COOKIE POLICY

1. Titolare del trattamento e contatti

Il Titolare del trattamento dei dati personali raccolti attraverso il sito internet è EOLIANN S.R.L. SOCIETÀ BENEFIT, P.IVA 12457140965, con sede legale in Corso Raffaello 28, 10125, Torino (TO) (di seguito il «Titolare» o la «Società»).

Recapiti: e-mail info@eoliann.com, PEC eoliannsrl@legalmail.it

EOLIANN S.R.L. SOCIETÀ BENEFIT non ha nominato un DPO/RPD ai sensi dell’art. 37 GDPR, non ricorrendo i casi obbligatori. Qualora tale nomina intervenga, i recapiti saranno indicati nella presente policy e nell’Informativa Privacy del sito.

2. Ambito di applicazione

La presente Cookie Policy si applica all’intero sito internet istituzionale di EOLIANN S.R.L. SOCIETÀ BENEFIT, ivi comprese le pagine istituzionali, le landing page, i form «Demo», «Parliamoci», «Newsletter / Guida / Report annuale» e le pagine contenenti collegamenti verso social network o che reindirizzano verso piattaforme esterne («Lavora con noi»), nonché all’area di accesso a AIRIS Piattaforma Climate Suite SaaS e API accessibile dal sito istituzionale (login, registrazione, interfaccia pubblica), limitatamente ai Cookie e agli strumenti di tracciamento tecnici eventualmente installati in tale contesto sul browser dell’utente non ancora autenticato.

La policy non disciplina: (i) i trattamenti svolti direttamente da piattaforme di terzi verso cui l’utente sia reindirizzato tramite link esterno; (ii) i trattamenti effettuati nell’area autenticata di AIRIS Piattaforma Climate Suite SaaS e API relativi a dati geospaziali, credenziali, log di utilizzo e output di rischio climatico, che formano oggetto dell’Informativa Clienti e Utenti del Servizio AIRIS Piattaforma Climate Suite SaaS e API. Per i Cookie installati di AIRIS Piattaforma Climate Suite SaaS e API sul browser degli utenti autenticati si rinvia alla sezione 2-bis della presente policy.

2-bis. Cookie di AIRIS Piattaforma Climate Suite SaaS e API (area autenticata)

Il Servizio AIRIS Piattaforma Climate Suite SaaS e API è accessibile agli utenti autenticati (referenti e dipendenti dei clienti enterprise) attraverso un’area riservata del sito internet, raggiungibile previa autenticazione con credenziali personali. A differenza delle pagine pubbliche del sito istituzionale, l’area autenticata della AIRIS Piattaforma Climate Suite SaaS e API può installare sul browser dell’utente Cookie e strumenti di tracciamento specifici, funzionali all’erogazione del servizio SaaS e alla gestione della sessione applicativa.

In tale contesto il regime giuridico presenta alcune specificità rispetto alle pagine pubbliche: (i) il rapporto tra EOLIANN S.R.L. SOCIETÀ BENEFIT e l’utente è regolato dal contratto di abbonamento e dall’Informativa Clienti e Utenti AIRIS; (ii) i Cookie tecnici di sessione e autenticazione non richiedono consenso ai sensi dell’art. 122, c. 1, D.Lgs. 196/2003, in quanto strettamente necessari all’erogazione del servizio espressamente richiesto dall’utente; (iii) eventuali Cookie non necessari installati nell’area autenticata richiedono consenso preventivo e devono essere censiti, classificati e comunicati all’utente in via separata.

2-bis.1 Cookie tecnici della AIRIS Piattaforma Climate Suite SaaS e API (documentalmente attestati)

Sulla base della documentazione disponibile (GDPR Assessment, architettura AWS eu-central-1), la AIRIS Piattaforma Climate Suite SaaS e API installa i seguenti Cookie tecnici strettamente necessari all’erogazione del servizio:

• Cookie di sessione e autenticazione: necessari per il mantenimento della sessione dell’utente autenticato, la gestione del token di accesso (JWT o equivalente) e la protezione CSRF dei form applicativi. Sono Cookie di sessione, cancellati alla chiusura del browser, o persistenti di breve durata (fino a 30 giorni per il «ricordami»). Base giuridica: art. 122, c. 1, D.Lgs. 196/2003; art. 6, par. 1, lett. b), GDPR.
• Cookie di sicurezza e anti-CSRF: token di protezione delle richieste applicative, Cookie di bilanciamento del carico AWS (es. AWSALB), Cookie di integrità della sessione. Tutti tecnici necessari, non richiedono consenso.
• Cookie di preferenze dell’interfaccia: eventuali preferenze tecniche dell’utente relative all’interfaccia di AIRIS (es. lingua, visualizzazione GIS, layout dashboard), se memorizzate mediante Cookie. Base giuridica: art. 122, c. 1, D.Lgs. 196/2003.

