GDPR e trattamento dei dati

01 I principi che applichiamo

L’art. 5 del GDPR fissa i principi di ogni trattamento. Ecco come li applichiamo in concreto.

• Liceità, correttezza e trasparenza. Ogni modulo del sito dice, prima dell’invio, a cosa servono i dati e rimanda all’informativa; ogni richiesta registra la versione dell’informativa letta al momento dell’invio.
• Limitazione delle finalità. I dati di una richiesta servono a rispondere a quella richiesta e a gestirla. Usiamo i dati per comunicazioni commerciali solo con il consenso facoltativo dato nel modulo, e non li cediamo.
• Minimizzazione. I moduli chiedono solo i campi necessari (l’e-mail per rispondere, il messaggio) e indicano come facoltativi gli altri. L’applicazione non conserva l’indirizzo IP in chiaro, ma solo un’impronta cifrata utile ai limiti contro gli abusi; le e-mail di conferma non ripetono il testo che hai scritto; i curriculum, quando ricevuti, non vengono allegati alle e-mail.
• Esattezza. I dati sono quelli che ci fornisci; puoi chiederne la correzione in ogni momento.
• Limitazione della conservazione. Conserviamo i dati per i tempi indicati nell’informativa e poi li cancelliamo o li rendiamo anonimi.
• Integrità e riservatezza. I dati sono accessibili solo alle persone autorizzate, con permessi distinti per ogni funzione, e sono protetti dalle misure descritte nella sezione 5.
• Responsabilizzazione. Teniamo traccia delle operazioni degli operatori sull’area riservata e degli esiti degli invii, e documentiamo i trattamenti nel registro dei trattamenti previsto dall’art. 30 del GDPR.

02 Come esercitare i tuoi diritti

Puoi esercitare i diritti previsti dagli articoli da 15 a 22 del GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) e revocare in ogni momento i consensi che hai dato (art. 7, par. 3), scrivendo a:

• e-mail: privacy@abronzino.it;
• PEC: luca.abronzinosrl@legalmail.it;
• posta: Luca Abronzino S.r.l., Località Serramonda snc, 88044 Marcellinara (CZ).

Per le comunicazioni commerciali puoi anche usare il collegamento presente in ogni e-mail o la pagina Disiscrizione; per i contenuti di terze parti, il collegamento «Preferenze cookie» in fondo a ogni pagina. La revoca non pregiudica la liceità del trattamento svolto prima.

Cosa indicare. Dicci quale diritto vuoi esercitare e a quale richiesta o modulo si riferisce (per esempio l’indirizzo e-mail usato nel modulo e la data), così possiamo trovare i tuoi dati rapidamente.

Verifica dell’identità. Per proteggere i tuoi dati rispondiamo di norma allo stesso indirizzo e-mail da cui è arrivata la richiesta originaria o a quello indicato nel modulo. Se scrivi da un indirizzo diverso o la richiesta riguarda dati che non possiamo collegare con certezza a te, possiamo chiederti un chiarimento o una prova dell’identità (art. 12, par. 6), senza raccogliere più dati del necessario.

Tempi e costi. Rispondiamo senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta; il termine può essere prorogato di due mesi se la richiesta è complessa o se ne riceviamo molte, e in tal caso ti informiamo entro il primo mese (art. 12, par. 3). L’esercizio dei diritti è gratuito; solo in caso di richieste manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, possiamo chiedere un contributo ragionevole o rifiutare di dare seguito (art. 12, par. 5).

Se non sei soddisfatto puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o rivolgerti al giudice.

03 Ruoli

• Titolare del trattamento è Luca Abronzino S.r.l. (dati completi nell’informativa).
• Responsabile del trattamento è il fornitore che tratta dati per nostro conto sulla base di un contratto che lo vincola alle istruzioni del titolare (art. 28): Aruba S.p.A., Via San Clemente 53, 24036 Ponte San Pietro (BG), che fornisce hosting, database e posta elettronica del sito. Non ci avvaliamo di altri fornitori per i dati raccolti dal sito.
• Persone autorizzate sono i dipendenti e collaboratori che gestiscono le richieste, autorizzati e istruiti per iscritto (art. 29), ciascuno con i soli permessi necessari alla propria funzione nell’area riservata del sito.
• Terze parti autonome. Google, per la mappa che si attiva con il tuo consenso o su tua richiesta nella pagina Contatti; Meta (Instagram e Facebook), LinkedIn e Google (YouTube), per i post incorporati nella pagina Contatti, che si attivano con il tuo consenso o su tua richiesta; i social network raggiunti dai collegamenti. Ciascuna è titolare autonoma del trattamento che svolge sul proprio servizio.

04 Responsabile della protezione dei dati

Non abbiamo designato un responsabile della protezione dei dati, perché i nostri trattamenti non rientrano nei casi dell’art. 37 del GDPR (nessun monitoraggio regolare e sistematico su larga scala, nessun trattamento su larga scala di categorie particolari di dati). Per qualsiasi domanda sulla protezione dei dati puoi scrivere ai recapiti della sezione 2.

