Yeoman è partner certificato di Iubenda
Siti web ed app devono sempre rispettare alcuni obblighi imposti dalla legge. Il mancato rispetto delle norme, infatti, comporta il rischio di ingenti sanzioni.
Per questo abbiamo scelto di affidarci a Iubenda, azienda composta da figure sia legali che tecniche, specializzata in questo settore. Insieme a iubenda, di cui siamo Partner Certificati, abbiamo elaborato una proposta per offrire a tutti i nostri clienti soluzioni personalizzate per garantire la conformità alle normative internazionali come GDPR, LGPD e CCPA attraverso strumenti innovativi e supporto professionale.
I principali requisiti di legge per i proprietari di siti web e app
Ogni sito web o app che raccoglie dati personali è tenuto a rispettare rigorosi obblighi normativi, come GDPR, LGPD e CCPA che richiedono una documentazione accurata dei consensi raccolti, per proteggere i diritti degli utenti. Questi obblighi includono la redazione di documenti legali come Privacy e Cookie Policy, l’implementazione di banner per la gestione dei cookie, la raccolta del consenso informato e la gestione di Termini e Condizioni.
Ecco un riepilogo dettagliato dei requisiti principali:
Privacy e Cookie Policy
La legge obbliga ogni sito/app che raccoglie dati ad informare gli utenti attraverso una privacy e cookie policy chiara e dettagliata.
La normativa richiede che il documento includa informazioni fondamentali, tra cui:
- le tipologie di dati personali raccolti e trattati;
- le basi giuridiche del trattamento;
- le finalità e le modalità del trattamento;
- i soggetti ai quali i dati personali possono essere comunicati;
- l’eventuale trasferimento dei dati al di fuori dell’Unione Europea;
- i diritti dell’interessato;
- gli estremi identificativi del titolare del trattamento.
Allo stesso modo, la cookie policy deve fornire una descrizione dettagliata delle diverse tipologie di cookie installati attraverso il sito o la app, suddividendoli per categorie (essenziali, statistici, di profilazione) e specificando le tecnologie di terze parti cui questi cookie fanno riferimento – incluso un link ai rispettivi documenti e moduli di opt-out.
Posso usare un documento generico?
No, non è possibile utilizzare un documento generico. La privacy e cookie policy devono essere personalizzate per riflettere esattamente le modalità di trattamento dei dati del tuo sito o app, indicando chiaramente le tecnologie utilizzate, i cookie di terze parti e le finalità specifiche.
E se il mio sito non tratta alcun dato?
È estremamente raro che un sito non tratti alcun dato. Anche un semplice modulo di contatto o un servizio di analisi come Google Analytics implica la raccolta di dati e, quindi, l’obbligo di fornire una privacy e cookie policy. La normativa richiede che tutte le operazioni di raccolta e trattamento dati siano trasparenti e documentate.
Gestione dei Cookie – Cookie Law
Oltre a predisporre una cookie policy, per adeguare un sito web alla Cookie law è necessario mostrare anche un cookie banner per acquisire il consenso dell’utente all’installazione dei cookie. Alcuni tipi di cookie, come quelli rilasciati da strumenti quali i pulsanti di condivisione sui social, vanno infatti rilasciati solo dopo aver ottenuto un valido consenso da parte dell’utente.
È necessario che il cookie banner:
- Informi l’utente sull’uso dei cookie.
- Raccolga il consenso preventivo per i cookie non essenziali.
- Offra un sistema semplice per modificare o revocare il consenso.
Cos’è un cookie?
Un cookie è un file salvato sul dispositivo dell’utente per memorizzare alcune informazioni dell’utente durante la sua navigazione. I cookie sono ormai indispensabili per consentire il corretto funzionamento di un sito. Anche diverse tecnologie di terza parte che siamo soliti integrare nei nostri siti, come il semplice widget video di YouTube, si avvalgono a loro volta di cookie.
Consenso ai sensi del GDPR e della LGPD
Ai sensi del GDPR, se l’utente ha la possibilità di immettere dati personali sul sito/app, ad esempio compilando un form di contatto, di registrazione al servizio o di iscrizione alla newsletter, è necessario raccogliere un consenso libero, specifico ed informato. Questo include l’uso di checkbox non pre-selezionate e l’archiviazione delle informazioni come prova inequivocabile del consenso.