2-bis.2 Cookie e strumenti di terze parti nell’area autenticata

La documentazione disponibile non contiene un inventario tecnico completo dei Cookie e degli strumenti di terze parti eventualmente caricati nell’area autenticata.

2-bis.3 Obbligo di verifica tecnica e aggiornamento

I trattamenti di dati personali svolti nell’area autenticata (dati geospaziali degli asset, credenziali degli utenti, log di accesso e utilizzo, output di rischio climatico) non sono disciplinati dalla presente Cookie Policy ma dall’Informativa Clienti e Utenti AIRIS Piattaforma Climate Suite SaaS e API, resa ai sensi degli artt. 13 e 14 GDPR.

3. Quadro normativo di riferimento

La disciplina applicabile deriva dal combinato disposto delle seguenti fonti:

• Regolamento (UE) 2016/679 (GDPR), in particolare gli artt. 4, 5, 6, 7, 13, 25 e il Considerando 30.
• Art. 122 D.Lgs. 196/2003 (Codice Privacy), come sostituito dal D.Lgs. 101/2018: subordina l’archiviazione di informazioni nel terminale al consenso preventivo, salvo gli strumenti tecnici strettamente necessari.
• Provvedimento del Garante n. 231 del 10 giugno 2021 (doc. web 9677876, G.U. n. 163/2021, in vigore dal 10 gennaio 2022): classifica Cookie, requisiti del banner, simmetria dei comandi, divieto di scrolling, Cookie wall, reiterazione del consenso, fingerprinting e strumenti passivi. Costituisce il riferimento normativo principale della presente policy.
• EDPB Guidelines 05/2020 on consent, adottate il 4 maggio 2020: integrano i requisiti del consenso valido ai sensi del GDPR.
• FAQ del Garante in materia di Cookie e relativi chiarimenti interpretativi.

4. Definizioni

Ai fini della presente policy, i seguenti termini hanno il significato indicato, coerente con le definizioni del Provvedimento Garante n. 231/2021, del GDPR e del Codice Privacy.

4.1 Cookie

Stringhe di testo di piccole dimensioni che i siti visitati dall’utente (cd. publisher o «prime parti») ovvero siti o web server diversi («terze parti») posizionano e archiviano all’interno di un dispositivo terminale nella disponibilità dell’utente. Il browser memorizza i Cookie e li ritrasmette al sito in occasione di visite successive. Le informazioni codificate nei Cookie possono includere dati personali (IP, nome utente, identificativo univoco) o dati non personali (impostazioni di lingua, tipo di dispositivo).

4.2 Altri strumenti di tracciamento: incluso il fingerprinting

Il medesimo risultato dei Cookie può essere conseguito mediante altri strumenti, distinti tra identificatori «attivi» (local storage, session storage, pixel, SDK, script) e «passivi». Tra questi ultimi rientra il fingerprinting: tecnica che identifica il dispositivo dell’utente raccogliendo informazioni sulla sua configurazione specifica (browser, OS, plug-in, risoluzione, font) senza archiviare nulla nel terminale. L’utente non può rimuovere autonomamente il fingerprinting, a differenza dei Cookie. Ai sensi del Provvedimento Garante n. 231/2021, il fingerprinting e tutti gli strumenti passivi sono soggetti alle medesime regole dei Cookie.

4.3 Cookie di prima parte / terza parte

I Cookie di prima parte sono installati direttamente dal dominio del sito visitato. I Cookie di terza parte sono installati, per il tramite del sito, da domini o fornitori diversi dal Titolare, che si connettono direttamente al terminale dell’utente e sono in grado di raccogliere dati di navigazione cross-site.

