Informativa privacy

1. Titolare del trattamento

Il titolare del trattamento è Great Start Ltd, che gestisce il servizio Fondiamo.

• Sede legale: [DA COMPLETARE: sede legale di Great Start Ltd]
• Numero di registrazione: [DA COMPLETARE: numero di registrazione e registro delle imprese di iscrizione]
• Paese di registrazione: [DA COMPLETARE: Paese di registrazione di Great Start Ltd]
• Partita IVA: [DA COMPLETARE: partita IVA, se esistente]
• Email per le richieste privacy: [DA COMPLETARE: indirizzo email per le richieste privacy]

2. Responsabile della protezione dei dati (DPO)

[DA COMPLETARE: DPO nominato ai sensi dell'art. 37 GDPR e suoi recapiti, oppure dichiarazione che non è stato nominato]

3. Rappresentante nell'Unione europea

[DA COMPLETARE: rappresentante designato ai sensi dell'art. 27 GDPR e recapiti, se Great Start Ltd non è stabilita nell'Unione; altrimenti eliminare la sezione]

4. Quali dati trattiamo

• Dati di navigazione: l'infrastruttura di hosting può registrare in log tecnici indirizzo IP, data e ora, pagina richiesta, codice di risposta, tipo di browser e pagina di provenienza.
• Dati che ci invii via email: indirizzo email, nome e ciò che scegli di scrivere.
• Dati del modulo contatti: nome, email, messaggio e, se li indichi, telefono e impresa; la conferma di aver letto questa informativa, con data e ora.
• Dati dell'account: email, nome e cognome, ruolo (cliente o staff) e dati di accesso registrati dal servizio di autenticazione (data e ora, indirizzo IP, browser).
• Dati del profilo impresa: ragione sociale, partita IVA, codice ATECO, dimensione, regione, città, dipendenti, anno di fondazione e descrizione; sono dati personali se l'impresa è individuale o un professionista.
• Dati delle pratiche di agevolazione: bando, stato e cronologia, note tue e dello staff (alcune note dello staff sono interne: non compaiono nell'area riservata, ma te le consegniamo se chiedi l'accesso ai tuoi dati), documenti caricati con nome, tipo, dimensione, autore e data. I documenti possono contenere dati personali tuoi e di altre persone (titolari, soci, amministratori, dipendenti) e dati economici.
• Persone del progetto: per preparare l'elenco dei documenti lo staff registra nella pratica le persone coinvolte (titolare, legale rappresentante, soci, amministratori o altre figure richieste dal bando) con nome e cognome, ruolo nella pratica e, per i soci, quota di partecipazione; codice fiscale ed email solo se servono. Quando carichi un documento che riguarda una di queste persone registriamo anche la dichiarazione che rendi al caricamento, con la versione del testo e la data.
• Richieste sulla privacy: tipo (esportazione o cancellazione), stato e date.
• Registro delle attività (audit): per la creazione, la modifica e i cambi di stato di pratiche, bandi e richieste di contatto, il caricamento e la cancellazione dei documenti, le richieste sulla privacy, i cambi di ruolo e le consultazioni degli indirizzi email degli utenti da parte dello staff: chi ha agito (cliente o staff), su quale elemento, quali campi sono cambiati e quando, senza il contenuto.
• Cookie: i cookie tecnici di accesso all'area riservata, la tua scelta sui cookie (fondiamo_consent, solo quando è attivo un servizio che richiede consenso) e, solo con il tuo consenso, i dati statistici e di misura degli annunci descritti nella cookie policy.

Non trattiamo dati di pagamento. Non chiediamo e per ora non accettiamo dati sulla salute o altri dati particolari (art. 9 GDPR) né dati su condanne penali e reati (art. 10 GDPR): non inserirli in messaggi e note e non caricare documenti che li contengono, anche se il bando li richiede. In quel caso contattaci prima di caricarli.

5. Da dove provengono i dati

Raccogliamo i dati da te; stato delle pratiche, note di lavoro e registro delle attività sono prodotti dallo staff e dai sistemi. I dati di altre persone (per esempio titolari, soci, amministratori o dipendenti dell'impresa) contenuti nei documenti o nelle note ci sono comunicati dal cliente (art. 14 GDPR): dati anagrafici e di contatto, ruolo, quote, dati retributivi o contributivi e altri dati economici richiesti dal bando. Valgono per loro le finalità, le basi giuridiche, i tempi e i diritti descritti in questa informativa.

