Bozza da far rivedere a un professionista (consulente privacy o avvocato) prima dell'uso con i clienti. Non è consulenza legale. Le parti tra parentesi quadre sono da completare.
Informativa sul trattamento dei dati personali – Portale clienti
Informativa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") per chi usa il portale clienti di ACVM.
1. Chi tratta i dati
Il portale è gestito da ACVM [da completare: ragione sociale, indirizzo della sede, partita IVA], di seguito "ACVM". Contatto per la privacy: [da completare: indirizzo email dedicato, per esempio privacy@…].
Nel portale ci sono due tipi di trattamento, con ruoli diversi:
- Account e sicurezza del portale (indirizzo email, nome, ruolo, secondo fattore, registro degli accessi): per questi dati ACVM è titolare del trattamento.
- Contenuti che l'azienda cliente mette nel portale o per cui lo usa (richieste di assistenza e loro messaggi e allegati, documenti, fatture e preventivi in copia): per questi dati il titolare è l'azienda cliente per cui lavori, e ACVM li tratta per suo conto come responsabile del trattamento (articolo 28 GDPR), sulla base di un accordo scritto con l'azienda. Per esercitare i tuoi diritti su questi contenuti puoi rivolgerti alla tua azienda o ad ACVM, che inoltrerà la richiesta.
2. Quali dati
- Dati dell'account: nome e cognome, indirizzo email, azienda e ruolo nel portale (Referente o Utente), sede indicata nelle richieste.
- Dati di accesso e sicurezza: data e ora degli accessi e delle uscite, richieste del link di accesso, download di file, cambi di stato, indirizzo IP e tipo di browser (user agent) di queste operazioni; segreto del secondo fattore (conservato cifrato) e codici di recupero (conservati solo come impronta non reversibile).
- Contenuti: testo delle richieste e dei messaggi, file allegati, documenti, fatture e preventivi caricati da ACVM per la tua azienda.
Il portale non usa password: si entra con un link mandato via mail e un secondo fattore. Il portale non conserva password o credenziali dei sistemi della tua azienda: se ti viene chiesto di scriverle in una richiesta, non farlo.
3. Perché e su quale base
| Finalità | Base giuridica |
|---|---|
| Darti accesso al portale e fornire il servizio di assistenza previsto dal contratto con la tua azienda | Esecuzione del contratto tra ACVM e la tua azienda (art. 6.1.b) e legittimo interesse della tua azienda a organizzare il lavoro (art. 6.1.f) |
| Proteggere il portale e i dati di tutti i clienti: secondo fattore, limiti ai tentativi, registro degli accessi e dei download | Legittimo interesse di ACVM e dei clienti alla sicurezza (art. 6.1.f) e obbligo di adottare misure di sicurezza adeguate (art. 32) |
| Avvisarti per mail di novità nel portale (solo un link, senza contenuti) | Esecuzione del contratto (art. 6.1.b) |
| Adempiere a obblighi di legge e difendere diritti in giudizio | Obbligo legale (art. 6.1.c) e legittimo interesse (art. 6.1.f) |
Nessun uso dei dati per pubblicità, profilazione o decisioni automatizzate. Nessun cookie di terze parti né strumento di statistica: il portale usa solo i cookie tecnici necessari (sessione e protezione dei moduli).
4. Da dove arrivano i dati
I dati dell'account li fornisce la tua azienda (il Referente che ti invita) o ACVM su sua richiesta. I dati di accesso li registra il portale quando lo usi. I contenuti li inserisci tu, i tuoi colleghi o ACVM.
5. Chi li vede
- Il personale ACVM autorizzato (amministratori; eventuali tecnici solo per le aziende a cui sono assegnati), vincolato alla riservatezza.
- Nella tua azienda: il Referente vede le richieste, i documenti e gli utenti dell'azienda; gli Utenti vedono solo le proprie richieste e i documenti condivisi con loro. Nessun'altra azienda cliente può vedere i tuoi dati: l'isolamento è applicato dal database stesso e verificato con test automatici.
- Fornitori che trattano i dati per conto di ACVM (sub-responsabili), con contratto e garanzie adeguate: il fornitore del server e della posta (Aruba S.p.A., server in Italia) e il fornitore della copia di backup fuori sede [da completare: nome, paese]. L'elenco aggiornato è disponibile su richiesta.
- Autorità, solo se previsto dalla legge.
I dati non sono trasferiti fuori dallo Spazio economico europeo [da verificare quando si sceglie il fornitore del backup fuori sede].
6. Per quanto tempo
| Dati | Conservazione |
|---|---|
| Account | Per tutta la durata del contratto con la tua azienda; dopo la disattivazione dell'account, [da completare: proposta 12 mesi], poi cancellati |
| Registro degli accessi (IP, user agent, operazioni) | [da completare: proposta 12 mesi], poi cancellati. Il registro non è modificabile da nessuno durante questo periodo: è una misura di sicurezza |
| Log tecnici del server (IP, pagine richieste) | 30 giorni |
| Richieste di assistenza, documenti, copie di fatture e preventivi | Per la durata del contratto, poi restituiti o cancellati secondo le istruzioni della tua azienda (salvo obblighi di legge) |
| Copie di sicurezza (backup) | Fino a 30 giorni sulla copia di casa e fino a circa 60 giorni sulla seconda copia: un dato cancellato dal portale resta nelle copie di sicurezza cifrate al massimo per questi periodi [da validare con il consulente] |
7. I tuoi diritti
Puoi chiedere di accedere ai tuoi dati, rettificarli, cancellarli, limitarne il trattamento, opporti al trattamento basato sul legittimo interesse e riceverli in un formato leggibile (articoli 15-22 GDPR), scrivendo a [da completare: indirizzo email per la privacy]. Rispondiamo entro un mese. Alcuni dati non si possono cancellare subito se servono alla sicurezza o per obblighi di legge (per esempio il registro degli accessi, fino alla fine del suo periodo di conservazione): in quel caso te lo spieghiamo.
Hai anche diritto di presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
8. Sicurezza
Accesso con link monouso a scadenza breve e secondo fattore; connessione sempre cifrata (HTTPS); dati di ogni azienda separati nel database; file in un archivio non pubblico, scaricabili solo con link a scadenza e controllo dell'azienda a ogni download; backup cifrati; aggiornamenti di sicurezza regolari.
Ultimo aggiornamento: [da completare: data].