Dati personali e GDPR | Kroqi

Protezione dei dati personali

1. Premessa

Il Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati, altrimenti detto Regolamento generale sulla protezione dei dati (di seguito GDPR), fissa il quadro giuridico applicabile al trattamento dei dati personali nell’Unione europea.

Il GDPR rafforza i diritti e gli obblighi dei titolari del trattamento, dei responsabili e degli interessati.

Nel caso dell’esercizio dei siti web accessibili agli indirizzi /****, KROQI (di seguito «l’azienda») mette in atto un trattamento dei dati personali di clienti e prospect.

Per una buona comprensione della presente politica si precisa che:

«clienti e prospect»: designa tutte le persone fisiche o giuridiche che hanno avviato un contatto di natura commerciale con l’azienda;
«titolare del trattamento»: designa la persona fisica o giuridica che determina le finalità e i mezzi di un trattamento di dati personali. Ai fini della presente politica, il titolare del trattamento è l’azienda;
«responsabile del trattamento»: designa qualsiasi persona fisica o giuridica che tratta dati personali per conto dell’azienda. In pratica si tratta dei fornitori con cui l’azienda lavora e che intervengono sui dati personali di clienti e prospect (soluzioni CRM, fornitori tecnici, freelance, ecc.);
«interessati»: designa le persone identificabili, direttamente o indirettamente, nell’ambito dell’attività commerciale e di marketing dell’azienda, ossia l’insieme di clienti/prospect;
«destinatari»: designa le persone fisiche o giuridiche che ricevono dati personali. I destinatari dei dati possono essere sia dipendenti dell’azienda sia organismi esterni (partner, istituti bancari, soggetti coinvolti, ecc.).

Il GDPR, all’articolo 12, impone che gli interessati siano informati dei propri diritti in modo conciso, trasparente, comprensibile e facilmente accessibile.

L’indirizzo di posta elettronica di contatto è «dpo-wimi@racine.eu», e il DPO è specificamente nominato come «Maître Eric Barbry, Cabinet Racine Avocats».

2. Oggetto

Per assicurare il proprio corretto funzionamento, l’azienda è tenuta ad attuare ed esercitare trattamenti di dati personali relativi a clienti e prospect.

La presente politica ha per oggetto la soddisfazione dell’obbligo di informazione dell’azienda e quindi la formalizzazione dei diritti e degli obblighi di clienti e prospect dell’azienda rispetto al trattamento dei loro dati personali.

3. Portata

La presente politica di protezione dei dati personali si applica nell’ambito dell’implementazione del trattamento dei dati personali di clienti e prospect dell’azienda.

La presente politica riguarda solo i trattamenti di cui l’azienda è titolare del trattamento e non comprende i trattamenti che non sarebbero creati o gestiti dall’azienda stessa (trattamenti detti «selvaggi»).

Il trattamento dei dati personali può essere gestito direttamente dall’azienda o tramite un responsabile specificamente designato dall’azienda.

Questa politica è indipendente da qualsiasi altro documento che possa applicarsi al rapporto contrattuale tra l’azienda e clienti e prospect.

4. Principi generali

Nessun trattamento è attuato in azienda relativamente a dati di clienti e prospect se non riguarda dati personali raccolti da o per i nostri servizi o trattati in relazione ai nostri servizi e se non risponde ai principi generali del GDPR.

5. Raccolta dei dati personali

5.2 Tipologia dei dati

L’azienda raccoglie i dati personali necessari all’esercizio di questi siti web e servizi (es. Kroqi) e alla prospezione commerciale.

5.3 Origine dei dati

I dati di clienti e prospect provengono in particolare dai dati raccolti tramite i moduli di iscrizione e di contatto via sito web ma anche tramite prospezione commerciale e acquisto di database clienti.

5.4 Dati obbligatori

I dati obbligatori sono segnalati nei moduli da un asterisco. In loro assenza, la prestazione legata a tale raccolta potrebbe non essere fornita.

6. Tipo di dati raccolti

6.1 Dati non tecnici

L’azienda raccoglie in particolare i seguenti dati:

dati identificativi (nome, indirizzo e-mail, telefono);
dati bancari (solo se il prospect diventa cliente).

6.2 Dati tecnici

L’azienda raccoglie dati di connessione al servizio (es.: orario, tipo di dispositivo, lingua del browser, …).