Analogamente al GDPR, anche per la LGPD brasiliana il titolare del trattamento deve dimostrare, attraverso l’archiviazione di una prova, di aver raccolto correttamente il consenso dell’utente.
Cosa si intende per consenso libero, specifico ed informato?
Il consenso deve essere dato in modo volontario, chiaro e informato. L’utente deve avere la possibilità di scegliere consapevolmente se accettare o meno il trattamento dei suoi dati per ogni finalità specifica di trattamento (es. ricevere newsletter, partecipare a sondaggi, etc.), senza obblighi o pre-selezioni ed informandolo con testi specifici che facciano capire chiaramente all’utente come saranno utilizzati i suoi dati.
Come è possibile dimostrare il consenso in modo inequivocabile?
Il consenso deve essere documentato e archiviato in modo sicuro. Questo implica la registrazione del contenuto del modulo compilato, l’ID univoco dell’utente, la data e l’ora in cui il consenso è stato raccolto, e la versione della privacy policy accettata. Questo garantisce che ogni passo del processo di raccolta del consenso sia verificabile.
La email che ricevo dall’utente a seguito della compilazione del modulo non è una prova sufficiente del consenso?
No, la semplice email non è sufficiente. È necessario documentare ogni passaggio che porta alla raccolta del consenso per rispettare i requisiti normativi. La prova del consenso deve includere dettagli più completi, come una copia del modulo, la versione accettata della privacy policy e l’ID univoco dell’utente per confermare che il consenso sia stato raccolto in modo conforme.
Devo adeguarmi alle leggi degli altri paesi, come la LGPD anche se la mia organizzazione non ha sede in Brasile?
Sì, se tratti dati di persone che si trovano all’interno del territorio brasiliano, indipendentemente dalla loro nazionalità, rientri nell’ambito di applicazione della LGPD.
Nella maggior parte dei casi, sei tenuto a rispettare le normative locali, anche se la tua organizzazione non ha sede in questi paesi.
CCPA
Il CCPA (California Consumer Privacy Act) impone che agli utenti californiani venga data informazione del come e del perché i loro dati vengono utilizzati, i loro diritti in merito e come possono esercitarli, incluso il diritto di esercitare l’opt-out. Se ricadi nell’ambito di applicazione del CCPA, dovrai fornire queste informazioni sia nella tua privacy policy che in un avviso di raccolta dati mostrato alla prima visita dell’utente (dove necessario).
Per facilitare le richieste di opt-out da parte degli utenti californiani, è necessario inserire un link “Do Not Sell My Personal Information”(DNSMPI) sia all’interno dell’avviso di raccolta dati mostrato alla prima visita dell’utente, che in un altro punto del sito facilmente accessibile dall’utente (una best practice è quella di includere il link nel footer del sito).
La mia organizzazione non ha sede in California, devo comunque adeguarmi al CCPA?
Il CCPA può applicarsi a qualunque organizzazione che tratta o che potrebbe potenzialmente trattare informazioni personali di utenti californiani, indipendentemente dal fatto che l’organizzazione si trovi o meno in California. Poiché gli indirizzi IP sono considerati informazioni personali, è probabile che qualsiasi sito web che riceva almeno 50 mila visite uniche all’anno dalla California rientri nell’ambito di applicazione del CCPA.
Termini e Condizioni
In alcuni casi può essere opportuno proteggere la propria attività online da eventuali responsabilità predisponendo un documento di Termini e Condizioni. I Termini e Condizioni di solito prevedono clausole relative all’uso dei contenuti (copyright), limitazione di responsabilità, condizioni di vendita, permettono di elencare le condizioni obbligatorie previste dalla disciplina sulla tutela del consumatore e molto altro.
I Termini e Condizioni dovrebbero includere quantomeno queste informazioni:
- i dati identificativi dell’attività;
- una descrizione del servizio offerto dal sito/app;
- le informazioni su allocazione dei rischi, responsabilità e liberatorie;
- garanzie (se applicabile);
- diritto di recesso (se applicabile);
- informazioni sulla sicurezza;
- diritti d’uso (se applicabile);
- condizioni d’uso o di acquisto (come requisiti di età o restrizioni legate al paese);
- politiche di rimborso/sostituzione/sospensione del servizio;
- informazioni sui metodi di pagamento.
