Bozza in revisione legale — non pubblicata. I testi sono redatti sui trattamenti effettivi del sito. I punti evidenziati in giallo («…») vanno confermati dal Titolare/DPO prima della messa online.
Questa informativa riguarda chi visita il sito younorm.it e chi usa la piattaforma YOUNORM (accesso, pagine riservate, canali pubblici).
1. Chi tratta i dati
- Titolare del trattamento dei dati di chi visita il sito e degli account della piattaforma: FLABO S.r.l., sede «indirizzo della sede legale», P.IVA «partita IVA», email «email di FLABO», PEC «PEC di FLABO».
- Responsabile della protezione dei dati (DPO): «nome da designare», email dpo@younorm.it.
- Dati che i clienti caricano nella piattaforma (documenti, registri, dati dei loro dipendenti e interessati): il titolare è il cliente; FLABO li tratta come responsabile del trattamento (art. 28) secondo il contratto e l'atto di nomina. Per quei dati gli interessati si rivolgono al cliente.
2. Quali dati
- Dati dell'account: nome, cognome, email, organizzazione, ruolo; password (conservata solo come impronta crittografica); dati della verifica in due passaggi (2FA).
- Dati tecnici e di sicurezza: indirizzo IP, data e ora, pagina o funzione richiesta, esito, tipo di browser; registro delle attività (chi ha fatto cosa, quando) e degli accessi.
- Contenuti inseriti da chi usa la piattaforma (vedi punto 1: per conto del cliente).
- Canali pubblici (punto 9): solo i dati che la persona inserisce.
3. Perché e su quale base
| Finalità | Base giuridica |
|---|
| Fornire la piattaforma ai clienti e ai loro utenti (account, accesso, funzioni) | Contratto (art. 6.1.b) |
| Sicurezza: autenticazione, 2FA, prevenzione degli abusi, registro degli accessi e delle attività, indagine sugli incidenti | Legittimo interesse (art. 6.1.f) e obbligo di sicurezza (art. 32) |
| Assistenza tecnica richiesta dal cliente | Contratto |
| Adempimenti di legge e richieste dell'autorità | Obbligo di legge (art. 6.1.c) |
Nessuna profilazione, nessuna pubblicità, nessuna decisione automatizzata con effetti giuridici (art. 22).
4. Intelligenza artificiale
Le funzioni di AI della piattaforma funzionano su server gestiti da FLABO: i contenuti non sono inviati a fornitori esterni di AI e non sono usati per addestrare modelli di terzi.
5. Per quanto tempo
| Dati | Conservazione |
|---|
| Account | Per la durata del contratto del cliente; alla cessazione, cancellazione con preavviso di 30 giorni |
| Registri tecnici | Secondo la gravità: 7 giorni (debug), 30 (informativi), 90 (avvisi), 365 (errori) |
| Conversazioni con l'AI | 90 giorni |
| Copie di sicurezza (backup) | 30 giorni |
| Registro delle attività (audit) | «periodo da stabilire» |
6. A chi vanno i dati
- Personale di FLABO autorizzato e vincolato alla riservatezza; l'accesso ai dati di un cliente per assistenza avviene solo con il consenso del cliente o, in urgenza, con una motivazione scritta, ed è sempre registrato.
- Fornitori che trattano dati per conto di FLABO (sub-responsabili): «elenco aggiornato dei sub-responsabili». Dal codice risultano: posta elettronica in uscita (avvisi, codici di verifica, link di reimpostazione): Aruba; marca temporale dei documenti: Aruba PEC (riceve solo l'impronta del documento, non il contenuto); dati camerali per creare un'organizzazione da partita IVA: openapi.it (solo se il cliente usa la funzione; riguarda dati di imprese); archivi cloud del cliente (OneDrive, Google Drive, Dropbox): solo se il cliente li collega, ed è una sua scelta.
- Sede dei server: «luogo dei server», nell'Unione europea.
- Non sono destinatari: fornitori di pubblicità, di statistiche o di AI esterna. Anthropic non è un sub-responsabile.
- Trasferimenti fuori dall'UE: nessuno da parte di FLABO; quelli verso gli archivi cloud scelti dal cliente seguono gli accordi del cliente con quel fornitore.
7. I diritti
Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione (artt. 15-22), e reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it). Per esercitarli: dpo@younorm.it. Per i dati caricati da un cliente, la richiesta va al cliente (FLABO lo aiuta come responsabile).
8. Obbligo di fornire i dati
I dati dell'account sono necessari per usare la piattaforma; i dati tecnici sono necessari per la sicurezza.
9. Pagine pubbliche: richieste degli interessati (DSAR) e segnalazioni (whistleblowing)
- Richieste degli interessati (modulo pubblico di un cliente): i dati inseriti vanno al cliente che ha pubblicato il modulo, titolare del trattamento; FLABO li tratta per suo conto. Si usano solo per rispondere alla richiesta (artt. 12-22, base: obbligo di legge del cliente) e si conservano secondo le regole del cliente. Il modulo è attivo solo se il cliente ha la licenza GDPR.
- Canale delle segnalazioni (D.Lgs. 24/2023): il titolare è l'ente che riceve la segnalazione; il canale ha la propria informativa (/segnalazioni/informativa). La segnalazione è cifrata, la riservatezza di chi segnala è protetta per legge, e il canale non usa cookie diversi da quelli tecnici di sessione.