7. Finalità e base giuridica

A seconda dei casi, l’azienda tratta i dati per le seguenti finalità:

la gestione dell’iscrizione e dell’abbonamento a questi servizi;
la gestione della connessione ai servizi;
la gestione della newsletter;
la gestione della scoperta dei servizi da parte dell’utente;
la comunicazione con il servizio di supporto;
la comunicazione di informazioni importanti sui servizi;
la gestione delle richieste di disiscrizione dai servizi;
la gestione delle richieste relative ai diritti degli utenti sui propri dati;
la gestione delle richieste di contatto e assistenza;
la gestione contabile e delle fatture;
la gestione della conservazione dei dati relativa agli obblighi legali di sicurezza;
la gestione di insoluti e contenzioso;
il miglioramento dei servizi forniti grazie alla realizzazione di sondaggi di soddisfazione;
la gestione e il follow-up della relazione cliente, utente e prospect, incluse operazioni di segmentazione e targeting per rispondere al meglio alle esigenze degli utenti;
l’elaborazione di statistiche per ottimizzare i servizi.

Il cliente è informato che la raccolta dei suoi dati personali è necessaria all’esecuzione del contratto stipulato con l’azienda.

8. Destinatari dei dati: abilitazione e tracciabilità

L’azienda si assicura che i dati siano accessibili solo a destinatari interni o esterni autorizzati.

Destinatari interni

Destinatari esterni

il personale abilitato del servizio marketing, del servizio commerciale, dei servizi incaricati della relazione cliente e della prospezione, dei servizi amministrativi, dei servizi logistici e informatici nonché i loro responsabili gerarchici;
il personale abilitato dei servizi incaricati del controllo (revisore dei conti, servizi incaricati delle procedure interne di controllo, ecc.).
i partner, le società esterne o le controllate dello stesso gruppo di società partner;
gli organismi, gli ausiliari di giustizia e gli ufficiali ministeriali, nell’ambito della loro missione di recupero crediti;
i responsabili del trattamento dell’azienda e, più in particolare, il personale abilitato a utilizzare dati personali di tali responsabili.

I destinatari dei dati personali di clienti e prospect all’interno dell’azienda sono soggetti a un obbligo di riservatezza specifico.

L’azienda decide quale destinatario è abilitato, internamente, a ricevere i dati.

La policy di abilitazione è aggiornata regolarmente e tiene conto degli ingressi e delle uscite dei dipendenti dell’azienda che hanno accesso ai dati.

L’azienda non è in alcun caso responsabile dei danni di qualsiasi natura che possano derivare da un accesso illecito ai dati personali.

Se un dipendente si accorge di avere accesso a dati a cui non dovrebbe averlo, ha l’obbligo di avvertire senza indugio il servizio competente.

Tutti gli accessi a trattamenti relativi a dati personali di clienti e prospect sono oggetto di una misura di tracciabilità.

Inoltre, i dati personali potranno essere comunicati a qualsiasi autorità legalmente abilitata a conoscerne. In tal caso, l’azienda non è responsabile delle condizioni in cui il personale di tali autorità accede e utilizza i dati.

9. Durata di conservazione

La durata di conservazione dei dati è definita dall’azienda in base ai vincoli legali e contrattuali che pesano su di essa e, in mancanza, in base alle proprie esigenze e in particolare secondo i seguenti principi:

Trattamento

Durata di conservazione

Dati relativi ai clienti

I dati clienti sono conservati per tutta l’utilizzazione del servizio KROQI

Dati relativi ai clienti nell’ambito della prospezione commerciale

I dati dei clienti sono conservati per una durata massima di 3 anni dalla disiscrizione dai servizi dell’azienda.

Dati relativi ai prospect

I dati dei prospect sono conservati per una durata massima di 3 anni dall’ultimo contatto del prospect.

Dati tecnici

Gli indirizzi IP e i log di clienti/prospect sono conservati per una durata di un anno dall’ultima connessione o ultimo utilizzo del software.

Dati bancari

I dati bancari sono cancellati, in linea di principio, non appena la transazione è stata realizzata, salvo accordo espresso del cliente.

Tuttavia, a fini probatori, i dati bancari possono essere conservati 13 mesi in archivio dalla data di addebito.

Cookie

I cookie possono essere conservati per una durata di 13 mesi.

I dati che permettono di stabilire la prova di un diritto o di un contratto, o conservati a titolo del rispetto di un obbligo legale, sono oggetto di una politica di archiviazione intermedia per una durata non eccedente quella necessaria alle finalità per cui sono conservati, conformemente alle disposizioni in vigore.

Trascorsi i termini fissati, i dati sono cancellati o conservati dopo essere stati anonimizzati, in particolare per ragioni di uso statistico.

Si ricorda a clienti e prospect che cancellazione o anonimizzazione sono operazioni irreversibili e che l’azienda non è successivamente in grado di ripristinarle.

