1. Titolare e contatti privacy
Il titolare del trattamento è Sportello365, gestore del sito sportello365.it, del sito www.sportello365.it, dell’area professionale app.sportello365.it, delle applicazioni mobili e dei servizi collegati.
Per domande sul trattamento o per esercitare i diritti privacy è possibile scrivere a privacy@sportello365.it. Per assistenza operativa è disponibile assistenza@sportello365.it. Alla data di aggiornamento non è stato designato un Responsabile della protezione dei dati ai sensi dell’articolo 37 del GDPR.
2. A chi si applica
Questa informativa riguarda visitatori, cittadini registrati, persone che inviano una richiesta di assistenza, utenti dell’app e persone i cui dati vengono inseriti in una pratica. Per CAF, responsabili e operatori è disponibile anche l’informativa dedicata.
Quando un CAF o altro professionista tratta dati per erogare una propria prestazione, resta titolare autonomo per tale attività e fornisce la propria informativa. Quando Sportello365 tratta dati esclusivamente per conto del CAF nell’area gestionale, opera come responsabile del trattamento secondo l’articolo 28 del GDPR e le istruzioni contrattuali del CAF.
3. Dati raccolti e provenienza
| Categoria | Dati trattati | Fonte |
|---|---|---|
| Identità | Nome, cognome, codice fiscale anche cifrato o trasformato in hash, identificativo pubblico, attributi restituiti da SPID. | Interessato e gestore di identità SPID scelto dall’utente. |
| Contatti | Email, telefono, stato di verifica dei recapiti e preferenze di comunicazione. | Interessato; verifica tramite email o SMS. |
| Account e accessi | Tipo e stato dell’account, data dell’ultimo accesso, sessione, esiti OTP, provider di autenticazione, identificativi e log di sicurezza, indirizzo IP e user-agent anche in forma hash. | Uso del servizio, sistemi di sicurezza, Twilio e gestori SPID. |
| Pratiche e documenti | Tipo di servizio richiesto, stato, scadenze, messaggi, file caricati e informazioni contenute nei documenti, incluse se indispensabili informazioni economiche, familiari o appartenenti a categorie particolari. | Interessato, CAF incaricato, enti e fonti istituzionali nei limiti necessari. |
| Assistenza | Nome, email, telefono facoltativo, oggetto, messaggio, pagina dalla quale parte la segnalazione e cronologia di gestione. | Interessato e operatore che gestisce la richiesta. |
| Uso del sito e app | Richieste tecniche, errori, sicurezza, dispositivo, browser e preferenze salvate localmente. I dati di misurazione facoltativi sono raccolti solo dopo consenso e solo se il relativo strumento è attivo. | Dispositivo e interazione con sito o app. |
4. Finalità, base giuridica e conferimento
| Finalità | Base giuridica | Conferimento e conseguenze |
|---|---|---|
| Registrazione, autenticazione, profilo e accesso OTP/SPID | Esecuzione del contratto o misure precontrattuali richieste dall’interessato; obblighi di legge; legittimo interesse alla sicurezza. | I dati indicati come obbligatori sono necessari: senza di essi non è possibile creare o proteggere l’account. |
| Ricerca dei servizi, creazione e gestione delle pratiche | Esecuzione del servizio richiesto; adempimento di obblighi di legge applicabili; consenso esplicito o altra condizione dell’articolo 9 GDPR quando sono indispensabili categorie particolari di dati. | Sono necessari i soli dati richiesti per la specifica pratica. L’omissione può impedirne l’istruttoria o l’invio. |
| Assistenza, contatti e segnalazioni | Esecuzione di misure richieste dall’interessato; legittimo interesse a rispondere, documentare e migliorare l’assistenza. | Nome, email, oggetto e messaggio sono necessari per rispondere. Il telefono è facoltativo. |
| Prevenzione di frodi, abusi e incidenti | Legittimo interesse del titolare e degli utenti alla sicurezza; accertamento, esercizio o difesa di diritti; obblighi di legge. | Il trattamento è necessario per utilizzare in sicurezza il servizio. |
| Adempimenti amministrativi, fiscali, contabili e richieste delle autorità | Obbligo legale e, quando necessario, esecuzione del contratto. | Il conferimento è obbligatorio nei casi previsti dalla legge. |
| Comunicazioni promozionali | Consenso libero, specifico e revocabile. | Facoltativo. Il mancato consenso non limita i servizi principali. |
| Cookie e misurazione non essenziali | Consenso, quando e nella misura in cui gli strumenti vengono attivati. | Facoltativo e revocabile dal pannello cookie. |
5. Dati particolari e dati giudiziari
Una pratica amministrativa può contenere dati relativi a salute, disabilità, situazione sociale, appartenenza sindacale o altri dati indicati dall’articolo 9 del GDPR. Sportello365 li tratta soltanto quando indispensabili per la prestazione richiesta, con accessi limitati e sulla base del consenso esplicito o di un’altra condizione prevista dall’articolo 9, paragrafo 2, applicabile al caso concreto.
I dati relativi a condanne penali e reati sono trattati soltanto quando richiesti da una norma o dalla procedura amministrativa e nel rispetto dell’articolo 10 del GDPR. I moduli generici di contatto e di segnalazione non devono essere usati per inviare documenti o dati particolari.
6. Copilot365 e funzioni di intelligenza artificiale
Copilot365 può aiutare a individuare un servizio, spiegare i passaggi, collegare aggiornamenti istituzionali a una pratica e segnalare informazioni o documenti mancanti. Le risposte sono strumenti di supporto: non determinano l’accoglimento o il rigetto di una pratica e non sostituiscono l’ente competente o il professionista incaricato.
