Informativa privacy

Privacy Policy

Piattaforma IndustryUX — Informativa sul trattamento dei dati personali ai sensi degli articoli 13 e 14 GDPR

Avviso — traduzione di cortesia. Questo documento è la traduzione italiana di cortesia del documento inglese IUX-EN-33, che è l'unica versione facente fede. In caso di divergenza fra le due versioni prevale, per ogni fine, la versione inglese.

DEVIBRAIN S.R.L. (il "Fornitore (DevIBrain)", di seguito il "Fornitore", "noi") fornisce la presente Informativa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del Decreto Legislativo italiano 196/2003 e successive modificazioni ("Codice Privacy"). Essa illustra quali dati personali trattiamo, per quali finalità, su quale base giuridica, con chi li condividiamo, per quanto tempo li conserviamo e come gli interessati possono esercitare i propri diritti, in relazione al sito www.industryux.com, alla piattaforma IndustryUX e ai rapporti commerciali che instauriamo attraverso i nostri tre canali di vendita.

La presente Informativa è un documento informativo, non un contratto: non viene sottoscritta e non crea obblighi in capo all'interessato. È pubblicata nella sezione legale di www.industryux.com, collegata dal flusso di registrazione e dal primo accesso alla piattaforma e alla DevIBrain Console, ed è consegnata unitamente alle proposte commerciali ai rappresentanti dei clienti business.

Il testo inglese della presente Informativa è il testo facente fede del corpus documentale IndustryUX. Sono rese disponibili traduzioni di cortesia; ove una traduzione e il testo inglese divergano, prevale la lettura che fornisce all'interessato l'informazione più chiara e più protettiva, coerentemente con il principio di trasparenza di cui all'art. 12, par. 1, GDPR.

Art. 1 — Finalità e ambito di applicazione della presente Informativa

1.1 Che cosa copre la presente Informativa

La presente Informativa copre i trattamenti per i quali il Fornitore determina le finalità e i mezzi e in relazione ai quali agisce pertanto in qualità di titolare del trattamento. In particolare copre: la navigazione del sito www.industryux.com; la creazione e la gestione degli account e degli abbonamenti; l'acquisto di abbonamenti, pacchetti di Token, contenuti una tantum e licenze On-Premise; la fatturazione, la contabilità e gli adempimenti fiscali; l'assistenza e la gestione degli incidenti; la sicurezza, la verifica delle licenze e la prevenzione degli abusi; la registrazione delle evidenze di accettazione dei documenti contrattuali; le comunicazioni commerciali; e la gestione dei contatti aziendali dei clienti business e dei potenziali clienti.

1.2 Che cosa non copre la presente Informativa

La presente Informativa non disciplina i trattamenti nei quali il Fornitore agisce in qualità di responsabile del trattamento per conto di un cliente business. Tali trattamenti sono disciplinati dall'Accordo sul Trattamento dei Dati (DPA) che fa parte del corpus documentale contrattuale IndustryUX, e gli obblighi informativi verso gli interessati coinvolti gravano sul cliente, che ne è il titolare. L'art. 3 chiarisce esattamente dove passa il confine per ciascun canale di vendita.

1.3 Cookie

L'utilizzo di cookie e di altre tecnologie di tracciamento su www.industryux.com e sulle interfacce della piattaforma è descritto nella distinta Cookie Policy, pubblicata all'indirizzo www.industryux.com/legal/cookie-policy, che forma parte integrante dell'informativa resa ai sensi degli articoli 13 e 14 GDPR ed è sintetizzata nell'art. 10.

Art. 2 — Titolare, punti di contatto e responsabile della protezione dei dati

2.1 Titolare

Il titolare del trattamento è DEVIBRAIN S.R.L., con sede legale in Via Coghetti 6, 24128 Bergamo (BG), Italia, partita IVA e codice fiscale IT04507220160, posta elettronica certificata (PEC) devibrain@pec.it, posta elettronica support@devibrain.com.

2.2 Punto di contatto privacy

Tutte le questioni in materia di privacy, incluse le richieste ai sensi degli articoli da 15 a 22 GDPR, sono gestite attraverso un unico punto di contatto dedicato. Gli interessati possono scrivere a support@devibrain.com o all'indirizzo certificato devibrain@pec.it, utilizzando l'oggetto "GDPR — richiesta dell'interessato", oppure inviare una lettera alla sede legale indicata nella clausola 2.1 all'attenzione del punto di contatto privacy. Le richieste ricevute attraverso qualsiasi altro canale del Fornitore sono instradate internamente al medesimo punto di contatto e non sono respinte per ragioni di forma.

2.3 Responsabile della protezione dei dati

Il Fornitore ha valutato le condizioni dell'art. 37, par. 1, GDPR e ha concluso che nessuno dei casi obbligatori si applica alla propria attività: il Fornitore non è un'autorità pubblica, le sue attività principali non consistono in trattamenti che richiedono il monitoraggio regolare e sistematico degli interessati su larga scala, e non consistono nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali e reati. Non è stato pertanto designato un responsabile della protezione dei dati, e il punto di contatto privacy della clausola 2.2 svolge la funzione di coordinamento interno. Tale valutazione è riesaminata almeno una volta all'anno e ogniqualvolta i trattamenti mutino in modo sostanziale; qualora fosse designato un responsabile della protezione dei dati, i relativi dati di contatto saranno pubblicati nella presente Informativa e comunicati all'autorità di controllo.

2.4 Rappresentante nell'Unione

Il Fornitore è stabilito in Italia e pertanto l'art. 27 GDPR non trova applicazione: non occorre designare un rappresentante nell'Unione.

Art. 3 — Ruoli privacy: come cambia il nostro ruolo con il canale di vendita

3.1 Perché esiste questa sezione

Il Fornitore vende la suite IndustryUX attraverso tre canali distinti, e il suo ruolo ai sensi della normativa sulla protezione dei dati è diverso in ciascuno di essi, e diverso persino per categorie di dati differenti all'interno del medesimo canale. Questa sezione rende esplicita tale ripartizione, come richiesto dai principi di trasparenza e di responsabilizzazione di cui all'art. 5, par. 1, lett. a), e all'art. 5, par. 2, GDPR, affinché ogni interessato e ogni cliente possa individuare chi decide sul trattamento e a chi rivolgersi.

3.2 I tre canali

• Canale 1 — Shop self-service (SaaS): acquisti effettuati direttamente su www.industryux.com, incluso il piano Free Trial, il piano Base e l'acquisto una tantum di contenuti digitali quali i custom web control. È l'unico canale aperto ai Consumatori e alle persone fisiche che agiscono al di fuori di un'attività imprenditoriale.

