1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali ai sensi dell’art. 4 n. 7 del Regolamento (UE) 2016/679 (“GDPR”) è:

Controller

Stefano Corazza

Registered/business address

[full address – to be added before public launch]

Email

privacy@rfqsmart.com

Transizione societaria: In caso di costituzione di una società che assumerà la gestione della piattaforma, la titolarità del trattamento sarà trasferita a tale soggetto, previa notifica agli interessati ai sensi dell’art. 13 GDPR. La notifica avverrà tramite la piattaforma e via email con adeguato preavviso prima dell’efficacia del trasferimento.

Il trasferimento avverrà nel rispetto dei principi di continuità del trattamento e delle garanzie previste dal GDPR. Il nuovo soggetto assumerà integralmente i diritti e gli obblighi del titolare originario, senza pregiudizio per i diritti degli interessati.

2. Oggetto e Ambito dell’Informativa

La presente informativa descrive le modalità con cui RFQ Smart raccoglie, tratta e conserva i dati personali degli utenti che accedono alla piattaforma o che la utilizzano nell’ambito dei processi di gestione delle richieste di offerta (RFQ).

La piattaforma è destinata esclusivamente a operatori economici (utenti B2B). I dati trattati sono pertanto di natura prevalentemente professionale.

La piattaforma non è destinata a utenti consumatori (B2C). Eventuali utilizzi non conformi a tale destinazione sono sotto la responsabilità dell’utente.

3. Categorie di Dati Trattati

3.1 Dati forniti direttamente dall’utente

nome e cognome del referente
indirizzo email professionale
ruolo o funzione aziendale
denominazione e dati dell’azienda di appartenenza
dati inseriti volontariamente nelle richieste di offerta o nelle comunicazioni

3.2 Dati raccolti automaticamente

indirizzo IP del dispositivo
dati di accesso alla piattaforma (data, ora, azioni)
log di utilizzo del sistema
informazioni tecniche sul browser e sul dispositivo
dati di navigazione (raccolti anche tramite cookie tecnici e analitici – v. Cookie Policy)

3.3 Dati relativi ai documenti caricati

Gli utenti possono caricare documenti tecnici, disegni, capitolati e specifiche. Tali file possono contenere dati personali di terzi (es. nomi di dipendenti, contatti tecnici). Gli utenti sono responsabili di tale contenuto e sono tenuti a non caricare documenti con dati personali non necessari.

RFQ Smart non effettua controlli sistematici né analisi attive sui contenuti dei documenti caricati dagli utenti, salvo quanto necessario per garantire la sicurezza tecnica della piattaforma.

La piattaforma non tratta categorie particolari di dati personali ai sensi dell’art. 9 GDPR (dati sulla salute, origine etnica, opinioni politiche, ecc.). Gli utenti sono tenuti a non inserire tali categorie di dati.

4. Finalità e Basi Giuridiche del Trattamento

Purpose	Legal basis	GDPR reference
Creation and management of user accounts	Performance of the contract	Art. 6(1)(b)
Management of RFQs and supplier invitations	Performance of the contract	Art. 6(1)(b)
Security and prevention of unauthorized access	Legitimate interest of the controller	Art. 6(1)(f)
Improvement of platform functionality	Legitimate interest of the controller	Art. 6(1)(f)
Statistical analysis of visits (if enabled)	User consent	Art. 6(1)(a)
Handling assistance or support requests	Performance of the contract	Art. 6(1)(b)
Compliance with legal obligations	Legal obligation	Art. 6(1)(c)

RFQ Smart agisce come titolare autonomo del trattamento per i dati relativi alla gestione tecnica della piattaforma (es. account, sicurezza, analytics), e come responsabile del trattamento ai sensi dell’art. 28 GDPR per i dati trattati per conto degli utenti nell’ambito delle RFQ.

5. Ruoli nel trattamento dei dati personali

RFQ Smart può operare, a seconda del contesto, sia in qualità di titolare autonomo del trattamento sia in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”).

In particolare:

RFQ Smart agisce come titolare autonomo per i trattamenti relativi alla gestione tecnica della piattaforma, inclusi la creazione e gestione degli account, la sicurezza del sistema, la gestione degli accessi e l’analisi statistica degli utilizzi;

RFQ Smart agisce come responsabile del trattamento per i dati trattati per conto degli utenti nell’ambito delle richieste di offerta (RFQ), inclusa la gestione degli inviti ai fornitori e dei relativi dati di contatto.

Nei casi in cui RFQ Smart agisca in qualità di responsabile del trattamento, si applica il Data Processing Agreement (DPA) standard della piattaforma, che costituisce parte integrante del rapporto tra le parti.

La piattaforma RFQ Smart consente agli utenti (buyer) di invitare fornitori a partecipare a una richiesta di offerta (RFQ) mediante l’inserimento dei relativi dati di contatto.

In tale contesto:

l’utente che invita il fornitore agisce in qualità di titolare autonomo del trattamento per i dati dei propri fornitori;
RFQ Smart agisce in qualità di responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”), limitatamente alla gestione tecnica dell’invito e della relativa RFQ.

L’utente che invita fornitori garantisce di disporre di una base giuridica valida per il trattamento e la comunicazione dei relativi dati personali (ad esempio, legittimo interesse o relazione commerciale preesistente).

I dati dei fornitori invitati sono utilizzati esclusivamente per:

l’invio dell’invito alla partecipazione alla RFQ;
la gestione del processo di richiesta di offerta;
le comunicazioni strettamente correlate alla RFQ.

