I miei dati sono trattati secondo il GDPR?

Un laboratorio di analisi accreditato tratta dati personali e tecnici di natura particolarmente sensibile: dati anagrafici del committente, indirizzo del punto di prelievo (che puo' rivelare proprieta' o residenze), risultati analitici che possono incidere su contenziosi, atti notarili o vendite immobiliari. La conformita' al GDPR non e' un adempimento formale: e' una garanzia operativa sulla gestione di queste informazioni.

Quali dati raccogliamo e perche

Raccogliamo solo i dati necessari per erogare il servizio in conformita' alle norme tecniche (ISO/IEC 17025) e fiscali. Il principio di minimizzazione dell'art. 5 GDPR vieta di raccogliere dati eccedenti rispetto alla finalita'. La tabella seguente mostra le categorie tipiche di dati trattati per un'analisi standard.

I tuoi diritti

Gli articoli 15-22 del GDPR ti garantiscono diritti specifici esercitabili in qualsiasi momento, senza costi e con risposta entro 30 giorni dalla richiesta (estendibili a 90 in casi complessi). Le richieste vanno inviate al titolare del trattamento o al Data Protection Officer (DPO) di 123Acqua via email PEC indicata nell'informativa.

• Diritto di accesso (art. 15): copia dei dati trattati
• Diritto di rettifica (art. 16): correzione di dati inesatti
• Diritto alla cancellazione (art. 17): salvi gli obblighi conservativi
• Diritto di limitazione (art. 18): congelamento del trattamento
• Diritto alla portabilita (art. 20): export in formato strutturato
• Diritto di opposizione (art. 21) e di revoca del consenso

Misure di sicurezza tecniche

Adottiamo misure conformi all'art. 32 GDPR e basate sulle linee guida ENISA: cifratura TLS 1.3 sulle comunicazioni, cifratura at rest dei database con chiavi gestite separatamente (KMS), controllo degli accessi basato sui ruoli (RBAC), log immutabili per le operazioni amministrative, MFA obbligatoria per il personale, backup giornalieri con conservazione separata e test di ripristino periodici, valutazione d'impatto (DPIA) per i trattamenti a rischio elevato.

Trasferimenti extra-UE

I dati restano archiviati su server europei (Italia o Germania) di fornitori GDPR-compliant. Eventuali trasferimenti extra-UE avvengono solo verso paesi con decisione di adeguatezza della Commissione Europea (art. 45 GDPR) o sotto Standard Contractual Clauses 2021/914 (art. 46), con valutazione di trasferimento (TIA) documentata caso per caso.

Informativa ex artt. 13-14 GDPR

L'informativa privacy di 123Acqua, resa al momento della raccolta dei dati come richiesto dall'art. 13 GDPR, include: identita' e contatti del titolare, contatti del DPO, finalita' specifiche per ciascun trattamento, basi giuridiche art. 6 (e art. 9 per dati particolari), categorie di destinatari, periodo di conservazione, diritti dell'interessato, diritto di reclamo al Garante, esistenza di processi decisionali automatizzati (assenti nel nostro caso). E' redatta in linguaggio chiaro e accessibile come prescritto dall'art. 12.

Data breach e notifica obbligatoria

In caso di violazione dei dati personali (art. 33 GDPR) abbiamo l'obbligo di notificare al Garante entro 72 ore dalla scoperta, salvo che la violazione sia improbabile presenti rischi per i diritti e le liberta' degli interessati. Se la violazione presenta un rischio elevato (art. 34) comunichiamo anche direttamente agli interessati. Manteniamo un registro interno delle violazioni con valutazione del rischio, misure di contenimento adottate, comunicazioni inviate, come prescritto dalle linee guida EDPB 9/2022.

Registro dei trattamenti

Manteniamo un registro dei trattamenti ai sensi dell'art. 30 GDPR, aggiornato e disponibile per il Garante in caso di richiesta. Il registro elenca per ciascun trattamento: finalita', categorie di interessati e dati, destinatari, trasferimenti extra-UE, termini di cancellazione, descrizione delle misure di sicurezza. E' lo strumento che dimostra l'accountability del titolare e permette al DPO di vigilare sulla conformita' di ogni nuova attivita'.