Informativa sul Trattamento dei Dati Personali

In ossequio al principio di trasparenza sancito dall'art. 12 del Regolamento (UE) 2016/679 (di seguito 'GDPR'), si rende noto che il Titolare del Trattamento è Ecoba, persona giuridica di diritto italiano con sede legale in C.so Principe Oddone, 18 - 10122 Torino, C.F./P.IVA IT13318250019. Ogni istanza inerente la protezione dei dati potrà essere indirizzata con formalità certa all'indirizzo PEC ecobasrl@pec.it o alla casella dedicata privacy@ecoba.io.

Il trattamento dei dati personali è informato ai principi di liceità, correttezza e trasparenza (art. 5 GDPR) e trova fondamento nelle seguenti basi giuridiche (art. 6 GDPR):

• Esecuzione Contrattuale (art. 6.1.b): Il trattamento è conditio sine qua non per l'instaurazione e l'esecuzione del rapporto di servizio logistico, la gestione degli interventi e l'adempimento delle obbligazioni precontrattuali.
• Adempimento Obbligo Legale (art. 6.1.c): Il trattamento è imposto da norme imperative, ivi inclusi gli obblighi fiscali e contabili.
• Legittimo Interesse (art. 6.1.f): Per la tutela del patrimonio aziendale, la prevenzione di frodi e l'esercizio del diritto di difesa in giudizio.
• Consenso (art. 6.1.a): Esclusivamente per attività di marketing diretto e profilazione non essenziale, previo consenso libero, specifico, informato e inequivocabile, sempre revocabile.

Il Titolare acquisisce e tratta, nei limiti del principio di minimizzazione (art. 5.1.c GDPR):

• Dati Comuni: Anagrafica, recapiti telefonici e telematici, necessari all'identificazione del contraente.
• Dati Economici e Patrimoniali: Informazioni strettamente necessarie alla valutazione delle esigenze logistiche e operative del cliente.
• Dati di Navigazione: Indirizzi IP, URI e parametri tecnici acquisiti automaticamente dai protocolli di comunicazione internet (vedasi Cookie Policy).

Il trattamento è espletato mediante strumenti informatici e telematici idonei a garantire la sicurezza (art. 32 GDPR) e la riservatezza. I dati saranno conservati per l'arco temporale strettamente necessario al perseguimento delle finalità (principio di limitazione della conservazione), e segnatamente:

• Per la durata del rapporto contrattuale e, successivamente, per il termine decennale di prescrizione ordinaria (art. 2946 c.c.) per finalità civilistiche e fiscali.
• Per 24 mesi per finalità di marketing, salvo rinnovo del consenso.

I dati non sono oggetto di diffusione. Possono essere comunicati, nei limiti strettamente necessari alle finalità indicate, a soggetti che operano per conto del Titolare in qualità di Responsabili del Trattamento ex art. 28 GDPR, vincolati da un accordo sul trattamento dei dati: il fornitore della piattaforma gestionale Janus, i fornitori di infrastruttura cloud e di rete (tra cui, ove utilizzata, Cloudflare, capitolo 15), i fornitori dei servizi tecnici elencati al capitolo 16, i consulenti legali, fiscali e contabili. I dati possono inoltre essere comunicati alle Pubbliche Autorità che ne facciano legittima richiesta. L'elenco aggiornato dei Responsabili è disponibile su richiesta scritta al Titolare.

L'Interessato può esercitare in ogni momento i diritti sanciti dagli artt. 15-22 GDPR (Accesso, Rettifica, Cancellazione/Oblio, Limitazione, Portabilità, Opposizione) rivolgendo istanza formale al Titolare. È fatto salvo il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali (art. 77 GDPR) qualora ritenga che il trattamento violi la normativa vigente.

Il conferimento dei dati per le finalità contrattuali è obbligatorio; il mancato conferimento comporterà l'impossibilità di dare corso al rapporto contrattuale. Il conferimento per finalità di marketing è facoltativo e il mancato consenso non pregiudica la fruizione dei servizi principali.

