NR Informatica di Gianfranco Bruno, in qualità di Titolare del trattamento, gestisce i dati personali degli utenti con la massima attenzione, correttezza e trasparenza, perseguendo finalità lecite, esplicite e legittime.

La presente informativa descrive le modalità e le logiche del trattamento dei dati personali degli interessati nell’ambito del trattamento denominato “Servizi Digitali (PEC, SPID e Firma Digitale)”, e si applica ai rapporti instaurati tramite il sito https://www.nrinformatica.it e non riguarda eventuali siti esterni raggiungibili tramite link presenti sul sito.

1. Titolare del trattamento e contatti

Titolare: NR Informatica di Gianfranco Bruno – P.IVA IT02570110649
Contatti: 0827/64159 – 06/62279832 – Mostra email
PEC: Mostra PEC

2. Luogo del trattamento

• Sede legale ed operativa: Via Largo S. Donato 5, 83051 Nusco (AV)
• Sede operativa: Viale Ruggero Bacone 14, Quartiere Pinciano, 00197 Roma
• Archiviazione documentale e backup eseguiti su server UE del provider hosting, designato Responsabile del trattamento ex art. 28 GDPR.

3. Responsabile della Protezione dei Dati (DPO)

DPO: Gianfranco Bruno
Email: Mostra email DPO
PEC: Mostra PEC DPO

4. Categorie di interessati

Clienti che richiedono PEC, clienti che richiedono SPID, clienti che richiedono firma digitale, aziende, professionisti, privati maggiorenni.

5. Finalità del trattamento e base giuridica

5a – Finalità del Trattamento:

• • Identificazione dell’interessato ai fini dell’attivazione dei servizi digitali (PEC, SPID, Firma Digitale);
• • Invio dei dati ai provider autorizzati per l’attivazione del servizio richiesto;
• • Gestione dei servizi, rinnovi, assistenza tecnica e post-attivazione;
• • Archiviazione delle pratiche e adempimenti fiscali connessi;
• • Tutela legale, gestione di eventuali contestazioni e sicurezza degli account.

5b – Base giuridica:

• • Art. 6, par. 1, lett. b) GDPR – Esecuzione di un contratto: Attivazione dei servizi digitali richiesti, gestione dell’identificazione, assistenza e rinnovi. Comprende anche la possibilità, esclusivamente su richiesta dell’interessato, di effettuare operazioni di recupero o reimpostazione delle credenziali di accesso ai servizi digitali utilizzati, senza acquisire né conservare le password;
• • Art. 6, par. 1, lett. a) GDPR – Consenso esplicito: ove richiesto dalla normativa applicabile o dal singolo provider, per l’invio dei dati ai provider PEC/SPID/Firma Digitale e per procedere con l’attivazione del servizio;
• • Art. 6, par. 1, lett. c) GDPR – Obbligo legale: Per gli adempimenti fiscali, contabili e amministrativi relativi all’erogazione del servizio;
• • Art. 6, par. 1, lett. f) GDPR – Legittimo interesse: Per garantire la sicurezza degli account, prevenire abusi, verificare anomalie e tutelare i diritti del Titolare.

Requisiti soggettivi: per richieste di ogni tipo, il richiedente deve essere obbligatoriamente maggiorenne.

Conferimento dei dati: il conferimento dei dati personali è obbligatorio per adempiere agli obblighi contrattuali e fiscali. Il mancato conferimento comporta l’impossibilità di dar seguito al contratto o alla collaborazione.

Nota Importante: Per normativa GDPR e per motivi di sicurezza, il Titolare non può conoscere né conservare le password dell’interessato. L’assistenza fornita si limita a guidare il cliente nei processi ufficiali di recupero o reimpostazione e, se richiesto, nella configurazione di sistemi sicuri di gestione delle password a cui solo l’interessato ha accesso.

