La presente informativa descrive il quadro organizzativo adottato da NELMORIX per gestire la protezione dei dati personali in conformità ai principi del Regolamento (UE) 2016/679 (GDPR).
A differenza dell'informativa sulla privacy e della politica sui cookie, questo documento si concentra sugli aspetti organizzativi della protezione dei dati, sulle responsabilità connesse al trattamento, sulla prevenzione dei rischi e sulle procedure adottate per gestire le questioni relative alla sicurezza e alla conformità normativa.
L'approccio alla protezione dei dati tiene conto della natura delle attività svolte attraverso il sito e degli obblighi previsti dalla normativa europea e italiana applicabile.
1. Responsabilità nella protezione dei dati personali
La protezione dei dati personali rappresenta un elemento importante nella gestione delle attività svolte attraverso il sito NELMORIX.
Le modalità di trattamento vengono valutate tenendo conto di diversi fattori, tra cui:
-
La natura delle attività che comportano il trattamento dei dati;
-
Le tecnologie e gli strumenti utilizzati;
-
I potenziali rischi per i diritti e le libertà delle persone interessate.
Quando cambiano le attività operative, gli strumenti utilizzati o le circostanze che possono incidere sulla sicurezza e sulla conformità normativa, le procedure di protezione dei dati vengono riesaminate, ove necessario.
2. Protezione dei dati fin dalla progettazione e per impostazione predefinita
Quando vengono introdotte nuove funzionalità, tecnologie o procedure che comportano il trattamento di dati personali, gli aspetti relativi alla protezione dei dati vengono considerati fin dalle fasi iniziali di progettazione.
In base alle caratteristiche delle attività, le configurazioni e le procedure possono essere orientate ai seguenti principi:
-
Limitare l'accesso ai dati personali ai soli soggetti che ne hanno effettiva necessità;
-
Utilizzare i dati esclusivamente nella misura necessaria per lo svolgimento delle attività previste;
-
Valutare le impostazioni predefinite per evitare trattamenti di dati non necessari.
L'obiettivo è integrare le misure di protezione dei dati nell'organizzazione dei servizi e ridurre, fin dall'inizio, i rischi derivanti da un utilizzo eccessivo delle informazioni personali.
3. Valutazione e gestione dei rischi
Le attività che comportano il trattamento di dati personali vengono valutate considerando i possibili rischi per i diritti e le libertà degli interessati.
L'analisi può prendere in considerazione:
-
La natura delle operazioni di trattamento;
-
La quantità di dati coinvolti;
-
Le categorie di dati personali trattati;
-
Le tecnologie impiegate;
-
Le modalità di accesso alle informazioni;
-
Le possibili conseguenze di un utilizzo non autorizzato dei dati.
Quando una determinata attività può comportare rischi elevati per le persone interessate, viene valutata, secondo quanto previsto dal GDPR, la necessità di effettuare una Valutazione d'impatto sulla protezione dei dati (DPIA).
4. Valutazione d'impatto sulla protezione dei dati (DPIA)
Quando ricorrono le condizioni previste dal GDPR, la Valutazione d'impatto sulla protezione dei dati (Data Protection Impact Assessment – DPIA) può essere effettuata prima dell'avvio delle attività di trattamento interessate.
Questa valutazione ha lo scopo di:
-
Individuare i rischi associati al trattamento;
-
Analizzare la probabilità e la gravità dei possibili effetti;
-
Identificare le misure necessarie per ridurre i rischi;
-
Verificare se il trattamento può essere svolto con adeguate garanzie di protezione dei dati personali.
Qualora la valutazione evidenzi rischi residui elevati che non possono essere sufficientemente ridotti mediante misure adeguate, vengono considerate le ulteriori procedure previste dalla normativa applicabile.
5. Gestione dei fornitori che trattano dati personali
Quando NELMORIX si avvale di soggetti esterni che trattano dati personali per suo conto, la selezione di tali soggetti tiene conto delle garanzie richieste dalla normativa in materia di protezione dei dati.
Le attività affidate vengono definite in funzione delle effettive esigenze operative e delle responsabilità attribuite a ciascun soggetto.
Quando previsto dal GDPR, i rapporti con i fornitori che agiscono in qualità di responsabili del trattamento vengono disciplinati mediante accordi o altri strumenti giuridicamente validi, conformi ai requisiti applicabili.
I soggetti autorizzati al trattamento sono tenuti a:
-
Trattare i dati personali esclusivamente nell'ambito delle attività loro affidate;
-
Attenersi alle istruzioni applicabili ricevute per lo svolgimento delle operazioni autorizzate.
6. Gestione delle autorizzazioni e degli accessi
L'accesso ai dati personali viene limitato in base alle effettive necessità operative e alle responsabilità assegnate.
Le autorizzazioni vengono attribuite in funzione delle mansioni svolte e possono essere modificate o revocate quando non risultano più necessarie.
Questa organizzazione mira a ridurre il rischio che informazioni personali vengano consultate, utilizzate o modificate da soggetti non autorizzati.