I dati personali sono conservati su server ubicati all'interno dell'Unione Europea. Alcuni fornitori di servizi tecnici, in particolare Google LLC e, ove utilizzata, Cloudflare, Inc. (capitoli 15 e 16), possono trattare dati come l'indirizzo IP anche al di fuori dello Spazio Economico Europeo, in particolare negli Stati Uniti. Tali trasferimenti avvengono in conformità al Capo V del GDPR:

• sulla base della decisione di adeguatezza della Commissione Europea del 10 luglio 2023 relativa all'EU-U.S. Data Privacy Framework, per i fornitori che vi aderiscono;
• in ogni caso mediante Clausole Contrattuali Standard approvate dalla Commissione (Decisione di esecuzione (UE) 2021/914) e le misure supplementari previste dagli accordi con i fornitori.

Il Regno Unito, sede della OpenStreetMap Foundation, beneficia di una decisione di adeguatezza della Commissione Europea. Copia delle garanzie adottate può essere richiesta al Titolare.

Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento, dandone pubblicità agli Utenti su questa pagina. Si prega dunque di consultare regolarmente questa pagina, prendendo come riferimento la data di ultima modifica indicata in calce.

Il trattamento dei dati avviene secondo un modello di sicurezza a più livelli. I dati personali raccolti tramite l'interfaccia pubblica (SAMI) vengono trasmessi al sistema gestionale (Janus II) esclusivamente su canale cifrato. Il processo prevede:

• Ingestione: Acquisizione tramite canale sicuro HTTPS (TLS).
• Controllo degli accessi: Ogni lettura e modifica è subordinata ad autenticazione crittografica forte, con chiavi private residenti localmente sui dispositivi aziendali, e ad autorizzazioni per ruolo verificate dal server.
• Cifratura selettiva: Documenti e credenziali conservati nell'area Vault sono cifrati end-to-end (AES-256) con chiavi non custodite dal server; i restanti dati operativi risiedono su infrastruttura ad accesso ristretto e sono protetti da controlli di accesso e registri di attestazione lato server.

Qualora i dati personali non siano ottenuti direttamente presso l'interessato, il Titolare informerà l'interessato, entro un termine ragionevole e comunque non oltre un mese (o al primo contatto utile), circa: le fonti da cui i dati provengono, le categorie di dati oggetto di trattamento, le finalità e basi giuridiche, i destinatari, nonché i diritti riconosciuti dal GDPR.

Il Titolare adotta procedure di gestione degli incidenti conformi agli artt. 33–34 GDPR. In caso di violazione dei dati personali, ove la violazione presenti un rischio per i diritti e le libertà delle persone fisiche, sarà effettuata notifica all'Autorità Garante entro 72 ore e, se ad alto rischio, comunicazione agli interessati. Il processo include: contenimento, analisi forense, valutazione impatto, misure correttive e registrazione dell'evento nel registro incidenti.

Per questioni inerenti la protezione dei dati personali, l'interessato può contattare il Titolare all'indirizzo privacy@ecoba.io o la casella PEC ecobasrl@pec.it. Qualora sia nominato un Data Protection Officer (DPO), la relativa casella di contatto è pubblicata su questa pagina. È disponibile un canale dedicato per la segnalazione di vulnerabilità o incidenti di sicurezza.

I servizi offerti tramite questo sito sono rivolti a persone maggiorenni e, ove previsto, a professionisti e imprese. Il Titolare non raccoglie consapevolmente dati personali di minori attraverso i moduli del sito, l'assistente virtuale o gli altri canali di contatto, e non tratta in alcun caso dati di minori per finalità di marketing, profilazione o decisioni automatizzate.

Ai sensi dell'art. 8 GDPR e dell'art. 2-quinquies del D.Lgs. 196/2003, il consenso al trattamento dei dati nell'ambito dei servizi della società dell'informazione può essere prestato autonomamente solo da chi ha compiuto 14 anni; al di sotto di tale età è necessario il consenso di chi esercita la responsabilità genitoriale.