Tali dati non devono essere utilizzati per finalità ulteriori non compatibili con quelle sopra indicate, quali attività di marketing non autorizzato o comunicazioni non richieste.

7. Modalità di Trattamento e Sicurezza

Il trattamento dei dati personali avviene mediante strumenti informatici e telematici, nel rispetto dei principi di liceità, correttezza e trasparenza, e con l’adozione di misure tecniche e organizzative adeguate al rischio ai sensi dell’art. 32 del Regolamento (UE) 2016/679 (“GDPR”).

Tali misure includono, a titolo non esaustivo:

connessioni cifrate HTTPS/TLS
autenticazione degli utenti e gestione sicura delle credenziali
controllo degli accessi basato su profili autorizzativi
registrazione degli accessi al sistema (log)
sistemi di backup periodico dei dati

RFQ Smart adotta misure proporzionate alla natura del servizio e allo stato dell’arte tecnologico, ma non può garantire l’inviolabilità assoluta dei sistemi né l’assenza totale di rischi connessi alla trasmissione o conservazione dei dati in ambiente digitale.

L’utente è responsabile dell’utilizzo della piattaforma e della gestione dei propri dati, inclusa l’adozione di eventuali misure di sicurezza e backup ulteriori per dati ritenuti critici.

In caso di violazione dei dati personali (data breach) che possa comportare un rischio per i diritti e le libertà degli interessati, il titolare del trattamento provvederà alla notifica all’autorità di controllo competente ai sensi dell’art. 33 GDPR e, ove necessario, agli interessati ai sensi dell’art. 34 GDPR.

Nei casi in cui RFQ Smart agisca in qualità di responsabile del trattamento, collaborerà con il titolare per la gestione della violazione e per gli adempimenti previsti dalla normativa applicabile.

RFQ Smart non garantisce l’inviolabilità assoluta del sistema. In caso di violazione dei dati personali (data breach) che possa comportare un rischio per i diritti e le libertà degli interessati, il titolare provvederà alla notifica al Garante ai sensi dell’art. 33 GDPR e, ove necessario, agli interessati ai sensi dell’art. 34 GDPR.

8. Conservazione dei Dati

I dati personali sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti, in conformità ai principi di limitazione della conservazione e minimizzazione dei dati previsti dal Regolamento (UE) 2016/679 (“GDPR”).

In particolare:

user account data: for the entire duration of the account and up to 12 months from its closure;
RFQ data: for the duration of the contractual relationship and according to the retention settings configured by the user, and in any event for a period not exceeding 5 years from the closure of the RFQ, unless otherwise requested by the user or required by law;
access and security logs: for a limited period, generally between 6 and 12 months, unless required for security purposes or by regulatory obligations;
data of invited suppliers: for the duration of the RFQ and any associated archiving period;
backups: for the period strictly necessary to restore the service, in protected environments with limited access.

Decorsi i termini sopra indicati, i dati personali sono cancellati o anonimizzati in modo irreversibile, salvo il caso in cui la conservazione sia necessaria per adempiere a obblighi di legge o per la tutela dei diritti del titolare.

L’utente può richiedere in qualsiasi momento la cancellazione dei propri dati nei limiti previsti dalla normativa applicabile.

9. Destinatari dei Dati

I dati personali possono essere comunicati a soggetti terzi che forniscono servizi tecnici necessari al funzionamento della piattaforma, tra cui:

provider di servizi di hosting e infrastruttura cloud (operanti in qualità di responsabili ex art. 28 GDPR)
provider di servizi email transazionali
provider di servizi di analisi degli accessi (es. Google Analytics – v. Cookie Policy)
provider di servizi tecnici per la gestione e manutenzione della piattaforma

Tali soggetti operano in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR e sono vincolati da specifici accordi contrattuali che garantiscono la protezione dei dati personali.

10. Trasferimento dei Dati verso Paesi Terzi

I dati personali sono trattati principalmente all’interno dello Spazio Economico Europeo (SEE). Qualora fosse necessario trasferire dati verso paesi terzi (es. per l’utilizzo di strumenti come Google Analytics), ciò avverrà nel rispetto delle disposizioni del GDPR, adottando adeguate garanzie quali:

decisioni di adeguatezza della Commissione Europea
clausole contrattuali standard (Standard Contractual Clauses – SCC)
altre garanzie appropriate ai sensi dell’art. 46 GDPR

11. Diritti degli Interessati

Gli interessati possono esercitare i diritti previsti dagli artt. 15-22 GDPR, tra cui:

diritto di accesso ai propri dati personali (art. 15)
diritto di rettifica dei dati inesatti o incompleti (art. 16)
diritto alla cancellazione (“diritto all’oblio”) (art. 17)
diritto alla limitazione del trattamento (art. 18)
diritto alla portabilità dei dati (art. 20)
diritto di opposizione al trattamento (art. 21)
diritto di revocare il consenso in qualsiasi momento, senza pregiudizio per la liceità del trattamento basato sul consenso precedentemente prestato

Le richieste possono essere inviate tramite email all’indirizzo: privacy@rfqsmart.com. Il titolare risponderà entro 30 giorni dal ricevimento.

12. Diritto di Reclamo

Gli interessati hanno il diritto di proporre reclamo all’autorità di controllo competente ai sensi dell’art. 77 GDPR. Per i trattamenti effettuati dalla piattaforma RFQ Smart, l’autorità competente è:

Authority

Garante per la protezione dei dati personali (Italian Data Protection Authority)

Website

www.garanteprivacy.it