6. Dati trattati e tipologie

• • Dati identificativi obbligatori: nome, cognome, ragione sociale, data e luogo di nascita, codice fiscale/P. IVA, indirizzo di residenza, recapiti: telefono, email, PEC;
• • Dati documentali: documento di identità fronte/retro, tessera sanitaria (se richiesta dal provider), eventuali moduli firmati dal cliente;
• • Dati tecnici e amministrativi: richieste di attivazione, codici transazione, ricevute, pagamenti, codici temporanei (OTP) solo se forniti dal cliente per assistenza immediata (non memorizzati);
• • Dati per l’esecuzione del contratto: moduli SPID/PEC/Firma Digitale, comunicazioni con provider, storico delle richieste del cliente.

Non vengono trattate categorie particolari di dati (art. 9 GDPR) né dati giudiziari (art. 10 GDPR).

7. Categorie di destinatari

• • Provider necessari all’erogazione dei servizi digitali richiesti dal cliente;
• • Prestatori di servizi di pagamento (PSP);
• • Consulenti tecnici, amministrativi, fiscali;
• • Provider di servizi email e infrastrutture digitali;
• • Servizi di hosting, cloud, backup e data center UE;
• • Software gestionali e sistemi di ticketing utilizzati dal Titolare;
• • Corrieri incaricati (solo se necessario per consegna dispositivi di firma);
• • Autorità competenti su richiesta formale o per obblighi di legge.

Diffusione non prevista.

8. Titolari autonomi

• • Gestori PEC accreditati AgID;
• • Identity Provider SPID accreditati;
• • Certification Authority per firma digitale (token, smart card, firma remota);
• • Prestatori di Servizi di Pagamento (PSP);
• • Corrieri incaricati per eventuale consegna dispositivi di firma;
• • Autorità competenti in caso di obbligo normativo.

9. Responsabili e sub-responsabili

Soggetti che trattano dati per conto del Titolare, nominati ai sensi dell’art. 28 GDPR mediante specifico atto di designazione. Rientrano tra questi:

• • Provider di hosting e servizi cloud UE (ospitano dati, applicazioni e infrastrutture);
• • Servizi di archiviazione digitale, backup e disaster recovery (conservazione documenti, copie di sicurezza, ripristino dei sistemi);
• • Software gestionali, CRM (Customer Relationship Management – sistemi per gestire clienti e comunicazioni), sistemi di ticketing e strumenti IT (gestione delle richieste, delle pratiche e dei flussi operativi);
• • Servizi di posta elettronica professionale e PEC utilizzati dal Titolare (invio e ricezione di comunicazioni e documentazione);
• • Consulenti tecnici, amministrativi, contabili e fiscali incaricati (supporto operativo e adempimenti fiscali/amministrativi);
• • Data center UE, CDN (Content Delivery Network – reti che distribuiscono contenuti e migliorano la sicurezza), sistemi di sicurezza informatica e altri sub-responsabili autorizzati (infrastrutture tecniche, protezione dati, firewall, mitigazione attacchi).

Tutti i soggetti esterni sono nominati con atto scritto ai sensi dell’art. 28 GDPR e sono vincolati da obblighi di riservatezza, sicurezza e conformità al Regolamento.
L’elenco nominativo aggiornato dei Responsabili del trattamento è custodito presso la sede del Titolare.
L’elenco può essere richiesto scrivendo a Mostra email .
I Responsabili sono sottoposti a verifica periodica delle misure di sicurezza e al rinnovo annuale della designazione.