Il cliente carica dati di altre persone solo se servono alla pratica, deve avere titolo per comunicarceli ed è tenuto a informare le persone interessate, anche indicando questa informativa. Per i dati di soci e dipendenti contenuti nei documenti, il titolare è il cliente e Great Start Ltd li tratta per suo conto come responsabile del trattamento (art. 28 GDPR), secondo l'accordo allegato all'incarico: per questi dati le persone interessate possono rivolgersi al cliente.

I dati delle persone del progetto sono inseriti dallo staff a partire da ciò che il cliente comunica e dai documenti caricati (art. 14 GDPR). [DA COMPLETARE: ruolo di Great Start Ltd, titolare o responsabile del trattamento, per i dati delle persone del progetto inseriti dallo staff]

6. Finalità e basi giuridiche

• Rendere disponibile il sito e proteggerlo (erogazione delle pagine, prevenzione di abusi e attacchi, diagnosi di errori): legittimo interesse del titolare a offrire un sito funzionante e sicuro (art. 6, par. 1, lett. f) GDPR).
• Rispondere alle richieste inviate con il modulo contatti o via email e valutare con te un possibile incarico: misure precontrattuali adottate su tua richiesta (art. 6, par. 1, lett. b) GDPR); per i messaggi estranei a un incarico, legittimo interesse a rispondere (art. 6, par. 1, lett. f) GDPR).
• Gestire account, profilo impresa e pratiche (valutazione, preparazione e seguito della domanda, note, documenti): esecuzione del contratto o di misure precontrattuali (art. 6, par. 1, lett. b) GDPR); se il contratto è dell'impresa per cui agisci, legittimo interesse a gestire il rapporto con l'impresa cliente (art. 6, par. 1, lett. f) GDPR).
• Trattare i dati di altre persone contenuti nelle pratiche: per i dati di soci e dipendenti nei documenti agiamo per conto del cliente (art. 28 GDPR); negli altri casi, legittimo interesse del titolare e del cliente a preparare e seguire la domanda (art. 6, par. 1, lett. f) GDPR).
• Adempiere obblighi di legge (per esempio contabili e fiscali) e gestire le richieste di esercizio dei diritti: obbligo legale (art. 6, par. 1, lett. c) GDPR).
• Sicurezza della piattaforma, log di accesso e registro delle attività, per prevenire accessi non autorizzati e ricostruire chi ha modificato una pratica e quando: legittimo interesse alla sicurezza dei sistemi e dei dati dei clienti (art. 6, par. 1, lett. f) e considerando 49 GDPR).
• Mantenere la sessione nell'area riservata e ricordare la tua scelta sui cookie: cookie tecnici che non richiedono consenso (art. 122, comma 1, Codice privacy); basi giuridiche: esecuzione del contratto (art. 6, par. 1, lett. b) GDPR) e legittimo interesse a non riproporti il banner (art. 6, par. 1, lett. f) GDPR).
• Statistiche aggregate con Google Analytics 4, oggi non attivo: solo se verrà attivato, con il tuo consenso (art. 6, par. 1, lett. a) GDPR e art. 122 Codice privacy), revocabile in ogni momento; fornitore, trasferimenti e conservazione sono descritti nella cookie policy.
• Misura delle conversioni di Google Ads (sapere se un nostro annuncio ha portato a una richiesta di contatto), oggi non attiva: solo se verrà attivata, con il tuo consenso (art. 6, par. 1, lett. a) GDPR e art. 122 Codice privacy), revocabile in ogni momento; dettagli nella cookie policy.
• Accertare, esercitare o difendere un diritto in sede giudiziaria: legittimo interesse del titolare (art. 6, par. 1, lett. f) GDPR).

Bilanciamento del legittimo interesse: il registro delle attività contiene solo chi, su quale elemento, quali campi e quando, non il contenuto, è consultabile solo dallo staff autorizzato, non serve a valutare i clienti ed è conservato per un tempo limitato; i dati di altre persone sono solo quelli richiesti dal bando e li vedono solo il cliente e lo staff autorizzato; i dati di referente sono quelli minimi per lavorare con l'impresa. Sono trattamenti che l'interessato può ragionevolmente attendersi e che proteggono anzitutto i suoi dati, per cui non prevalgono i tuoi interessi o diritti. Puoi comunque opporti per motivi legati alla tua situazione particolare (art. 21 GDPR).

