare.

L'accesso ai dati da parte del titolare avviene dalla Svizzera. Come indicato al punto 1-bis, la Svizzera beneficia di una decisione di adeguatezza della Commissione europea adottata il 15 gennaio 2024: il trasferimento verso la Svizzera non richiede clausole contrattuali tipo né misure supplementari.

Creem (Armitage Labs OÜ) è stabilita in Estonia: i dati di pagamento restano all'interno dell'Unione europea.

Cloudflare e Supabase sono società soggette a giurisdizione statunitense pur mantenendo l'infrastruttura utilizzata in territorio europeo. Il rapporto con ciascuna è regolato da accordo sul trattamento dei dati e dalle clausole contrattuali tipo adottate dalla Commissione europea, con le misure supplementari eventualmente necessarie all'esito della valutazione d'impatto sul trasferimento.

Due trattamenti accessori comportano invece un trasferimento effettivo negli Stati Uniti, ed è corretto dirlo con chiarezza:

• Invio dei messaggi di posta. Indirizzo del destinatario, oggetto, contenuto del messaggio e dati di consegna sono trattati da Resend, che conserva questi dati negli Stati Uniti anche quando la spedizione parte dalla regione irlandese.
• Assistente in chat. Il testo delle domande e delle risposte è trasmesso ad Anthropic negli Stati Uniti, dove viene cancellato entro trenta giorni e non è utilizzato per addestrare modelli.

Entrambi i rapporti sono regolati da accordo sul trattamento dei dati e clausole contrattuali tipo. Nessuno dei due riguarda le anagrafiche, le schede di verifica, i documenti e le immagini del gestionale, che restano nella regione Unione europea.

9. Tempi di conservazione

10. Diritti dell'interessato

L'interessato può esercitare i diritti previsti dagli artt. 15-22 del Regolamento: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione al trattamento fondato sul legittimo interesse, revoca del consenso senza pregiudizio della liceità del trattamento già effettuato.

Le richieste vanno indirizzate a . Il riscontro è fornito entro un mese, prorogabile di due in casi di particolare complessità. Se i dati riguardano contenuti inseriti da un cliente nel gestionale, la richiesta viene inoltrata a quel cliente, che ne è titolare.

È sempre possibile proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

11. Cookie e tecnologie simili

Questo sito utilizza esclusivamente cookie tecnici, necessari al funzionamento e alla sicurezza delle pagine e alla gestione della sessione di accesso. Per i cookie tecnici non è richiesto il consenso ai sensi dell'art. 122 del Codice privacy: non viene quindi mostrato alcun banner e non è presente alcuna profilazione.

Le statistiche di traffico, ove attivate, sono raccolte in forma aggregata e senza l'uso di cookie di profilazione né di identificatori persistenti riconducibili al singolo visitatore.

12. Modifiche all'informativa

La presente informativa può essere aggiornata per esigenze normative o per modifiche del servizio. La versione vigente è sempre pubblicata su questa pagina, con indicazione della data di ultimo aggiornamento. Le modifiche rilevanti sono comunicate ai clienti con congruo preavviso.