Privacy Policy

1. Titolare del trattamento

UESE ITALIA S.p.A. agisce quale Titolare del trattamento per i dati personali raccolti attraverso il portale LUMIFOLD e per le attività correlate di contatto, richiesta preventivo, valutazione tecnica, gestione commerciale, newsletter, sicurezza informatica e rapporti B2B. Per richieste privacy è possibile utilizzare info@uese.eu, indicando nell’oggetto “Privacy – LUMIFOLD”. Qualora per uno specifico trattamento sia formalmente nominato un Responsabile della Protezione dei Dati ai sensi degli artt. 37-39 GDPR, i relativi recapiti aggiornati saranno comunicati attraverso i canali istituzionali applicabili.

2. Ambito di applicazione e interessati

La presente informativa si applica a visitatori, referenti di imprese e studi professionali, architetti, ingegneri, progettisti, façade consultant, general contractor, developer, distributori, rivenditori, installatori, fornitori, consulenti, operatori logistici, soggetti che richiedono campioni o documentazione tecnica, iscritti alla newsletter e persone che inviano RFQ o allegati.

Quando un utente comunica dati riferiti a colleghi, committenti, progettisti o altri terzi, deve essere legittimato alla comunicazione e, ove richiesto, aver reso loro le informazioni previste dalla normativa. UESE può chiedere chiarimenti o limitare l’uso di dati di terzi se non pertinenti o eccedenti.

3. Principi, privacy by design e accountability

I trattamenti sono organizzati secondo liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione. UESE applica un approccio basato sul rischio, separando dati pubblici, dati commerciali, allegati tecnici e dati amministrativi, e riesamina i trattamenti quando cambiano servizi, fornitori o architettura tecnologica.

4. Categorie di dati trattati

5. Fonti dei dati

I dati sono raccolti principalmente dall’interessato tramite moduli, e-mail, telefonate, incontri, fiere, richieste commerciali e upload. Nel contesto B2B possono essere acquisiti dati professionali da società clienti, partner, distributori o fonti pubbliche/professionali legittimamente accessibili, nel rispetto dell’art. 14 GDPR quando applicabile.

6. Finalità, basi giuridiche e criteri di conservazione

I termini possono essere sospesi o estesi in presenza di obblighi di legge, audit, garanzie, contestazioni, recupero crediti, assicurazioni, indagini o tutela giudiziale.

7. RFQ, preventivi e allegati tecnici

La RFQ consente a UESE di valutare fattibilità, materiali, configurazioni, quantità, trasporto, logistica, finiture, impianti e requisiti applicabili. I file caricati sono destinati alla valutazione da parte di personale autorizzato e, se necessario, consulenti o partner tecnici coinvolti nel progetto. Gli allegati non sono destinati alla pubblicazione web e sono resi disponibili in area amministrativa protetta.

L’utente deve rimuovere dati personali non necessari prima dell’upload. Per questo trattamento è disponibile l’Informativa RFQ e allegati tecnici, che prevale per gli aspetti specifici del modulo.

8. Newsletter e comunicazioni commerciali

L’iscrizione alla newsletter è volontaria. Il consenso può essere revocato in qualsiasi momento. La mancata prestazione o la revoca non pregiudicano la navigazione, la richiesta di preventivo o l’esecuzione di un contratto. Eventuali comunicazioni a clienti già acquisiti sono valutate separatamente secondo la normativa applicabile e con diritto di opposizione semplice e gratuito.

9. Log tecnici, sicurezza e prevenzione abusi

I sistemi possono generare log per garantire disponibilità, integrità e sicurezza, prevenire spam, upload anomali, malware, attacchi automatizzati e accessi non autorizzati. Tali dati sono trattati secondo il principio di proporzionalità e possono essere conservati più a lungo quando necessari a un’indagine tecnica, a un incidente o alla tutela di un diritto.

10. Destinatari, autorizzati e responsabili

I dati possono essere accessibili a personale UESE formalmente autorizzato e, quando necessario, a hosting provider, fornitori IT e cybersecurity, servizi e-mail, consulenti legali/fiscali, progettisti, laboratori, partner di produzione, installatori, spedizionieri, vettori, broker doganali, assicuratori, organismi di valutazione della conformità, subfornitori e distributori coinvolti nella richiesta.

I fornitori che trattano dati per conto di UESE sono disciplinati, ove ricorrano i presupposti, da accordi ex art. 28 GDPR. Soggetti che determinano autonomamente finalità e mezzi operano quali autonomi titolari.

11. Trasferimenti verso Paesi extra SEE

Qualora fornitori o progetti internazionali comportino trasferimenti fuori dallo Spazio Economico Europeo, UESE applica il Capo V GDPR tramite decisioni di adeguatezza, Clausole Contrattuali Standard, misure supplementari, valutazioni del trasferimento o altri strumenti ammessi.

12. Strumenti automatizzati e intelligenza artificiale

Il portale non è progettato per assumere decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi ai sensi dell’art. 22 GDPR. UESE può utilizzare software o strumenti di supporto alla classificazione, sicurezza, predisposizione tecnica o analisi documentale, con supervisione umana quando necessaria. Nuove funzionalità di IA che modifichino i trattamenti saranno valutate prima dell’attivazione e accompagnate da aggiornamenti informativi.

13. Cancellazione, anonimizzazione, backup e legal hold

Al termine del periodo applicabile, i dati sono cancellati, anonimizzati o resi non più attivamente disponibili secondo le procedure adottate. La cancellazione può essere sospesa per obblighi normativi, garanzie, contestazioni, audit, recupero crediti, contenzioso o legal hold. I backup seguono cicli propri e sono normalmente destinati al ripristino, non all’uso operativo ordinario.

14. Misure tecniche e organizzative

Le misure sono selezionate in base al rischio e possono comprendere controllo degli accessi, segregazione degli allegati, autenticazione, logging, backup, hardening, aggiornamenti, principio del minimo privilegio, gestione autorizzazioni, protezione da richieste anomale, procedure di incident response e formazione. Nessun sistema è privo di rischio; le misure vengono riesaminate in modo proporzionato.

15. Gestione delle violazioni di dati personali

Le violazioni sono gestite mediante rilevazione, contenimento, analisi, registrazione e valutazione del rischio. Quando ricorrono i presupposti degli artt. 33 e 34 GDPR, UESE effettua le notifiche all’autorità di controllo e/o le comunicazioni agli interessati nei termini previsti.

16. Diritti degli interessati

Nei casi previsti dagli artt. 15-22 GDPR è possibile richiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso e informazioni su processi automatizzati. Le richieste possono essere inviate a info@uese.eu. UESE può richiedere informazioni ragionevoli per verificare l’identità e prevenire divulgazioni non autorizzate.

17. Reclamo e tutela

L’interessato può proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo competente nello Stato membro di residenza, lavoro o presunta violazione, ferma la possibilità di ricorso all’autorità giudiziaria.

18. Cookie e altri strumenti di tracciamento

Il portale utilizza tecnologie tecniche necessarie e un consent manager. Gli strumenti opzionali che richiedono consenso restano disattivati fino a una scelta valida. Categorie, durata e meccanismi di revoca sono descritti nella Cookie Policy.

19. Minori e dati non richiesti

Il portale è destinato ad attività professionali e B2B e non è rivolto a minori. Dati di minori o dati particolari ricevuti senza necessità possono essere cancellati o limitati.

20. Aggiornamenti, versioni e prevalenza

La policy può essere aggiornata per modifiche normative, organizzative, tecnologiche o dei servizi. La versione corrente è identificata da data e numero di revisione. In caso di contrasto con un’informativa specifica resa nel punto di raccolta, quest’ultima prevale per il trattamento specificamente disciplinato.

21. Governance privacy, ruoli e accountability

UESE applica un modello di accountability nel quale finalità, basi giuridiche, categorie di dati, destinatari, conservazione e misure di sicurezza vengono valutati in relazione ai processi digitali effettivamente attivati. Le funzioni aziendali coinvolte nel portale operano secondo autorizzazioni e istruzioni coerenti con le rispettive mansioni.

Quando un fornitore tratta dati per conto di UESE, il rapporto viene qualificato e, ove ricorrano i presupposti, disciplinato ai sensi dell’art. 28 GDPR. La selezione tiene conto, in misura proporzionata al rischio, di sicurezza, localizzazione dei dati, subfornitori, assistenza agli interessati, gestione incidenti, cancellazione/restituzione e auditabilità.

22. Ciclo di vita del dato e minimizzazione

I dati raccolti tramite il portale sono trattati secondo un ciclo di vita che comprende raccolta, validazione, utilizzo, eventuale condivisione autorizzata, archiviazione, revisione periodica e cancellazione/anonimizzazione. I moduli sono progettati per richiedere i dati necessari alla gestione della relazione e della richiesta; campi facoltativi devono essere utilizzati solo quando utili al progetto.

Gli allegati tecnici possono contenere informazioni eccedenti rispetto alla finalità. Per questo l’utente è invitato a rimuovere dati personali non necessari, documenti di identità, credenziali, informazioni sanitarie o altre categorie particolarmente delicate salvo che siano strettamente necessarie e previamente concordate.

23. Interesse legittimo e bilanciamento

Quando UESE fonda un trattamento sull’interesse legittimo, valuta lo scopo perseguito, la necessità del trattamento e l’impatto ragionevolmente prevedibile sull’interessato. Possono rientrare in tale ambito, a seconda del caso, sicurezza informatica, prevenzione abusi, tutela dei diritti, continuità operativa, gestione B2B di contatti già acquisiti e miglioramento non invasivo dei processi. L’interessato può opporsi ai sensi dell’art. 21 GDPR quando ne ricorrono i presupposti.

24. Misure organizzative e tecniche: criteri di riferimento

Le misure vengono calibrate su natura dei dati, volume, contesto, finalità e rischio. Possono includere segregazione degli accessi, autenticazione, logging, protezione dell’hosting, aggiornamento software, backup, procedure di ripristino, protezione antimalware, limitazione upload, pseudonimizzazione degli indirizzi IP nei log applicativi, controllo degli accessi amministrativi, cifratura dei canali di trasmissione e gestione dei privilegi.

Le misure non sono descritte in modo tale da indebolire la sicurezza del sistema. Nessuna misura può garantire rischio zero; UESE mantiene un approccio di miglioramento e riesame in funzione dell’evoluzione delle minacce e delle tecnologie.

25. Gestione delle richieste degli interessati

Per proteggere i dati, UESE può richiedere informazioni ragionevoli per verificare l’identità del richiedente, evitando di raccogliere documentazione eccedente. Le richieste vengono registrate e gestite secondo i termini applicabili. In caso di richieste manifestamente infondate o eccessive si applicano le previsioni dell’art. 12 GDPR.

Quando la richiesta riguarda dati contenuti in file tecnici, email o sistemi di progetto, la ricerca può richiedere l’identificazione del progetto, dell’azienda o del riferimento RFQ. La cancellazione può essere limitata quando i dati devono essere conservati per obblighi legali, esercizio/difesa di diritti o altre basi giuridiche prevalenti.

26. Fornitori, sub-responsabili e catena di servizio

Il portale può dipendere da hosting, posta elettronica, sicurezza, backup, assistenza IT, servizi di comunicazione e altri fornitori. L’elenco puntuale può evolvere. UESE mantiene internamente la qualificazione dei fornitori rilevanti e aggiorna la presente informativa quando l’introduzione di nuove categorie di destinatari o trasferimenti incide sostanzialmente sulle informazioni dovute agli interessati.

27. Tracciabilità, prova della conformità e conservazione delle evidenze

UESE può conservare evidenze strettamente necessarie a dimostrare ricezione di richieste, scelte di consenso, invio di informative, gestione diritti, stato RFQ, eventi di sicurezza e adempimenti contrattuali. Tali evidenze sono soggette a limiti di accesso e conservazione e non vengono riutilizzate per finalità incompatibili.

28. Change management privacy

Nuove funzionalità, integrazioni, analytics, marketing technology, automazioni o trattamenti che possano modificare in modo sostanziale il rischio privacy sono sottoposti a valutazione prima della messa in esercizio. Quando richiesto, UESE aggiorna informative, registro dei trattamenti, contratti con fornitori, meccanismi di consenso e, nei casi previsti dall’art. 35 GDPR, valuta la necessità di una DPIA.