10. Diritto di conferma e diritto di accesso

Clienti e prospect dispongono del diritto di richiedere all’azienda la conferma che i dati che li riguardano siano o meno trattati.

Clienti e prospect dispongono inoltre di un diritto di accesso, condizionato al rispetto delle seguenti regole:

la richiesta proviene dalla persona stessa ed è accompagnata da copia di un documento di identità in corso di validità;
la richiesta di accesso può essere indirizzata all’indirizzo postale: 4 avenue du Recteur Poincaré, 75016, PARIS, France o via e-mail a dpo-wimi@racine.eu

Clienti e prospect hanno il diritto di richiedere una copia dei propri dati personali oggetto del trattamento presso l’azienda. Tuttavia, in caso di richiesta di copia aggiuntiva, l’azienda potrà esigere il riconoscimento finanziario di tale costo da parte di clienti e prospect.

Se clienti e prospect presentano la richiesta di copia dei dati per via elettronica, le informazioni richieste saranno fornite in forma elettronica di uso corrente, salvo richiesta contraria.

Clienti e prospect sono infine informati che questo diritto di accesso non può riguardare informazioni o dati riservati o per i quali la legge non autorizza la comunicazione.

Il diritto di accesso non deve essere esercitato in modo abusivo, ossia realizzato in modo regolare al solo scopo di destabilizzare il servizio interessato.

11. Diritto di rettifica

Per consentire un aggiornamento regolare dei dati personali raccolti dall’azienda, questa potrà sollecitare clienti e prospect, che avranno l’obbligo di soddisfare le richieste dell’azienda.

In caso di modifica delle informazioni di clienti e prospect da parte dell’azienda, questi saranno informati spontaneamente.

Clienti e prospect sono informati che l’azienda non procederà ad alcuna modifica detta di «comfort», saranno realizzate solo modifiche sostanziali sullo stato civile, l’identità e i dati di contatto dell’interessato.

12. Diritto di opposizione

Il diritto alla cancellazione di clienti e prospect non sarà applicabile nei casi in cui il trattamento sia attuato per rispondere a un obbligo legale.

Al di fuori di questa situazione, clienti e prospect potranno richiedere la cancellazione dei dati nei seguenti casi limitativi:

i dati personali non sono più necessari rispetto alle finalità per cui sono stati raccolti o trattati in altro modo;
l’interessato revoca il consenso su cui si basa il trattamento e non esiste altro fondamento giuridico per il trattamento;
l’interessato si oppone a un trattamento necessario ai fini degli interessi legittimi perseguiti dall’azienda e non esiste motivo legittimo prevalente per il trattamento;
l’interessato si oppone a un trattamento dei propri dati personali a fini di prospezione, inclusa la profilazione;
i dati personali sono stati oggetto di un trattamento illecito.

Conformemente alla legislazione sulla protezione dei dati personali, clienti e prospect sono informati che si tratta di un diritto individuale che può essere esercitato solo dall’interessato relativamente alle proprie informazioni: per ragioni di sicurezza, il servizio interessato dovrà verificare l’identità per evitare ogni comunicazione di informazioni riservate a persone diverse dall’interessato.

13. Diritto alla cancellazione

Clienti e prospect sono informati di non disporre del diritto alla limitazione del trattamento dei propri dati personali nella misura in cui il trattamento operato dall’azienda è lecito e tutti i dati personali raccolti sono necessari all’esecuzione del contratto commerciale.

14. Diritto alla limitazione del trattamento

In caso di rottura delle relazioni commerciali con l’azienda, i clienti potranno, su richiesta, esercitare il diritto alla portabilità solo sui dati che essi stessi hanno comunicato all’azienda unicamente per i dati raccolti tramite il modulo online. Tali dati saranno loro comunicati in un formato strutturato, di uso corrente e leggibile da una macchina.

15. Diritto alla portabilità dei dati

L’azienda procede a tecniche di profilazione a fini di prospezione commerciale. A tale titolo, l’interessato presta il proprio consenso esplicito affinché i dati siano utilizzati a fini di profilazione.

16. Decisione individuale automatizzata

Clienti e prospect sono informati di disporre del diritto di formulare direttive relative alla conservazione, alla cancellazione e alla comunicazione dei propri dati post-mortem. La comunicazione di direttive specifiche post-mortem e l’esercizio dei diritti avvengono via e-mail all’indirizzo wimi@racine.eu o per posta a 112 Rue Réaumur, 75002 Paris, France, accompagnati da copia di un documento di identità firmato.