10. Termini di conservazione

• • Dati anagrafici e identificativi (nome, cognome, CF, indirizzo, recapiti): conservazione per 10 anni dalla cessazione del servizio, in conformità agli obblighi civilistici, fiscali e contrattuali;
• • Copie dei documenti di identità forniti per attivazione servizi digitali: conservazione per 10 anni, come prova documentale dell’attività svolta e come richiesto dai provider PEC/SPID/Firma Digitale per eventuali verifiche successive;
• • Moduli di attivazione, deleghe e consensi: conservazione per 10 anni dalla chiusura del rapporto contrattuale, quale documentazione probatoria dell’incarico ricevuto e della liceità del trattamento;
• • Comunicazioni email/PEC tra Titolare e cliente (richiesta servizio, supporto tecnico): conservazione per 10 anni a fini di tutela legale e tracciabilità delle operazioni;
• • Log delle richieste tecniche / lavorazioni effettuate per il cliente: conservazione per 12 mesi, salvo necessità di estensione per motivi di sicurezza o contenzioso;
• • Dati relativi ai pagamenti, ricevute e fatturazione: conservazione per 10 anni, come previsto dalla normativa fiscale italiana;
• • Dati non pertinenti ricevuti accidentalmente (es.: informazioni non richieste, allegati non necessari): cancellazione immediata dopo valutazione di non pertinenza;
• • OTP (One Time Password – codici temporanei di sicurezza): utilizzati solo per l’operazione richiesta. Non vengono registrati, non vengono conservati e sono eliminati immediatamente dopo l’utilizzo;
• • Copie di sicurezza (backup): conservate secondo la policy di backup del Titolare e cancellate in modo sicuro alla scadenza dei relativi cicli di retention.

La cancellazione e i tempi di conservazione sono gestiti secondo la Retention Policy archiviata nel Fascicolo GDPR.

11. Trasferimenti verso Paesi terzi

Non sono previsti trasferimenti sistematici di dati personali verso Paesi terzi (extra SEE). Tutti i principali trattamenti relativi ai servizi digitali (PEC, SPID, Firma Digitale) sono effettuati all’interno dello Spazio Economico Europeo, tramite provider accreditati e infrastrutture ubicate in UE.

Eventuali trasferimenti indiretti o tecnici possono verificarsi solo in casi limitati, ad esempio:

• • utilizzo di sistemi di sicurezza, CDN (Content Delivery Network: reti di server distribuiti che velocizzano la consegna dei contenuti e offrono protezione, come mitigazione DDoS, operando talvolta tramite nodi situati fuori dallo SEE);
• • strumenti di monitoraggio o sistemi di protezione che si appoggiano a data center distribuiti globalmente.

In tali scenari, i trasferimenti avvengono nel rispetto degli artt. 44–49 GDPR, applicando:

• • Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea;
• • Valutazione d’Impatto sul Trasferimento (TIA);
• • misure supplementari di sicurezza (es. cifratura, pseudonimizzazione, minimizzazione dei dati);
• • preferenza per infrastrutture con server primari all’interno dell’UE.

Il Titolare verifica almeno una volta l’anno il rispetto degli artt. 44–49 GDPR da parte di tutti i fornitori coinvolti.

12. Trasferimenti verso organizzazioni internazionali

Questo trattamento non prevede alcun trasferimento verso organizzazioni internazionali.

13. Diritti dell’interessato

L’interessato può esercitare in qualsiasi momento i diritti previsti dagli artt. 15–22 del GDPR, tra cui:

• - Diritto di accesso (art. 15 GDPR);
• - Diritto di rettifica (art. 16 GDPR);
• - Diritto di cancellazione (art. 17 GDPR);
• - Diritto di limitazione del trattamento (art. 18 GDPR);
• - Diritto di opposizione (art. 21 GDPR);
• - Diritto alla portabilità dei dati (art. 20 GDPR).

Come esercitare i diritti:
le richieste vanno inviate a Mostra email .
L’interessato potrà inoltre proporre reclamo dinanzi all’Autorità di controllo competente (es. Garante per la protezione dei dati personali: www.garanteprivacy.it).

14. Processi decisionali automatizzati

Non è previsto alcun processo decisionale automatizzato (compresa la profilazione) sui dati personali raccolti. Ogni trattamento dei Suoi dati è svolto da persone fisiche o sistemi sotto il controllo del Titolare, e mai esclusivamente da algoritmi senza controllo umano.