INFORMATIVA PRIVACY E PROTEZIONE DEI DATI PERSONALI (GDPR)
Ai sensi del Regolamento (UE) 2016/679 e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018
1. PREMESSA
La presente Informativa descrive le modalità di raccolta, trattamento, conservazione e protezione dei dati personali degli utenti che accedono e utilizzano la piattaforma web Resource italia, accessibile all’indirizzo www.resourceitalia.com.
La Piattaforma è uno strumento di gestione documentale condivisa del cantiere edile, destinato ai soggetti che vi operano: committente, responsabile dei lavori, imprese, subappaltatori, direttore dei lavori, coordinatore per la sicurezza e altri tecnici. Non svolge attività di intermediazione tra committenti e imprese.
La presente Informativa è resa ai sensi degli artt. 13 e 14 del GDPR e della normativa nazionale vigente.
1-bis. RUOLI NEL TRATTAMENTO
Il gestore della Piattaforma opera:
- quale titolare del trattamento, per i dati di registrazione e di account, per la verifica dei documenti amministrativi delle imprese, per la registrazione informatica di cui alla sezione 8-bis, per la sicurezza della Piattaforma e per la gestione del rapporto contrattuale;
- quale responsabile del trattamento ai sensi dell’art. 28 GDPR, per la documentazione caricata nell’ambito di un cantiere da imprese, committenti e tecnici, i quali ne determinano finalità e mezzi in adempimento di obblighi propri. Il relativo Accordo è accettato in fase di registrazione da chiunque carichi documentazione.
Qualora il gestore operi quale responsabile, le richieste degli interessati sono trasmesse senza indugio al titolare competente, dandone comunicazione all’interessato.
2. TITOLARE DEL TRATTAMENTO
Il titolare del trattamento è Resource srl con sede legale in Via Vallone 32 – 84019 Vietri sul Mare (SA) e P.IVA 06384750656. I dati di contatto sono: PEC resourceitalia@legalmail.it, email resourceitalia@gmail.com, telefono +39 349 130 7347
3. RESPONSABILE DELLA PROTEZIONE DEI DATI (DPO / RPD)
Qualora designato ai sensi dell’art. 37 GDPR: nome, contatto e-mail, contatto telefonico. La valutazione sulla sussistenza dell’obbligo di designazione è in corso e, ove conclusa in senso positivo, i dati saranno indicati in questa sezione.
4. TIPOLOGIE DI DATI PERSONALI RACCOLTI
4.1 Dati raccolti alla registrazione e alla creazione del profilo
A) Committenti persone fisiche: nome e cognome; indirizzo e-mail; numero di telefono; indirizzo dell’immobile oggetto di intervento; codice fiscale; credenziali di accesso;
B) Imprese e ditte individuali: nome e cognome del titolare; denominazione; codice fiscale e/o partita IVA; indirizzo della sede; recapiti; iscrizione ad albi o registri camerali; attestazioni, certificazioni e abilitazioni caricate; documentazione relativa alla regolarità contributiva e assicurativa;
C) Società: ragione sociale e forma giuridica; sede legale e sedi operative; partita IVA e codice fiscale; dati del legale rappresentante; numero REA; recapiti; certificazioni di qualità (ISO, SOA); documentazione DURC e assicurativa; elenco dei dipendenti e degli operatori coinvolti nei cantieri, limitatamente ai dati necessari
D) Tecnici: nome e cognome; recapiti; ordine o collegio di appartenenza e numero di iscrizione, ove conferiti; incarico rivestito nel singolo cantiere
4.2 Dati raccolti durante l’utilizzo
- Dati del cantiere: denominazione e ubicazione, tipo di intervento, estremi del titolo abilitativo, date di inizio e fine prevista, fase dei lavori
- Comunicazioni interne: messaggi scambiati tramite il sistema di messaggistica
- Dati di navigazione: indirizzo IP, tipo di browser, sistema operativo, pagine visitate, tempi di permanenza, referral URL
- Registrazioni di accesso ai documenti: identità del soggetto, momento, documento consultato, cantiere e ruolo rivestito
- Verbali di sopralluogo e prescrizioni: soggetti presenti, lavorazioni in corso, esito delle verifiche, rilievi, prescrizioni impartite, stato di risoluzione, presa visione da parte dei destinatari
4.3 Dati contenuti nella documentazione, riferiti a soggetti non registrati
Nella documentazione caricata compaiono dati personali di soggetti che non sono utenti della Piattaforma, e in particolare:
- nella visura camerale: legale rappresentante e soci persone fisiche, con dati anagrafici, codice fiscale ed eventualmente residenza;
- nel documento unico di regolarità contributiva di una ditta individuale: dati riferiti a una persona fisica e alla sua posizione contributiva;
- nel piano operativo di sicurezza e nel documento di valutazione dei rischi: responsabile del servizio di prevenzione e protezione, rappresentante dei lavoratori, medico competente, preposti, elenchi di lavoratori con relative mansioni.
