Informativa sulla tutela dei dati personali di clienti, fornitori e consulenti

Il presente documento espone le modalità e le finalità del trattamento dei dati personali (nel seguito, i “Dati”) posto in essere nell’ambito del Suo rapporto di clientela, fornitura, collaborazione o consulenza con la Gestione Governativa Navigazione Laghi che gestisce ed eroga il servizio di trasporto pubblico di navigazione di linea sui laghi Maggiore, di Garda e di Como, nonché ogni ulteriore informazione richiesta ai sensi di legge, ivi incluse le informazioni sui Suoi diritti di Interessato e sul loro relativo esercizio. del Trattamento”).

I Suoi Dati saranno trattati dalla Gestione Governativa Navigazione Laghi, P.IVA 00802050153, con sede legale in Via Lodovico Ariosto 21, (20145) Milano, Italia, nella persona del Dott. Renato Poletti in qualità di legale rappresentante (d’ora in poi “GGNL”, ovvero il “Titolare del Trattamento”).

Presso il Titolare del Trattamento è presente il Responsabile della Protezione dei Dati (RPD, DPO o Data Protection Officer), nominato ai sensi dell’art. 37 del GDPR. Il Responsabile della Protezione dei Dati può essere contattato al seguente indirizzo email: privacy@navigazionelaghi.it

I Suoi Dati saranno trattati nel pieno rispetto delle disposizioni dettate dal Regolamento UE 2016/679 (di seguito, il “GDPR”), dal d.Lgs. n. 196/2003, come da ultimo modificato dal d.Lgs. n. 101/2018 (il “Codice Privacy”) e dai provvedimenti dell’Autorità Garante per la Protezione dei Dati Personali (tutti insieme, la “Normativa Privacy”). Il Trattamento sarà improntato al rispetto dei principi di correttezza, liceità, trasparenza, esattezza e tutela della Sua riservatezza e dei Suoi diritti.

Il trattamento dei Suoi Dati è volto a realizzare la/le seguente/i finalità:

1. Stipulare e dare esecuzione ai rapporti contrattuali con i clienti, i fornitori, ovvero con i collaboratori autonomi e/o consulenti anche per servizi professionali: possiamo trattare i Suoi Dati ai fini dell’eventuale instaurazione, esecuzione e gestione dei rapporti contrattuali, dell’erogazione dei servizi richiesti, del riscontro a segnalazioni e/o reclami, ovvero per richiedere un rimborso inerente i servizi erogati.
   Qualora l’Interessato sia un cliente, possiamo utilizzare i suoi Dati di contatto, ed in particolare la sua email o il suo numero di telefonia mobile, per fornirLe informazioni relative al servizio, informandoLa del verificarsi di circostanze che modifichino il servizio stesso o possano comprometterne la corretta ed efficiente prestazione (ad esempio, lo stato del servizio per condizioni meteo, scioperi, ecc…).
   Il conferimento dei suddetti Dati è necessario per eseguire il rapporto contrattuale di cui l’Interessato è parte o all’esecuzione di misure precontrattuali, pertanto il trattamento degli stessi per le finalità indicate non richiede il consenso dell’Interessato.
2. Effettuazione di adempimenti amministrativo-contabili, quali la gestione della contabilità e della tesoreria, nonché la fatturazione (ad esempio la verifica e la registrazione delle fatture), in conformità a quanto richiesto dalla normativa vigente, o per l’esecuzione di altri obblighi previsti da leggi, da regolamenti e dalla normativa comunitaria.
   In tal caso, la base giuridica che legittima il trattamento dei Dati da parte di GGNL è la necessità di adempiere ad un obbligo legale a cui GGNL stessa è soggetta.
3. Gestione operativa e finalità a questa strettamente connesse per l’accesso al sito internet ed in particolare alle aree riservate dello stesso raccogliamo i Suoi Dati per consentirLe di:
   • navigare sul nostro sito istituzionale: www.navigazionelaghi.it (nel seguito il “Sito”);
   • scaricare documenti relativi ai servizi da Lei acquistati (ad esempio, i biglietti di viaggio);
   • registrarsi al Sito per utilizzare il servizio della sezione “newsletter”, ovvero altre funzionalità;
   • dar corso alle altre richieste effettuate attraverso il Sito.
   L’accesso all’area dedicata comporterà la visualizzazione all’interno della stessa dei dati di contatto rilasciati al momento della sottoscrizione del contratto di adesione ai servizi così da consentirLe la verifica degli stessi. La preghiamo di aiutarci a mantenere aggiornati i Suoi Dati, informandoci di qualsiasi modifica.
   Il conferimento dei suddetti Dati è necessario per dare esecuzione al rapporto contrattuale, pertanto il trattamento degli stessi per le finalità indicate non richiede il consenso dell’Interessato.
4. Indagini di Customer Satisfaction: GGNL potrebbe utilizzare i Suoi Dati di contatto per la conduzione di indagini di carattere istituzionale volte a misurare il livello di soddisfazione (cosiddetta customer satisfaction) del servizio erogato. Presupposto giuridico per il trattamento dei Dati è l’aver prestato il necessario consenso per ciascuna specifica finalità.
5. Marketing e attività promozionali: GGNL raccoglie i Suoi Dati di contatto per finalità di marketing e comunicazione pubblicitaria, diretta ad informarLa su iniziative promozionali di vendita realizzate mediante modalità automatizzate di contatto (posta elettronica, sms e altri strumenti di messaggistica massiva) ed eventuali ulteriori modalità tradizionali di contatto (ad esempio, telefonata con operatore), ovvero per ricerche di mercato, sondaggi, elaborazioni statistiche e se i nostri partner commerciali ci comunicano legittimamente i Suoi Dati.
   Presupposto giuridico per il trattamento dei Dati è l’aver prestato il necessario consenso al trattamento per ciascuna specifica finalità. Il consenso per ciascuna finalità può essere revocato in ogni momento attraverso il form privacy presente sul Sito. [NOTA: al momento non è visibile sul sito]
6. Conformità alle richieste giuridicamente vincolanti per adempiere ad obblighi di legge, regolamenti o provvedimenti dell’autorità giudiziaria: GGNL potrebbe trattare i Suoi dati personali per adempiere un obbligo legale e/o per difendere un proprio diritto in sede giudiziaria.
   Presupposto giuridico per il trattamento è l’adempimento di un obbligo legale cui GGNL è obbligata ad ottemperare.
7. Verbalizzazione della violazione accertata e successivi adempimenti: GGNL può trattare i Suoi Dati in occasione della verifica dei titoli di viaggio se deve essere compilato il verbale di accertamento di violazione ai fini della corretta verbalizzazione della violazione accertata, delle conseguenti comunicazioni e notificazioni di legge e delle successive fasi di verifica dell’avvenuto pagamento della sanzione.
   Presupposto giuridico per il trattamento è l’adempimento di un obbligo legale cui GGNL è obbligata ad ottemperare.

Possono essere raccolte e trattate le seguenti categorie di Dati che La riguardano:

• dati anagrafici e di contatto: informazioni relative al nome, luogo e data di nascita, codice fiscale, indirizzo, numero di telefono, luogo di lavoro, indirizzo email e, se Lei si collega al nostro Sito o scarica la nostra app, anche tramite le connessioni wi-fi di bordo, con social login (cioè attraverso l’account di un social a cui Lei è iscritto), anche i dati che sono visibili in tale social in base alle impostazioni privacy da Lei impostate. Si precisa che nel caso di accertamento di violazioni nei confronti di minori, Le saranno altresì richiesti i dati dei soggetti esercenti la responsabilità genitoriale;
• dati derivanti dall’utilizzo del Sito e accesso alle pagine social di GGNL: in questo contesto, come meglio specificato nella Cookie Policy presente sul Sito e a cui si rinvia, potrebbe verificarsi l’installazione di cookie di terze parti;
• dati scaturenti dalla sottoscrizione di un rapporto contrattuale: si considerino ad esempio, i dati del fornitore nel caso di contratti commerciali, i dati anagrafici necessari per l’elaborazione ed il rilascio dei titoli di viaggio o degli abbonamenti nel caso di acquisto sul Sito.

Al fine di migliorare la protezione, l’integrità e l’accessibilità dei Suoi Dati, GGNL utilizza una vasta gamma di misure di sicurezza.

Sebbene allo stato attuale, come noto, non sia possibile garantire totalmente la sicurezza da intrusioni fraudolente nella trasmissione dei Dati che avviene su internet e sui siti web, ci impegniamo ad assicurare tutele fisiche, elettroniche e procedurali volte a proteggere i Suoi Dati in conformità alla normativa e nella massima responsabilizzazione.