• Canale 2 — Enterprise Online: ambienti dedicati single-tenant gestiti, operati dal Fornitore per clienti business, per i piani Business ed Enterprise Online, venduti a fronte di un Modulo d'Ordine e disciplinati dalle Condizioni Generali di Abbonamento e Licenza ("Master Terms", IUX-IT-01) e dalle Condizioni Integrative Enterprise ("Enterprise Schedule", Allegato B, IUX-IT-20). Riservato ai clienti business titolari di partita IVA.

• Canale 3 — On-Premise e VPS gestito: software concesso in licenza per l'installazione su infrastruttura del cliente o su un server privato virtuale, con o senza un server fornito in regime di comodato d'uso. Riservato ai clienti business titolari di partita IVA.

3.3 Mappa dei ruoli per categoria di dati

Nella tabella che segue, "Titolare" significa che il Fornitore determina finalità e mezzi e che si applica la presente Informativa; "Responsabile" significa che il cliente è il titolare, che il Fornitore tratta soltanto sulla base delle istruzioni documentate del cliente e che si applica il DPA; "Nessun trattamento" significa che il Fornitore non accede affatto ai dati e non riveste pertanto alcuno dei due ruoli.

3.4 Il criterio decisivo per il Canale 3

Per le installazioni On-Premise il fattore discriminante è l'accesso effettivo ai dati, non la mera fornitura del software. L'Accordo sul Trattamento dei Dati (IUX-IT-31) è stipulato per tutte le varianti di erogazione, incluse On-Premise e VPS gestito; il suo ambito di applicazione alle installazioni On-Premise è quello definito all'articolo 16 di tale documento, che ne circoscrive l'operatività ai soli casi in cui il Fornitore abbia accesso effettivo a dati personali del cliente in forma intelligibile. Ove il Fornitore non svolga alcuna manutenzione remota e non detenga credenziali che consentano tale accesso, il Fornitore non tratta quei dati e non ne è né titolare né responsabile: il cliente è titolare esclusivo e il DPA, ancorché sottoscritto, non produce effetti rispetto a tale flusso di dati. Ove il cliente richieda assistenza remota, riceva aggiornamenti che comportino accesso ai dati in forma intelligibile o acquisti un VPS gestito, il Fornitore agisce come responsabile per la durata e nei limiti di tale attività, e il DPA si applica integralmente. La configurazione applicabile è registrata nel Modulo d'Ordine e nel contratto di comodato d'uso o di servizio.

3.5 Titolarità autonoma

In nessun caso il Fornitore utilizza i Dati del Cliente per finalità proprie e, in particolare, non li utilizza per profilare gli interessati, per costruire offerte commerciali o per addestrare modelli messi a disposizione di terzi. Ove il Fornitore agisca come responsabile, qualsiasi utilizzo dei dati eccedente le istruzioni del cliente renderebbe il Fornitore titolare ai sensi dell'art. 28, par. 10, GDPR, e il Fornitore si impegna a non farne tale uso.

3.6 Rinvio al DPA

Per tutto ciò che concerne il ruolo di responsabile — istruzioni documentate, riservatezza del personale autorizzato, misure di sicurezza ai sensi dell'art. 32 GDPR, ricorso a sub-responsabili, assistenza per le richieste degli interessati e per le violazioni di dati personali, cancellazione o restituzione dei dati al termine del rapporto e diritti di audit — il documento applicabile è il DPA, che prevale sulla presente Informativa nel proprio ambito.

Art. 4 — Categorie di dati personali che trattiamo

4.1 Dati forniti dall'interessato

• Dati identificativi e di contatto: nome, cognome, indirizzo di posta elettronica aziendale, numero di telefono, qualifica professionale, ragione sociale, lingua e Paese.

• Dati di account: nome utente, credenziali in forma di hash, impostazioni di sicurezza, dati di autenticazione a due fattori, identificativi di sessione e di dispositivo.

• Dati di ordine e di fatturazione: indirizzo di fatturazione, partita IVA, codice fiscale, storico degli ordini, abbonamenti, saldi di Token, fatture, mezzi di pagamento e stato dei pagamenti. Il Fornitore non memorizza mai i numeri completi delle carte di pagamento né i codici di sicurezza delle carte.

• Contenuto delle comunicazioni: richieste di assistenza, messaggi, allegati, registrazioni delle sessioni dimostrative programmate ove i partecipanti siano stati informati in anticipo.

• Preferenze: consensi e opposizioni in materia di marketing, impostazioni di comunicazione, preferenze relative ai cookie.

4.2 Dati generati dall'utilizzo del servizio

• Dati di utilizzo e telemetria di servizio: funzionalità utilizzate, volume di elaborazione, numero e identificativo delle Macchine Designate, consumo di Token, dati di prestazione e di errore.

• Dati di licenza: Grant di Entitlement firmati con firma digitale a curva ellittica e registrati sul License Manager, codici di attivazione, identificativi delle Macchine, esiti della verifica periodica delle licenze, stato del periodo di tolleranza (grace period).

• Log di sicurezza e di accesso: data e ora, indirizzo di rete, user agent, risorsa richiesta, esito dell'operazione, eventi di autenticazione e di amministrazione.

• Dati di navigazione sul sito, come dettagliati nella Cookie Policy.

4.3 Dati di evidenza

L'audit trail generato all'atto dell'accettazione di un documento contrattuale: marcatura di data e ora, indirizzo di rete, user agent, identificativo dell'account, hash e versione del documento accettato, evidenza della separata approvazione delle clausole che richiedono specifica approvazione e, nel flusso enterprise dell'Unione europea, il file recante la firma elettronica qualificata del soggetto munito dei poteri di firma, unitamente al relativo rapporto di validazione.

4.4 Categorie particolari di dati

Il Fornitore non richiede né necessita di categorie particolari di dati personali ai sensi dell'art. 9 GDPR, né di dati relativi a condanne penali e reati ai sensi dell'art. 10 GDPR, per alcuna delle finalità descritte nella presente Informativa. Si invitano gli interessati a non includere tali dati nelle richieste di assistenza o nei campi di testo libero. Ove un cliente scelga di trattare tali dati attraverso gli strumenti in qualità di Dati del Cliente, quel trattamento avviene sotto la sua esclusiva responsabilità di titolare ed è disciplinato dal DPA.