A tali soggetti è resa l’informativa di cui all’art. 14 GDPR, pubblicata all’indirizzo www.garanteprivacy.it, fermo l’obbligo contrattuale, a carico di chi carica la documentazione, di informare i propri interessati.
4.4 Fotografie scattate in cantiere
I tecnici possono allegare ai verbali fotografie scattate in cantiere a documentazione dei rilievi. Tali immagini possono ritrarre persone identificabili. Gli utenti sono istruiti a inquadrare la situazione oggetto di rilievo e non le persone. Le immagini sono accessibili unicamente ai soggetti associati al cantiere e non sono in alcun caso pubblicate.
4.5 Dati particolari (ex art. 9 GDPR)
La Piattaforma non raccoglie intenzionalmente categorie particolari di dati personali. Qualora l’utente dovesse fornire spontaneamente tali dati (es. nelle descrizioni dei lavori o nelle comunicazioni), questi saranno trattati esclusivamente nella misura strettamente necessaria e, ove richiesto, previo consenso esplicito.
È espressamente vietato caricare dati relativi alla salute, ivi compresi certificati di idoneità sanitaria alla mansione, giudizi del medico competente e ogni altra documentazione sanitaria, anche ove costituente allegato ad altro documento. Il divieto è richiamato nelle condizioni contrattuali e mediante avviso in fase di caricamento. I contenuti caricati in violazione del divieto sono rimossi non appena rilevati, dandone comunicazione a chi li ha caricati.
5. FINALITÀ DEL TRATTAMENTO E BASE GIURIDICA
| N. | Finalità | Base giuridica | Obbligatorietà |
|---|---|---|---|
| 1 | Registrazione, creazione e gestione dell’account | Art. 6(1)(b) – Esecuzione del contratto | Obbligatorio |
| 2 | Controllo formale dei documenti amministrativi dell’impresa e attribuzione del profilo verificato | Art. 6(1)(b) | Obbligatorio |
| 4 | Gestione documentale del cantiere: caricamento, condivisione, monitoraggio scadenze, approvazione | Art. 6(1)(b) | Obbligatorio |
| 4-bis | Condivisione dei documenti con i soggetti titolati del cantiere, per consentire loro gli adempimenti di legge in materia di sicurezza | Art. 6(1)(c) e 6(1)(f) | Obbligatorio |
| 4-ter | Redazione, distribuzione e conservazione dei verbali e delle prescrizioni | Art. 6(1)(b) e 6(1)(c) | Obbligatorio |
| 4-quat. | Registrazione informatica dell’impronta dei documenti, per garantirne l’integrità nel tempo | Art. 6(1)(f) – Legittimo interesse | Obbligatorio |
| 4-quin. | Vista pubblica di cantiere, su attivazione del soggetto che lo gestisce | Art. 6(1)(f), da valutare | Facoltativo |
| 5 | Gestione dei pagamenti e fatturazione | Art. 6(1)(b) e 6(1)(c) | Obbligatorio |
| 6 | Comunicazioni di servizio, notifiche di scadenza, avvisi di cantiere | Art. 6(1)(b) | Obbligatorio |
| 7 | Assistenza e risoluzione controversie | Art. 6(1)(b) e 6(1)(f) | Obbligatorio |
| 9 | Marketing diretto | Art. 6(1)(a) – Consenso | Facoltativo |
| 11 | Adempimenti normativi (sicurezza sul lavoro, obblighi fiscali) | Art. 6(1)(c) | Obbligatorio |
| 12 | Sicurezza della Piattaforma, prevenzione frodi e abusi, registrazione degli accessi | Art. 6(1)(f) | Obbligatorio |
| 13 | Analisi statistiche aggregate e miglioramento del servizio | Art. 6(1)(f) | Facoltativo (anonimizzato) |
6. MODALITÀ DEL TRATTAMENTO
Il trattamento è effettuato mediante strumenti informatici e telematici, con logiche correlate alle finalità indicate, in modo da garantire sicurezza, riservatezza, integrità e disponibilità dei dati. Sono implementate misure ai sensi dell’art. 32 GDPR, tra cui:
- Cifratura dei dati in transito (TLS) e dei documenti a riposo
- Pseudonimizzazione dei dati ove possibile
- Controllo di autorizzazione centralizzato, fondato sul ruolo rivestito nel singolo cantiere, applicato a ogni accesso documentale
- Indirizzi di accesso ai documenti firmati e a scadenza breve; nessun indirizzo permanente
- Segregazione dei dati tra organizzazioni diverse, applicata anche a livello di base dati
- Cancellazione mediante distruzione della chiave di cifratura
- Limitazione di frequenza sulle interfacce pubbliche
- Controlli di accesso basati sul principio del minimo privilegio
- Backup regolari e piani di ripristino
- Logging e monitoraggio degli accessi
- Formazione periodica del personale autorizzato
- Procedure di gestione delle violazioni ai sensi degli artt. 33-34 GDPR
7. PERIODO DI CONSERVAZIONE
| Categoria | Periodo |
|---|---|
| Dati di registrazione e profilo | Durata del rapporto e fino a 24 mesi dalla cessazione, salvo obblighi di legge |
| Documentazione di cantiere | 10 anni dalla conclusione (art. 2220 c.c. e difesa in giudizio) |
| Verbali e prescrizioni | Per la durata del cantiere e successivamente in quanto parte della documentazione dell’opera, indicativamente 10 anni |
| Fotografie allegate ai rilievi | Legate al verbale che le contiene; da valutare un termine più breve |
| Dati di fatturazione e pagamento | 10 anni (obbligo fiscale) |
| Documentazione DURC e certificazioni | 5 anni dalla scadenza del rapporto |
| Messaggistica interna | 24 mesi dalla chiusura del cantiere |
| Dati di navigazione e log | 12 mesi |
| Registrazioni di accesso ai documenti | 12 mesi |
| Dati per marketing | Fino a revoca del consenso e comunque non oltre 24 mesi dall’ultimo contatto |
| Dati relativi a controversie | Durata del contenzioso e fino a 10 anni dalla definizione |
| Impronte crittografiche registrate | Permanenti per natura della tecnologia, con gli effetti descritti alla sezione 8-bis |
8. COMUNICAZIONE E DESTINATARI
8.1 Personale dipendente e collaboratori autorizzati al trattamento.
8.2 Soggetti associati al medesimo cantiere: i dati e i documenti sono accessibili ai soggetti che vi rivestono un ruolo, nei limiti di quanto il ruolo giustifica. Il direttore dei lavori e il coordinatore per la sicurezza accedono alla documentazione in ragione degli obblighi di verifica su di loro gravanti; l’impresa affidataria accede alla documentazione dei propri subappaltatori. Ogni accesso è registrato. Alla chiusura del cantiere l’accesso dei soggetti terzi cessa.
8.3 Responsabili del trattamento ex art. 28: SUPABASE PTE. LTD con sede a Singapore al 65 Chulia Street #38-02/03, OCBC Centre, Singapore 049513, Vercel Inc con sede legale negli Stati Uniti 440 N Barranca Ave Covina, CA 91723, Google Italy Srl con partita iva 03660670963 e sede legale in Via Federico Confalonieri 4 – 20124 Milano.
L’elenco aggiornato dei responsabili è disponibile su richiesta.
8.4 Soggetti terzi autonomi titolari: autorità giudiziarie e di pubblica sicurezza; Agenzia delle Entrate, INPS, INAIL, Ispettorato del Lavoro; enti di certificazione e organismi di vigilanza; compagnie assicurative.
8.4-bis Diffusione. Su attivazione del soggetto che gestisce il cantiere, la vista pubblica rende accessibili senza autenticazione lo stato di avanzamento e di completezza documentale del cantiere e le denominazioni dei soggetti associati. Non consente l’accesso ad alcun documento. È disattivabile in qualsiasi momento.