Tutti i Suoi Dati sono conservati nei nostri server sicuri con strumenti automatizzati, elettronici, informatici o telematici e non automatizzati, nonché su supporto cartaceo, o nei server dei nostri fornitori o partner commerciali nominati Responsabili del Trattamento e sono accessibili e utilizzabili in base ai nostri standard e alle nostre policy di sicurezza (o standard equivalenti per i nostri fornitori o partner commerciali).

Non verranno impiegati processi decisionali automatizzati ex art. 22 del GDPR.

GGNL osserva specifiche misure di sicurezza per prevenire la perdita dei Dati, usi illeciti o non corretti ed accessi non autorizzati. Adottiamo, tra le altre, misure come:

• la restrizione rigorosa dell’accesso ai Suoi Dati, in base alla necessità e per le sole finalità comunicate;
• sistemi di sicurezza perimetrale per proibire accessi non autorizzati dall’esterno;
• il monitoraggio permanente dell’accesso ai sistemi informativi per individuare e fermare l’abuso di Dati;
• test di penetrazione con frequenza semestrale volti ad evidenziare eventuali falle nella sicurezza perimetrale;
• tracciatura degli accessi ai Suoi Dati effettuati da personale interno;
• le transazioni sul nostro Sito che richiedono l’inserimento dei Suoi Dati avvengono in maniera cifrata tramite la tecnologia Secure Socket Layer (SSL);
• laddove Le avessimo fornito (o Lei abbia scelto) delle credenziali che Le consentano l’accesso a certe sezioni del nostro Sito o di altri portali, applicazioni o servizi da noi forniti, Lei sarà responsabile per la segretezza di tali credenziali e per la conformità ad ogni altra procedura di sicurezza di cui le dessimo notizia. A tal riguardo, Le chiediamo di non condividere le credenziali con nessuno.

GGNL conserva i Suoi Dati solo per il tempo strettamente necessario al conseguimento delle finalità esposte al paragrafo 3 del presente documento informativo per le quali sono stati raccolti e per qualsiasi altra legittima finalità collegata.

Pertanto, se i Dati sono trattati per due differenti finalità, conserveremo tali Dati fino a che non scada la finalità con il termine più lungo, tuttavia non tratteremo più i Dati per quella finalità il cui periodo di conservazione sia venuto meno.

I Dati che non siano più necessari, o per i quali non vi sia più un presupposto giuridico per la relativa conservazione, vengono anonimizzati irreversibilmente (e in tal modo possono essere conservati) o distrutti in modo sicuro.

[NOTA: La normativa europea e nazionale non detta nello specifico i tempi di conservazione: non esiste, e non può esistere, perché i tempi di conservazione variano a seconda della specifica finalità del trattamento perseguita. Tuttavia, le tempistiche di conservazione in alcuni specifici casi sono state definite dal Garante per la Protezione dei Dati Personali mediante provvedimenti o pareri, in altri casi sono state determinate dall’esperienza pratica portata dalle associazioni di categoria pertanto non si tratta di veri e propri vincoli

Di seguito riportiamo i tempi di conservazione in relazione alle differenti finalità elencate al paragrafo 3 della presente informativa:

• adempimento degli obblighi contrattuali, adempimenti amministrativo-contabili e fatturazione: i Dati trattati per adempiere qualsiasi obbligazione contrattuale potranno essere conservati per tutta la durata del contratto e comunque non oltre i successivi 10 anni (nel caso di abbonamenti o tessere nominative per 1 anno successivo alla scadenza della tessera), al fine di verificare eventuali pendenze o per il rispetto degli obblighi di legge (ad es. documentazione contabile). Per i dati raccolti tramite validazione dei titoli di viaggio (chip on paper, smart card, QR code, EMV, NFC), i dati vengono anonimizzati dopo 24 ore;
• gestione operativa e finalità a questa strettamente connesse per l’accesso al Sito: i Dati trattati per questa finalità potranno essere conservati per 1 anno successivo alla durata del contratto per cui è stato effettuato l’accesso al Sito;
• finalità di indagini di customer satisfaction: i Dati trattati per questa finalità potranno essere conservati per 3 anni dalla data di effettuazione della rilevazione;
• finalità di marketing: i dati personali trattati per finalità di marketing potranno essere conservati per 2 anni dalla data in cui abbiamo ottenuto il suo ultimo consenso per tale finalità (ad eccezione dell’opposizione a ricevere ulteriori comunicazioni);
  [NOTA: i dati relativi al marketing sono tra quelli più interessati dai provvedimenti del Garante della Privacy, pertanto si consiglia di conservare i dati per un periodo non superiore a 24 mesi]
• verbalizzazione della violazione accertata e successivi adempimenti: i dati trattati per la suddetta finalità saranno conservati per 6 anni dal completamento del procedimento sanzionatorio.
  [NOTA: l’illecito amministrativo si prescrive in 5 anni quindi conservare le informazioni per 10 anni potrebbe essere eccessivo. 6 anni permette di considerare anche 1 anno di “cuscinetto”];
• controversie: nel caso in cui sia necessario difenderci o agire in giudizio, ovvero avanzare pretese nei Suoi confronti o di terze parti, potremo conservare i Dati che riterremo ragionevolmente necessario trattare per tali fini per il tempo in cui tale pretesa possa essere perseguita.