Art. 5 — Fonti dei dati e informazioni ai sensi dell'art. 14 GDPR

5.1 Dati non raccolti presso l'interessato

Alcuni dati personali pervengono al Fornitore da fonti diverse dall'interessato. È il caso, in particolare, di:

• i dati di contatto e di ruolo dei rappresentanti, dei referenti tecnici e dei firmatari di un cliente business o di un potenziale cliente, comunicati dal cliente stesso, da un collega dell'interessato, da un distributore o da un partner;

• i dati identificativi degli utenti autorizzati di un ambiente Enterprise Online, creati all'interno dell'ambiente dal cliente, rispetto ai quali il Fornitore tratta in qualità di titolare soltanto i metadati di servizio descritti nella clausola 3.3;

• i dati di contatto di contatti professionali raccolti presso fiere, eventi di settore e webinar, oppure ottenuti da fonti pubblicamente accessibili quali registri delle imprese, siti aziendali ed elenchi professionali;

• i dati comunicati da autorità pubbliche, dai consulenti professionali delle parti o da terzi nel contesto di una pretesa o di un procedimento giudiziario.

5.2 Categorie interessate e tempistica dell'informativa

Le categorie di dati ottenuti da tali fonti sono limitate ai dati identificativi, di contatto, di ruolo e, ove rilevante, ai dati tecnici di account. Il Fornitore fornisce le informazioni richieste dall'art. 14 GDPR entro un termine ragionevole e comunque entro un mese dall'ottenimento dei dati, ovvero al momento della prima comunicazione con l'interessato se anteriore, normalmente mediante rinvio alla presente Informativa nel primo messaggio di posta elettronica inviato all'interessato.

5.3 Fonti pubbliche

Ove i dati siano ottenuti da fonti pubblicamente accessibili, la presente Informativa indica tale circostanza e l'interessato può in qualsiasi momento chiedere quale fonte sia stata utilizzata, scrivendo al punto di contatto della clausola 2.2.

Art. 6 — Finalità del trattamento e basi giuridiche

6.1 Tabella delle finalità

6.2 Test di bilanciamento

Ogni trattamento fondato sul legittimo interesse è stato valutato attraverso un test di bilanciamento documentato, che pondera il nostro interesse rispetto ai diritti e alle libertà dell'interessato e registra le garanzie adottate, quali la minimizzazione dei dati, la pseudonimizzazione della telemetria, la limitazione degli accessi al personale autorizzato e la possibilità di opporsi. Una sintesi del test di bilanciamento rilevante è fornita a ogni interessato che ne faccia richiesta al punto di contatto della clausola 2.2.

6.3 Ulteriori finalità

Qualora il Fornitore intenda trattare dati personali per una finalità diversa da quella per la quale sono stati raccolti, fornirà preventivamente le informazioni richieste dagli articoli 13, par. 3, e 14, par. 4, GDPR e, ove necessario, acquisirà il consenso.

Art. 7 — Rappresentanti e contatti aziendali dei clienti business e dei potenziali clienti

7.1 Chi è interessato

Il presente articolo riguarda le persone fisiche i cui dati trattiamo in ragione del loro ruolo professionale: dipendenti, collaboratori, amministratori e referenti tecnici o amministrativi di un cliente, di un potenziale cliente, di un distributore, di un partner o di un fornitore. In questi casi la controparte contrattuale è l'organizzazione, non l'individuo, e i dati trattati sono limitati ai dati di contatto aziendali.

7.2 Base giuridica e legittimo interesse perseguito

La base giuridica è il nostro legittimo interesse ai sensi dell'art. 6, par. 1, lett. f), GDPR. Il considerando 47 GDPR riconosce espressamente che il trattamento di dati personali può fondarsi su un legittimo interesse ove esista una relazione pertinente e appropriata tra l'interessato e il titolare, il che si verifica quando l'interessato è un cliente o è alle dipendenze della controparte del titolare, e che gli interessati possono ragionevolmente attendersi tale trattamento al momento e nel contesto della raccolta. I legittimi interessi perseguiti sono: gestire la negoziazione e l'esecuzione del contratto con l'organizzazione, individuare i soggetti legittimati a inviare Ordini, a sottoscrivere documenti e a ricevere comunicazioni tecniche o amministrative, assicurare la tracciabilità delle istruzioni ricevute e indirizzare comunicazioni commerciali business-to-business pertinenti al ruolo professionale dell'interessato.

7.3 Minimizzazione dei dati e garanzie

Sono trattati soltanto dati afferenti alla sfera professionale: nome, indirizzo di posta elettronica aziendale, numero di telefono aziendale, ruolo e organizzazione. Non sono richiesti né desunti dati della sfera privata. I dati di contatto aziendali non sono arricchiti con informazioni acquistate da data broker e non sono trasferiti a terzi per finalità di marketing proprie di questi ultimi.

7.4 Diritto di opposizione

L'interessato può opporsi in qualsiasi momento al trattamento fondato sul legittimo interesse, incluse le comunicazioni commerciali business-to-business, scrivendo al punto di contatto della clausola 2.2 o utilizzando il link di disiscrizione contenuto in ogni messaggio. In caso di opposizione al marketing diretto, il trattamento per tale finalità cessa immediatamente e incondizionatamente. In caso di opposizione ad altri trattamenti fondati sul legittimo interesse, il trattamento cessa salvo che il Fornitore dimostri l'esistenza di motivi legittimi cogenti che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato, oppure la necessità di accertare, esercitare o difendere un diritto in sede giudiziaria.

7.5 Cambio di ruolo

Ove l'interessato ci comunichi di non rivestire più il ruolo per il quale i dati erano stati forniti, i dati di contatto sono cancellati o sostituiti con quelli del nuovo referente indicato dall'organizzazione, fatti salvi i dati di evidenza che devono essere conservati ai sensi dell'art. 8.

Art. 8 — Evidenze di accettazione, firme elettroniche e Grant di licenza

8.1 Perché conserviamo queste evidenze

Il corpus documentale contrattuale IndustryUX è accettato mediante meccanismi specifici per canale: una one-time password inviata all'indirizzo di posta elettronica dell'interessato, unitamente a un audit trail completo, per il canale self-service e per i clienti enterprise non europei; il download, la firma elettronica qualificata e il ricaricamento del documento per i clienti enterprise stabiliti nell'Unione europea. Le clausole che richiedono specifica approvazione sono sempre accettate in un secondo passaggio separato. Affinché tali meccanismi producano l'effetto giuridico voluto, l'evidenza che una determinata persona abbia accettato una determinata versione di un determinato documento in un determinato momento deve essere conservata in modo da rendere evidente ogni alterazione.

8.2 Dati conservati come evidenza

Sono conservati i dati elencati nella clausola 4.3: marcatura di data e ora, indirizzo di rete, user agent, identificativo dell'account, hash e identificativo di versione del documento accettato, esito della verifica della one-time password, registrazione del passaggio di separata approvazione e, ove applicabile, il file firmato con il relativo rapporto di validazione della firma.

8.3 Base giuridica e periodo di conservazione

Il trattamento si fonda sull'art. 6, par. 1, lett. f), GDPR, essendo nostro legittimo interesse l'accertamento, l'esercizio e la difesa di diritti in sede giudiziaria e la possibilità di provare il contenuto e l'accettazione del contratto in caso di controversia, e, per gli elementi che la normativa consumeristica e sul commercio elettronico ci impone di registrare, sull'art. 6, par. 1, lett. c), GDPR. Il periodo di conservazione è di dieci anni dalla cessazione del contratto cui l'evidenza si riferisce, corrispondente al termine ordinario di prescrizione dei diritti contrattuali di cui all'art. 2946 c.c. Ove al termine di tale periodo sia pendente o ragionevolmente prevedibile una controversia, un audit o un'ispezione, le evidenze relative a tale vicenda sono conservate fino alla sua definitiva chiusura.

8.4 Accesso limitato

I dati di evidenza sono conservati in un archivio dedicato con controlli di integrità, sono accessibili soltanto a un numero ristretto di soggetti autorizzati per le finalità di gestione contrattuale, di gestione delle controversie e di verifica della conformità, e non sono mai utilizzati per finalità di marketing, di profilazione o di miglioramento del servizio.

8.5 Grant di licenza

I Grant di Entitlement firmati con firma digitale a curva ellittica, emessi dalla DevIBrain Console e registrati sul License Manager, contengono identificativi del cliente, dell'ambiente e delle Macchine Designate, nonché la registrazione degli eventi di verifica. Essi costituiscono l'evidenza tecnica utilizzata a fini di liquidazione e di audit e sono conservati come indicato all'art. 14. Non contengono dati diversi da quelli necessari a identificare l'Entitlement e l'organizzazione che ne è titolare.

Le Licenze di Progetto rilasciate per i componenti generati tramite le Applicazioni sono registrate in un registro delle licenze che contiene soltanto identificativi pseudonimi: la licenza, il componente e la sua revisione, l'account e il workspace, il progetto, le impronte (digest) del design e del file consegnato, i Tipi di Capacità, la data di rilascio e il conteggio delle Consegne. Il registro permette al cliente di provare le proprie licenze e a noi di assisterlo, anche dopo la cancellazione del workspace; il collegamento fra il registro e l'account è anonimizzato come indicato all'art. 14.2. Le build consegnate in forza di una Licenza di Progetto sono conservate, cifrate, per il periodo indicato all'art. 14.2 ai fini della garanzia legale di conformità.

Art. 9 — Comunicazioni commerciali e gestione del consenso

9.1 Comunicazioni ai clienti esistenti

Ove un interessato abbia fornito un indirizzo di posta elettronica nel contesto dell'acquisto di un prodotto o di un servizio, il Fornitore può utilizzare tale indirizzo per inviare comunicazioni commerciali relative a prodotti e servizi analoghi a quelli acquistati, ai sensi dell'art. 130, comma 4, del Codice Privacy. L'interessato è informato di tale possibilità al momento della raccolta e può opporsi, gratuitamente e in modo agevole, sia in quel momento sia in ogni messaggio successivo.

9.2 Comunicazioni che richiedono il consenso

Newsletter, inviti a eventi e comunicazioni commerciali rivolte a soggetti che non sono clienti, nonché comunicazioni relative a prodotti non analoghi a quelli acquistati, sono inviate soltanto previo consenso preventivo, specifico e liberamente prestato dell'interessato. Il consenso non costituisce mai condizione per la fornitura del servizio, per l'attivazione di una prova o per l'acquisto di un abbonamento.

9.3 Revoca del consenso

Il consenso può essere revocato in qualsiasi momento, con la stessa facilità con cui è stato prestato, attraverso il link di disiscrizione presente in ogni messaggio o attraverso il punto di contatto della clausola 2.2. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca stessa. Una volta registrata la revoca o l'opposizione, l'indirizzo di posta elettronica è conservato in un registro di soppressione al solo fine di garantire che non siano inviate ulteriori comunicazioni.

9.4 Nessuna cessione per marketing di terzi

I dati personali non sono mai venduti, ceduti in uso o altrimenti trasferiti a terzi affinché li utilizzino per finalità di marketing proprie.

Art. 10 — Cookie e tecnologie analoghe

10.1 Rinvio alla Cookie Policy

L'elenco completo dei cookie e delle tecnologie di tracciamento analoghe utilizzati su www.industryux.com e sulle interfacce della piattaforma, unitamente alla loro finalità, durata, natura e all'identità degli eventuali terzi coinvolti, è riportato nella Cookie Policy pubblicata all'indirizzo www.industryux.com/legal/cookie-policy.

10.2 Consenso e preferenze

Gli strumenti non strettamente necessari alla fornitura del servizio richiesto dall'utente sono installati soltanto dopo che l'utente ha prestato il consenso attraverso il banner. Il banner offre, al primo livello e con pari evidenza, i comandi per accettare tutti gli strumenti, per rifiutare tutti gli strumenti e per gestire le preferenze; rifiutare richiede lo stesso numero di azioni necessarie per accettare; la mera prosecuzione della navigazione o lo scorrimento della pagina non costituiscono consenso; l'accesso al sito e al servizio non è subordinato al consenso al tracciamento. Le preferenze registrate hanno validità di sei mesi, decorsi i quali il banner è nuovamente presentato. Le preferenze possono essere modificate in qualsiasi momento dal link disponibile nel piè di pagina di ogni pagina.

10.3 Nessuna erogazione esterna di asset statici

Font, icone, script e il componente di gestione del consenso utilizzati sulle nostre interfacce pubbliche sono serviti dalla nostra infrastruttura e non da reti esterne di distribuzione di contenuti, cosicché la navigazione delle nostre pagine non comporta di per sé la comunicazione a terzi dell'indirizzo di rete dell'utente.

Art. 11 — Processi decisionali automatizzati, profilazione e funzionalità di intelligenza artificiale

11.1 Nessuna decisione automatizzata con effetti giuridici

Il Fornitore non adotta decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione, che producano effetti giuridici che riguardino l'interessato o che incidano in modo analogamente significativo sulla sua persona, ai sensi dell'art. 22, par. 1, GDPR. Esistono controlli automatizzati per finalità antifrode, antiabuso e di verifica delle licenze, che possono segnalare un account o un ambiente per una revisione; la sospensione o la risoluzione di un servizio non è mai il risultato del solo controllo automatizzato, bensì sempre di una valutazione svolta da un membro del nostro personale, e il cliente ne è informato e può esporre la propria posizione.

11.2 Nessuna profilazione degli interessati per finalità commerciali

I dati di utilizzo e di telemetria sono utilizzati a livello di account, di ambiente e di Macchine Designate per finalità tecniche, di licensing e statistiche. Non sono utilizzati per costruire profili comportamentali di singole persone, né per differenziare prezzi o condizioni commerciali sulla base di comportamenti individuali.