Nell'attività di trasporto e logistica i dati trattati riguardano di norma clienti, mittenti e destinatari professionali. Qualora una spedizione sia consegnata a una persona minorenne presente all'indirizzo di destinazione, i dati raccolti per la prova di consegna (nome, firma, data e ora) sono limitati a quanto strettamente necessario e protetti con le stesse garanzie previste per gli altri destinatari. I dati di localizzazione dei mezzi e del personale non riguardano minori.

Il genitore o il tutore che ritenga che il Titolare abbia ricevuto dati di un minore senza un'adeguata base giuridica può chiederne in qualunque momento la cancellazione scrivendo a privacy@ecoba.io: i dati saranno cancellati senza ingiustificato ritardo, salvo che la conservazione sia imposta dalla legge. La presente sezione è resa per completezza e trasparenza: nell'ordinaria attività del Titolare, di norma, non sono trattati dati personali di minori.

Ove il sito o la piattaforma si avvalgano, per garantirne disponibilità, velocità e sicurezza, della rete di Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA), il traffico in ingresso transita attraverso tale rete e Cloudflare opera quale Responsabile (o sub-responsabile) del trattamento sulla base del proprio accordo sul trattamento dei dati (Data Processing Addendum). In tal caso valgono le condizioni seguenti; se il sito non si avvale di Cloudflare, nessun dato è trattato da tale fornitore.

• Funzioni svolte: risoluzione dei nomi a dominio (DNS), distribuzione dei contenuti (CDN), cifratura del canale (TLS), firewall applicativo (WAF), mitigazione degli attacchi informatici (DDoS) e riconoscimento del traffico automatizzato.
• Dati trattati: indirizzo IP, data e ora della richiesta, indirizzo della risorsa richiesta, intestazioni tecniche del browser (ad esempio tipo di browser e lingua). I documenti e le credenziali dell'area Vault viaggiano cifrati end-to-end e non sono leggibili da Cloudflare.
• Cookie tecnici: __cf_bm (gestione del traffico automatizzato, durata 30 minuti) e, solo quando è richiesta una verifica di sicurezza, cf_clearance (esito della verifica). Sono strettamente necessari e non richiedono consenso (art. 122, co. 1 Codice Privacy).
• Base giuridica: legittimo interesse del Titolare alla sicurezza delle reti e delle informazioni e alla continuità del servizio (art. 6.1.f e Considerando 49 GDPR). I dati sono usati esclusivamente per finalità di sicurezza ed erogazione tecnica, mai per profilazione o pubblicità.
• Conservazione: i registri tecnici sono conservati per periodi brevi, secondo le politiche del fornitore, e comunque non oltre quanto necessario alle finalità di sicurezza.
• Trasferimento: Cloudflare, Inc. aderisce all'EU-U.S. Data Privacy Framework; i trasferimenti sono inoltre coperti da Clausole Contrattuali Standard (capitolo 8).

Informativa del fornitore: cloudflare.com/privacypolicy.

Il sito e la piattaforma sono progettati per ridurre al minimo le comunicazioni del browser dell'Utente verso soggetti terzi. In particolare, caratteri tipografici, librerie software e immagini dimostrative sono serviti direttamente dai server del Titolare: il browser non contatta Google Fonts, reti CDN pubbliche (come cdnjs, unpkg o jsDelivr) né Unsplash, e a tali soggetti non è comunicato alcun dato. I caratteri tipografici sono inoltre conservati nella memoria del browser (service worker) per consentirne l'uso anche senza connessione: si tratta di file pubblici che non contengono dati personali.

Restano i seguenti servizi esterni, attivati solo quando si utilizza la relativa funzione:

Le informative dei fornitori sono consultabili sui rispettivi siti istituzionali. I collegamenti verso siti esterni (ad esempio la visualizzazione di un luogo su openstreetmap.org) aprono pagine di terzi, soggette alle rispettive informative.