Una guida pratica, non una consulenza legale
Questo articolo riassume le regole principali in modo semplice. Non sostituisce il parere di un professionista: per la tua attività, con i tuoi dati e i tuoi fornitori, fai verificare le scelte da un consulente privacy o da un avvocato.
Quali dati contano
Per il GDPR è «dato personale» qualunque informazione che permette di identificare una persona, anche indirettamente.
- Nome, email, telefono inseriti in un modulo.
- Indirizzo IP, identificativi del dispositivo e dati di navigazione raccolti dagli strumenti di analisi.
- Posizione, foto, contatti e altro a cui l'app chiede accesso.
- Dati di accesso e di acquisto degli account degli utenti.
Sito web: informativa, cookie e consenso
- Informativa privacy: sempre, se raccogli dati. Dice chi li tratta, perché, per quanto tempo, con chi li condivide e come si esercitano i diritti.
- Cookie tecnici (necessari al funzionamento): non richiedono consenso, ma vanno citati nell'informativa.
- Analisi e marketing: in generale richiedono il consenso prima che il cookie venga scritto. Scorrere la pagina o continuare a navigare non vale come consenso.
- Il banner deve offrire un rifiuto facile quanto l'accettazione, e il consenso va richiesto di nuovo dopo un certo periodo (le indicazioni del Garante parlano di sei mesi).
- Moduli: spiega a cosa servono i dati e collega l'informativa vicino al pulsante.
App: cosa chiedono gli store
- Una privacy policy raggiungibile online, collegata nella scheda dell'app.
- La scheda dei dati raccolti: «privacy dell'app» su App Store e «Sicurezza dei dati» su Google Play. Devono corrispondere a ciò che l'app fa davvero, comprese le librerie di terzi.
- Permessi chiesti al momento giusto e con una spiegazione chiara.
- Su iOS, se l'app permette di creare un account, anche la cancellazione dell'account dall'app.
Chi sono i «responsabili» e perché contano
Ogni fornitore che tratta dati per tuo conto (hosting, invio email, analisi, pagamenti, chat) è un «responsabile del trattamento»: va indicato nell'informativa e, di norma, regolato da un accordo. Se i dati escono dallo Spazio economico europeo servono garanzie specifiche: verifica dove si trovano i server dei servizi che usi.
Cosa fare se qualcosa va storto
- Richieste degli utenti (accesso, correzione, cancellazione): vanno gestite entro un mese.
- Violazione dei dati (accessi non autorizzati, perdite): se c'è rischio per le persone va notificata al Garante entro 72 ore da quando se ne ha notizia.
- Tieni traccia di cosa raccogli e perché: un semplice registro aggiornato fa risparmiare molto tempo.
Come lo gestiamo sul nostro sito
Il banner dei cookie offre tre scelte di pari peso (solo essenziali, scegli, accetta tutti) e collega i consensi al Consent Mode di Google: finché non scegli, non viene scritto nessun cookie di analisi o marketing. La scelta scade dopo sei mesi. I dati della carta non passano dal nostro sito: il pagamento avviene sulle pagine dei fornitori. Tutto è spiegato nell'informativa privacy.
Se stai preparando un progetto, nella checklist prima di commissionare un progetto trovi anche cosa preparare sul tema dati. I prezzi dei nostri servizi: siti web da €1.350, app iOS da €4.500, app Android da €4.200.