I Dati raccolti non saranno in alcun modo diffusi o comunicati a soggetti terzi, se non nei casi previsti dalla presente Informativa e/o dal GDPR e, comunque, con le modalità da questi consentite.

I Suoi Dati saranno accessibili, nell’ambito delle rispettive funzioni, ai dipendenti e collaboratori di GGNL designati per lo svolgimento di specifici compiti e/o funzioni in qualità di autorizzati/incaricati del trattamento nella misura in cui ciò risulti strettamente necessario per il perseguimento delle finalità di cui al paragrafo 3 del presente documento informativo.

Alcuni Dati potranno essere altresì trattati da soggetti terzi, nominati Responsabili Esterni del Trattamento, di cui il Titolare del Trattamento si avvale o potrebbe avvalersi nell’ambito della gestione del rapporto contrattuale, dell’erogazione dei servizi offerti e per esigenze organizzative della propria attività. A titolo esemplificativo i Dati potrebbero essere comunicati a:

• soggetti, pubblici e privati, che possono accedere ai Dati in forza di disposizioni di legge, di regolamenti o della normativa comunitaria, nei limiti previsti da tali norme;
• soggetti che necessitano di accedere ai Dati per finalità connesse al rapporto contrattuale in essere tra le parti, nei limiti strettamente necessari allo svolgimento dei compiti ausiliari (quali, ad esempio, banche ed istituti di credito, fornitori di servizi tecnici, hosting provider, società informatiche, agenzie di comunicazione, corrieri postali e società di spedizioni);
• consulenti, nei limiti necessari allo svolgimento del proprio incarico professionale.

L’elenco aggiornato dei Responsabili Esterni del Trattamento è disponibile presso la sede del Titolare del Trattamento e si trova a disposizione dell’Interessato, previa richiesta da effettuare tramite e-mail all’indirizzo privacy@navigazionelaghi.it. [NOTA: occorre istituire un elenco da tenere aggiornato con frequenza di tutti i responsabili del trattamento che sono stati nominati o verranno nominati da GGNL]

La gestione e la conservazione dei Dati acquisiti avverrà presso archivi o su server ubicati all’interno dell’Unione Europea di proprietà del Titolare del Trattamento e/o dei Responsabili Esterni del Trattamento.

I Suoi Dati non sono sottoposti a diffusione e non saranno sottoposti a trasferimento al di fuori dell’Unione Europea. Resta in ogni caso inteso che, laddove si rendesse necessario, il Titolare del Trattamento avrà facoltà di spostare l’ubicazione dei server in Paesi extra-UE. In tal caso, GGNL assicura sin d’ora che il trasferimento dei Dati extra-UE avverrà in conformità agli artt. 44 e seguenti del GDPR e alle disposizioni di legge applicabili stipulando, se necessario, accordi che garantiscano un livello di protezione adeguato.