8.5 Trasferimenti internazionali: ove i dati siano trasferiti fuori dal SEE, il trasferimento avviene nel rispetto del Capo V del GDPR, mediante decisioni di adeguatezza, clausole contrattuali standard o norme vincolanti d’impresa. Con riferimento al registro distribuito di cui alla sezione 8-bis, basato su tecnologia blockchain e operante sulla rete pubblica Polygon, i nodi che ne conservano copia possono essere situati in qualsiasi parte del mondo.
8-bis. REGISTRAZIONE SU REGISTRO DISTRIBUITO
Per ciascun documento approvato il sistema calcola un’impronta crittografica del contenuto. Le impronte dei documenti approvati nel corso della giornata sono aggregate in un unico valore riassuntivo, che è il solo dato iscritto su un registro distribuito pubblico, ossia su una tecnologia comunemente indicata come blockchain. Il registro utilizzato è la rete pubblica Polygon.
Da tale valore non è possibile ricavare quanti documenti siano stati inclusi, di che tipo siano, a chi appartengano né alcuna informazione sul loro contenuto. Sul registro non è iscritto alcun documento e alcun dato personale.
I documenti sono conservati in forma cifrata su infrastruttura controllata dal Titolare. In caso di esercizio del diritto di cancellazione si procede alla distruzione del documento e della relativa chiave di cifratura: da quel momento il dato è tecnicamente irrecuperabile e il valore residuo iscritto sul registro non è riferibile ad alcuna persona identificabile. Le iscrizioni sul registro distribuito non sono per loro natura modificabili né eliminabili, caratteristica propria della tecnologia blockchain, e di ciò l'interessato è informato.
9. COOKIE
La Piattaforma utilizza cookie e tecnologie analoghe. Cookie tecnici (nessun consenso), analitici (consenso salvo anonimizzazione), di profilazione e di terze parti (consenso). Per i dettagli e per modificare in qualsiasi momento le proprie preferenze si rinvia alla Cookie Policy, consultabile all’indirizzo www.resourceitalia.com/cookie-policy.
10. DIRITTI DELL’INTERESSATO
Accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20), opposizione (art. 21), revoca del consenso (art. 7.3), decisioni automatizzate (art. 22). Le richieste possono essere inviate a PEC resourceitalia@legalmail.it o email resourceitalia@gmail.com. Il Titolare risponde entro 30 giorni, prorogabili di 60 in caso di complessità. È sempre possibile proporre reclamo al Garante.
Qualora il gestore operi in qualità di responsabile ai sensi della sezione 1-bis, la richiesta è trasmessa senza indugio al titolare competente, dandone comunicazione all’interessato. Per gli effetti del diritto di cancellazione sulla registrazione informatica si rinvia alla sezione 8-bis.
La Piattaforma non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sull’interessato: ogni approvazione della documentazione è compiuta da una persona.
11. TRATTAMENTO DEI DATI DEI MINORI
La Piattaforma è destinata esclusivamente a utenti maggiorenni. Il Titolare non raccoglie consapevolmente dati personali di minori e, ove ne venisse a conoscenza, provvederà alla loro immediata cancellazione.
12. VALUTAZIONE D’IMPATTO (DPIA)
Ai sensi dell’art. 35 GDPR il Titolare conduce una Valutazione d’Impatto sulla Protezione dei Dati in relazione ai trattamenti che presentano un rischio elevato per i diritti e le libertà degli interessati, con particolare riferimento a: impiego di tecnologia innovativa per la registrazione dell’integrità documentale e relativi effetti sul diritto di cancellazione; trattamento di documentazione proveniente da organizzazioni diverse all’interno del medesimo spazio condiviso; trattamento di dati riferiti a soggetti che non sono utenti della Piattaforma. La valutazione è riesaminata e aggiornata periodicamente.
13. MODIFICHE ALL’INFORMATIVA
Il Titolare si riserva di apportare modifiche. La versione aggiornata sarà pubblicata con indicazione della data di ultima revisione; in caso di modifiche sostanziali gli utenti saranno informati tramite notifica e-mail e/o banner.
14. CONTATTI
Il titolare del trattamento è Resource srl con sede legale in Via Vallone 32 – 84019 Vietri sul Mare (SA) e P.IVA 06384750656. I dati di contatto sono: PEC resourceitalia@legalmail.it, email resourceitalia@gmail.com, telefono +39 349 130 7347