Informativa sulla protezione dei dati

Schede e richieste su plan-it-now.com

plan it now (plan-it-now.com) è un marchio di SavePaperwork. Oltre alle pagine di prenotazione delle attività che usano il nostro software, plan it now mostra schede di altre attività, costruite a partire da dati pubblici: sia per le società di capitali sia per le ditte individuali e le società di persone. Chiunque può segnalare una scheda, e un’attività può far correggere o rimuovere la propria scheda oppure prenderla in gestione. Questa sezione è la nostra informativa sulla privacy per le persone a cui si riferiscono queste schede (Art. 14 GDPR). Lo stesso testo compare nella pagina «Da dove arrivano i dati» su plan-it-now.com.

Le schede provengono attualmente da questi Paesi: Austria, Belgio, Francia, Germania, Italia, Paesi Bassi, Polonia, Regno Unito, Spagna, Svizzera, Turchia.

Titolare del trattamento: il gestore di SavePaperwork. Nome e dati di contatto sono indicati nelle nostre note legali. Per qualsiasi domanda su queste schede, anche sui tuoi diritti, scrivi all’indirizzo e-mail indicato lì con l’oggetto «Protezione Dati».

Schede

Una scheda indica un’attività, il suo settore e il suo indirizzo. Quando l’attività è gestita da una sola persona o da una società di persone, questi dati si riferiscono a persone fisiche e sono dati personali; lo stesso vale quando la ragione sociale di una società contiene il nome di una persona. Questa informativa riguarda quindi ogni scheda, qualunque sia la forma giuridica dell’attività.

Fonte: i dati Places della Overture Maps Foundation (overturemaps.org), un insieme di dati accessibile al pubblico e sotto licenze aperte che trasmette dati di fornitori come Meta, Microsoft, Foursquare e AllThePlaces. Ogni scheda indica il suo fornitore e la data che quel fornitore riporta per i suoi dati. Categorie di dati: nome dell’attività, settore, indirizzo con posizione sulla mappa, fornitore e relativa data. Per una società il cui nome contiene una forma giuridica in cui nessuna persona risponde personalmente, la scheda mostra anche un numero di telefono tratto dalla fonte. Per le ditte individuali e le società di persone non riprendiamo alcun numero di telefono; la loro scheda ne mostra uno solo se il titolare lo ha inserito o confermato espressamente. Internamente conserviamo inoltre gli identificativi della scheda nella fonte, la forma giuridica ricavata dal nome e chiavi derivate dal nome e dal codice postale.

Alcune schede non provengono da Overture, ma dal sito web dell’attività stessa: dalle note legali che un’attività deve pubblicare per legge, oppure dai dati sull’attività e di contatto che vi pubblica. Da queste pagine riprendiamo il nome dell’attività, la forma giuridica se il nome ne contiene una, il settore e l’indirizzo e, per un’attività con una forma giuridica in cui nessuna persona risponde personalmente, anche un numero di telefono, compresi i numeri di cellulare. Recuperiamo queste pagine una volta al mese. Per una ditta individuale il nome dell’attività può essere il nome stesso della persona. Gli altri nomi di persone presenti nella pagina, per esempio di titolari, amministratori o responsabili dei contenuti, e gli indirizzi e-mail vengono scartati durante la lettura della pagina; non li salviamo, a meno che un nome non faccia parte del nome dell’attività stessa. La fonte di questi dati è il sito web dell’attività stessa, una fonte accessibile al pubblico (Art. 14 par. 2 lett. f GDPR). Per trovare il sito web di un’attività usiamo anche elenchi pubblici e servizi di mappe. Calcoliamo la posizione sulla mappa dall’indirizzo con i dati di OpenStreetMap.

Finalità: le persone devono poter trovare e raggiungere un’attività, e gestiamo plan it now come panoramica delle attività locali. Base giuridica: Art. 6 par. 1 lett. f GDPR. I nostri legittimi interessi sono questi: vogliamo che il maggior numero possibile di persone trovi plan it now e vogliamo che le attività conoscano il nostro software di prenotazione attraverso la loro scheda, che offre loro di prenderla in gestione gratuitamente; un’attività che usa il nostro software ottiene una pagina di prenotazione. Chi cerca un’attività ha interesse a trovarne l’indirizzo, e un’attività ha interesse a essere trovata dove i suoi dati sono comunque pubblici. Abbiamo bilanciato questi interessi con i tuoi e limitiamo una scheda allo stretto necessario: nessun numero di telefono di una ditta individuale o di una società di persone senza il consenso del titolare stesso, nessun indirizzo e-mail, nessun sito web, nessuna foto, nessuna recensione e nessun elenco o ricerca su questo sito che contenga la scheda.