17. Diritto post mortem

Clienti e prospect sono informati su ciascun modulo di raccolta dei dati personali del carattere obbligatorio o facoltativo delle risposte tramite un asterisco.

Nel caso in cui le risposte siano obbligatorie, l’azienda spiega a clienti e prospect le conseguenze di un’assenza di risposta.

18. Esercizio dei diritti

L’azienda riceve da clienti e prospect un diritto di uso e trattamento dei loro dati personali per le finalità sopra esposte.

Tuttavia, i dati arricchiti, frutto di un lavoro di trattamento e analisi dell’azienda, restano di proprietà esclusiva dell’azienda (analisi d’uso, statistiche, ecc.).

19. Subappalto

L’azienda informa clienti e prospect che potrà far intervenire qualsiasi responsabile del trattamento di sua scelta nell’ambito del trattamento dei dati personali.

In tal caso, l’azienda si assicura del rispetto, da parte del responsabile, degli obblighi previsti dal GDPR, ricorrendo solo a responsabili rispettosi delle regole di protezione dei dati e strettamente conformi ai requisiti del GDPR.

20. Misure di sicurezza

Spetta all’azienda definire e attuare le misure tecniche di sicurezza, fisiche o logiche, che ritiene appropriate per contrastare la distruzione, la perdita, l’alterazione o la divulgazione non autorizzata dei dati in modo accidentale o illecito.

Tra queste misure figurano principalmente:

gestione delle abilitazioni per l’accesso ai dati;
l’utilizzo di un protocollo di crittografia di tipo SSL per la trasmissione dei dati tra i terminali degli utenti e i server dell’azienda.
Hosting effettuato in data center situati in Francia e dotati di un livello di sicurezza massimo.
Tutti gli accessi all’infrastruttura avvengono via VPN: solo alcuni IP predefiniti sono autorizzati a stabilire un tunnel (whitelist) tramite chiave RSA 4096.
Applicazione regolare e sistematica di patch di sicurezza sui componenti dell’infrastruttura.

A tal fine, l’azienda può farsi assistere da qualsiasi terzo di sua scelta per procedere, con la frequenza che riterrà necessaria, ad audit di vulnerabilità o penetration test.

Salvo casi di urgenza o rischio imminente, i dipendenti saranno informati prima della realizzazione di tali audit e saranno tenuti ad adottare le misure di protezione adeguate che saranno loro notificate preventivamente.

In ogni caso, l’azienda si impegna, in caso di cambiamento dei mezzi volti ad assicurare la sicurezza e la riservatezza dei dati personali, a sostituirli con mezzi di prestazione superiore. Nessuna evoluzione potrà portare a una regressione del livello di sicurezza.

In caso di subappalto di una parte o della totalità di un trattamento di dati personali, l’azienda si impegna a imporre contrattualmente ai propri responsabili garanzie di sicurezza tramite misure tecniche di protezione di tali dati e i mezzi umani appropriati.

21. Trasferimento dei dati fuori dall’Unione Europea

In caso di violazione di dati personali, l’azienda si impegna a notificare al Garante della privacy nelle condizioni prescritte dal GDPR.

Se tale violazione comporta un rischio elevato per clienti e prospect e i dati non sono stati protetti, l’azienda:

ne informerà clienti e prospect interessati;
comunicherà a clienti e prospect interessati le informazioni e le raccomandazioni necessarie.

Abbiamo nominato un responsabile della protezione dei dati che è possibile contattare ai seguenti recapiti per qualsiasi questione relativa al trattamento dei dati:

Nome: Maître Eric Barbry, Cabinet Racine Avocats;
Indirizzo e-mail: dpo-wimi@racine.eu
Tel: 01 44 82 43 00

23. Evoluzione del presente documento

Clienti e prospect interessati dal trattamento dei propri dati personali sono informati del diritto di presentare reclamo presso un’autorità di controllo, qualora ritengano che il trattamento di dati personali che li riguardano non sia conforme alla regolamentazione europea di protezione dei dati.

24. Domande

La presente politica può essere modificata o adattata in qualsiasi momento in caso di evoluzione legale, giurisprudenziale, di decisioni e raccomandazioni delle autorità di controllo o degli usi.

Ogni nuova versione della presente politica sarà portata a conoscenza di clienti/prospect con qualsiasi mezzo definito dall’azienda, inclusa la via elettronica (diffusione via e-mail o online).

25. Crediti

Per qualsiasi informazione complementare, è possibile contattare i seguenti servizi: dpo-wimi@racine.eu

Per qualsiasi altra informazione più generale sulla protezione dei dati personali, è possibile consultare il sito del Garante della privacy.