Informativa sul trattamento dei dati personali
Ai sensi dell'art. 13 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
1. Titolare del trattamento
[RAGIONE SOCIALE], P.IVA [P.IVA], con sede legale in [SEDE LEGALE], PEC [PEC] ("Titolare").
Per ogni richiesta relativa alla privacy: [EMAIL PRIVACY].
2. Ambito: ruolo di titolare e di responsabile
CadCam è un servizio rivolto a imprese e professionisti. Il Titolare tratta i dati:
- come titolare, per i dati necessari a gestire l'account, il rapporto contrattuale, la sicurezza del Servizio e gli adempimenti di legge (descritti in questa informativa);
- come responsabile del trattamento (art. 28 GDPR) per conto dell'organizzazione cliente, per i dati personali che il cliente carica o genera nel Servizio e per i dati degli Utenti che il cliente abilita nella propria organizzazione. Per questi trattamenti il titolare è l'organizzazione cliente, a cui gli interessati possono rivolgersi in primo luogo; il Titolare la supporta nel riscontro alle richieste secondo l'accordo sul trattamento dei dati (DPA) richiamato nei Termini d'uso.
3. Categorie di dati trattati
- Dati dell'account: nome, indirizzo email, nome dell'organizzazione, ruoli e permessi, password (conservata solo in forma di hash crittografico), data di accettazione dei Termini, data dell'ultimo accesso.
- Dati tecnici caricati dal cliente: disegni DXF/DWG, geometrie, progetti, commesse, percorsi, codice macchina, configurazioni di macchine e post-processor. Possono contenere dati personali solo in modo occasionale (ad esempio nomi nei cartigli o nelle note).
- Dati delle macchine inviati dall'agente locale: identificativo della macchina, indirizzo di rete configurato, stato, avanzamento dei lavori, orari di attività e messaggi di stato. Tali dati riguardano le macchine ma possono essere indirettamente riferibili agli operatori.
- Log tecnici: indirizzo IP, data e ora delle richieste, tipo di browser e dispositivo, eventi di sicurezza ed errori applicativi.
- Dati di sicurezza anti-bot: segnali tecnici del browser e del dispositivo elaborati da Cloudflare Turnstile durante la registrazione e il reset della password.
- Notifiche: contenuto delle notifiche in-app e, se attivate dall'utente, i dati tecnici di iscrizione alle notifiche push del browser.
Non sono richiesti né trattati intenzionalmente dati appartenenti a categorie particolari (art. 9 GDPR).
4. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Registrazione, verifica email, gestione dell'account e dell'organizzazione, erogazione del Servizio, assistenza, invio di email di servizio (verifica, reset password, notifiche) | Esecuzione del contratto (art. 6.1.b GDPR) |
| Fatturazione, adempimenti contabili e fiscali, riscontro a richieste delle autorità | Obbligo di legge (art. 6.1.c GDPR) |
| Sicurezza del Servizio: prevenzione di accessi abusivi e bot, limitazione dei tentativi, log di sicurezza, monitoraggio degli errori, backup | Legittimo interesse del Titolare alla sicurezza e continuità del Servizio (art. 6.1.f GDPR) |
| Accertamento, esercizio o difesa di diritti in sede giudiziaria | Legittimo interesse (art. 6.1.f GDPR) |
Il conferimento dei dati dell'account è necessario per utilizzare il Servizio. Non si svolgono attività di marketing né profilazione; qualora in futuro fossero introdotte, sarà richiesto il consenso ove necessario.
5. Destinatari e responsabili del trattamento
I dati sono trattati da personale autorizzato del Titolare e comunicati, nei limiti necessari, ai seguenti fornitori nominati responsabili del trattamento:
| Fornitore | Servizio | Localizzazione dati |
|---|---|---|
| DigitalOcean, LLC | Hosting dell'infrastruttura, database e backup | Data center di Francoforte (UE); società con sede negli USA |
| Brevo (Sendinblue SAS) | Invio delle email transazionali | Unione Europea |
| Cloudflare, Inc. | Cloudflare Turnstile: protezione anti-bot su registrazione e reset password | Rete globale; società con sede negli USA |
| Functional Software, Inc. (Sentry) | Monitoraggio degli errori applicativi | Regione dati UE; società con sede negli USA |
Quando saranno attivate le funzionalità di configurazione assistita da intelligenza artificiale, i dati necessari (tipicamente esempi di codice macchina e configurazioni forniti dal cliente) potranno essere trasmessi al fornitore dei modelli IA (attualmente previsto: Anthropic). Prima dell'attivazione questa informativa sarà aggiornata con i dettagli del trattamento.
I dati possono inoltre essere comunicati a consulenti fiscali e legali e alle autorità, quando previsto dalla legge. I dati non sono venduti né diffusi.
6. Trasferimenti extra-UE
I dati sono ospitati nell'Unione Europea. Alcuni fornitori hanno sede negli Stati Uniti e potrebbero accedere ai dati o trattarli al di fuori dello Spazio Economico Europeo (ad esempio per assistenza tecnica o per il funzionamento della rete Cloudflare). In tali casi il trasferimento avviene sulla base dell'adesione del fornitore all'EU-US Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023) oppure, in mancanza, delle Clausole contrattuali standard approvate dalla Commissione europea, con le eventuali misure supplementari. Copia delle garanzie può essere richiesta a [EMAIL PRIVACY].
7. Tempi di conservazione
- Dati dell'account e contenuti del cliente: per tutta la durata del contratto; dopo la cessazione, i contenuti restano esportabili per 30 giorni e sono poi cancellati, salvo i tempi tecnici di rotazione dei backup (fino a 30 giorni).
- Documentazione contabile e fiscale: 10 anni dalla cessazione del rapporto, ove applicabile (art. 2220 c.c.).
- Log tecnici e di sicurezza: 12 mesi.
- Token di verifica email e reset password: scadenza breve (ore) e invalidazione dopo l'uso.
- Dati di Cloudflare Turnstile: secondo le politiche del fornitore, limitatamente alla verifica anti-bot.
- In caso di contenzioso, i dati necessari possono essere conservati fino alla sua definizione.
8. Sicurezza
Il Titolare adotta misure tecniche e organizzative adeguate, tra cui cifratura delle connessioni (HTTPS), password conservate come hash, cookie di sessione non accessibili da JavaScript, controllo degli accessi per ruoli, isolamento dei dati per organizzazione, backup e monitoraggio.
9. Diritti degli interessati
Ai sensi degli artt. 15-22 GDPR l'interessato può chiedere in qualsiasi momento l'accesso ai propri dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità dei dati e opporsi al trattamento basato sul legittimo interesse. Le richieste vanno inviate a [EMAIL PRIVACY] o via PEC a [PEC]; il riscontro è fornito entro un mese, prorogabile nei casi previsti dalla legge.
Per i dati trattati per conto di un'organizzazione cliente (punto 2) la richiesta può essere rivolta all'organizzazione stessa; il Titolare la inoltrerà e collaborerà al riscontro.
10. Reclamo
L'interessato che ritenga che il trattamento violi il GDPR può proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato UE in cui risiede o lavora.
11. Processi decisionali automatizzati
Non vengono adottate decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici o incidano in modo analogo significativamente sugli interessati (art. 22 GDPR). I controlli anti-bot hanno la sola funzione di proteggere il Servizio.
12. Cookie e modifiche all'informativa
Per l'uso di cookie e tecnologie simili si veda la Cookie policy. La presente informativa può essere aggiornata; la versione vigente è sempre pubblicata su questa pagina con la relativa data e le modifiche rilevanti sono comunicate agli utenti.