Informativa privacy — Questionario NIS2

1. Titolare del trattamento

2. Oggetto del trattamento e natura dei dati

La presente informativa riguarda i dati personali raccolti tramite il questionario di analisi preliminare NIS2 disponibile sulla piattaforma conformita.tech. Sono oggetto di trattamento:

• dati identificativi e di contatto del referente che compila il questionario (nome, cognome, ruolo/funzione, indirizzo e-mail, eventuale recapito telefonico);
• dati dell'organizzazione (denominazione, sede legale, partita IVA e codice fiscale, settore di attività, classe dimensionale), che costituiscono dati personali quando l'organizzazione è una ditta individuale o un professionista;
• risposte alle domande del questionario, relative all'ambito di applicazione del D.Lgs. 138/2024 (NIS2) e della L. 90/2024 (domande 1–13) e allo stato degli adempimenti in materia di gestione degli incidenti, notifica, punti di contatto, formazione, gestione del rischio e misure di sicurezza (domande 14–34).

Le risposte riguardano l'organizzazione e non richiedono dati appartenenti a categorie particolari (art. 9 GDPR) né dati giudiziari (art. 10 GDPR), che si chiede di non inserire. Le informazioni sullo stato di sicurezza dell'organizzazione sono trattate come strettamente riservate.

3. Finalità del trattamento e base giuridica

I dati sono trattati per le seguenti finalità:

• rilevare e documentare lo stato di partenza dell'organizzazione rispetto agli obblighi NIS2, mediante l'elaborazione delle risposte e la generazione del report di analisi, quale base per l'eventuale percorso di adeguamento – base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b, GDPR);
• analisi delle risposte da parte di due consulenti esperti, rispettivamente in materia di protezione dei dati personali (GDPR) e di sicurezza informatica, e ricontatto del referente per illustrarne gli esiti – base giuridica: art. 6, par. 1, lett. b, GDPR;
• (previo consenso) formulazione di un'unica offerta economica per un'eventuale consulenza aggiuntiva, senza ulteriori comunicazioni commerciali o promozionali – base giuridica: art. 6, par. 1, lett. a, GDPR;
• adempimento di obblighi di legge e, ove necessario, accertamento, esercizio o difesa di un diritto in sede giudiziaria – base giuridica: art. 6, par. 1, lett. c) e f), GDPR.

Il report è prodotto con una valutazione statistica automatizzata delle risposte, sempre sottoposta all'esame dei consulenti: non viene adottata alcuna decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente sull'interessato (art. 22 GDPR). I dati non sono utilizzati per finalità di marketing, profilazione o newsletter.

4. Natura del conferimento

Il conferimento dei dati è facoltativo. Il mancato conferimento dei dati contrassegnati come obbligatori, o delle risposte al questionario, rende tuttavia impossibile elaborare il report di analisi e formulare l'eventuale offerta.

5. Modalità del trattamento

Il trattamento è svolto con strumenti elettronici e misure adeguate ai sensi dell'art. 32 GDPR: cifratura delle comunicazioni (TLS), accesso riservato al Titolare e ai due consulenti incaricati con credenziali individuali, backup protetti, sistemi aggiornati e obbligo di riservatezza.

6. Destinatari o categorie di destinatari dei dati

Nei limiti strettamente necessari alle finalità indicate, i dati possono essere conosciuti da:

• i due consulenti (GDPR e sicurezza informatica) incaricati dell'analisi del questionario, designati Responsabili del trattamento ai sensi dell'art. 28 GDPR o autorizzati al trattamento ai sensi dell'art. 29 GDPR, vincolati alla riservatezza;
• i fornitori dei servizi di hosting, pagamento e invio delle email della piattaforma, indicati nella Privacy Policy generale del sito, designati Responsabili del trattamento ai sensi dell'art. 28 GDPR ove applicabile;
• autorità pubbliche, nei soli casi previsti dalla legge.

I dati non sono diffusi, né ceduti a terzi per finalità commerciali. Eventuali trasferimenti extra UE avverranno solo con le garanzie degli artt. 45-46 GDPR.

7. Durata del trattamento

• I dati del questionario, il report di analisi e l'eventuale offerta economica sono conservati per 6 (sei) mesi dalla compilazione del questionario; decorso tale termine sono cancellati in modo definitivo.
• In caso di accettazione dell'offerta, i dati necessari all'incarico saranno trattati per la durata del contratto e per i termini di legge, come indicato nella relativa informativa.
• I dati di fatturazione sono conservati per i termini previsti dalla legge, come indicato nella Privacy Policy generale.

8. Diritti dell'interessato

L'interessato può, in qualsiasi momento, esercitare i diritti previsti dagli artt. da 15 a 22 del Regolamento UE 2016/679 e in particolare:

• di accesso ai dati personali;
• di ottenere la rettifica o la cancellazione degli stessi o la limitazione del trattamento che lo riguardano;
• di opporsi al trattamento, di ottenere la portabilità dei dati e di non essere sottoposto a decisioni basate unicamente sul trattamento automatizzato;
• di proporre reclamo all'Autorità di Controllo (Garante per la protezione dei dati personali, Piazza Venezia n. 11, 00187 Roma – garante@gpdp.it) o ricorso all'Autorità giudiziaria.

L'esercizio di tali diritti potrà avvenire attraverso una semplice richiesta rivolta al Titolare all'indirizzo info@conformita.tech, indicando nell'oggetto «Esercizio diritti GDPR». Il Titolare risponde entro 30 giorni dal ricevimento della richiesta.