Informativa sulla Privacy

1. Titolare del Trattamento dei Dati

Il Titolare è responsabile del trattamento dei dati personali raccolti attraverso il presente sito web e garantisce il rispetto della normativa vigente in materia di protezione dei dati personali.

2. Responsabile della Protezione dei Dati (DPO)

Ai sensi dell'art. 37 del GDPR, è possibile contattare il Responsabile della Protezione dei Dati (Data Protection Officer - DPO) per tutte le questioni relative al trattamento dei dati personali:

3. Tipologie di Dati Personali Raccolti

Il sito web raccoglie diverse categorie di dati personali, in base alle modalità di utilizzo del servizio:

3.1 Dati di Navigazione

I sistemi informatici e le procedure software preposte al funzionamento di questo sito acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet.

• Indirizzo IP: raccolto in forma anonimizzata (ultimi ottetti rimossi) per garantire la conformità GDPR
• Tipo di browser e parametri del dispositivo utilizzato
• Sistema operativo
• Nome di dominio e indirizzi di siti web dai quali è stato effettuato l'accesso
• Data e ora della visita
• Pagine visitate

Questi dati vengono utilizzati esclusivamente per ricavare informazioni statistiche anonime sull'uso del sito e per controllarne il corretto funzionamento.

3.2 Dati Forniti Volontariamente tramite il Form di Segnalazione

Nel caso di invio di segnalazioni tramite il modulo di contatto presente sul sito, vengono raccolti:

• Categoria della segnalazione (obbligatorio)
• Località (facoltativo)
• Descrizione della segnalazione (obbligatorio)
• Indirizzo email (facoltativo - solo se fornito volontariamente per ricevere aggiornamenti)
• Indirizzo IP anonimizzato
• User agent del browser
• Data e ora dell'invio

Importante: Le segnalazioni sono progettate per essere completamente anonime. L'indirizzo email è facoltativo e viene richiesto solo se si desidera ricevere aggiornamenti sullo stato della segnalazione. Se fornito, l'email viene conservato in forma crittografata (hash SHA-256).

3.3 Dati Forniti tramite il Form di Richiesta Informazioni

Il sito mette a disposizione un modulo "Richiedi Informazioni" attraverso il quale gli utenti possono contattare la Società. I dati raccolti sono:

• Nome e cognome (obbligatorio, max 100 caratteri)
• Indirizzo email (obbligatorio, max 150 caratteri) – utilizzato per rispondere alla richiesta
• Oggetto della richiesta (obbligatorio, max 200 caratteri)
• Messaggio (obbligatorio, max 5000 caratteri)
• Indirizzo IP del mittente
• User Agent del browser
• Data e ora dell'invio (timestamp ISO 8601)
• Prova del consenso GDPR – registrata in un log dedicato (vedi sezione 6)

I dati vengono trasmessi via email all'indirizzo segreteria@ecosortingve.com e contestualmente registrati in un log di consenso ai sensi dell'art. 7 GDPR (onere della prova).

3.4 Dati Tecnici per la Sicurezza del Form

Per prevenire abusi (spam, phishing, attacchi automatizzati), il sistema raccoglie temporaneamente:

• Indirizzo IP per il rate limiting (max 3 invii / 10 minuti)
• Token CSRF di sessione (cookie tecnico PHPSESSID)
• Timestamp di apertura del form (anti-bot)

Questi dati hanno finalità esclusivamente tecnica e di sicurezza, sono trattati ai sensi dell'art. 6.1.f GDPR (interesse legittimo) e cancellati automaticamente entro 10 minuti dall'invio.

3.5 Cookie e Tecnologie Simili

Il sito utilizza esclusivamente cookie tecnici necessari al funzionamento del sito web. Non vengono utilizzati cookie di profilazione o marketing. Per maggiori informazioni, consultare la sezione dedicata ai cookie.

4. Finalità del Trattamento e Base Giuridica

I dati personali sono trattati per le seguenti finalità, nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione e limitazione della finalità previsti dal GDPR:

5. Trattamento di Dati Anonimi

Ai sensi del Considerando 26 del GDPR, i principi di protezione dei dati non si applicano alle informazioni anonime, ossia informazioni che non si riferiscono a una persona fisica identificata o identificabile.

Misure di Anonimizzazione Implementate:

• Anonimizzazione degli indirizzi IP: Gli ultimi due ottetti degli indirizzi IPv4 vengono rimossi (es. 192.168.xxx.xxx diventa 192.168.0.0)
• Hash crittografico degli indirizzi email: Se fornito, l'indirizzo email viene convertito in un hash SHA-256 irreversibile
• Nessuna raccolta di identificatori univoci: Non vengono raccolti nomi, cognomi, numeri di telefono o altri dati direttamente identificativi
• Codice di tracking: Viene generato un codice alfanumerico casuale che non permette l'identificazione dell'utente

Le segnalazioni inviate tramite il form di contatto sono progettate per essere completamente anonime e non permettono l'identificazione diretta o indiretta dell'utente, salvo nel caso in cui questi fornisca volontariamente il proprio indirizzo email.