4.4 Cookie di sessione / persistenti

I Cookie di sessione sono cancellati automaticamente alla chiusura del browser o al termine della sessione. I Cookie persistenti rimangono memorizzati sul dispositivo per un periodo determinato e vengono riutilizzati nelle visite successive.

4.5 Cookie tecnici o strettamente necessari

Cookie o strumenti la cui installazione non richiede consenso ai sensi dell’art. 122, c.1, D.Lgs. 196/2003: utilizzati al solo fine di effettuare la trasmissione di una comunicazione su rete elettronica o nella misura strettamente necessaria a fornire un servizio espressamente richiesto dall’utente. Rientrano in questa categoria: Cookie di sessione, token di sicurezza, Cookie di memorizzazione delle preferenze privacy, Cookie di bilanciamento del carico. Non rientrano i Cookie analytics, salvo verifica delle condizioni di equiparazione di cui al par. 7.2.

4.6 Cookie analytics / statistici

Cookie o strumenti impiegati per misurare visitatori, traffico e prestazioni del sito. I Cookie analytics di terza parte richiedono sempre il consenso (Provvedimento Garante 2021). I Cookie analytics di prima parte possono essere equiparati a tecnici solo se ricorrono cumulativamente tutte le condizioni di cui al par. 7.2.

4.7 Cookie di profilazione e marketing

Cookie o strumenti diretti a ricostruire profili individuali sulla base di comportamenti e preferenze, anche per pubblicità personalizzata, remarketing o lead tracking. Richiedono sempre consenso preventivo, libero, specifico e granulare.

4.8 Consenso

Ai sensi degli artt. 4, n. 11) e 7 GDPR e delle EDPB Guidelines 05/2020: qualsiasi manifestazione di volontà libera, specifica, informata e inequivocabile, espressa mediante dichiarazione o azione positiva inequivocabile (opt-in). Non costituiscono consenso valido: il silenzio, la mera prosecuzione della navigazione (scrolling), le preselezioni, qualsiasi azione ambigua o il consenso condizionato all’accesso al sito (Cookie wall senza alternativa).

5. Approccio conservativo e stato attuale del sito

La presente Cookie Policy è redatta con approccio documentale e conservativo. Il GDPR Assessment definitivo compilato (foglio «Cookie») attesta che il sito internet istituzionale di EOLIANN S.R.L. SOCIETÀ BENEFIT non installa, allo stato attuale, Cookie analytics, pixel di remarketing, Cookie di profilazione, social plugin con rilascio automatico al caricamento della pagina, chat di terza parte, heat map, session replay, fingerprinting o behavioural tracking.

6. Dati personali trattati attraverso Cookie e strumenti tecnici

Mediante i Cookie tecnici e gli strumenti strettamente necessari, il sito può trattare: identificativi online; indirizzo IP o porzioni dello stesso; data, ora e durata della richiesta; parametri tecnici di sessione; user-agent (browser e dispositivo); preferenze tecniche di navigazione; stato del consenso o del rifiuto espresso nel banner; log di sicurezza; token temporanei; informazioni funzionali all’erogazione del servizio richiesto.

I dati tecnici di navigazione e i log lato server sono conservati per un periodo non superiore a novanta (90) giorni, in conformità alle misure di sicurezza adottate da EOLIANN S.R.L. SOCIETÀ BENEFIT e all’Informativa Privacy del sito. Nella configurazione documentalmente attestata, tali dati non sono impiegati per profilazione individuale, decisioni automatizzate con effetti significativi o marketing comportamentale.

7. Basi giuridiche del trattamento

7.1 Cookie tecnici e strettamente necessari

Il presupposto di liceità dell’accesso al terminale si rinviene nell’art. 122, c.1, D.Lgs. 196/2003. Il correlato trattamento di dati personali avviene sulla base:

• (i) del legittimo interesse del Titolare a garantire sicurezza, integrità e corretto funzionamento del sito (art. 6, par. 1, lett. f), GDPR);
• (ii) della necessità di eseguire misure precontrattuali o di erogare un servizio richiesto (art. 6, par. 1, lett. b), GDPR) per la gestione della sessione.