7. Gestione delle violazioni dei dati personali
Gli eventi che possono compromettere la sicurezza dei dati personali vengono esaminati tenendo conto di:
-
Natura dell'incidente;
-
Estensione e ambito dei dati coinvolti;
-
Possibili conseguenze per gli interessati.
In caso di violazione dei dati personali, vengono adottate le misure necessarie per contenere l'evento e ridurre, per quanto possibile, le conseguenze potenziali.
Quando ricorrono le condizioni previste dal GDPR, gli eventuali obblighi di notifica all'autorità di controllo e di comunicazione agli interessati vengono gestiti secondo le modalità e i termini stabiliti dalla normativa applicabile.
8. Documentazione e registrazione delle attività di trattamento
In funzione della natura e delle dimensioni delle attività svolte, vengono conservati i documenti e le registrazioni necessari a dimostrare l'adozione delle misure richieste dal GDPR, nei casi in cui la normativa ne preveda l'obbligo.
La documentazione può riguardare:
-
Le attività di trattamento dei dati personali;
-
Le misure tecniche e organizzative adottate;
-
Le valutazioni dei rischi;
-
Le autorizzazioni di accesso;
-
Le misure e gli interventi relativi alla protezione dei dati personali.
La documentazione viene gestita in relazione alle attività effettivamente svolte e agli obblighi applicabili.
9. Consapevolezza e formazione
I soggetti autorizzati ad accedere ai dati personali devono conoscere le responsabilità connesse al loro utilizzo e rispettare le procedure di protezione previste.
In funzione delle mansioni e delle responsabilità assegnate, le attività di informazione e formazione possono riguardare:
-
Gli obblighi di riservatezza;
-
Le corrette modalità di accesso e utilizzo dei dati;
-
La gestione delle richieste degli interessati;
-
Le procedure da seguire in caso di incidente di sicurezza o sospetta violazione dei dati.
L'autorizzazione ad accedere ai dati personali non consente di utilizzarli per finalità diverse da quelle previste nell'ambito delle attività assegnate.
10. Responsabile della protezione dei dati (DPO)
La nomina di un Responsabile della protezione dei dati (Data Protection Officer – DPO) viene valutata in base alle condizioni stabilite dal GDPR.
In particolare, vengono considerati:
-
La natura delle attività di trattamento;
-
La portata dei trattamenti;
-
Le relative finalità;
-
Le dimensioni e la scala delle operazioni svolte.
La presente informativa descrive i criteri utilizzati per valutare l'eventuale necessità della nomina e non costituisce una dichiarazione dell'avvenuta designazione di un DPO.
11. Collaborazione con le autorità di controllo
Quando previsto dalla normativa applicabile, NELMORIX collabora con le autorità competenti in materia di protezione dei dati personali.
Per le attività soggette alla normativa italiana sulla protezione dei dati, l'autorità nazionale di riferimento è il Garante per la protezione dei dati personali.
La collaborazione può comprendere:
-
La gestione delle richieste formulate dalle autorità competenti;
-
La partecipazione alle attività di verifica e controllo previste dalla legge;
-
La gestione delle comunicazioni e degli adempimenti richiesti dalla normativa applicabile.
12. Verifiche periodiche della conformità
Le procedure relative alla protezione dei dati personali possono essere riesaminate quando si verificano cambiamenti significativi nelle attività operative, nei sistemi utilizzati, nei rischi individuati o nella normativa applicabile.
Le verifiche possono riguardare:
-
L'efficacia delle misure di protezione adottate;
-
La gestione delle autorizzazioni e degli accessi;
-
Le procedure organizzative;
-
I rischi già individuati e quelli eventualmente emersi.
Quando necessario, vengono valutati gli adeguamenti opportuni per mantenere un livello di protezione coerente con le attività effettivamente svolte.
13. Aggiornamenti della presente informativa
La presente informativa può essere aggiornata in funzione dell'evoluzione della normativa, delle tecnologie utilizzate e dell'organizzazione delle attività che comportano il trattamento di dati personali.
Le modifiche possono rendersi necessarie, in particolare, in caso di:
-
Evoluzione delle disposizioni legislative e regolamentari;
-
Introduzione o modifica di strumenti tecnologici;
-
Cambiamenti nelle procedure organizzative;
-
Variazioni nelle modalità di gestione dei trattamenti di dati personali.
Gli aggiornamenti vengono valutati e integrati quando necessari per mantenere il quadro organizzativo di protezione dei dati adeguato alle attività svolte.
14. Contatti
Per domande relative alla presente informativa GDPR o per comunicazioni riguardanti l'organizzazione e la gestione della conformità in materia di protezione dei dati personali, è possibile utilizzare i seguenti recapiti:
Nome del negozio: NELMORIX
Indirizzo di contatto:
5527 S 43rd St
Milwaukee, WI 53220
Stati Uniti
Telefono: +1 (414) 627-3849
E-mail: studio@nelmorix.com
Area di servizio: Italia