11.3 Funzionalità di intelligenza artificiale

La suite include funzionalità che utilizzano modelli di intelligenza artificiale, quali l'assistente, l'analisi di documenti di processo e la generazione di contenuti. Ove tali funzionalità siano utilizzate, l'input trasmesso dall'utente è trattato al solo fine di restituire l'output richiesto. L'inferenza è eseguita per impostazione predefinita su modelli ospitati sull'infrastruttura del Fornitore situata nell'Unione europea. Ove una specifica funzionalità richieda un modello eseguibile soltanto da un fornitore esterno, tale fornitore agisce come responsabile o sub-responsabile, è indicato nell'elenco dei sub-responsabili di cui all'art. 12, e l'attivazione del percorso remoto è resa nota nel Modulo d'Ordine applicabile e nel DPA. I dati trasmessi alle funzionalità di intelligenza artificiale non sono utilizzati per addestrare modelli messi a disposizione di terzi.

11.4 Trasparenza dell'interazione con il sistema di intelligenza artificiale

Gli utenti sono informati, in modo chiaro e riconoscibile e al momento della prima interazione, che stanno interagendo con un sistema di intelligenza artificiale, e i contenuti generati o modificati in modo sostanziale dal sistema sono identificati come tali, in linea con gli obblighi di trasparenza dell'art. 50 del Regolamento (UE) 2024/1689. Gli utenti possono in qualsiasi momento richiedere l'intervento di un membro del nostro personale in luogo dell'assistente automatizzato.

Art. 12 — Destinatari dei dati, responsabili e sub-responsabili

12.1 Categorie di destinatari

I dati personali possono essere comunicati alle seguenti categorie di destinatari, sempre nei limiti di quanto necessario:

• fornitori di servizi di hosting, colocation, connettività e manutenzione dell'infrastruttura della piattaforma e degli ambienti tenant, stabiliti nell'Unione europea;

• fornitori di servizi di posta elettronica transazionale e di messaggistica, utilizzati in particolare per recapitare one-time password, comunicazioni di servizio e fatture;

• prestatori di servizi di pagamento, in particolare Nexi Payments S.p.A. per l'accettazione dei pagamenti con carta e dei mandati di pagamento ricorrente: con riferimento all'operazione di pagamento e agli obblighi imposti agli istituti di pagamento dalla normativa sui servizi di pagamento e antiriciclaggio, il prestatore di servizi di pagamento agisce come titolare autonomo e applica la propria informativa privacy;

• fornitori di software specialistico e di servizi tecnici utilizzati per operare la piattaforma, inclusi strumenti di monitoraggio, backup e sicurezza operati all'interno della nostra infrastruttura;

• commercialisti, consulenti fiscali, revisori, avvocati, notai, società di recupero crediti, assicuratori e periti tecnici, che agiscono come responsabili oppure come titolari autonomi a seconda della loro posizione di legge;

• l'Agenzia delle Entrate e il relativo Sistema di Interscambio per la trasmissione delle fatture elettroniche, nonché altre autorità pubbliche, autorità giudiziarie e autorità di controllo, ove la comunicazione sia richiesta dalla legge o da un provvedimento valido;

• acquirenti o controparti in un'operazione societaria riguardante il Fornitore o un suo ramo d'azienda, subordinatamente a impegni di riservatezza e agli obblighi informativi degli articoli 13 e 14 GDPR.

12.2 Personale autorizzato

All'interno dell'organizzazione del Fornitore, l'accesso è riservato ai soggetti che ne hanno necessità per lo svolgimento delle proprie mansioni, che sono stati designati quali soggetti autorizzati ai sensi dell'art. 29 GDPR e dell'art. 2-quaterdecies del Codice Privacy, che hanno ricevuto istruzioni e formazione specifiche e che sono vincolati da obblighi di riservatezza che sopravvivono alla cessazione del loro rapporto con il Fornitore.

12.3 Responsabili

I terzi che trattano dati personali per nostro conto sono nominati responsabili ai sensi dell'art. 28 GDPR mediante accordo scritto che specifica la materia disciplinata, la durata, la natura e la finalità del trattamento, le categorie di dati e di interessati, le misure di sicurezza e le condizioni per il ricorso a ulteriori sub-responsabili, e che non si limita a riprodurre il testo del regolamento ma descrive concretamente come ciascun obbligo è adempiuto.

12.4 Sub-responsabili e autorizzazione generale

Ove il Fornitore agisca come responsabile per un cliente business, i sub-responsabili sono nominati sulla base dell'autorizzazione scritta generale prevista dall'art. 28, par. 2, GDPR. L'elenco aggiornato dei sub-responsabili, con il nome, la localizzazione e il servizio fornito da ciascuno di essi, è pubblicato all'indirizzo www.industryux.com/legal/sub-processors. I clienti sono informati di ogni prevista aggiunta o sostituzione di un sub-responsabile con almeno trenta giorni di anticipo rispetto alla data di efficacia della modifica e possono opporsi per motivi documentati attinenti alla protezione dei dati entro quindici giorni dalla comunicazione; se l'opposizione non può essere risolta, il cliente può risolvere i servizi interessati senza penali, in conformità al DPA.

12.5 Nessuna vendita dei dati

I dati personali non sono mai venduti e non sono mai messi a disposizione di terzi per finalità diverse da quelle descritte nella presente Informativa.

Art. 13 — Trasferimenti di dati personali al di fuori dello Spazio economico europeo

13.1 Localizzazione predefinita dei dati

La piattaforma, gli ambienti tenant Enterprise Online e i relativi backup sono ospitati in centri dati situati nell'Unione europea, con l'infrastruttura primaria situata in Italia. A ciascun cliente Enterprise Online sono forniti un ambiente dedicato e un database separato, logicamente segregati da quelli degli altri clienti.

13.2 Quando può avvenire un trasferimento

Un trasferimento di dati personali verso un Paese terzo può avvenire soltanto ove uno specifico servizio lo richieda, in particolare nel caso di un fornitore esterno di inferenza di intelligenza artificiale attivato per una specifica funzionalità, di uno strumento di assistenza di un vendor non europeo, o della comunicazione di dati a un cliente business stabilito al di fuori dello Spazio economico europeo con riferimento ai dati del proprio ambiente.