05 Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio (art. 32). In termini generali:

• il sito e l’area riservata sono raggiungibili solo con connessione cifrata (HTTPS) e le e-mail partono su un canale cifrato;
• i dati dei moduli, l’archivio dei documenti e le sessioni risiedono in spazi del server non raggiungibili dal web, separati dalle pagine pubbliche;
• l’accesso all’area riservata richiede credenziali personali, le password sono conservate solo in forma protetta, gli accessi scadono automaticamente e i tentativi falliti vengono limitati;
• ogni operatore vede solo le sezioni per cui è autorizzato; le operazioni rilevanti sono tracciate con autore e data;
• i moduli sono protetti contro gli invii contraffatti e contro i robot, con una verifica anti-robot gestita direttamente dal sito, senza servizi esterni, e il numero di invii per indirizzo e per rete è limitato;
• i collegamenti per scaricare le schede tecniche sono personali, scadono dopo 24 ore e valgono per un solo download;
• i file ricevuti (curriculum, quando la ricezione è attiva) sono controllati automaticamente prima di essere conservati e non vengono mai inoltrati come allegati;
• l’indirizzo IP non viene conservato in chiaro dall’applicazione;
• il fornitore di hosting applica le proprie misure fisiche e logiche, descritte nel contratto.

Non descriviamo i dettagli delle misure, per non agevolare chi volesse aggirarle.

06 Violazioni dei dati personali

Una violazione dei dati personali è un incidente di sicurezza che comporta la perdita, la modifica, la divulgazione o l’accesso non autorizzato ai dati (artt. 33–34 del GDPR). Le violazioni sono gestite dal titolare insieme al responsabile dei sistemi informatici dell’azienda. Le registriamo nel nostro registro interno e le notifichiamo al Garante entro 72 ore da quando ne siamo venuti a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Se il rischio è elevato, ne informiamo direttamente anche le persone interessate, con l’indicazione delle misure adottate. Il fornitore che tratta dati per nostro conto è tenuto ad avvisarci senza ritardo delle violazioni che lo riguardano.

Se ti accorgi di un possibile problema di sicurezza che riguarda i dati trattati dal sito, scrivi a privacy@abronzino.it.

07 Candidature

Le candidature inviate dal sito, per una posizione aperta o come candidatura spontanea, sono valutate dalle persone incaricate della selezione. Per inviarle è necessario selezionare due caselle obbligatorie: «Ho letto l’informativa privacy» e «Dichiaro di avere almeno 18 anni». Non chiediamo alcun consenso: la base giuridica è l’esecuzione di misure precontrattuali su tua richiesta e, per le candidature spontanee, l’art. 111-bis del Codice privacy, secondo cui per i curricula inviati spontaneamente non è necessario il consenso e l’informativa è fornita al primo contatto utile; nel nostro caso è disponibile prima dell’invio, sotto il modulo.

Ti chiediamo di non includere dati non necessari alla selezione, in particolare dati particolari (salute, convinzioni, appartenenze). Le candidature sono conservate per 12 mesi dalla ricezione e, in questo periodo, possono essere considerate anche per posizioni future compatibili; poi vengono cancellate. Se preferisci che la tua candidatura valga solo per la posizione indicata, scrivilo nel messaggio o a privacy@abronzino.it. Se la selezione si conclude con un’assunzione, i dati seguono le regole del rapporto di lavoro. Se alleghi il curriculum (un PDF fino a 3 MB), il sito controlla che sia un PDF leggibile e senza contenuti attivi prima di registrarlo; il file non viene inviato a servizi esterni ed è conservato per lo stesso periodo della candidatura.

08 Comunicazioni commerciali e contatti tra aziende

Molte richieste arrivano da persone che scrivono per conto della propria azienda. I dati di contatto di lavoro (nome, ruolo, e-mail e telefono aziendali) sono trattati per gestire la richiesta e la relazione commerciale con l’azienda per cui lavori, sulla base del nostro legittimo interesse (art. 6, par. 1, lett. f), al quale puoi opporti in ogni momento (art. 21); se ci scrivi a titolo personale, la base è l’esecuzione di misure precontrattuali su tua richiesta (art. 6, par. 1, lett. b).

Inviamo comunicazioni commerciali, sui nostri prodotti e servizi e su quelli della gamma Vertex, che distribuiamo in esclusiva per l’Italia, solo a chi ha dato il consenso facoltativo nei moduli del sito. In fondo a ogni e-mail commerciale trovi le istruzioni per disiscriverti; puoi farlo anche dalla pagina Disiscrizione o scrivendo a privacy@abronzino.it. Chi scrive per conto di un’azienda può esercitare i propri diritti come ogni altra persona (sezione 2).