Informativa estesa sulla Privacy

1. Oggetto e Ambito di Applicazione

La presente informativa sulla privacy ("Informativa") disciplina e descrive nel dettaglio le modalità di gestione del sito web di Ottica Boeris, all'indirizzo originario (il "Sito"), in riferimento al trattamento dei dati personali degli utenti e dei visitatori ("Interessati") che vi accedono e ne consultano le pagine. L'informativa è resa ai sensi e per gli effetti dell'art. 13 e 14 del Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio del 27 aprile 2016 (di seguito, "GDPR"), relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati; del D.Lgs. 196/2003 ("Codice Privacy") così come modificato e integrato dal D.Lgs. 101/2018 recante disposizioni per l'adeguamento della normativa nazionale. L'informativa è redatta inoltre alla luce delle Linee Guida sulle decisioni automatizzate e sulle profilazioni (WP251rev.01) e dei Provvedimenti dell'Autorità Garante per la Protezione dei Dati Personali.

L'informativa riguarda esclusivamente il presente Sito e non anche altri siti web o piattaforme esterne eventualmente consultate dall’utente tramite link ipertestuali.

2. Identità e Dati di Contatto del Titolare del Trattamento

Il Titolare del Trattamento (soggetto che determina le finalità e i mezzi del trattamento dei dati personali) è:

Ottica Boeris di Giovanni Boeris
Sede Operativa e Legale: Via Vittorio Asinari di Bernezzo, 33
C.F. / P.IVA: 01222120014
Indirizzo e-mail per contatti privacy: info@otticaboeris.it
Recapito Telefonico: 011 749 2814

Alla luce delle attività svolte e del volume di dati trattato, nonché in considerazione del fatto che il Titolare non effettua trattamenti su larga scala comportanti il monitoraggio regolare e sistematico degli interessati, né trattamenti su larga scala delle cd. "categorie particolari di dati", non ricorre per il Titolare l'obbligo di designazione di un Responsabile della Protezione dei Dati (Data Protection Officer - DPO) ex art. 37 del GDPR.

3. Categorie di Dati Personali Trattati

Durante la navigazione e l'interazione con il nostro Sito, il Titolare può raccogliere diverse tipologie di dati personali, a seconda dei servizi richiesti dall'utente:

• Dati di navigazione: I sistemi informatici e le procedure software preposte al funzionamento di questo Sito acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet. In questa categoria rientrano: indirizzi IP, nomi a dominio dei computer utilizzati dagli utenti che si connettono, gli indirizzi in notazione URI/URL (Uniform Resource Identifier/Locator) delle risorse richieste, l'orario di richiesta, il metodo utilizzato per sottoporre la richiesta al server, la dimensione del file ottenuto, il codice numerico indicante lo stato della risposta dal server (buon fine, errore, etc.) ed altri parametri relativi al sistema operativo e all'ambiente informatico dell'utente.
• Dati forniti volontariamente dall'utente: Qualora l'utente invii comunicazioni esplicite agli indirizzi di contatto indicati o compili moduli (come il modulo di richiesta e prenotazione appuntamento), il Titolare acquisisce i dati necessari per rispondere e per gestire le richieste, ovvero: nome, cognome, numero di telefono, e-mail e l'eventuale ulteriore contenuto inserito liberamente nello spazio "Note" (il quale potrebbe incidentalmente rivelare informazioni specifiche sulle esigenze ottiche dell'utente, riconducibili a categorie particolari di dati ex art. 9 GDPR, quali dati relativi allo stato di salute).
• Dati raccolti tramite Cookie e Sistemi di Tracciamento: Dati di navigazione, tracciatori e informazioni sulle preferenze, le cui dinamiche sono regolate specificamente dall'apposita Cookie Policy accessibile da ogni pagina del Sito.

4. Finalità del Trattamento e Basi Giuridiche Relative

I dati personali degli utenti verranno trattati per scopi specifici, pertinenti e limitati a quanto necessario per il loro raggiungimento. Di seguito le finalità e le corrispettive basi giuridiche:

1. Erogazione dei Servizi del Sito Web e Sicurezza Informatica: Per permettere la regolare navigazione degli utenti e per controllarne il corretto funzionamento, oltre all'accertamento di eventuali illeciti o cyber-attacchi.
   Base Giuridica: Esecuzione del servizio e perseguimento del legittimo interesse del Titolare alla sicurezza dei propri asset informatici (Art. 6, par. 1, lett. f, GDPR).
2. Gestione Richieste di Contatto e Prenotazione Appuntamenti: Per dare riscontro alle richieste dell'utente relative a esami visivi, acquisto occhiali e lenti, tramite i form presenti o ricezione di e-mail.
   Base Giuridica: Esecuzione di misure precontrattuali o di un contratto di cui l'interessato è parte (Art. 6, par. 1, lett. b, GDPR).
3. Trattamento Incidentale di Dati Sanitari: Nell'ipotesi in cui l'utente comunichi, nel campo libero per le note di prenotazione, dettagli riguardanti patologie visive o proprie prescrizioni oculistiche.
   Base Giuridica: Consenso esplicito dell'interessato attraverso la volontaria immissione del dato nel form (Art. 9, par. 2, lett. a, GDPR), fermo restando che sconsigliamo l'inserimento di referti medici via web, invitando a fornirli di persona in sede.
4. Analisi Statistica e Tracciamento del Traffico (Analytics): Elaborazione di statistiche aggregate o tracciamenti del comportamento d'uso, per finalità di ottimizzazione aziendale, UX, e monitoraggio delle performance tramite servizi quali Google Analytics.
   Base Giuridica: Esclusivamente il Consenso esplicito, liberamente prestato dell'utente tramite il banner cookie (Art. 6, par. 1, lett. a, GDPR e Provvedimento Garante 9677876/2021).
5. Difesa in Giudizio e Adempimento di Obblighi di Legge: Conservazione per eventuale difesa legale o per ordini provenienti dalle competenti Autorità Pubbliche.
   Base Giuridica: Legittimo interesse (Art. 6, par. 1, lett. f) e Necessità di adempiere a un obbligo normativo (Art. 6, par. 1, lett. c, GDPR).

5. Modalità del Trattamento

Il trattamento dei Dati Personali avviene mediante strumenti manuali, informatici e telematici, con logiche strettamente correlate alle finalità sopra indicate e, comunque, in modo da garantire la sicurezza, l'integrità e la riservatezza dei dati stessi nel rispetto delle misure tecnico-organizzative di sicurezza individuate dall'art. 32 del Regolamento. Il Titolare si impegna a prevenire perdite, distruzioni accidentali, accessi non autorizzati o trattamenti non consentiti attraverso idonei protocolli SSL/TLS per la trasmissione crittografata, server protetti, politiche strutturate di backup e gestione esclusiva degli accessi al CMS.

6. Periodo di Conservazione dei Dati (Data Retention)

Il principio generale seguito dal Titolare per la conservazione è limitare quest'ultima allo stretto necessario (principio di minimizzazione e limitazione della conservazione, art. 5 GDPR).

• Dati di Navigazione (Log di Sicurezza): Vengono cancellati automaticamente in forma di log solitamente entro 3 a 6 mesi, se non in caso di attacchi o accertamenti di responsabilità.
• Dati di Contatto e Prenotazione (Form): Saranno conservati per il tempo necessario all'evasione della prenotazione e della fase d'incontro presso il negozio, prolungandosi per un limite massimo di 12-24 mesi dall'ultimo contatto o dalla conclusione commerciale derivante dalla consulenza prestata pre e post-vendita (salva l'instaurazione di un diverso rapporto per acquisti in sede).
• Dati Analitici (Google Analytics): Qualora acconsentiti, la retention policy del servizio Analytics è configurata rigorosamente e preventivamente su 14 mesi massimi all'interno delle proprietà di analisi del Titolare, dopodiché verranno pseudo-anonimizzati in log aggregati irreversibili.
• Documentazione ai Fini di Tutela Normativa (Legal Hold): Qualora fosse necessaria la difesa in giudizio o per contestazioni, i dati saranno trattenuti fino all'esaurimento dei termini prescrizionali di Legge (solitamente 10 anni ex art. 2946 c.c.).

7. Destinatari dei Dati Personali

I dati personali non saranno in alcun modo oggetto di diffusione a soggetti indeterminati. Tuttavia, nell'erogazione del servizio, i Dati Esterni possono essere comunicati o resi accessibili a figure e aziende precise, debitamente contrattualizzate o nominate "Responsabili Esterni del Trattamento" ai sensi dell'art. 28 GDPR, tra cui:

1. Fornitori di servizi tecnici terzi, hosting provider mondiali operanti sotto contratti e DPA (Data Processing Agreements), cloud service provider a tutela della continuità architetturale del sito web aziendale;
2. Personale interno del Titolare, adeguatamente istruito come Incaricato / Autorizzato al trattamento dei dati conformemente agli obblighi di Legge, il quale gestisce la posta e il sistema prenotazioni;
3. Terze parti deputate a elaborazioni e fornitura di infrastrutture Analitiche per tracciamento consenziente, es. Google LLC e sue filiali europee;
4. Soggetti, enti od autorità a cui sia obbligatorio comunicare i dati personali in forza di disposizioni di legge o comandi governativi.

8. Trasferimento dei Dati Fuori dallo Spazio Economico Europeo (SEE)

Alcuni dei Dati Personali raccolti possono essere trasferiti verso Titolari o Responsabili al di fuori dello Spazio Economico Europeo. In special modo la navigazione consenziente con il tracking di "Google Analytics 4" presuppone il transito parziale o deposito presso strutture in house di Google ubicate negli Stati Uniti d'America (US).

Il Titolare assicura e garantisce che il trattamento - in forma virtuale e potenziale fuori Unione Europea - è attuato secondo norme legali severe e vincolanti ex Capitolo V del Regolamento UE. Precisamente, in riferimento agli States, l'attraversamento atlantico dei dati in casa Google fa riferimento ai requisiti d'adeguatezza dell’EU-US Data Privacy Framework (DPF), sottoscritto il 10 luglio 2023, la quale conferisce allo scambio dati transoceanico di soggetti registrati al livello del DPF lo steso medesimo regime di sicurezza e legittimità dell’U.E. È oltretutto operante sempre la configurazione di Anonimizzazione intrinseca IP. Nessun altro Paese Extra-UE a livello di elaborazione viene usato dal presente Sito web in forma continuativa.

9. Diritti degli Interessati (L'Utente)

In quanto interessato al trattamento, il GDPR riconosce molteplici, vincolanti e diretti diritti sui propri dati (ex artt. da 15 a 22), applicabili su sola e formale istanza dell'interessato:

• Diritto di Accesso (Art. 15): Ottenere la conferma che sia o meno in corso un trattamento di propri dati personali e, in tal caso, di accedervi integralmente in copia chiara, conoscendone l'origine e la logica;
• Diritto di Rettifica (Art. 16): Ottenere senza giustificato ritardo la rettifica di dati personali inesatti o l'integrazione di quelli incompleti;
• Diritto alla Cancellazione / Diritto all'Oblio (Art. 17): Ottenere l'eliminazione completa ed irreversibile dei propri dati personali nel caso essi non siano più necessari per le finalità in cui sono originati, se la base del consenso è revocata e se prevalgono su difese imperative di legge ordinarie;
• Diritto di Limitazione al Trattamento (Art. 18): Paralizzare temporaneamente l'utilizzo dei dati in ipotesi di controversie sull'esattezza o la liceità dei dati detenuti;
• Diritto alla Portabilità dei Dati (Art. 20): Ricevere in formato strutturato, di uso diffuso e leggibile mediante l'apparecchiatura di elaborazione, i dati forniti al Titolare sulla base di contratto, ed eventualmente favorire un transito senza scosse o impedimenti verso altro operatore se fattibile dal lato infrastrutturale;
• Diritto di Opposizione (Art. 21): Rifiutare in qualsiasi momento il trattamento di dati personali che lo riguardano, giustificato su base di profilazione non consenziente o interesse legittimo, escludendo a priori qualsivoglia targettizzazione pubblicitaria;
• Diritto di Revoca e Limitazioni non Automatizzate (Art. 22 e ss): Ritirare il consenso già espresso laddove tale consenso agisca come architrave dell'interazione legata ai tracciamenti. Qualora la revoca si esplichi (vedi banner cookie) l'azione ha validità dal momento e non deprimono azioni già assorbite prima d'essa.

10. Modalità di Esercizio dei Propri Diritti e Reclamo a Garanti della Privacy

L'utente portatore di diritto tutelabile ha facoltà unanime di far valere sé medesimo per lettera raccomandata (indirizzata allo stabile legale) o tramite comunicazione E-mail all'indirizzo centrale: info@otticaboeris.it.

Il Titolare prenderà esame la richiesta in ossequio ai rigidi vincoli dei 30 giorni indicati dalla normativa eurounitaria. È perentorio ricordare come ciascun interessato o utente leso da inadeguate e oziose pratiche di protezione serba il diritto perpetuo di interpellare legalmente e sporgere contenzioso presso L'Autorità Garante Italiana per la Protezione dei Dati Personali con sede in Piazza Venezia n. 11, Roma, al sito o via posta tracciata, ai sensi del Capitolo VIII del medesimo Regolamento (recapiti digitali presenti su www.garanteprivacy.it).

11. Eventuali Modifiche e Versioni Storiche

L'incessante variazione legislativa o potenziamento dei network del comparto cybernetico e di compliance espongono l'Informativa a revisioni estemporanee o strutturali. L’impostazione societaria, pur non dovendo notificare in forma passiva le minuzie mutanti d’esso documento, vi attesta di ispezionare costantemente il piè di pagina (Data di Aggiornamento) e conservarne la visione onde non escluderVi dall'esatta giurisdizione e accordi contrattuali sulla tenuta Dati dell'Impresa in essere.