7.2 Cookie analytics equiparati a tecnici (se introdotti)

Il Provvedimento Garante n. 231/2021 consente l’equiparazione dei Cookie analytics di prima parte ai tecnici, e quindi il loro utilizzo senza consenso, solo se ricorrono cumulativamente tutte le seguenti condizioni:

• a) sono esclusivamente di prima parte;
• b) l’indirizzo IP è mascherato prima di qualsiasi elaborazione;
• c) il provider rinuncia contrattualmente a cross-referencing e a ogni utilizzo ulteriore;
• d) non è consentita la creazione di profili individuali. Il Titolare dovrà documentare la verifica di tali condizioni prima di qualificare come tecnico qualsiasi Cookie analytics.

7.3 Cookie non necessari (se introdotti)

Per Cookie analytics non equiparabili a tecnici, Cookie di profilazione, marketing, remarketing e strumenti di terze parti non necessari, la base giuridica è il consenso preventivo dell’utente (artt. 6, par. 1, lett. a), 7 GDPR e art. 122 D.Lgs. 196/2003). In assenza di consenso valido, tali strumenti non possono essere attivati.

8. Inventario dei Cookie e degli strumenti di tracciamento

La tabella seguente riporta l’inventario per categoria.

9. Banner Cookie e centro preferenze: requisiti del Provvedimento Garante n. 231/2021

Il Provvedimento del Garante n. 231/2021 detta requisiti vincolanti per il meccanismo di acquisizione del consenso. Il sito è tenuto a conformarsi ai requisiti di seguito illustrati.

9.1 Requisiti del banner di primo livello

• Comparsa immediata e visibile al primo accesso al sito, senza necessità di scorrere la pagina.
• Informativa breve, chiara e comprensibile, con rinvio esplicito alla presente Cookie Policy estesa.
• Simmetria dei comandi (requisito fondamentale): i pulsanti per accettazione e rifiuto di tutti i Cookie non necessari devono avere la medesima evidenza grafica, dimensione e facilità di interazione. Non è consentito rendere più prominente il pulsante «Accetta tutti» rispetto al pulsante «Rifiuta» o «Continua senza accettare».
• Assenza di preselezioni per Cookie non necessari: nessun tick preimpostato su categorie non tecniche.
• Accesso alle impostazioni granulari: il banner deve consentire la selezione indipendente per categoria (analytics, funzionali, marketing).
• Non è consentita la sola opzione «Chiudi» o «X» se tale azione non equivale inequivocabilmente a rifiuto di tutti i Cookie non necessari.

9.2 Centro preferenze di secondo livello

• Accessibile in qualsiasi momento dal footer del sito o da un’area equivalente raggiungibile con un solo clic.
• Consente di revocare o modificare le preferenze con la stessa facilità con cui il consenso è stato prestato.
• Visualizza le categorie di Cookie con descrizione della finalità e dei provider coinvolti.

9.3 Prova e conservazione del consenso

Il CMP deve conservare evidenza del consenso prestato da ciascun utente: data e ora; versione del banner e della Cookie Policy; preferenze selezionate per categoria; identificativo tecnico anonimo dell’utente. Tale evidenza deve essere mantenuta per un periodo congruo a dimostrare la liceità del trattamento in caso di controllo del Garante.

9.4 Riproposizione del banner

Il banner non deve essere riproposto sistematicamente all’utente che ha già espresso le proprie preferenze, salvo le ipotesi tassative previste dal Provvedimento Garante 2021:

• a) modifica sostanziale delle finalità o delle tipologie di Cookie;
• b) scadenza del Cookie di memorizzazione del consenso;
• c) uso di dispositivi o browser diversi non collegabili all’utente già identificato.

9.5 Fornitore del CMP

Il fornitore del sistema di gestione del consenso (CMP – Consent Management Platform) attualmente utilizzato è: CookieYes.

9.6 Divieto di scrolling come modalità di consenso

Il Provvedimento Garante n. 231/2021 ha definitivamente stabilito che la mera prosecuzione della navigazione (scrolling) non costituisce consenso valido all’installazione di Cookie non necessari. Il sito di EOLIANN S.R.L. SOCIETÀ BENEFIT non adotta né adotterà lo scrolling come modalità di acquisizione del consenso.

9.7 Reiterazione della richiesta e divieto di dark pattern

La riproposizione ripetuta del banner dopo un rifiuto e l’utilizzo di dark pattern (messaggi dissuasivi, interfacce ingannevoli, incentivi inappropriati) violano il requisito di libertà del consenso (art. 7, par. 4, GDPR) e il principio di privacy by default (art. 25, par. 2, GDPR). Il Titolare è tenuto a evitare ogni pressione psicologica o tecnica volta a orientare la scelta dell’utente verso l’accettazione dei Cookie non necessari.

10. Revoca del consenso e gestione delle preferenze

L’interessato può revocare o modificare le proprie preferenze in qualsiasi momento, con la stessa facilità con cui il consenso è stato prestato (art. 7, par. 3, GDPR), mediante: (i) il centro preferenze accessibile dal footer (voce «Gestione Cookie»); (ii) le impostazioni del proprio browser (v. Sezione 14). La revoca non pregiudica la liceità del trattamento svolto prima della stessa. A seguito della revoca, i Cookie non necessari per i quali il consenso è stato revocato devono essere immediatamente disattivati.

11. Cookie wall — disciplina e limiti

Il Cookie wall è la pratica che subordina l’accesso al sito o a una sua sezione alla prestazione del consenso a Cookie non necessari, senza offrire alcuna alternativa. Ai sensi del Provvedimento Garante n. 231/2021 e delle EDPB Guidelines 05/2020, un Cookie wall privo di alternativa ragionevole rende il consenso privo del requisito di libertà (art. 7, par. 4, GDPR) e, pertanto, invalido.

Il Garante ha chiarito che meccanismi che condizionino l’accesso al sito al consenso possono essere ammissibili solo se è offerta una alternativa equivalente e non vincolata al consenso (es. accesso a pagamento, registrazione, versione ridotta del servizio). L’alternativa deve essere concreta, accessibile e non meramente simbolica.

12. Social network, pulsanti sociali e contenuti incorporati

Il sito contiene collegamenti verso le pagine social di EOLIANN S.R.L. SOCIETÀ BENEFIT su LinkedIn, Instagram e YouTube. La sola presenza di link testuali o pulsanti di reindirizzamento verso URL esterni non comporta l’installazione automatica di Cookie di terza parte: il contatto con i server del social network si instaura solo quando l’utente clicca intenzionalmente sul collegamento.

L’incorporazione di plugin, widget, player, feed o contenuti embedded che stabiliscano un contatto automatico con i server del terzo già al caricamento della pagina, indipendentemente da qualsiasi interazione dell’utente, configura l’installazione indiretta di Cookie di terza parte, soggetti ai requisiti del Provvedimento Garante 2021. Tali contenuti devono essere bloccati preventivamente e attivati solo previo consenso (cd. «two-click solution» o sistema equivalente). In assenza di evidenza tecnica contraria, la presente policy presume una configurazione basata su semplici reindirizzamenti esterni.

Per il trattamento svolto dai social network si rinvia alle rispettive informative privacy:

• LinkedIn: https://www.linkedin.com/legal/privacy-policy
• Instagram / Meta: https://help.instagram.com/519522125107875
• YouTube / Google: https://policies.google.com/privacy

13. Form, newsletter, demo e profilazione: rapporto con i Cookie

I form per iscrizione alla newsletter, ricezione della Guida o del Report annuale, prenotazione Demo di Climate Suite, richieste tramite «Parliamoci» e profilazione newsletter non equivalgono, di per sé, all’uso di Cookie non necessari. Tali trattamenti sono svolti tramite dati volontariamente conferiti e trasmessi al Titolare per il tramite di HubSpot Inc. (USA), designata responsabile del trattamento ex art. 28 GDPR con copertura mediante Clausole Contrattuali Standard.

Tuttavia, HubSpot e altri fornitori di marketing automation possono installare Cookie, pixel o script di tracciamento sul browser dell’utente che visita le pagine contenenti i form. Il Titolare è tenuto a verificare concretamente il comportamento tecnico degli script caricati e, se tali script installano Cookie non necessari, a: (a) censirli; (b) classificarli; (c) bloccarli preventivamente; (d) raccogliere il consenso prima di consentirne il rilascio.

14. Modalità di disabilitazione dei Cookie

14.1 Tramite il centro preferenze del sito

L’utente può modificare o revocare le proprie preferenze in qualsiasi momento tramite il centro preferenze raggiungibile dal footer del sito (voce «Gestione Cookie»).

14.2 Tramite le impostazioni del browser

La disabilitazione dei Cookie tecnici potrebbe pregiudicare il corretto funzionamento del sito. Per i principali browser:

• Google Chrome
• Mozilla Firefox
• Microsoft Edge
• Apple Safari
• Opera

15. Destinatari dei dati e trasferimenti extra-SEE

I dati raccolti mediante Cookie e strumenti tecnici possono essere trattati da: (i) personale autorizzato del Titolare; (ii) fornitori di hosting, sicurezza, content delivery, gestione del sito e CMP, designati responsabili del trattamento ex art. 28 GDPR. L’infrastruttura principale è in AWS EMEA SARL, Regione eu-central-1 (Francoforte, Germania), nello SEE.

HubSpot Inc. (USA), responsabile del trattamento per newsletter automation e CRM, è soggetta a trasferimento verso gli USA coperto mediante Clausole Contrattuali Standard (artt. 46, par. 2, lett. c), GDPR), con Transfer Impact Assessment eseguito dal Titolare ai sensi della giurisprudenza Schrems II (C-311/18) e dell’EDPB. Qualora vengano introdotti ulteriori fornitori con trasferimenti extra-SEE, tali trasferimenti saranno disciplinati nel rispetto degli artt. 44 ss. GDPR e descritti nell’aggiornamento della presente policy.

16. Tutela dei minori

Il sito internet istituzionale di EOLIANN S.R.L. SOCIETÀ BENEFIT è destinato a un pubblico adulto e non offre servizi specificamente rivolti a minori di età inferiore a sedici (16) anni ai sensi dell’art. 8 GDPR e dell’art. 2-quinquies D.Lgs. 196/2003. Il Titolare non raccoglie consapevolmente dati personali di minori tramite il sito internet istituzionale.

Qualora il Titolare intendesse raccogliere il consenso di minori in relazione a servizi della società dell’informazione, inclusi Cookie non tecnici, il consenso dei minori sotto i sedici anni dovrà essere prestato o autorizzato dal titolare della responsabilità genitoriale, con adeguata verifica dell’età dell’utente. Qualora il Titolare venisse a conoscenza di aver installato Cookie non necessari sul dispositivo di un minore senza il consenso del genitore, provvederà all’immediata cancellazione dei dati.

17. Diritti dell’interessato

L’interessato può esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR, nei limiti applicabili al trattamento mediante Cookie: accesso (art. 15); rettifica (art. 16); cancellazione (art. 17); limitazione (art. 18); opposizione (art. 21); portabilità (art. 20, ove tecnicamente applicabile). Ha inoltre il diritto di revocare il consenso per Cookie non necessari (art. 7, par. 3, GDPR) e di proporre reclamo al Garante.

Le richieste possono essere indirizzate al Titolare scrivendo all’indirizzo di posta elettronica info@eoliann.com ovvero per posta scrivendo a EOLIANN S.R.L. SOCIETÀ BENEFIT, Corso Raffaello 28, 10125, Torino (TO).

La risposta verrà fornita entro 1 mese dalla richiesta, prorogabile di ulteriori 2 mesi nei casi previsti dall’art. 12 par. 3 GDPR. Le richieste sono gestite entro 30 giorni dalla ricezione, prorogabili fino a 90 giorni in caso di complessità o elevato numero di richieste (art. 12, par. 3, GDPR).

Autorità di controllo competente: Garante per la protezione dei dati personali, www.garanteprivacy.it

18. Aggiornamenti della Cookie Policy

La presente Cookie Policy deve essere aggiornata ogniqualvolta intervengano: modifiche normative o nuovi provvedimenti del Garante; variazioni dei fornitori o responsabili del trattamento; attivazione o dismissione di Cookie o strumenti; variazioni del banner/CMP; nuove landing page, script, pixel, contenuti embedded o plugin; aggiornamenti dell’Informativa Privacy del sito.

Le modifiche sostanziali saranno comunicate mediante evidenza nella homepage o nel banner Cookie, con data di aggiornamento e versione del documento. In particolare, prima di attivare strumenti analytics, marketing o di profilazione, il Titolare dovrà aggiornare la presente policy, l’Informativa Privacy e il Registro delle Attività di Trattamento, e assicurarsi che il banner/CMP soddisfi i requisiti del Provvedimento Garante n. 231/2021.