Destinatari: chiunque apra una scheda, compresi i motori di ricerca, ai quali la nostra sitemap segnala le schede; il nostro fornitore di hosting e di e-mail in Germania, che tratta i dati per nostro conto; e, per le schede ricavate dal sito web di un’attività, il servizio di geocodifica Photon di komoot. Riceve solo l’indirizzo, senza nome, affinché possiamo calcolare la posizione sulla mappa. Se qualcuno pianifica un percorso a partire da una scheda, il suo browser trasmette nome e indirizzo dell’attività al servizio di mappe. Non vendiamo i dati e non li trasmettiamo a nessun altro. Non li trasferiamo in Paesi al di fuori dell’UE o del SEE.

Non scriviamo a ogni attività singolarmente. Le schede riguardano diverse centinaia di migliaia di attività in più Paesi, la fonte cambia ogni mese e alcuni dei suoi dati risalgono ad anni fa, quindi molte lettere raggiungerebbero attività che non esistono più. Questo sforzo sarebbe sproporzionato rispetto all’effetto di una scheda: mostra solo dati che sono comunque pubblici, e qualsiasi attività può farla rimuovere in qualsiasi momento. Pubblichiamo quindi questa informativa e abbiamo documentato la nostra valutazione (Art. 14 par. 5 lett. b GDPR).

Periodo di conservazione: una scheda resta online solo finché la fonte elenca l’attività. Se per 45 giorni non siamo riusciti ad aggiornare i nostri dati, va offline da sola. Se un’attività fa rimuovere la propria scheda o vi si oppone, cancelliamo la scheda. Conserviamo quindi solo chiavi derivate dai suoi identificativi nella fonte e dal suo nome con il codice postale, affinché una release successiva della fonte non la riporti online, e conserviamo queste chiavi finché la rimozione resta valida. Non possiamo modificare i dati pubblici della fonte stessa. Saltiamo ogni scheda la cui chiave è bloccata quando costruiamo la nostra copia di lavoro mensile e di nuovo quando la importiamo; le copie di lavoro create prima della rimozione vengono sostituite entro i due aggiornamenti mensili successivi. Le copie nei nostri backup e in quelli del nostro fornitore di hosting non vengono più utilizzate e vengono sovrascritte con la regolare rotazione dei backup.

I tuoi diritti: puoi chiederci se e quali dati che ti riguardano trattiamo (Art. 15 GDPR), far rettificare i dati inesatti (Art. 16 GDPR) e far cancellare i dati (Art. 17 GDPR) o limitarne il trattamento (Art. 18 GDPR). Su una scheda usa «È la tua attività?»; per tutto il resto scrivi all’indirizzo e-mail indicato nelle nostre note legali. Di norma gestiamo una richiesta entro 7 giorni e in ogni caso entro un mese. Puoi anche proporre reclamo a un’autorità di controllo per la protezione dei dati, in particolare nello Stato membro dell’UE in cui vivi o lavori o in cui ritieni che sia avvenuta la violazione (Art. 77 GDPR).

L’autorità di controllo competente per noi è Bayerisches Landesamt für Datenschutzaufsicht (BayLDA). Nei Paesi dell’UE da cui provengono le nostre schede puoi rivolgerti anche a queste autorità di controllo:

• Austria: Österreichische Datenschutzbehörde, www.dsb.gv.at
• Belgio: Autorité de la protection des données – Gegevensbeschermingsautoriteit (APD-GBA), www.autoriteprotectiondonnees.be
• Francia: Commission Nationale de l'Informatique et des Libertés (CNIL), www.cnil.fr
• Germania: Bayerisches Landesamt für Datenschutzaufsicht (BayLDA), www.lda.bayern.de
• Italia: Garante per la protezione dei dati personali, www.garanteprivacy.it
• Paesi Bassi: Autoriteit Persoonsgegevens, www.autoriteitpersoonsgegevens.nl
• Polonia: Urząd Ochrony Danych Osobowych (UODO), uodo.gov.pl
• Spagna: Agencia Española de Protección de Datos (AEPD), www.aepd.es

Diritto di opposizione

Puoi opporti in qualsiasi momento alla scheda relativa alla tua attività (Art. 21 GDPR). Non devi indicare motivi: rimuoviamo la scheda, di norma entro 7 giorni, e impediamo che ricompaia. Usa «È la tua attività?» sulla scheda e scegli «Rimuovi», oppure scrivi all’indirizzo e-mail indicato nelle nostre note legali con il link alla scheda.