13.3 Strumenti di trasferimento

I trasferimenti hanno luogo soltanto ove ricorra una delle condizioni del Capo V del GDPR, e nel seguente ordine di preferenza:

1. una decisione di adeguatezza della Commissione europea ai sensi dell'art. 45 GDPR. Tra le decisioni rilevanti, le due decisioni relative al Regno Unito sono state rinnovate il 19 dicembre 2025 e sono valide fino al 27 dicembre 2031, cosicché i dati possono circolare liberamente tra l'Unione europea e il Regno Unito;

2. le Clausole Contrattuali Tipo adottate con decisione di esecuzione (UE) 2021/914 della Commissione, nel modulo appropriato allo specifico scenario: Modulo Due per un trasferimento dal Fornitore in qualità di titolare a un responsabile stabilito in un Paese terzo; Modulo Tre per un trasferimento dal Fornitore in qualità di responsabile a un sub-responsabile stabilito in un Paese terzo; Modulo Quattro per il trasferimento di dati a un cliente stabilito in un Paese terzo che agisce in qualità di titolare. Le clausole sono accompagnate dagli allegati che descrivono il trasferimento e le misure di sicurezza;

3. in via eccezionale, e mai su base sistematica o ripetitiva, una deroga ai sensi dell'art. 49 GDPR, in particolare ove il trasferimento sia necessario per l'esecuzione di un contratto concluso nell'interesse dell'interessato o per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

13.4 Valutazione d'impatto del trasferimento e misure supplementari

Ogniqualvolta siano utilizzate le Clausole Contrattuali Tipo, il Fornitore svolge e documenta una valutazione d'impatto del trasferimento, seguendo la metodologia in sei fasi delle raccomandazioni del Comitato europeo per la protezione dei dati sulle misure che integrano gli strumenti di trasferimento, e adotta le misure supplementari che la valutazione individua come necessarie. Tali misure includono tipicamente la cifratura in transito e a riposo con chiavi detenute all'interno dell'Unione europea, la pseudonimizzazione dei dati trasmessi, la rigorosa limitazione delle categorie di dati coinvolte, impegni contrattuali a notificare e a contestare richieste di accesso illegittime e una rivalutazione periodica.

13.5 Trasferimenti verso gli Stati Uniti

Per gli importatori stabiliti negli Stati Uniti, il Fornitore non si affida unicamente alla decisione di adeguatezza relativa all'EU-US Data Privacy Framework. Le Clausole Contrattuali Tipo, unitamente alla valutazione d'impatto del trasferimento, sono mantenute quale strumento di trasferimento primario, cosicché la protezione accordata agli interessati non dipenda dal permanere della validità di tale decisione, che è oggetto di impugnazioni giudiziarie pendenti. Ove un importatore sia certificato nell'ambito di tale framework, la sua certificazione è considerata una garanzia aggiuntiva e non un sostituto delle clausole.

13.6 Diritto di ottenere una copia

Gli interessati possono ottenere informazioni sui trasferimenti che li riguardano e una copia delle garanzie adottate, oscurate ove necessario per proteggere segreti commerciali e la sicurezza dell'infrastruttura, scrivendo al punto di contatto della clausola 2.2.

Art. 14 — Periodi di conservazione

14.1 Criterio generale

I dati personali sono conservati soltanto per il tempo necessario alle finalità per le quali sono stati raccolti, in conformità al principio di limitazione della conservazione di cui all'art. 5, par. 1, lett. e), GDPR. Al termine del periodo applicabile i dati sono cancellati o irreversibilmente anonimizzati. Ove un obbligo di legge, una controversia pendente o un'ispezione richiedano una conservazione più lunga, i dati interessati sono conservati soltanto per tale finalità e con accesso limitato.

14.2 Tabella dei periodi di conservazione

La conservazione per novanta giorni dei dati di un workspace chiuso si fonda sull'art. 6, par. 1, lett. b), del GDPR, affinché il cliente possa ritrovare i propri progetti se torna, e sull'art. 6, par. 1, lett. f), del GDPR, per proteggere il cliente dalla perdita accidentale del proprio lavoro: durante tale periodo i dati non sono usati per alcuna altra finalità e il cliente può chiedere in qualsiasi momento, ai recapiti dell'art. 2, che siano cancellati subito, rinunciando al ripristino.

14.3 Anonimizzazione

Le statistiche aggregate sull'utilizzo del servizio, prodotte a partire da dati che non consentono più di identificare alcuna persona, possono essere conservate senza limiti di tempo, poiché non costituiscono più dati personali.

Art. 15 — Sicurezza del trattamento e violazioni di dati personali

15.1 Misure tecniche e organizzative

Il Fornitore attua misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tenendo conto dello stato dell'arte, dei costi di attuazione e della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché dei rischi per i diritti e le libertà delle persone fisiche. Le misure comprendono: cifratura dei dati in transito e a riposo; segregazione degli ambienti e delle reti; controllo degli accessi basato sui ruoli con principio del minimo privilegio e autenticazione a più fattori per gli accessi amministrativi; hardening e patching dei sistemi; logging e monitoraggio; backup cifrati e testati; pratiche di sviluppo sicuro, code review e gestione delle vulnerabilità; procedure di continuità operativa e di ripristino; formazione e impegni di riservatezza del personale autorizzato; procedure per la gestione degli incidenti di sicurezza. La descrizione dettagliata delle misure applicabili al ruolo di responsabile è riportata nell'Allegato 2 al DPA (IUX-IT-31).

15.2 Violazioni di dati personali

Ove si verifichi una violazione di dati personali relativa a un trattamento per il quale il Fornitore è titolare, il Fornitore la notifica all'autorità di controllo competente senza ingiustificato ritardo e, ove possibile, entro settantadue ore dal momento in cui ne è venuto a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche, e comunica la violazione agli interessati ove sia probabile che essa presenti un rischio elevato, in conformità agli articoli 33 e 34 GDPR. Ove la violazione riguardi un trattamento per il quale il Fornitore è responsabile, il Fornitore informa il cliente senza ingiustificato ritardo e fornisce le informazioni e l'assistenza necessarie affinché il cliente adempia ai propri obblighi, in conformità al DPA. Tutte le violazioni sono annotate in un registro interno.

15.3 Segnalazione di una vulnerabilità

I ricercatori di sicurezza e gli utenti possono segnalare una sospetta vulnerabilità o un incidente a support@devibrain.com. Le segnalazioni sono trattate in via riservata e, ove il segnalante lo richieda, senza divulgazione della sua identità.

Art. 16 — Natura del conferimento dei dati e conseguenze del rifiuto

16.1 Dati necessari

Il conferimento dei dati identificativi, di contatto, di account e di fatturazione contrassegnati come obbligatori nei moduli è necessario per concludere ed eseguire il contratto e per adempiere agli obblighi di legge. Il rifiuto di conferire tali dati rende impossibile creare l'account, attivare l'abbonamento o la licenza ed emettere la fattura.

16.2 Dati di evidenza

La generazione dell'audit trail di accettazione è una conseguenza intrinseca dell'utilizzo del meccanismo di accettazione e non può essere disattivata separatamente, poiché senza di essa l'accettazione dei documenti contrattuali non potrebbe essere provata. I clienti business del canale enterprise (Business, Enterprise Online, On-Premise e VPS) stabiliti nell'Unione europea concludono il contratto attraverso il flusso con documento firmato di cui all'art. 8, che produce un insieme di evidenze diverso, ma parimenti conservato; per lo shop self-service l'accettazione mediante password monouso resa alla registrazione è l'unico meccanismo disponibile.

16.3 Dati facoltativi

Il conferimento dei dati per finalità di marketing, delle informazioni facoltative di profilo e del contenuto dei campi di testo libero è facoltativo; il rifiuto non ha alcuna conseguenza sulla fornitura del servizio.

Art. 17 — Minori

17.1 Requisito di età

La piattaforma IndustryUX è uno strumento professionale e non è rivolta a minori. L'acquisto self-service di abbonamenti e di contenuti digitali è riservato a persone che abbiano compiuto diciotto anni e che abbiano piena capacità di agire; i canali Enterprise Online, On-Premise e VPS sono riservati ai clienti business.

17.2 Dati di minori

Il Fornitore non raccoglie consapevolmente dati personali di minori. Ove il Fornitore venga a conoscenza del fatto che un account è stato creato da un minore, l'account è sospeso e i relativi dati personali sono cancellati senza ingiustificato ritardo, salvo quanto debba essere conservato al fine di provare che l'account è stato chiuso. Chiunque ritenga che un minore abbia conferito dati personali può darne comunicazione al punto di contatto della clausola 2.2.

Art. 18 — Diritti dell'interessato e modalità di esercizio

18.1 I diritti

Gli interessati godono dei seguenti diritti, nei limiti e alle condizioni previste dal GDPR:

• Accesso (art. 15 GDPR): ottenere la conferma che sia o meno in corso un trattamento di dati personali che li riguardano e, in tal caso, l'accesso a tali dati e alle informazioni elencate in tale articolo, unitamente a una copia dei dati.

• Rettifica (art. 16 GDPR): ottenere la correzione dei dati inesatti e l'integrazione dei dati incompleti.

• Cancellazione (art. 17 GDPR): ottenere la cancellazione dei dati ove ricorra uno dei motivi previsti da tale articolo, in particolare ove i dati non siano più necessari, ove il consenso sia revocato e non sussista altra base giuridica, oppure ove l'interessato si opponga e non sussista un motivo legittimo prevalente. Il diritto non si applica ove il trattamento sia necessario per adempiere a un obbligo di legge o per accertare, esercitare o difendere un diritto in sede giudiziaria, come avviene per i dati di evidenza di cui all'art. 8 e per le scritture contabili.

• Limitazione (art. 18 GDPR): ottenere la limitazione del trattamento nei casi elencati in tale articolo, in particolare durante la verifica dell'esattezza dei dati o dell'esito di un'opposizione.

• Portabilità (art. 20 GDPR): ricevere i dati a noi forniti, trattati con mezzi automatizzati sulla base del consenso o di un contratto, in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare, anche direttamente ove tecnicamente fattibile.

• Opposizione (art. 21 GDPR): opporsi in qualsiasi momento, per motivi connessi alla situazione particolare dell'interessato, ai trattamenti fondati sul legittimo interesse, e opporsi in qualsiasi momento e senza necessità di alcuna motivazione ai trattamenti per finalità di marketing diretto.

• Revoca del consenso (art. 7, par. 3, GDPR): revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

• Diritto di non essere sottoposto a decisioni automatizzate (art. 22 GDPR), restando inteso che nessuna decisione di tale natura è adottata, come indicato all'art. 11.

18.2 Come esercitare i diritti

Le richieste sono indirizzate al punto di contatto della clausola 2.2. La richiesta dovrebbe indicare il diritto invocato e gli elementi necessari a identificare i dati interessati. Il Fornitore può chiedere informazioni ulteriori ove nutra ragionevoli dubbi sull'identità del richiedente, e utilizza tali informazioni soltanto ai fini di tale verifica.

18.3 Termini e costi

Il Fornitore risponde senza ingiustificato ritardo e comunque entro un mese dal ricevimento della richiesta. Tale termine può essere prorogato di due ulteriori mesi ove necessario, tenuto conto della complessità e del numero delle richieste, nel qual caso l'interessato è informato della proroga e dei relativi motivi entro il primo mese. L'esercizio dei diritti è gratuito; un contributo spese ragionevole può essere richiesto, o la richiesta può essere rifiutata, soltanto ove essa sia manifestamente infondata o eccessiva, in particolare per il suo carattere ripetitivo, e l'onere di dimostrare tale carattere grava sul Fornitore.

18.4 Richieste relative a dati trattati in qualità di responsabile

Ove una richiesta riguardi dati trattati dal Fornitore per conto di un cliente business, il Fornitore non è legittimato a rispondere direttamente. La richiesta è trasmessa al cliente, in qualità di titolare, senza ingiustificato ritardo, e il Fornitore presta al cliente l'assistenza richiesta dall'art. 28, par. 3, lett. e), GDPR. L'interessato è informato della trasmissione e dell'identità del titolare cui rivolgersi.

18.5 Rapporto con i diritti contrattuali di esportazione

Il diritto alla portabilità è distinto e ulteriore rispetto ai diritti contrattuali di esportazione, di recupero e di passaggio ad altro fornitore (switching) previsti dal corpus documentale contrattuale IndustryUX, che consentono al cliente di ottenere i propri dati e contenuti entro i termini indicati all'art. 14 e senza oneri di switching. L'esercizio dell'uno non preclude l'esercizio dell'altro.

Art. 19 — Reclami e rimedi giurisdizionali

19.1 Reclamo all'autorità di controllo

Ogni interessato ha il diritto di proporre reclamo a un'autorità di controllo ai sensi dell'art. 77 GDPR, in particolare all'autorità dello Stato membro in cui risiede abitualmente, in cui lavora o in cui si è verificata la presunta violazione. L'autorità competente per il Fornitore è il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, Italia, telefono +39 06 696771, posta elettronica garante@gpdp.it, posta elettronica certificata protocollo@pec.gpdp.it, sito web www.garanteprivacy.it.

19.2 Rimedio giurisdizionale

Indipendentemente dal reclamo, l'interessato può proporre ricorso dinanzi all'autorità giudiziaria competente ai sensi dell'art. 79 GDPR e dell'art. 152 del Codice Privacy. I due rimedi non possono essere esperiti contemporaneamente in relazione alla medesima vicenda, in conformità all'art. 140-bis del Codice Privacy.

19.3 Contatto preventivo

Gli interessati sono invitati, ma in nessun modo obbligati, a contattare il punto indicato nella clausola 2.2 prima di proporre reclamo, affinché la questione possa essere risolta direttamente e rapidamente.