In qualità di Interessato, Lei potrà esercitare i diritti riconosciuti dalla Normativa Privacy e, in particolare:

• diritto di accesso, ossia il diritto di ottenere da GGNL la conferma che sia o meno in corso il trattamento dei Suoi Dati e, in tal caso, di ottenerne l’accesso (art. 15 GDPR);
• diritto di rettifica, ossia il diritto di ottenere la rettifica di dati inesatti e/o l’integrazione di dati incompleti (art. 16 GDPR);
• diritto all’oblio, ossia il diritto di ottenere la cancellazione, trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati dei Dati in determinate circostanze previste dalla legge (art. 17 GDPR);
• diritto a ricevere l’attestazione che le operazioni di rettifica e/o oblio sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i Dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato;
• diritto di limitazione di trattamento, ossia il diritto di opporsi al trattamento, ovvero di ottenere la limitazione del trattamento dei Dati Personali ai sensi di legge (art. 18 GDPR);
• diritto ad essere informato delle rettifiche e cancellazioni e delle limitazioni del trattamento dei Dati (art. 19 GDPR);
• diritto alla portabilità, ossia il diritto di ricevere i Dati in un formato strutturato, di uso comune e leggibile a livello informatico nonché il diritto di trasmettere i dati ad un altro titolare del trattamento. Tale diritto alla “portabilità” si applica solo ai Dati forniti dall’Interessato e può essere soggetto ad alcune restrizioni, così come previsto dalla Normativa Privacy (art. 20 GDPR);
• diritto di opposizione, ossia il diritto di opporsi al trattamento dei Dati qualora sussistano motivi legittimi, anche con riferimento ai trattamenti di dati per finalità di marketing e profilazione (art. 21 GDPR);
• diritto di non essere sottoposto a processo decisionale automatizzato, compresa la profilazione, ossia il diritto di non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che lo riguardano o che incida in modo analogo significativamente sulla sua persona (art. 22 GDPR);
• diritto di revocare il consenso prestato, in qualsiasi momento, senza che ciò pregiudichi la liceità del trattamento basata sul consenso prestato prima della revoca (art. 7 GDPR);
• diritto di presentare un reclamo presso il Garante per la protezione dei dati personali (Piazza Venezia, 11 – 00187 Roma RM – PEC: protocollo@pec.gpdp.it) in caso di illecito trattamento (art. 77 GDPR) qualora Lei non sia soddisfatto del modo in cui trattiamo i Suoi Dati, oppure del nostro riscontro.

L’esercizio di tutti questi diritti in capo all’Interessato soggiace alle eccezioni previste dal Codice Privacy, e in particolare:

• art. 2-undecies (Limitazioni ai diritti dell’interessato). Nello specifico, si tratta di limitazioni finalizzate alla salvaguardia dell’interesse pubblico (ad esempio la prevenzione o l’identificazione di crimini) e dei nostri interessi (intesi come motivi legittimi e cogenti);
• art. 2-duodecies (Limitazioni per ragioni di giustizia).

GGNL si impegna a rispondere alle richieste dell’Interessato entro il termine di un mese, salvi i casi di particolare complessità per cui potrebbe impiegare al massimo tre mesi. In ogni caso, il Titolare del Trattamento provvederà a dare evidenza all’Interessato del motivo dell’attesa entro un mese dalla richiesta. L’esito della richiesta sarà fornito per iscritto o su formato elettronico. In caso di richiesta di rettifica, cancellazione nonché limitazione del trattamento, il Titolare del Trattamento si impegna a comunicare gli esiti delle richieste ricevute da parte dell’Interessato a ciascuno dei destinatari dei Suoi Dati, salvo che ciò risulti impossibile o implichi uno sforzo sproporzionato.

Il Titolare del trattamento è tenuto a:

• notificare eventuali violazioni di sicurezza che comportino accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati al Garante per la Protezione dei Dati Personali senza ingiustificato ritardo e, ove possibile entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la medesima violazione costituisca un rischio per i diritti e le libertà delle persone fisiche. Nel caso in cui non venga rispettato questo limite temporale, la notifica di violazione dovrà essere corredata dei motivi del ritardo;
• comunicare l’eventuale violazione dei Dati all’Interessato senza ingiustificato ritardo qualora tale violazione costituisca un rischio elevato per i diritti e le libertà delle persone fisiche, ad eccezione dei casi in cui il Titolare del Trattamento abbia prontamente messo in atto le misure tecniche ed organizzative adeguate di protezione, ovvero detta comunicazione richiederebbe sforzi sproporzionati.

Per esercitare i diritti di cui al paragrafo 8 della presente informativa (“Diritti dell’Interessato”) Lei può inoltrare una richiesta scritta rivolta, senza formalità, al DPO che potrà essere contattato al seguente recapito: privacy@navigazionelaghi.it

Qualora Lei avesse domande in merito al trattamento da parte nostra dei Suoi Dati, La preghiamo di utilizzare il web form privacy presente alla sezione “Contatti” sul Sito.