Assegniamo automaticamente ogni scheda a uno dei nostri settori e ricaviamo la forma giuridica dal nome; la forma giuridica decide soltanto se una scheda mostra un numero di telefono tratto dalla fonte. Non prendiamo alcuna decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici che ti riguardano o che incida in modo analogo significativamente sulla tua persona (Art. 22 GDPR), e non creiamo profili.

Segnalare una scheda

Quando segnali una scheda, trattiamo il motivo che scegli, il tuo testo facoltativo e, se lo indichi, il link a un’altra scheda. Non ti chiediamo né il nome né l’indirizzo e-mail e non salviamo alcun indirizzo IP con la segnalazione; il nostro server usa il tuo indirizzo IP solo brevemente, per limitare le segnalazioni ripetute. Base giuridica: Art. 6 par. 1 lett. f GDPR, il nostro interesse ad avere schede corrette. Cancelliamo la segnalazione 90 giorni dopo averla gestita. Le copie nei nostri backup e in quelli del nostro fornitore di hosting non vengono più utilizzate e vengono sovrascritte con la regolare rotazione dei backup.

Richieste di un’attività («È la tua attività?»)

Quando invii una richiesta, trattiamo il tuo indirizzo e-mail, la scheda interessata, ciò che chiedi, le modifiche che proponi e la tua dichiarazione che l’attività è tua o che agisci per suo conto. Inviamo un link di conferma all’indirizzo, esaminiamo la richiesta confermata e ti inviamo l’esito allo stesso indirizzo. Base giuridica: Art. 6 par. 1 lett. f GDPR, il nostro interesse a modificare una scheda solo su richiesta dell’attività; quando eserciti un diritto previsto dal GDPR, Art. 6 par. 1 lett. c GDPR in combinato disposto con l’Art. 12 GDPR. Se l’attività è gestita da una sola persona o da una società di persone, la sua scheda mostra un numero di telefono solo se il titolare lo inserisce o lo conferma espressamente. Salviamo questo consenso con data e ora (Art. 6 par. 1 lett. a GDPR). Può essere revocato in qualsiasi momento; la scheda non mostra allora alcun numero di telefono. Dopo una revoca cancelliamo subito il numero. Come prova del consenso conserviamo, sulla base dell’Art. 6 par. 1 lett. c GDPR in combinato disposto con l’Art. 7 par. 1 GDPR, solo l’indicazione di quando è stato dato e di quando è stato revocato. Cancelliamo questa indicazione 3 anni dopo la fine dell’anno in cui il consenso è stato revocato. Una richiesta non confermata viene cancellata 72 ore dopo l’invio. Cancelliamo il tuo indirizzo e-mail 30 giorni, e il resto della richiesta 90 giorni, dopo averla gestita. Se prendi in gestione una scheda, per tutto il tempo in cui la gestisci conserviamo due cose, così da riconoscere una tua richiesta successiva: una chiave derivata dal tuo indirizzo e-mail e il dominio di tale indirizzo. Il dominio mostra inoltre se il tuo indirizzo corrispondeva al sito web dell’attività quando hai preso in gestione la scheda. Non conserviamo l’indirizzo stesso. Le copie nei nostri backup e in quelli del nostro fornitore di hosting non vengono più utilizzate e vengono sovrascritte con la regolare rotazione dei backup.

Proteggiamo entrambi i moduli con ALTCHA, un metodo contro gli invii automatizzati che funziona nel tuo browser e sul nostro server senza servizi di terzi. La notifica dell’arrivo di una nuova segnalazione o richiesta ci raggiunge senza alcun dato personale.

Se ti trovi in Svizzera: si applica inoltre la legge federale sulla protezione dei dati (LPD). Le schede si basano su dati accessibili a chiunque (Art. 30 cpv. 3 LPD). Se ci vieti espressamente il trattamento, rimuoviamo la scheda (Art. 30 cpv. 2 lett. b LPD). Puoi chiedere informazioni sui tuoi dati (Art. 25 LPD) e chiedere che rettifichiamo i dati inesatti (Art. 32 cpv. 1 LPD). Non ti informiamo individualmente, perché ciò richiederebbe uno sforzo sproporzionato (Art. 20 cpv. 2 lett. b LPD); per questo pubblichiamo questa informativa. Trattiamo i dati in Germania, la cui protezione dei dati è riconosciuta adeguata dal Consiglio federale (allegato 1 dell’ordinanza sulla protezione dei dati, OPDa). Il fatto che le schede siano accessibili a chiunque su Internet non è considerato una comunicazione all’estero (Art. 18 LPD). Puoi rivolgerti all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT), l’autorità federale di vigilanza sulla protezione dei dati (edoeb.admin.ch).