INFORMATIVA SULLA PRIVACY Premessa

Titolare dei Trattamenti è la società FOIND S.R.L. nella persona dell’Amministratore unico o di altro soggetto cui siano stati delegati i necessari poteri di rappresentanza.
La FOIND S.R.L. ha sede in Corso Europa, 74023 Grottaglie TA Italia, P. IVA 02804170732.

I suoi compiti e responsabilità sono definiti dal D. Lgs. 196/2003 (Codice della Privacy) e dal Regolamento UE 679/2016.
In particolare, il Titolare è responsabile di identificare i trattamenti necessari allo svolgimento dei processi aziendali, definirne finalità, modalità nonché la natura dei dati trattati. Il Titolare è inoltre responsabile, di fronte al Codice e al Regolamento UE, della osservanza di tutte le normative di legge in materia di dati personali.

Il Titolare è responsabile di definire le misure di sicurezza da implementare e di vigilare sulla applicazione per garantire ed essere in grado di dimostrare che il trattamento è effettuato in maniera conforme al Codice e al Regolamento. Il Titolare provvede – eventualmente - alla nomina dei Responsabili dei Trattamenti, definendone i compiti.

Il Titolare, inoltre, in conformità al combinato disposto dagli artt. 33 e ss. del GDPR in caso di violazione dei dati personali notifica la violazione all’autorità di controllo competente a norma dell’art. 55 del medesimo Regolamento europeo senza giustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza salvo che la violazione renda improbabile un rischio per i diritti e le libertà delle persone fisiche.

L’elenco aggiornato degli eventuali responsabili e incaricati al trattamento è custodito presso la sede legale del Titolare del trattamento.

L’infrastruttura informatica de FOIND S.R.L. è caratterizzata da un unico server centrale. FOIND S.R.L. si è dotata dei seguenti sistemi gestionali:

• -  Microsoft Outlook Client Posta elettronica

• -  Documento ad hoc per la rilevazione delle presenze del personale

• -  Web Server

• -  Pc client

• -  Intranet

  Per le connessioni interne è utilizzata una rete LAN; la connettività verso l’esterno “internet” è dedicata, sfrutta la tecnologia Fibra Ottica/ADSL, gestita da fornitori esterni e protetta da un doppio firewall interno presente in sede, che copre eventuali trasferimenti di dati verso l’esterno. Gli accessi da parte dei fornitori e manutentori, avvengono sempre e comunque con preventiva autorizzazione del Titolare.

  L’unica documentazione cartacea è rappresentata degli stampati di fatturazione alla conclusione dei contratti sottoscritti con la società.
  I documenti cartacei vengono di norma conservati in armadi (o equivalente) dotati di serratura in dotazione al personale incaricato dei Trattamenti stessi. Ove compatibile con le finalità e la struttura dei documenti, si procede alla conservazione separata degli specifici documenti contenenti dati sensibili. Nelle ipotesi in cui vengano prodotti centralmente sono applicate le specifiche procedure di sicurezza definite contenute nel presente modello.

  Analisi dei rischi che incombono sui dati

  Al fine di realizzare una policy relativa alla sicurezza e alla privacy in conformità al Regolamento Ue 679/2016 e nonostante l’assenza di un espresso obbligo in tal senso FOIND S.R.L. ha compiuto un’analisi dei rischi che può così essere sintetizzata.

• Per i dati personali (c.d. comuni) del personale dipendente, dei clienti, dei fornitori, dei consulenti ed eventualmente di terzi: il rischio legato alla loro gestione può definirsi basso;

• Per i dati sensibili del personale dipendente, dei clienti, dei fornitori, dei consulenti ed eventualmente di terzi per cui è stato espressamente prestato il consenso: il rischio legato alla loro gestione può definirsi medio/basso.

• Il rischio di accesso alla sede della società può definirsi basso in quanto allocato in uno stabile privato.

  E’ presente un adeguato impianto di antifurto con annesso servizio di videosorveglianza.
  Il rischio di manomissione e/o di guasti delle apparecchiature di gestione del trattamento dati può definirsi basso: Le Strutture sono infatti dotate di un sistema di antifurto. Il personale risulta sensibilizzato sulle modalità di utilizzo e gestione delle apparecchiature. Gli Hardware utilizzati sono di primarie case produttrici e recenti. Il parco macchine è gestito internamente e coperto da contratti di garanzia.

• Il rischio di installazione di software non autorizzati e di accesso non autorizzato ai programmi applicativi può definirsi basso: Tutti gli utenti accedono alle risorse aziendali con profilo standard, al quale sono inibite funzioni di amministrazione delle workstation. L’installazione di programmi non controllati è, pertanto, inibita.

  L’accesso alle risorse applicative avviene tramite specifica di nome utente e password personali ed incedibili, a queste sono collegati dei profili di autorizzazione che vietano la possibilità di accesso ad aree per le quali non si è autorizzati.
  La gestione del blocco sessione avviene in automatico, in caso di non utilizzo prolungato della postazione di lavoro.

• Il rischio relativo al trattamento dati (accesso non autorizzato agli archivi; modifica o cancellazione errata di dati; Perdita (accidentale o dolosa) di dati; Intercettazione delle trasmissioni; Incapacità di ripristinare i dati dopo un evento che li abbia danneggiati) può definirsi basso: L’accesso alle risorse aziendali avviene tramite un profilo di autorizzazione.

• La documentazione cartacea è custodita in locali chiusi a chiave

• La rete LAN è protetta da accessi esterni da un sistema Firewall

  Misure di sicurezza per l’integrità e la disponibilità dei dati

  Per proteggere i dati personali dai rischi di cui al paragrafo precedente, sono adottate le seguenti misure di sicurezza.

  1) Misure per la sicurezza fisica
  Per assicurare la sicurezza fisica dei locali ove vengono trattati dati personali, oltre alle misure previste da norme di legge (es. D.lgs. 81/2008) o da regole interne aziendali (protezione della sede), sono applicati i seguenti controlli:

• Le apparecchiature informatiche critiche per la sicurezza delle informazioni (server di rete , file server,

  Database server, router, switch e firewall) sono installate in locali chiusi se non presenti persone per

  attività di manutenzione e di supporto

• L’accesso a tali aree è concesso ai soli addetti alla manutenzione o personale preventivamente

• autorizzato.

• Personale esterno all’ azienda può accedere ai locali e rimanervi per il tempo necessario a concludere

  l’attività richiesta (es. pulizia o manutenzione), solo dopo esplicita approvazione degli addetti e con la

  costante presenza degli stessi.

• I backup dei dati – eventualmente anche quelli sensibili- sono effettuati su un hard disk fisicocustodito a

  cura del soggetto designato, il cui accesso è consentito ai soggetti autorizzati alla loro custodia,

  manutenzione e a chi è autorizzato a trattare quei dati.

• I locali adibiti eventualmente ad archivi, sono gestiti direttamente dal titolare, per i dati sensibili questi

  sono chiusi in appositi armadi, mentre tutti gli altri dati custoditi in forma cartacea, la protezione è rappresentata dall’ufficio e dagli addetti che vi operano.

  2) Misure per la Sicurezza Logica
  Per assicurare la sicurezza logica delle informazioni, sono previsti i seguenti controlli:

• Per utilizzare le stazioni di lavoro (terminali e PC) ed accedere alle applicazioni per il trattamento dei

  dati, gli incaricati devono usare una utenza (user-id) ed una password di autenticazione.

• Le utenze sono strettamente individuali e vengono create dall’Amministratore di sistema, su richiesta del Titolare. Quando l’utenza è stata creata, viene richiesto all’interessato di specificare una propria

  password secondo le regole indicate successivamente.

• L’ utenza non deve essere assegnata, per nessun motivo, ad altro incaricato. Quando un incaricato lascia

  l’azienda, la sua utenza non può più essere utilizzata.

• Con cadenza periodica, la società controlla se vi sono utenze non più usate da sei mesi e provvede a

  disattivarle. Prima di cancellare una utenza, verifica con il Titolare se permane la necessità che ha determinato la sua creazione e prende, con il suo accordo, le azioni opportune (cancellazione o mantenimento).

• Quando le motivazioni per cui una utenza è stata creata vengono meno (dimissioni, cambio attività, modifiche tecnologiche) l’Amministratore di sistema provvede immediatamente a disattivare l’utenza. L’utenza può essere mantenuta in essere (ma disattivata) fino a che non si siano concluse le attività di passaggio di consegne tra il precedente ed il nuovo incaricato; il tutto deve essere documentato. A questo punto viene cancellata, insieme con tutte la abilitazioni di corredo.

• L’autenticazione dell’utenza avviene a mezzo di password. Questa è segreta e non deve essere comunicata ad altri né lasciata incustodita, per esempio scrivendola su agende o su foglietti di appunti. Un trattamento illecito fatto carpendo la password ad un incaricato è comunque imputabile all’incaricato che non l’ha custodita correttamente.

• Quando una password viene dimenticata, l’Amministratore di sistema si accerta che il richiedente sia l’incaricato che ne è legittimo proprietario e procede ad impostarne insieme al richiedente una nuova secondo le regole definite sopra.

• Per superare situazioni di emergenza o per rispondere a legittime richieste di accesso ai dati, l’Amministratore di sistema può re-impostare la password di un utente per un accesso temporaneo. L’attività svolta deve essere documentata ed il legittimo proprietario della password deve essere informato appena possibile. Sarà sua cura a questo punto modificare la password usata per la situazione di emergenza ed impostarne una nuova, nota solo a lui.

• Ogni incaricato ha l’obbligo di non lasciare incustodita la stazione di lavoro mentre è attivata una sessione di lavoro. Nel caso si debba assentare deve chiudere la sessione e, nel caso di PC, impedire l’accesso ad altri, utilizzando ove possibile la funzione di blocco pc o in alternativa prevedere un programma di screen-saver con password, qualora nessuna delle due risulti applicabile l’utente dovrà arrestare la sessione attiva.

• Utenza e password controllano il diritto di un incaricato di utilizzare una stazione di lavoro e di accedere ad una applicazione. Il trattamento dei dati avviene secondo un profilo di abilitazione rilasciato secondo le effettive necessità operative dell’incaricato ed in linea con le relative autorizzazioni.

• Il profilo di abilitazione viene impostato dall’Amministratore di sistema secondo le autorizzazioni comunicategli dal Titolare. Copia della richiesta di attivazione e autorizzazione viene scansionata e in seguito registrata all’interno del sistema informatico della società.

• Una volta all’ anno la lista delle utenze attivate ed i relativi profili di autorizzazione viene sottoposta al Titolare. Questi verifica la correttezza delle autorizzazioni ed il permanere della necessità delle stesse. Quindi le conferma o richiede eventuali aggiornamenti, la documentazione oggetto di verifica dovrà essere archiviata per eventuali successive verifiche.

  3) Misure per la Sicurezza delle Comunicazioni

• Per assicurare la sicurezza delle comunicazioni, sono previste le seguenti misure di controllo:

• Su tutte le workstation connesse alla rete internet è installato un programma antivirus, gestito tramite la componente server, gli aggiornamenti sono automatici e avvengono con cadenza almeno annuale per la parte software e giornaliera per le definizione dei virus.

• L’accesso per l’esterno “Internet” è controllato da un firewall, la gestione è rimessa al personale interno che periodicamente provvede a verificare che le policy di accesso e controllo siano sempre attuali e conformi.

• Eventuali trasmissioni di dati verso l’esterno devono essere autorizzate dal titolare e devono avvenire tramite il sistema ufficiale individuato, tale sistema deve prevedere sistemi di cifratura delle comunicazioni.

• Il servizio di posta elettronica è gestito su servizio “hosting” Microsoft Outlook; l’uso è comunque preventivamente autorizzato. Lo scambio di dati personali tramite questo canale deve avvenire solo quando strettamente necessario, esplicitamente richiesto ed autorizzato, in ogni caso le informazioni scambiate non devono contenere dati sensibili l’eventuale invio di tali dati può essere attuato sono a seguito dell’applicazione di opportuni strumenti atti a rendere le comunicazioni intelligibili.

• 4) Comunicazione e Cessione dei Dati
  Qualora i Dati di cui la Società è Titolare siano oggetto di Comunicazione o Cessione a Terzi, viene effettuata opportuna verifica di conformità di tale Comunicazione con l’Informativa fornita agli Interessati; nel caso tale verifica dia esito negativo, la Comunicazione non può avere luogo.
  In caso di riscontro positivo, la Comunicazione e/o la Cessione dei Dati a soggetti Terzi può avvenire con il vincolo del rispetto delle finalità oggetto dell’Informativa stessa, specificato per iscritto al destinatario della Comunicazione o Cessione.
  Qualora i destinatari della Comunicazione siano identificati in Informativa mediante indicazioni di tipo generico, il Responsabile Organizzativo dei Trattamenti detiene un registro in cui sono puntualmente indicati gli specifici soggetti destinatari.
  La Comunicazione dei Dati relativi a Trattamenti di cui la Società è Responsabile Esterno è ammessa solo se il destinatario della comunicazione è stato puntualmente identificato ed autorizzato dal Titolare; in tutti gli altri casi la Comunicazione non può aver luogo.
• 5) Gestione e conservazione dei documenti cartacei:
• Tutti gli Incaricati autorizzati a Trattamenti che prevedono l’utilizzo di documenti cartacei sono dotati di armadi o contenitori con serratura per la opportuna protezione e conservazione dei documenti contenenti dati personali.
• Nel caso sia compatibile con la loro struttura fisica, i documenti contenenti dati particolari vengono custoditi separatamente dai documenti contenenti solo dati comuni e l’accesso è ulteriormente limitato ai soli Incaricati che svolgono mansioni che ne esigono l’utilizzo.
• I documenti che non hanno più valenza operativa, sono oggetto di conservazione solo nel caso ciò sia dovuto per obbligo di legge o per motivi legali, storici e comunque puntualmente specificati, identificati dal Titolare e documentati presso il Responsabile Organizzativo. La conservazione avviene di norma presso appositi locali di archiviazione, il cui accesso è controllato.
• 6)Uso e custodia degli strumenti elettronici

Gli strumenti informatici sono protetti contro i rischi di intrusione e dalla azione di programmi di cui all’art. 615 quinquies del codice penale mediante la attivazione di opportuni strumenti elettronici. L’aggiornamento di tali strumenti, così come più in generale, gli aggiornamenti periodici dei programmi diretti a prevenire la vulnerabilità degli strumenti elettronici ed a correggerne difetti sono effettuati con periodicità almeno semestrale.
Le stazioni di lavoro messe a disposizione dei dipendenti sono dotate degli opportuni strumenti di protezione e sono attivate le funzioni di sicurezza in conformità con le specifiche tecniche dei singoli apparati. Gli Incaricati sono impossibilitati (o, se non tecnicamente possibile, istruiti) a modificare tali impostazioni preconfigurate.

7) Rapporti con i fornitori
Nei rapporti con i suoi fornitori, l’Azienda adotta opportune clausole contrattuali miranti alla salvaguardia dei propri diritti e delle proprie responsabilità in merito al Trattamento di dati personali.
A tale scopo, in accordo con le diverse tipologie di contratti standard utilizzati dalla società sono state sviluppate clausole specifiche di salvaguardia e di definizione puntuale del ruolo e dei compiti del Fornitore.

8) Limitazioni di accesso alle banche dati
L’utilizzo di strumenti generici di estrazione e reporting dalle banche dati contenenti dati personali sensibili o comunque riservati deve pertanto essere limitato a pochi soggetti specificatamente autorizzati, realizzando in tutti gli altri casi strumenti applicativi predefiniti.

Criteri di vigilanza nei confronti di eventuali responsabili esterni

La società FOIND S.R.L. nelle ipotesi in cui affidi a soggetti esterni il Trattamento di dati personali, di cui l’Azienda è Titolare (nominati Responsabili esterni dei Trattamenti) disciplina i seguenti criteri di vigilanza. All’atto della nomina di un soggetto esterno a Responsabile, e coerentemente con il servizio richiesto, vengono fornite dettagliate istruzioni sulle prescrizioni di sicurezza cui attenersi, La vigilanza effettuata dalla Società si esplica sul piano organizzativo, logico e fisico.

1) Vigilanza organizzativa
Al Responsabile Esterno viene richiesta specifica dichiarazione in merito alla attuazione delle Misure Minime di Sicurezza previste dal Disciplinare Tecnico.
La Società si riserva il diritto di verificare sia la nomina puntuale del personale che viene utilizzato dal fornitore per lo svolgimento dei servizi affidati sia l’avvenuta formazione. Viene inoltre richiesta copia delle procedure di incident reporting nei casi di:

• presenza di virus

• recupero di dati da copie di backup

• perdita o distruzione accidentale di dati

  2) Vigilanza logica
  Al responsabile viene richiesto di produrre con periodicità semestrale informazioni aggiornate, limitatamente ai Trattamenti di cui la Società è Titolare, in merito a:

• lista completa delle user-id definite

• user id non utilizzate nel periodo

• descrizione dei casi di re-inizializzazione delle password

• rilevazione delle frequenze effettive di cambiamento delle password

  Inoltre tutti gli eventi che hanno dato luogo ad incident reporting riferibili ai Trattamenti della Società devono essere opportunamente comunicati e documentati entro 15 giorni dal loro verificarsi.
  Con periodicità non inferiore all’anno, viene richiesto al fornitore di procedere ad una simulazione delle procedure di ripristino in presenza di personale della Società.

3) Vigilanza fisica

Viene richiesta la identificazione e descrizione dei luoghi ove vengono custoditi i supporti di backup dei Dati e/o dei programmi informatici affidati. Una copia integrale degli archivi deve essere fornita trimestralmente alla Società per custodia autonoma in locali propri.

Diritti dell’interessato

L’interessato ai sensi e per gli effetti dell’art. 7 Codice Privacy e art. 15 GDPR ha diritto di ottenere la conferma dell’esistenza o meno dei dati personali che lo riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile. e precisamente i diritti di:

1) ottenere la conferma dell'esistenza o meno di dati personali che La riguardano, anche se non ancora registrati, e la loro comunicazione in forma intelligibile;

2) ottenere l'indicazione:
a) dell'origine dei dati personali;
b) delle finalità e modalità del trattamento;
c) della logica applicata in caso di trattamento effettuato con l'ausilio di strumenti elettronici;
d) degli estremi identificativi del titolare, dei responsabili e del rappresentante designato ai sensi dell'art. 5, comma 2 Codice Privacy e art. 3, comma 1, GDPR;
e) dei soggetti o delle categorie di soggetti ai quali i dati personali possono essere comunicati o che possono venirne a conoscenza in qualità di rappresentante designato nel territorio dello Stato, di responsabili o incaricati;
3) ottenere:
a) l'aggiornamento, la rettificazione ovvero, quando vi ha interesse, l'integrazione dei dati;
b) la cancellazione, la trasformazione in forma anonima o il blocco dei dati trattati in violazione di legge, compresi quelli di cui non è necessaria la conservazione in relazione agli scopi per i quali i dati sono stati raccolti o successivamente trattati;
c) l'attestazione che le operazioni di cui alle lettere a) e b) sono state portate a conoscenza, anche per quanto riguarda il loro contenuto, di coloro ai quali i dati sono stati comunicati o diffusi, eccettuato il caso in cui tale adempimento si rivela impossibile o comporta un impiego di mezzi manifestamente sproporzionato rispetto al diritto tutelato;
4) opporsi, in tutto o in parte:
a) per motivi legittimi al trattamento dei dati personali che La riguardano, ancorché pertinenti allo scopo della raccolta;
b) al trattamento di dati personali che La riguardano a fini di invio di materiale pubblicitario o di vendita diretta o per il compimento di ricerche di mercato o di comunicazione commerciale, mediante l’uso di sistemi automatizzati di chiamata senza l’intervento di un operatore mediante e-mail e/o mediante modalità di marketing tradizionali mediante telefono e/o posta cartacea.
Si fa presente che il diritto di opposizione dell’interessato, esposto in precedenza, per finalità di marketing diretto mediante modalità automatizzate si estende a quelle tradizionali e che comunque resta salva la possibilità per l’interessato di esercitare il diritto di opposizione anche solo in parte. Pertanto, l’interessato può decidere di ricevere solo comunicazioni mediante modalità tradizionali ovvero solo comunicazioni automatizzate oppure nessuna delle due tipologie di comunicazione. Ove applicabili, ha altresì i diritti di cui agli artt. 16-21 GDPR (Diritto di rettifica, diritto all’oblio, diritto di limitazione di trattamento, diritto alla portabilità dei dati, diritto di opposizione), nonché il diritto di reclamo all’Autorità Garante.

Considerazioni conclusive, dichiarazione d’impegno e firma

Il presente documento scaturisce dall’analisi delle problematiche relative all’entrata in vigore del Regolamento Ue 679/2016 citato in premessa.
Ai destinatari delle comunicazioni precedenti è allegata la copia del presente documento perché funga da istruzione circa i compiti e le norme da osservare nell’ambito dell’attività svolta dalla società FOIND S.R.L. Il presente documento viene firmato in calce da Cordella Agostino in qualità di AMMINISTRATORE della FOIND S.R.L. P.IVA 02804170732

L’originale del documento viene custodito presso FOIND S.R.L. - Corso Europa - 74023 Grottaglie (TA) Una copia verrà consegnata:

- a chiunque ne faccia richiesta in relazione all’instaurarsi di un rapporto che implichi un trattamento di dati personali

Grottaglie, li 25/05/2018

Procedura per l’esercizio del diritto di accesso da parte dell’interessato del trattamento

In conformità agli artt. 7 e ss. del D.lgs. 196/2003 e all’art. 15 del Regolamento Ue 679/2016, l’interessato al trattamento dei dati ha diritto di ottenere dal titolare del trattamento la conferma che sia o meno in corso un trattamento dei dati che lo riguardano e in tal caso di ottenere l’accesso ai dati personali e alle informazioni contenute nell’apposita modulistica “Modello per l’esercizio dei diritti in materia di protezione dei dati personali”.

La richiesta di diritto di accesso deve essere presentata dal soggetto interessato al Titolare del trattamento e inviata a mezzo scegliete voi tra: mail ordinaria o pec (il Regolamento fa riferimento per il soggetto istante che effettuerà la richiesta a “informazioni fornitge in un formato elettronico di uso comune”) /fax/raccomandata al seguente/seguenti indirizzi GUARRACINO TRADE COMPANY s.r.l. zona Industriale ASI Aversa Nord snc presso centro commerciale SINE - 81032 Carinaro (CE) Italy.

L’interessato al trattamento dovrà effettuare il download del “Modello per l’esercizio dei diritti in materia di protezione dei dati personali” al link qui riportato SCARICA IL MODULO e compilarlo prestando particolare attenzione all’indicazione dei dati personali, dei recapiti per la risposta, delle categorie di dati e della tipologia di trattamento cui si fa riferimento (potremmo rimandarlo in altra pagina oppure cambiare la formulazione e caricare in una sola pagina la breve procedura e sotto il modello da “scaricare”).

In conformità alla legislazione vigente il Titolare del trattamento entro 15 giorni dal ricevimento dell’istanza darà idoneo riscontro all’istante.

Il Titolare del trattamento entro un congruo termine fornisce una copia dei dati personali oggetto di trattamento. In caso di ulteriori copie richieste dall’interessato, il titolare del trattamento potrà addebitare un ragionevole contributo spese basato sui costi amministrativi.