Quando è obbligatorio predisporre un documento di Termini e Condizioni?
I Termini e Condizioni possono rendersi utili in qualunque scenario. Nel caso e-commerce, marketplace, piattaforme SaaS, app mobili e qualsiasi attività che implichi scambi commerciali o la raccolta di pagamenti, non solo è consigliabile, ma è spesso obbligatorio predisporre questo documento. Sono essenziali per proteggere sia l’azienda che gli utenti e garantire la conformità legale nelle transazioni online. Sono spesso utili anche per blog e siti informativi.
Posso copiare e utilizzare un documento di Termini e Condizioni da un altro sito?
No, non è sicuro copiare i Termini e Condizioni di un altro sito. Il documento di Termini e Condizioni è essenzialmente un accordo giuridicamente vincolante, pertanto, ogni documento deve essere personalizzato per riflettere il modello di business, le pratiche aziendali e le normative applicabili alla tua attività. Copiare documenti da altre fonti può causare invalidità legale e rendere il documento nullo, se non corrisponde esattamente alle tue necessità.
Come possiamo aiutarti con le soluzioni di Iubenda
Grazie alla nostra partnership con iubenda, Yeoman può aiutarti ad affrontare le sfide normative. Con strumenti avanzati, documenti personalizzati e un team esperto, offriamo soluzioni complete per mettere a norma il tuo sito o app, proteggere la tua azienda e migliorare l’esperienza degli utenti. Gli strumenti di iubenda sono la soluzione più semplice, completa e professionale per adeguarsi alle normative.
Generatore di Privacy e Cookie Policy
Il Generatore di Privacy e Cookie Policy di Iubenda è uno strumento flessibile che crea documenti legali completi e sempre aggiornati. Redatto da un team di avvocati internazionali, il generatore consente di personalizzare le policy in base ai servizi utilizzati, integrando tecnologie di terze parti come Google Analytics o pulsanti social. Le policy sono tradotte automaticamente in più lingue, rendendole ideali per aziende che operano su scala globale.
Cookie Solution
La gestione dei cookie è un aspetto cruciale per la conformità legale. La Cookie Solution di Iubenda include un banner personalizzabile per ottenere il consenso degli utenti, un sistema di blocco preventivo dei cookie non essenziali e un pannello per la gestione delle preferenze. Questo strumento non solo soddisfa i requisiti del GDPR, ma aiuta anche le aziende a conformarsi al CCPA, fornendo un link “Non vendere le mie informazioni personali” per gli utenti californiani.
Consent Solution
Con la Consent Solution, gestire e documentare il consenso degli utenti diventa semplice. Questo strumento archivia automaticamente una prova del consenso per ogni interazione, tracciando informazioni come timestamp e contenuti accettati. È particolarmente utile per rispettare le normative GDPR e LGPD, garantendo una raccolta trasparente e documentata dei consensi.
Generatore di Termini e Condizioni
I Termini e Condizioni sono essenziali per definire i diritti e le responsabilità degli utenti e dell’azienda. Il generatore di Iubenda permette di creare un documento personalizzato che protegge legalmente la tua attività. Questo strumento è utile per e-commerce, SaaS, blog e altre piattaforme, integrando clausole specifiche per limitazioni di responsabilità, politiche di rimborso e molto altro.
Internal Privacy Management
La gestione della privacy interna è un aspetto fondamentale per le aziende moderne. Questo strumento centralizza tutte le attività di trattamento dati, creando un registro conforme al GDPR. Inoltre, semplifica la gestione dei workflow, permettendo di monitorare e ottimizzare i processi legati alla privacy e di rispondere rapidamente alle richieste degli utenti.
Whistleblowing Management Tool
La Direttiva UE sul whistleblowing richiede alle aziende di fornire un sistema sicuro per le segnalazioni anonime. Il Whistleblowing Management Tool di Iubenda offre una piattaforma protetta per ricevere, analizzare e gestire denunce, garantendo trasparenza e conformità alle normative. Questo strumento è particolarmente utile per aziende che operano in settori regolamentati o con elevati standard etici.