6. Modalità di Trattamento dei Dati

I dati personali sono trattati con strumenti automatizzati per il tempo strettamente necessario a conseguire gli scopi per cui sono stati raccolti. Il Titolare adotta specifiche misure di sicurezza per prevenire la perdita dei dati, usi illeciti o non corretti e accessi non autorizzati:

• Crittografia: Utilizzo di connessione HTTPS con certificato SSL/TLS per tutte le comunicazioni
• Protezione database: Accesso al database limitato tramite credenziali sicure e permessi restrittivi
• Prepared Statements: Utilizzo di prepared statements PDO per prevenire SQL Injection
• Sanitizzazione input: Tutti gli input utente vengono sanitizzati per prevenire attacchi XSS
• Protezione anti-CSRF: I form sono protetti da token CSRF univoci di sessione (rotazione dopo ogni invio)
• Honeypot anti-bot: Campi nascosti per intercettare invii automatizzati senza disturbare l'utente
• Rate limiting: Limite di 3 invii / 10 minuti per indirizzo IP per prevenire spam e mail flooding
• Time-trap: Verifica del tempo minimo di compilazione del form (anti-bot)
• Validazione Origin/Referer: Whitelist dei domini autorizzati a inviare il form
• Log dei consensi: Ogni consenso al trattamento è registrato con IP, User Agent, email e timestamp ISO 8601 in un file protetto via .htaccess (non accessibile dal web), per assolvere all'onere della prova ex art. 7.1 GDPR
• Backup regolari: Sistema di backup automatizzato e crittografato
• Firewall e monitoraggio: Protezione tramite firewall e sistemi di monitoraggio delle intrusioni
• Aggiornamenti di sicurezza: Aggiornamento costante di software e librerie
• Accesso limitato: Solo personale autorizzato ha accesso ai dati personali

7. Periodo di Conservazione dei Dati

I dati personali saranno conservati per il periodo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti, nel rispetto del principio di minimizzazione:

• Segnalazioni anonime: I dati delle segnalazioni vengono conservati per un periodo di 24 mesi dalla data di invio, necessario per la gestione e l'eventuale follow-up della segnalazione
• Richieste di informazioni (form contatti): Le email ricevute tramite il form sono conservate nella casella segreteria@ecosortingve.com per un massimo di 24 mesi, necessario alla gestione della richiesta e a eventuali rapporti precontrattuali/contrattuali
• Log dei consensi: Le evidenze del consenso (IP, User Agent, email, timestamp) sono conservate per 24 mesi ai sensi dell'art. 7.1 GDPR (onere della prova)
• Rate limiting: I dati IP per il rate limiting sono cancellati automaticamente dopo 10 minuti
• Token CSRF di sessione: Cancellati alla chiusura del browser o dopo l'invio del form
• Dati di navigazione e log: Conservati per un massimo di 12 mesi per finalità di sicurezza e statistiche
• Email (se fornito): L'hash dell'email viene conservato per 24 mesi o fino alla risoluzione della segnalazione
• Backup: I backup vengono conservati per un massimo di 60 giorni e successivamente eliminati in modo sicuro

Decorsi i termini sopra indicati, i dati verranno cancellati o resi anonimi in modo permanente, salvo che la loro ulteriore conservazione sia necessaria per adempiere a obblighi di legge o per esercitare o difendere un diritto in sede giudiziaria.

8. Comunicazione e Diffusione dei Dati

I dati personali raccolti non vengono diffusi e possono essere comunicati esclusivamente a:

• Personale autorizzato: Dipendenti e collaboratori del Titolare espressamente autorizzati al trattamento e vincolati da obbligo di riservatezza
• Responsabili del trattamento: Soggetti terzi che svolgono attività in outsourcing per conto del Titolare (es. fornitori di servizi di hosting, manutenzione IT), nominati Responsabili del Trattamento ai sensi dell'art. 28 GDPR
• Autorità competenti: Autorità pubbliche, forze dell'ordine o magistratura, nei casi previsti dalla legge

I dati personali NON vengono:

• Venduti o ceduti a terze parti per finalità commerciali
• Utilizzati per invio di comunicazioni promozionali non richieste
• Condivisi con social network o piattaforme pubblicitarie
• Trasferiti al di fuori dello Spazio Economico Europeo (SEE), salvo quanto indicato nella sezione specifica