Art. 20 — Rapporto con il DPA e con il corpus documentale contrattuale

20.1 Due strumenti distinti

La presente Informativa e il DPA sono strumenti distinti con destinatari distinti. La presente Informativa è rivolta agli interessati e descrive i trattamenti per i quali il Fornitore è titolare. Il DPA è rivolto al cliente business, è parte del contratto e disciplina i trattamenti per i quali il cliente è titolare e il Fornitore è responsabile. Nessuno dei due strumenti sostituisce l'altro e, nei rispettivi ambiti, nessuno dei due può essere invocato per derogare all'altro.

20.2 Ordine di prevalenza

Nell'ambito del ruolo di responsabile, il DPA prevale sulla presente Informativa. Nell'ambito del ruolo di titolare, la presente Informativa prevale su qualsiasi descrizione commerciale o tecnica del trattamento contenuta in altri documenti. I termini commerciali e contrattuali del rapporto restano disciplinati dalle Condizioni Generali di Abbonamento e Licenza (IUX-IT-01), dalle Condizioni Integrative di canale applicabili — le Condizioni Integrative Shop (Allegato A di canale, "Shop Schedule", IUX-IT-10) o le Condizioni Integrative Enterprise ("Enterprise Schedule", Allegato B, IUX-IT-20) — e dal Modulo d'Ordine, secondo l'ordine di prevalenza stabilito dall'art. 2.3 delle Condizioni Generali di Abbonamento e Licenza; nessuno di tali documenti può ridurre il livello di protezione accordato agli interessati dalla normativa sulla protezione dei dati.

20.3 Obblighi del cliente

Ove un cliente utilizzi la piattaforma per trattare dati personali di propri dipendenti, collaboratori, clienti o terzi, il cliente è responsabile dell'individuazione di un'idonea base giuridica, dell'informativa agli interessati e della definizione dei periodi di conservazione all'interno degli strumenti. Il Fornitore mette a disposizione i mezzi tecnici per configurare la cancellazione e l'esportazione, ma non decide in merito al loro utilizzo.

Art. 21 — Modifiche alla presente Informativa

21.1 Come sono effettuate le modifiche

La presente Informativa può essere aggiornata per riflettere modifiche dei trattamenti, dell'infrastruttura, della normativa o degli orientamenti delle autorità di controllo. Ogni versione reca un numero di versione e una data, e le versioni superate sono archiviate e rese disponibili su richiesta.

21.2 Comunicazione delle modifiche sostanziali

Ove una modifica incida in modo sostanziale sul trattamento dei dati personali di clienti o utenti esistenti, in particolare ove introduca una nuova finalità, una nuova categoria di destinatari o un periodo di conservazione più lungo, il Fornitore ne informa preventivamente gli interessati coinvolti, mediante posta elettronica o mediante avviso mostrato nella piattaforma, con almeno trenta giorni di anticipo rispetto alla data di efficacia della modifica. Ove la modifica richieda il consenso, essa acquista efficacia soltanto nei confronti degli interessati che lo abbiano prestato.

21.3 Versione vigente

La versione in vigore è quella pubblicata su www.industryux.com nella sezione legale, ed è la versione che si applica ai trattamenti effettuati a decorrere dalla sua data di entrata in vigore.

Art. 22 — Versione, stato e nota di validazione

22.1 Versione

La presente Informativa è stata emessa come versione 1.0, in data 10 agosto 2026, quale prima versione del documento nel corpus documentale IndustryUX ristrutturato. Essa sostituisce, per i trattamenti qui descritti, le precedenti informative privacy circolate all'interno dei corpus documentali italiano e mondiale, il cui contenuto è stato riesaminato, corretto e completato. La versione 1.1, in data 11 agosto 2026, rinomina il canale «Enterprise Cloud» in «Enterprise Online» a seguito dell'adozione della matrice definitiva dei piani; i trattamenti descritti restano invariati. La versione 1.2, in data 15 agosto 2026, ha riemesso l'Informativa sulla carta intestata ufficiale di DEVIBRAIN S.R.L. senza modifiche al testo. La versione 1.4, in data 15 novembre 2026, descrive il registro delle Licenze di Progetto (art. 8.5) e introduce all'art. 14.2 la conservazione del workspace di un piano dello Shop durante il Periodo di Tolleranza, la conservazione delle build consegnate per ventiquattro mesi e l'anonimizzazione del collegamento fra il registro delle licenze e l'account dopo dieci anni; il numero di versione 1.3 non è stato utilizzato, affinché la presente Informativa rechi la stessa etichetta di versione dei documenti contrattuali pubblicati insieme ad essa. La versione 1.5, in data 20 settembre 2026, introduce all'art. 14.2 la conservazione per novanta giorni dei dati di un workspace chiuso, conservati ai fini del ripristino e poi cancellati, allinea la riga sui Dati del Cliente di un ambiente Enterprise Online all'Accordo sul Trattamento dei Dati 1.5 e descrive la prova della scelta sui cookie così com'è effettivamente conservata, nei soli cookie di consenso, in linea con la Cookie Policy 1.5.

22.2 Nota di validazione

Il presente testo è un release candidate alla versione 1.5, predisposto sulla base della normativa, della giurisprudenza e degli orientamenti delle autorità di controllo in vigore all'11 settembre 2026. Non costituisce consulenza legale e non sostituisce la valutazione professionale della situazione specifica di DEVIBRAIN S.R.L. Prima che la presente Informativa sia pubblicata o utilizzata nei rapporti con interessati, clienti o autorità di controllo effettivi, essa deve essere riesaminata e validata da un avvocato qualificato e dal professionista incaricato della protezione dei dati designato da DEVIBRAIN S.R.L. La validazione deve in particolare verificare: l'accuratezza fattuale delle descrizioni dell'infrastruttura, dei destinatari, dei sub-responsabili e dei periodi di conservazione, a fronte del registro delle attività di trattamento tenuto ai sensi dell'art. 30 GDPR; la conclusione raggiunta nella clausola 2.3 in merito alla designazione di un responsabile della protezione dei dati; la completezza dell'elenco dei sub-responsabili e delle valutazioni d'impatto dei trasferimenti di cui all'art. 13; e la coerenza della presente Informativa con la versione dell'Accordo sul Trattamento dei Dati e della Cookie Policy in vigore al momento della pubblicazione. DEVIBRAIN S.R.L. resta responsabile dell'accuratezza degli elementi fattuali descritti nella presente Informativa e del loro aggiornamento.

IUX-IT-33 · v1.5 · 2026-09-20 · IndustryUX® è un marchio registrato di DEVIBRAIN S.r.l.