1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali ai sensi dell’art. 4 n. 7 del Regolamento (UE) 2016/679 (“GDPR”) è:

Titolare

Stefano Corazza

Sede/domicilio

Email

privacy@rfqsmart.com

Transizione societaria: In caso di costituzione di una società che assumerà la gestione della piattaforma, la titolarità del trattamento sarà trasferita a tale soggetto, previa notifica agli interessati ai sensi dell’art. 13 GDPR. La notifica avverrà tramite la piattaforma e via email con adeguato preavviso prima dell’efficacia del trasferimento.

Il trasferimento avverrà nel rispetto dei principi di continuità del trattamento e delle garanzie previste dal GDPR. Il nuovo soggetto assumerà integralmente i diritti e gli obblighi del titolare originario, senza pregiudizio per i diritti degli interessati.

2. Oggetto e Ambito dell’Informativa

La presente informativa descrive le modalità con cui RFQ Smart raccoglie, tratta e conserva i dati personali degli utenti che accedono alla piattaforma o che la utilizzano nell’ambito dei processi di gestione delle richieste di offerta (RFQ).

La piattaforma è destinata esclusivamente a operatori economici (utenti B2B). I dati trattati sono pertanto di natura prevalentemente professionale.

La piattaforma non è destinata a utenti consumatori (B2C). Eventuali utilizzi non conformi a tale destinazione sono sotto la responsabilità dell’utente.

3. Categorie di Dati Trattati

3.1 Dati forniti direttamente dall’utente

nome e cognome del referente
indirizzo email professionale
ruolo o funzione aziendale
denominazione e dati dell’azienda di appartenenza
dati inseriti volontariamente nelle richieste di offerta o nelle comunicazioni

3.2 Dati raccolti automaticamente

indirizzo IP del dispositivo
dati di accesso alla piattaforma (data, ora, azioni)
log di utilizzo del sistema
informazioni tecniche sul browser e sul dispositivo
dati di navigazione (raccolti anche tramite cookie tecnici e analitici – v. Cookie Policy)

3.3 Dati relativi ai documenti caricati

Gli utenti possono caricare documenti tecnici, disegni, capitolati e specifiche. Tali file possono contenere dati personali di terzi (es. nomi di dipendenti, contatti tecnici). Gli utenti sono responsabili di tale contenuto e sono tenuti a non caricare documenti con dati personali non necessari.

RFQ Smart non effettua controlli sistematici né analisi attive sui contenuti dei documenti caricati dagli utenti, salvo quanto necessario per garantire la sicurezza tecnica della piattaforma.

La piattaforma non tratta categorie particolari di dati personali ai sensi dell’art. 9 GDPR (dati sulla salute, origine etnica, opinioni politiche, ecc.). Gli utenti sono tenuti a non inserire tali categorie di dati.

4. Finalità e Basi Giuridiche del Trattamento

Finalità	Base giuridica	Riferimento GDPR
Creazione e gestione degli account utente	Esecuzione del contratto	Art. 6.1.b
Gestione delle RFQ e invito fornitori	Esecuzione del contratto	Art. 6.1.b
Sicurezza e prevenzione accessi non autorizzati	Legittimo interesse del titolare	Art. 6.1.f
Miglioramento del funzionamento della piattaforma	Legittimo interesse del titolare	Art. 6.1.f
Analisi statistica degli accessi (se attivata)	Consenso dell’utente	Art. 6.1.a
Gestione richieste di assistenza o supporto	Esecuzione del contratto	Art. 6.1.b
Adempimento obblighi legali	Obbligo legale	Art. 6.1.c

RFQ Smart agisce come titolare autonomo del trattamento per i dati relativi alla gestione tecnica della piattaforma (es. account, sicurezza, analytics), e come responsabile del trattamento ai sensi dell’art. 28 GDPR per i dati trattati per conto degli utenti nell’ambito delle RFQ.

5. Ruoli nel trattamento dei dati personali

RFQ Smart può operare, a seconda del contesto, sia in qualità di titolare autonomo del trattamento sia in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”).

In particolare:

RFQ Smart agisce come titolare autonomo per i trattamenti relativi alla gestione tecnica della piattaforma, inclusi la creazione e gestione degli account, la sicurezza del sistema, la gestione degli accessi e l’analisi statistica degli utilizzi;

RFQ Smart agisce come responsabile del trattamento per i dati trattati per conto degli utenti nell’ambito delle richieste di offerta (RFQ), inclusa la gestione degli inviti ai fornitori e dei relativi dati di contatto.

Nei casi in cui RFQ Smart agisca in qualità di responsabile del trattamento, si applica il Data Processing Agreement (DPA) standard della piattaforma, che costituisce parte integrante del rapporto tra le parti.

La piattaforma RFQ Smart consente agli utenti (buyer) di invitare fornitori a partecipare a una richiesta di offerta (RFQ) mediante l’inserimento dei relativi dati di contatto.

In tale contesto:

l’utente che invita il fornitore agisce in qualità di titolare autonomo del trattamento per i dati dei propri fornitori;
RFQ Smart agisce in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”), limitatamente alla gestione tecnica dell’invito e della relativa RFQ.

L’utente che invita fornitori garantisce di disporre di una base giuridica valida per il trattamento e la comunicazione dei relativi dati personali (ad esempio, legittimo interesse o relazione commerciale preesistente).

I dati dei fornitori invitati sono utilizzati esclusivamente per:

l’invio dell’invito alla partecipazione alla RFQ;
la gestione del processo di richiesta di offerta;
le comunicazioni strettamente correlate alla RFQ.