Non prendiamo decisioni basate unicamente su un trattamento automatizzato, compresa la profilazione (art. 22 GDPR), e non usiamo i dati per comunicazioni promozionali.

7. Obbligo o facoltà di fornire i dati

I dati di navigazione sono necessari al funzionamento del sito. Contattarci è facoltativo; nel modulo, nome, email e messaggio servono per risponderti, telefono e impresa sono facoltativi. L'email è necessaria per accedere all'area riservata; profilo impresa e documenti richiesti dal bando sono necessari per seguire la pratica. Il consenso ai cookie statistici e di marketing è facoltativo e senza di esso navighi senza limitazioni.

8. Destinatari dei dati

I dati possono essere trattati da:

• persone autorizzate da Great Start Ltd (staff), tenute alla riservatezza e con accesso in base al ruolo (art. 29 GDPR e art. 2-quaterdecies Codice privacy);
• Supabase Inc. (Stati Uniti), che fornisce database, autenticazione e archivio dei documenti, come responsabile del trattamento (art. 28 GDPR), con dati conservati nella regione di Francoforte (Germania) [DA COMPLETARE: sub-responsabili rilevanti di Supabase Inc., da verificare nel DPA];
• Vercel Inc., fornitore del servizio di hosting del sito, come responsabile del trattamento (art. 28 GDPR): le funzioni server, che elaborano anche i dati del modulo e dell'area riservata, sono eseguite a Francoforte (Germania), mentre le pagine statiche possono essere distribuite dalla sua rete CDN, con nodi anche fuori dall'Unione europea;
• Google, che fornisce la casella di posta di Fondiamo (Gmail): [DA COMPLETARE: società del gruppo Google che fornisce Gmail, ruolo e strumento di trasferimento];
• il fornitore che invierà le email di accesso e gli avvisi: [DA COMPLETARE: fornitore dell'invio delle email, non ancora scelto, e Paese];
• gli enti che gestiscono i bandi, quando su incarico del cliente presentiamo o seguiamo una domanda, come titolari autonomi;
• solo se Google Analytics 4 o le conversioni di Google Ads verranno attivati e con il tuo consenso, Google Ireland Limited e Google LLC (Stati Uniti), come descritto nella cookie policy;
• se è attiva la verifica anti-robot (pagina di accesso e modulo contatti), Cloudflare, Inc. (Stati Uniti): finalità, base giuridica e trasferimento nella cookie policy;
• autorità e altri soggetti ai quali la comunicazione è dovuta per legge.

Non vendiamo i dati personali e non li diffondiamo.

9. Trasferimenti fuori dallo Spazio economico europeo

Vercel Inc. e Supabase Inc. hanno sede negli Stati Uniti: alcuni dati (per esempio i log tecnici) possono essere trattati fuori dallo Spazio economico europeo (SEE) e i dati della piattaforma, pur conservati a Francoforte, possono essere accessibili ai fornitori da fuori del SEE, per esempio per assistenza.

• Vercel Inc.: [DA COMPLETARE: strumento di trasferimento per Vercel Inc. — Data Privacy Framework (decisione di esecuzione (UE) 2023/1795, art. 45 GDPR) se certificata, oppure clausole contrattuali tipo (decisione di esecuzione (UE) 2021/914, art. 46 GDPR)].
• Supabase Inc.: [DA COMPLETARE: strumento di trasferimento per Supabase Inc. — DPA di Supabase e Data Privacy Framework (art. 45 GDPR) o clausole contrattuali tipo (art. 46 GDPR), da verificare].

[DA COMPLETARE: se Great Start Ltd è stabilita fuori dal SEE, Paese e base del trasferimento dei dati verso il titolare, per esempio una decisione di adeguatezza (art. 45 GDPR)]

Puoi chiedere informazioni sulle garanzie adottate e ottenerne copia scrivendo all'indirizzo indicato nella sezione "Titolare del trattamento".

10. Per quanto tempo conserviamo i dati

• Log tecnici di navigazione: [DA COMPLETARE: tempo di conservazione dei log presso il fornitore di hosting].
• Email che non portano a un incarico: [DA COMPLETARE: tempo di conservazione deciso per le email ricevute].
• Richieste inviate con il modulo contatti che non portano a un incarico: 12 mesi dalla richiesta.
• Dati dell'account e del profilo impresa: per la durata dell'account; un account senza pratiche è cancellato 30 giorni dopo la richiesta di chiusura, un account mai confermato dopo 7 giorni; se ci sono pratiche, restano con le pratiche.
• Log di accesso all'area riservata: [DA COMPLETARE: conservazione dei log di autenticazione di Supabase].
• Pratiche, note e documenti caricati: per la durata dell'incarico e poi 10 anni dalla chiusura della pratica.
• Richieste sulla privacy: 5 anni dalla chiusura della richiesta.
• Registro delle attività (audit): 5 anni.
• Copie di sicurezza (backup) del database: [DA COMPLETARE: durata dei backup presso Supabase].
• Cookie tecnico fondiamo_consent: 6 mesi dalla scelta.

Oltre questi termini conserviamo i dati solo se e per quanto necessario ad accertare, esercitare o difendere un diritto in sede giudiziaria o ad adempiere un obbligo di legge.

11. Come proteggiamo i dati

Misure adeguate al rischio (art. 32 GDPR): comunicazioni cifrate (HTTPS); accesso con link personale via email, senza password; controllo degli accessi nel database (Row Level Security), per cui ogni cliente vede solo i propri dati e lo staff accede in base al ruolo; documenti in un archivio privato, con formati ammessi e massimo 10 MB per file; registro delle attività; accesso limitato a persone autorizzate. La tua casella email è la chiave dell'area riservata: proteggila e non inoltrare il link di accesso. Eventuali violazioni dei dati sono gestite secondo gli artt. 33 e 34 GDPR.

12. I tuoi diritti

In qualsiasi momento puoi chiedere:

• l'accesso ai tuoi dati e alle informazioni sul trattamento (art. 15 GDPR);
• la rettifica dei dati inesatti o l'integrazione di quelli incompleti (art. 16 GDPR);
• la cancellazione dei dati (art. 17 GDPR);
• la limitazione del trattamento (art. 18 GDPR);
• la portabilità dei dati che ci hai fornito, per i trattamenti basati sul consenso o su un contratto (art. 20 GDPR);
• di opporti ai trattamenti basati sul legittimo interesse, per motivi connessi alla tua situazione particolare (art. 21 GDPR);
• di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca (art. 7, par. 3, GDPR).

Per esercitare i diritti scrivi a [DA COMPLETARE: indirizzo email per le richieste privacy]. Rispondiamo senza ingiustificato ritardo e comunque entro un mese dalla richiesta, prorogabile di due mesi nei casi complessi (art. 12, par. 3, GDPR). L'esercizio dei diritti è gratuito, salvo i casi di richieste manifestamente infondate o eccessive previsti dall'art. 12, par. 5, GDPR.

Con un account puoi anche aggiornare nome e dati dell'impresa, scaricare subito dall'area riservata i dati che ci hai fornito e quelli delle tue pratiche (in formato strutturato e leggibile da dispositivo automatico) e chiedere la cancellazione dell'account; la richiesta di cancellazione è gestita dallo staff nei termini indicati sopra. Per l'accesso completo ai dati, comprese le note di lavoro dello staff che ti riguardano, e per gli altri diritti scrivi all'indirizzo indicato sopra. Non cancelliamo i dati che dobbiamo conservare per legge o per la difesa di un diritto (art. 17, par. 3, GDPR) e in quel caso ti diciamo quali e perché. Se i tuoi dati ci sono stati comunicati da un cliente, scrivi all'indirizzo indicato sopra.

Quando sarà attivo un servizio che richiede il consenso ai cookie, potrai revocarlo o modificarlo in ogni momento con il link "Preferenze cookie" che comparirà nel piè di pagina del sito, come spiegato nella cookie policy.

13. Reclamo all'autorità di controllo

Se ritieni che il trattamento dei tuoi dati violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) oppure all'autorità di controllo dello Stato membro in cui risiedi abitualmente, lavori o si è verificata la presunta violazione (art. 77 GDPR). Resta salvo il diritto di ricorrere all'autorità giudiziaria (art. 79 GDPR).

14. Modifiche a questa informativa

Possiamo aggiornare questa informativa, per esempio quando attiviamo nuovi servizi o cambiano i fornitori. La data di ultimo aggiornamento è indicata in cima alla pagina; le modifiche rilevanti saranno segnalate sul sito.