Gli input vengono limitati ai dati necessari alla funzione richiesta. I dati personali e i documenti dell’area riservata non sono messi a disposizione dei crawler che consultano il sito pubblico e non vengono usati per addestrare modelli generalisti di terzi. Qualunque futura integrazione con un ulteriore fornitore di IA che comporti trasmissione di dati personali sarà riportata nel registro fornitori prima dell’attivazione.
Sportello365 non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analogamente significativi ai sensi dell’articolo 22 del GDPR. Le verifiche rilevanti e le eccezioni vengono sottoposte a controllo umano.
7. Destinatari e persone autorizzate
- Personale autorizzato di Sportello365, secondo ruolo e necessità operativa.
- Huberway LLC per sviluppo, manutenzione, assistenza tecnica e sicurezza, quale responsabile del trattamento.
- Twilio e relativi servizi Verify e SendGrid per OTP, email, SMS e informazioni di consegna.
- Google Ireland Limited per Google Analytics 4, esclusivamente quando l’utente autorizza la categoria di analisi.
- Gestori di identità SPID scelti dall’utente, che operano secondo le regole SPID e le proprie informative.
- CAF o professionista scelto o incaricato dall’utente per la prestazione richiesta.
- Enti pubblici, autorità, consulenti e soggetti legittimati quando la comunicazione è necessaria per la pratica, per obbligo di legge o per tutelare un diritto.
8. Trasferimenti fuori dallo Spazio economico europeo
Alcuni servizi tecnici possono comportare accesso o trasferimento di dati negli Stati Uniti. In assenza di una decisione di adeguatezza applicabile al destinatario e al trattamento, il trasferimento è disciplinato dalle Clausole contrattuali standard approvate dalla Commissione europea con decisione (UE) 2021/914, da una valutazione del trasferimento e da misure supplementari adeguate al rischio.
Per i servizi Twilio si applicano i meccanismi indicati nel relativo Data Protection Addendum, incluse, secondo il servizio e la destinazione, norme vincolanti d’impresa, EU-US Data Privacy Framework e Clausole contrattuali standard. Per Huberway LLC, stabilita negli Stati Uniti, si applicano le Clausole contrattuali standard e gli obblighi contrattuali di riservatezza, minimizzazione, sicurezza e cancellazione. Per Google Analytics si applicano i termini sul trattamento dei dati e i meccanismi di trasferimento adottati da Google per i servizi interessati.
9. Tempi di conservazione
| Dati | Periodo o criterio |
|---|---|
| Account cittadino | Per la durata dell’account; cancellazione o anonimizzazione entro 90 giorni dalla chiusura, salvo dati collegati a pratiche, obblighi di legge o contenziosi. |
| Pratiche e documenti | Per la durata della pratica e, di regola, 24 mesi dalla chiusura; più a lungo solo se richiesto dalla normativa applicabile, dal mandato al CAF o dalla tutela di un diritto. |
| Richieste di assistenza e segnalazioni | 24 mesi dalla chiusura; fino a 5 anni se necessarie per gestire un reclamo o difendere un diritto. |
| OTP e verifiche dei recapiti | Richieste non concluse fino a 30 giorni dalla scadenza; esito della verifica e riferimento del provider fino a 12 mesi per sicurezza e contestazioni. |
| Eventi di autenticazione e sicurezza | 12 mesi dall’evento; fino a 24 mesi quando necessario per indagare un abuso o incidente. |
| Dati amministrativi, contrattuali e fiscali | 10 anni dalla registrazione o dalla cessazione del rapporto, salvo termini più lunghi previsti dalla legge o da un contenzioso. |
| Backup | Rotazione e sovrascrittura entro 90 giorni; il ripristino conserva i vincoli di cancellazione applicabili. |
| Preferenze sul dispositivo | Secondo i tempi indicati nella Cookie Policy o fino alla cancellazione da parte dell’utente. |
10. Diritti dell’interessato
L’interessato può chiedere accesso ai dati, rettifica, cancellazione, limitazione, portabilità, opposizione ai trattamenti basati sul legittimo interesse e revoca del consenso senza pregiudicare i trattamenti precedenti. Può inoltre chiedere informazioni sull’origine dei dati e sui destinatari e ottenere l’intervento umano nei casi previsti per i processi automatizzati.
La richiesta può essere inviata a privacy@sportello365.it indicando i dati necessari a identificare l’account e la richiesta. Sportello365 risponde senza ingiustificato ritardo e di regola entro un mese; il termine può essere esteso di due mesi nei casi complessi previsti dal GDPR, informando l’interessato entro il primo mese.
Resta fermo il diritto di proporre reclamo al Garante per la protezione dei dati personali o ricorso all’autorità giudiziaria. Il Garante è raggiungibile tramite garanteprivacy.it.
11. Minori e dati di altre persone
L’account autonomo è destinato a persone maggiorenni. I dati di un minore o di un’altra persona possono essere inseriti in una pratica soltanto da chi esercita la responsabilità genitoriale, la tutela, una delega o un altro titolo valido, e unicamente nella misura necessaria alla prestazione.
Chi fornisce dati di terzi garantisce di essere autorizzato e di avere reso loro disponibili le informazioni sul trattamento quando dovuto.
12. Aggiornamenti e riferimenti normativi
La versione pubblicata indica la data di aggiornamento. Le modifiche sostanziali che incidono sui trattamenti vengono comunicate nell’area riservata o attraverso i recapiti disponibili prima che producano effetti, quando richiesto.