Tali dati non devono essere utilizzati per finalità ulteriori non compatibili con quelle sopra indicate, quali attività di marketing non autorizzato o comunicazioni non richieste.

7. Modalità di Trattamento e Sicurezza

Il trattamento dei dati personali avviene mediante strumenti informatici e telematici, nel rispetto dei principi di liceità, correttezza e trasparenza, e con l’adozione di misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 del Regolamento (UE) 2016/679 (“GDPR”).

Tali misure includono, a titolo non esaustivo:

connessioni cifrate HTTPS/TLS
autenticazione degli utenti e gestione sicura delle credenziali
controllo degli accessi basato su profili autorizzativi
registrazione degli accessi al sistema (log)
sistemi di backup periodico dei dati

RFQ Smart adotta misure proporzionate alla natura del servizio e allo stato dell’arte tecnologico, ma non può garantire l’inviolabilità assoluta dei sistemi né l’assenza totale di rischi connessi alla trasmissione o conservazione dei dati in ambiente digitale.

L’utente è responsabile dell’utilizzo della piattaforma e della gestione dei propri dati, inclusa l’adozione di eventuali misure di sicurezza e backup ulteriori per dati ritenuti critici.

In caso di violazione dei dati personali (data breach) che possa comportare un rischio per i diritti e le libertà degli interessati, il titolare del trattamento provvederà alla notifica all’autorità di controllo competente ai sensi dell’art. 33 GDPR e, ove necessario, agli interessati ai sensi dell’art. 34 GDPR.

Nei casi in cui RFQ Smart agisca in qualità di responsabile del trattamento, collaborerà con il titolare per la gestione della violazione e per gli adempimenti previsti dalla normativa applicabile.

RFQ Smart non garantisce l’inviolabilità assoluta del sistema. In caso di violazione dei dati personali (data breach) che possa comportare un rischio per i diritti e le libertà degli interessati, il titolare provvederà alla notifica al Garante ai sensi dell’art. 33 GDPR e, ove necessario, agli interessati ai sensi dell’art. 34 GDPR.

8. Conservazione dei Dati

I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti, in conformità ai principi di limitazione della conservazione e minimizzazione dei dati previsti dal Regolamento (UE) 2016/679 (“GDPR”).

In particolare:

dati degli account utente: per tutta la durata dell’account e fino a 12 mesi dalla sua chiusura;
dati delle RFQ: per la durata del rapporto contrattuale e secondo le impostazioni di retention configurate dall’utente, e comunque per un periodo non superiore a 5 anni dalla chiusura della RFQ, salvo diversa richiesta dell’utente o obblighi di legge;
log di accesso e sicurezza: per un periodo limitato, generalmente compreso tra 6 e 12 mesi, salvo esigenze di sicurezza o obblighi normativi;
dati dei fornitori invitati: per la durata della RFQ e dell’eventuale periodo di archiviazione associato;
backup: per il periodo strettamente necessario al ripristino del servizio, in ambienti protetti e con accesso limitato.

Decorsi i termini sopra indicati, i dati personali sono cancellati o anonimizzati in modo irreversibile, salvo il caso in cui la conservazione sia necessaria per adempiere a obblighi di legge o per la tutela dei diritti del titolare.

L’utente può richiedere in qualsiasi momento la cancellazione dei propri dati nei limiti previsti dalla normativa applicabile.

9. Destinatari dei Dati

I dati personali possono essere comunicati a soggetti terzi che forniscono servizi tecnici necessari al funzionamento della piattaforma, tra cui:

provider di servizi di hosting e infrastruttura cloud (operanti in qualità di responsabili ex art. 28 GDPR)
provider di servizi email transazionali
provider di servizi di analisi degli accessi (es. Google Analytics – v. Cookie Policy)
provider di servizi tecnici per la gestione e manutenzione della piattaforma

Tali soggetti operano in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR e sono vincolati da specifici accordi contrattuali che garantiscono la protezione dei dati personali.

10. Trasferimento dei Dati verso Paesi Terzi

I dati personali sono trattati principalmente all’interno dello Spazio Economico Europeo (SEE). Qualora fosse necessario trasferire dati verso paesi terzi (es. per l’utilizzo di strumenti come Google Analytics), ciò avverrà nel rispetto delle disposizioni del GDPR, adottando adeguate garanzie quali:

decisioni di adeguatezza della Commissione Europea
clausole contrattuali standard (Standard Contractual Clauses – SCC)
altre garanzie appropriate ai sensi dell’art. 46 GDPR

11. Diritti degli Interessati

Gli interessati possono esercitare i diritti previsti dagli artt. 15-22 GDPR, tra cui:

diritto di accesso ai propri dati personali (art. 15)
diritto di rettifica dei dati inesatti o incompleti (art. 16)
diritto alla cancellazione (“diritto all’oblio”) (art. 17)
diritto alla limitazione del trattamento (art. 18)
diritto alla portabilità dei dati (art. 20)
diritto di opposizione al trattamento (art. 21)
diritto di revocare il consenso in qualsiasi momento, senza pregiudizio per la liceità del trattamento basato sul consenso precedentemente prestato

Le richieste possono essere inviate tramite email all’indirizzo: privacy@rfqsmart.com. Il titolare risponderà entro 30 giorni dal ricevimento.

12. Diritto di Reclamo

Gli interessati hanno il diritto di proporre reclamo all’autorità di controllo competente ai sensi dell’art. 77 GDPR. Per i trattamenti effettuati dalla piattaforma RFQ Smart, l’autorità competente è:

Autorità

Garante per la protezione dei dati personali (Italia)

Sito web

www.garanteprivacy.it