9. Trasferimento dei Dati all'Estero

I dati personali sono conservati su server localizzati all'interno dello Spazio Economico Europeo (SEE). Nel caso in cui si rendesse necessario trasferire i dati verso Paesi terzi extra-UE, il Titolare garantisce che tale trasferimento avverrà nel rispetto delle disposizioni del Capo V del GDPR, adottando le seguenti garanzie appropriate:

• Clausole contrattuali standard approvate dalla Commissione Europea (Art. 46.2.c GDPR)
• Trasferimento verso Paesi riconosciuti dalla Commissione UE come dotati di un livello adeguato di protezione (Art. 45 GDPR)
• Certificazioni di conformità (es. Privacy Shield, se applicabile)

È possibile richiedere maggiori informazioni sui trasferimenti internazionali e ottenere copia delle garanzie adottate contattando il DPO ai recapiti indicati.

10. Diritti dell'Interessato

In conformità agli articoli 15-22 del GDPR, l'interessato ha il diritto di:

Come Esercitare i Diritti

Per esercitare i diritti sopra elencati, l'interessato può inviare una richiesta scritta a:

Il Titolare risponderà alle richieste entro 30 giorni dal ricevimento, prorogabili di ulteriori 60 giorni in caso di particolare complessità della richiesta. L'esercizio dei diritti è gratuito, salvo il caso di richieste manifestamente infondate o eccessive.

Diritto di Reclamo

Fermo restando ogni altro ricorso amministrativo o giurisdizionale, l'interessato ha diritto di proporre reclamo all'Autorità di controllo competente:

11. Cookie Policy

Questo sito web utilizza esclusivamente cookie tecnici necessari al funzionamento del sito stesso. I cookie tecnici non richiedono il consenso preventivo dell'utente ai sensi dell'art. 122 del Codice Privacy italiano.

Cosa sono i Cookie

I cookie sono piccoli file di testo che i siti web visitati inviano al browser dell'utente, dove vengono memorizzati per essere poi ritrasmessi agli stessi siti alla successiva visita.

Cookie Utilizzati

Cookie NON Utilizzati

Questo sito web NON utilizza:

• Cookie di profilazione: utilizzati per creare profili relativi all'utente e inviare messaggi pubblicitari mirati
• Cookie di terze parti: installati da siti diversi dal presente (es. Google Analytics, Facebook Pixel, etc.)
• Cookie di marketing: per tracciare le preferenze pubblicitarie

Gestione dei Cookie

L'utente può gestire le preferenze relative ai cookie direttamente dalle impostazioni del proprio browser. Di seguito i link alle istruzioni per i browser più diffusi:

• Google Chrome
• Mozilla Firefox
• Safari
• Microsoft Edge

12. Modifiche alla Privacy Policy

La presente informativa sulla privacy può essere modificata nel tempo, anche in conseguenza di eventuali modifiche normative. Si consiglia pertanto di verificare regolarmente questa pagina per prendere visione della versione più aggiornata dell'informativa.

La data dell'ultima modifica è sempre indicata in alto alla pagina. In caso di modifiche sostanziali che richiedano un nuovo consenso, l'utente verrà informato tramite apposita comunicazione sul sito web.

13. Trattamento dei Dati di Minori

Il sito web non è destinato a minori di 16 anni. Il Titolare non raccoglie consapevolmente dati personali di minori di 16 anni. Nel caso in cui venisse rilevata la raccolta di dati di minori senza il consenso dei genitori o di chi esercita la responsabilità genitoriale, il Titolare provvederà immediatamente alla cancellazione di tali dati.

I genitori o tutori legali che ritengano che un minore abbia fornito dati personali attraverso questo sito possono contattare il Titolare ai recapiti indicati per richiedere la cancellazione immediata dei dati.

14. Misure di Sicurezza

Il Titolare implementa misure tecniche e organizzative adeguate per garantire un livello di sicurezza appropriato al rischio, ai sensi dell'art. 32 del GDPR, tra cui:

• Pseudonimizzazione e cifratura dei dati personali
• Capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi
• Capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati in caso di incidente fisico o tecnico
• Procedure per testare, verificare e valutare regolarmente l'efficacia delle misure di sicurezza
• Politiche di accesso basate sul principio del "need to know"
• Formazione periodica del personale autorizzato al trattamento

In caso di violazione dei dati personali (data breach), il Titolare notificherà l'accaduto all'Autorità di controllo entro 72 ore e, se del caso, agli interessati coinvolti, conformemente agli articoli 33 e 34 del GDPR.

15. Contatti

Per qualsiasi domanda, dubbio o richiesta di informazioni relative alla presente informativa privacy e al trattamento dei dati personali, è possibile contattare il Titolare del Trattamento ai seguenti recapiti: