Informativa Privacy

1. Titolare del trattamento e dati di contatto

Il Titolare del trattamento dei dati personali connessi al servizio «Promethea Account» è:

Il Titolare gestisce l'infrastruttura centralizzata di identità digitale («Identity Provider») dell'ecosistema di applicazioni SaaS del gruppo Promethea.

Alla data della presente informativa non è stato nominato un DPO (Data Protection Officer). Per qualsiasi richiesta relativa al trattamento dei dati personali e per l'esercizio dei diritti (par. 11) scrivere a privacy@prometheasrl.it.

2. Natura del servizio e ambito di applicazione

«Promethea Account» è il sistema unico di autenticazione e gestione dell'identità digitale degli utenti per tutte le applicazioni collegate dell'ecosistema Promethea.

Promethea Account è composto da due parti. Il sistema di accesso (https://auth.prometheasrl.it) verifica l'identità dell'utente e conserva i soli dati di identità (par. 4.1). L'area account (https://account.prometheasrl.it) conserva il profilo personale (par. 4.2), le organizzazioni, gli abbonamenti, i consensi e gli altri dati elencati al par. 4, e rende il profilo personale disponibile alle applicazioni collegate. Nella presente informativa «Promethea Account» indica entrambe le parti, salvo dove è nominata una sola delle due.

Principi fondamentali del servizio:

L'utilizzo del Promethea Account è condizione necessaria per l'accesso alle applicazioni SaaS collegate.

3. Applicazioni collegate (ecosistema Promethea)

Promethea Account è il punto di accesso unico alle applicazioni dell'ecosistema Promethea, ciascuna dedicata a un diverso ambito professionale (a titolo esemplificativo: gestione di eventi, ristorazione, servizi alla persona, gestione immobiliare). Tutte le applicazioni collegate sono erogate da Promethea S.r.l.: l'accesso a ciascuna di esse non comporta comunicazione dei dati a soggetti terzi. Ogni applicazione tratta i dati operativi che la riguardano sulla base di una propria informativa privacy, consultabile all'interno dell'applicazione stessa. La presente informativa riguarda i dati di identità e il profilo personale gestiti da Promethea Account.

All'accesso a un'applicazione, il sistema di accesso le trasmette i dati di identità dell'utente: nome, cognome, indirizzo e-mail e data di nascita (par. 4.1). Il profilo personale (par. 4.2) è conservato nell'area account e reso disponibile alle applicazioni collegate, ciascuna limitatamente ai campi che dichiara nella propria informativa e per le finalità ivi indicate. Le applicazioni non ne conservano una copia, salvo nei casi dichiarati dalla loro informativa (ad esempio l'indirizzo registrato in un ordine, che resta fermo alla data dell'ordine). I dati che esistono solo nel contesto di una singola applicazione, come un indirizzo di consegna diverso dalla residenza, sono dati dell'applicazione e sono trattati secondo la sua informativa.

Allegato A – Elenco applicazioni collegate.

L'elenco aggiornato delle applicazioni collegate è pubblicato sul sito di Promethea (www.prometheasrl.it), accessibile a chiunque anche senza registrazione, ed è inoltre consultabile nell'area riservata del Promethea Account. Trattandosi di un allegato, il suo aggiornamento non costituisce modifica della presente informativa e non incide sulle finalità, sulle basi giuridiche o sulle categorie di dati trattati. In caso di modifiche rilevanti Promethea informerà gli utenti tramite banner in-app o e-mail informativa.

4. Tipologie di dati trattati da Promethea Account

4.1 Dati di identità

Identificativo univoco dell'utente (comune a tutte le applicazioni dell'ecosistema), indirizzo e-mail, nome, cognome, data di nascita, foto profilo/avatar, lingua preferita, fuso orario, stato di verifica e attività dell'account. La data di nascita è richiesta alla registrazione per verificare il requisito dei 18 anni previsto dai Termini del Promethea Account. Tali dati costituiscono il profilo identitario principale dell'utente nel sistema. Nome, cognome, indirizzo e-mail e data di nascita si modificano dalla pagina account del sistema di accesso (https://auth.prometheasrl.it/account), non dalle applicazioni.

4.2 Profilo personale

Dati della persona forniti in modo facoltativo e conservati una sola volta per tutte le applicazioni: biografia, numero di telefono (prefisso internazionale e numero), residenza (via, numero civico, CAP, comune, provincia, stato), luogo di nascita (regione, provincia e comune; per chi è nato all'estero, stato e città), genere. L'utente può modificarli o cancellarli in qualsiasi momento dall'area account (https://account.prometheasrl.it) o da qualunque applicazione collegata che li utilizzi: la modifica è unica e vale ovunque, perché il dato è conservato in un solo archivio. Vengono inoltre conservati: il punteggio di gamification cross-app e il livello di appartenenza (vedi par. 7), le preferenze di consenso marketing, l'identificativo cliente per i servizi di pagamento (ove applicabile).

4.3 Dati delle organizzazioni Business

Per gli utenti che operano in qualità di referenti di imprese o enti: ragione sociale, denominazione commerciale, partita IVA, codice fiscale, PEC, codice SDI per fatturazione elettronica, indirizzo della sede legale, paese. Tali dati sono utilizzati per finalità amministrative, contrattuali e di fatturazione.

4.4 Dati di ruolo e membership organizzativa

Ruolo dell'utente all'interno delle organizzazioni collegate (es. amministratore, manager, staff), identificativo dell'utente invitante, data di adesione, stato attivo/inattivo. Questi dati consentono la gestione delle autorizzazioni operative nelle singole applicazioni.

4.5 Dati di accesso alle applicazioni

Per ciascuna combinazione utente/applicazione: data di prima registrazione, data dell'ultimo accesso, stato di accettazione dei termini e condizioni dell'app con relativo timestamp.

4.6 Dati di abbonamento e fatturazione

Per le organizzazioni che sottoscrivono piani a pagamento: applicazione di riferimento, identificativo dell'abbonamento, nome del piano (es. free, starter, pro, enterprise), stato (attivo, in prova, scaduto, cancellato), date del periodo corrente e di eventuale cancellazione. Per le organizzazioni che acquistano crediti per le funzioni di intelligenza artificiale delle applicazioni collegate: saldo dei crediti e movimenti (acquisto, consumo, rettifica, storno), con data, quantità, modello utilizzato e valore al momento del movimento. Promethea Account tratta questi soli dati d'uso e non riceve il contenuto delle richieste rivolte all'intelligenza artificiale, trattato dalle singole applicazioni secondo le rispettive informative. Per le organizzazioni ammesse al programma partner che acquistano un credito coin per pubblicare premi nel Negozio ProCoin: saldo del credito e movimenti (acquisto, consumo alla convalida di un riscatto, rettifica, storno, rimborso), con data, quantità, prezzo per coin applicato e identificativo del membro che ha effettuato l'acquisto. Il credito coin è un dato dell'organizzazione e non attribuisce alcun valore in euro ai ProCoin degli utenti.

4.7 Dati di gamification e ProCoin (Promethea Score)

Log delle azioni che generano punti, punti assegnati, applicazione di provenienza, identificativo dell'entità sorgente, timestamp. Il punteggio aggregato e il tier sono visibili all'utente nelle singole applicazioni. Le classifiche pubbliche, se implementate, mostrano solo i dati degli utenti che non hanno esercitato l'opt-out. Nell'ambito del programma è gestita una valuta virtuale interna denominata «ProCoin», maturata dall'utente in funzione della propria attività nell'ecosistema. Sono conservati il saldo ProCoin e lo storico dei riscatti effettuati nel negozio interno (beneficio riscattato, partner convenzionato erogante ove applicabile, ProCoin spesi, codice di validazione, stato e data del riscatto). I ProCoin non costituiscono moneta avente corso legale, non sono convertibili in denaro né trasferibili a terzi.

4.8 Dati di consenso

Per ciascun consenso registrato: applicazione di riferimento, tipologia di consenso (marketing, analytics, profiling, account), stato (accordato/revocato), timestamp di accordo e di eventuale revoca, indirizzo IP e user agent al momento del consenso, versione del documento accettato e impronta del testo mostrato. Quando l'accettazione è prestata per conto di un'organizzazione (ad esempio i Termini Business), sono registrati anche l'organizzazione e l'utente che ha accettato in suo nome, dopo la verifica del suo potere di firma. Necessari per la prova del consenso e la gestione dei diritti dell'interessato.

4.9 Log di sicurezza e audit

Per finalità di sicurezza e tracciabilità: identificativo dell'utente che ha effettuato l'operazione, descrizione dell'operazione, timestamp, indirizzo IP, applicazione di provenienza; nelle copie automatiche delle modifiche ai dati, anche nome, indirizzo e-mail e telefono presenti al momento della modifica. Il sistema di accesso registra inoltre gli accessi riusciti e falliti (con l'indirizzo e-mail digitato, mai la password) e le registrazioni completate, con il relativo indirizzo IP. Sono conservati per un periodo limitato; le sole operazioni con valore di prova (ad esempio piani assegnati o revocati, rettifiche di ProCoin, variazioni di IBAN e di prezzi, assegnazione dei membri e del titolare di un'organizzazione) sono conservate più a lungo (vedi par. 10).

4.10 Natura del conferimento dei dati

La fornitura dei dati di identità (indirizzo e-mail, nome, cognome, data di nascita) è obbligatoria per la creazione e il funzionamento del Promethea Account: senza di essi non è possibile accedere alle applicazioni dell'ecosistema. I dati del profilo personale (biografia, telefono, residenza, luogo di nascita, genere) sono facoltativi e possono essere forniti, modificati o cancellati in qualsiasi momento. Della residenza, l'area account chiede comune, provincia e stato; i dati di dettaglio (via, numero civico, CAP) sono richiesti dalle sole applicazioni che ne hanno bisogno per un proprio servizio, ad esempio una consegna, e lo dichiarano nella propria informativa; una volta inseriti restano nel profilo personale e non devono essere reinseriti. Una singola applicazione può richiedere un campo del profilo come necessario per un suo servizio: in tal caso lo dichiara la sua informativa e il campo resta facoltativo ai fini del Promethea Account. I consensi per marketing, analytics e profilazione sono parimenti facoltativi: il loro rifiuto o la loro revoca non pregiudica l'accesso al servizio né alle applicazioni collegate, salvo le funzionalità specificamente dipendenti da tali consensi.

4.11 Dati fiscali e di incasso delle organizzazioni

Per le organizzazioni che attivano l'emissione di scontrini e fatture elettroniche nelle applicazioni collegate: esito della verifica della partita IVA (anagrafica d'impresa recuperata tramite il provider fiscale), stato di attivazione del servizio e data di scadenza dichiarata della password dei servizi telematici dell'Agenzia delle Entrate. Le credenziali dei servizi telematici dell'Agenzia delle Entrate (codice fiscale, PIN e password) NON vengono conservate da Promethea: transitano in modalità protetta esclusivamente verso il provider fiscale, al solo fine dell'abilitazione all'invio dei corrispettivi. Per le organizzazioni che attivano gli incassi online: identificativo dell'account Stripe Connect intestato all'organizzazione e stato di abilitazione agli incassi; i fondi non transitano mai da Promethea. Per le organizzazioni che sottoscrivono l'add-on Cassa: taglia attiva, pacchetti integrativi e stato dell'abbonamento.

4.12 Dati delle richieste di assistenza

Per ciascuna richiesta di assistenza aperta dall'utente: codice identificativo della richiesta, applicazione dalla quale è stata aperta e sua versione, pagina di partenza, organizzazione di riferimento (facoltativa), categoria, oggetto e contenuto dei messaggi scambiati con il team di assistenza, richiesta collegata, numero di riaperture, stato ed esito della richiesta, elementi temporali (apertura, prima risposta, attesa, chiusura), operatore assegnato e operatore che firma le risposte, note interne del team (non visibili all'utente). All'apertura di una richiesta il personale di assistenza riceve un avviso con il codice e l'oggetto tramite le notifiche del browser. Il contenuto delle richieste non è sottoposto a sistemi di intelligenza artificiale. Il contenuto dei messaggi è testo libero fornito dall'utente: si raccomanda di non inserirvi dati non necessari alla gestione della richiesta e, in particolare, categorie particolari di dati ai sensi dell'art. 9 GDPR. Le richieste di assistenza sono visibili unicamente al loro autore e al personale autorizzato di Promethea.

4.13 Archiviazione locale sul dispositivo

Per funzionare, l'applicazione conserva alcune informazioni nello spazio di memorizzazione locale del browser, sul dispositivo dell'utente: il riferimento della sessione di accesso, che tiene l'utente collegato senza richiedere l'autenticazione a ogni pagina; le preferenze di visualizzazione da lui scelte (tema, lingua, effetti grafici, testo ingrandito, modalità di visualizzazione dell'ecosistema); l'avvenuta visione della guida introduttiva; e, nella sola fase di registrazione, alcuni dati temporanei da essa derivanti, rimossi non appena utilizzati. Nessuna di queste informazioni serve a finalità di analisi, di pubblicità o di tracciamento su siti di terzi, e nessuna consente di riconoscere l'utente al di fuori dell'ecosistema Promethea.

Si tratta di strumenti strettamente necessari a erogare il servizio richiesto dall'utente: ai sensi dell'art. 122 del Codice in materia di protezione dei dati personali il loro impiego non richiede consenso, ed è la ragione per cui l'applicazione non presenta alcun banner. L'uscita dall'account rimuove il riferimento della sessione di accesso; le altre informazioni restano sul dispositivo finché l'utente non cancella i dati di navigazione del browser. Sul proprio dominio l'applicazione non installa cookie.

4.14 Dati della verifica di titolarità e della visura camerale

Quando un utente chiede di essere collegato come titolare di un'organizzazione già presente, prima di dargli accesso ai documenti amministrativi e fiscali di quell'organizzazione Promethea ne verifica il titolo in uno dei tre modi seguenti, sempre con indicazione del motivo e registrazione dell'operatore, della data e del modo utilizzato: (1) confronto del codice fiscale dichiarato dall'utente con quelli delle cariche e dei soci risultanti al registro imprese; (2) richiesta di conferma inviata alla PEC dell'impresa, con collegamento solo dopo risposta positiva; (3) dichiarazione di un operatore di Promethea che conosce direttamente il cliente. A ogni collegamento l'impresa riceve un avviso automatico all'indirizzo e-mail di contatto della sua anagrafica (nome della persona collegata, organizzazione, data), così da poterlo contestare; senza tale indirizzo il collegamento non avviene. Del registro imprese sono conservati la partita IVA e la PEC dell'impresa e, per le persone che vi risultano, codice fiscale, nome e cognome, carica, qualità di rappresentante legale e quota; data e luogo di nascita, sesso ed età eventualmente restituiti dalla fonte non sono conservati. Il codice fiscale dichiarato dall'utente è usato solo per il confronto e non è conservato né registrato nei log. La stessa consultazione è usata per verificare che chi sottoscrive un contratto con Promethea per conto dell'impresa ne sia rappresentante legale e per riportarne il nome sul contratto. Su azione manuale di un amministratore di Promethea può inoltre essere acquisito l'estratto ufficiale del registro imprese (visura camerale in formato PDF) di un'impresa presente in Promethea Account, per verificarla e consegnarlo al terzo che lo richiede per un'iscrizione o una verifica; il documento, che non può essere ridotto senza alterarlo, contiene anche data e luogo di nascita e residenza delle persone che vi risultano. Le persone che risultano al registro imprese non sono contattate né inserite in alcun elenco commerciale; ricevono una propria informativa, pubblicata nella sezione dei documenti legali del sito di Promethea.

4.15 Intelligenza artificiale per le attività interne di Promethea

Oltre alle funzioni di intelligenza artificiale offerte ai clienti nelle applicazioni collegate, disciplinate dai documenti di ciascuna applicazione, Promethea utilizza servizi di intelligenza artificiale per proprie attività: redazione di casi di studio e di contenuti per i propri canali social a partire da dati e numeri aggregati delle attività clienti; preparazione dei biglietti da visita del proprio personale; preparazione dei fogli di stile dei siti realizzati per i clienti, a partire da immagini, colori e materiali di marca forniti dal cliente; controllo periodico della disponibilità dei modelli. Possono essere trattati dati identificativi e di contatto dei referenti delle organizzazioni clienti e del personale di Promethea, e i contenuti forniti. Le funzioni sono riservate al personale autorizzato, sono eseguite solo dai server di Promethea e i dati non sono utilizzati dal fornitore per l'addestramento dei modelli.

5. Modalità di autenticazione e dati raccolti

Promethea Account consente le seguenti modalità di autenticazione:

5.1 Registrazione con e-mail e password

La password è conservata esclusivamente in forma di hash crittografico; non è mai memorizzata in chiaro né condivisa con terzi.

5.2 Magic Link (in arrivo)

Accesso tramite link di autenticazione monouso inviato via e-mail. Non vengono raccolti dati aggiuntivi da provider esterni per questa modalità.

6. Meccanismo di trasmissione dei dati alle applicazioni

L'accesso alle applicazioni dell'ecosistema avviene mediante un sistema di token crittografici a breve scadenza:

1. L'utente si autentica presso Promethea Account con una delle modalità disponibili.
2. Il sistema emette un token firmato crittograficamente che attesta l'identità dell'utente.
3. Ciascuna applicazione, tramite un servizio dedicato, verifica la validità del token e ottiene un proprio token applicativo, usato per le operazioni sul proprio database.
4. I token applicativi hanno durata limitata (generalmente 1 ora) e vengono rinnovati automaticamente; non sono conservati in forma persistente nel database.

Le applicazioni che utilizzano campi del profilo personale (par. 4.2) li leggono e li aggiornano attraverso un'interfaccia dedicata dell'area account, autenticata con lo stesso token: non hanno accesso diretto al database di Promethea Account e ricevono i soli campi dichiarati nella propria informativa.

Misure di sicurezza adottate:

• Utilizzo di algoritmi crittografici avanzati per la firma e la verifica dei token.
• Segregazione completa tra il database centrale di Promethea Account e i database delle singole applicazioni: nessuna comunicazione diretta tra di essi.
• Le policy di sicurezza a livello di riga delle singole applicazioni basano l'autorizzazione esclusivamente sull'identità risultante dal token verificato, non su dati inviati dal client in modo non autenticato.
• Accesso ai dati limitato al personale autorizzato, con obbligo di riservatezza.

7. Sistema di gamification cross-app («Promethea Score»)

I punti accumulati appartengono al profilo Promethea dell'utente e non alla singola applicazione. Il punteggio totale determina il tier di appartenenza (explorer, pioneer, master, legend), sulla base di soglie predefinite.

Le azioni che possono generare punti includono, a titolo esemplificativo:

Primo accesso a una nuova applicazione, prima registrazione completata, completamento del profilo, referral andato a buon fine, upgrade di livello o attività specifiche nelle singole app, attività cross-app e anniversari nell'ecosistema.

Visibilità del punteggio:

Il punteggio e il tier sono visibili all'utente all'interno delle singole applicazioni collegate. Questo trattamento è basato sul legittimo interesse di Promethea S.r.l. ai sensi dell'art. 6(1)(f) GDPR, in quanto funzionale all'erogazione del servizio e all'engagement dell'ecosistema.

Eventuali classifiche pubbliche, se implementate, mostreranno nome, cognome, avatar e punteggio esclusivamente degli utenti che non abbiano esercitato l'opt-out dalla gamification. La partecipazione alle classifiche pubbliche è facoltativa e si fonda sul consenso dell'interessato ai sensi dell'art. 6(1)(a) GDPR, revocabile in qualsiasi momento dalle impostazioni del profilo.

Promethea Account non utilizza il punteggio di gamification per adottare decisioni basate esclusivamente su trattamento automatizzato che producano effetti giuridici o analogamente significativi sull'interessato ai sensi dell'art. 22 GDPR. Il punteggio ha natura esclusivamente informativa e di incentivazione all'uso del servizio.

Valuta interna «ProCoin» e riscatti:

Nell'ambito del programma di gamification l'utente matura una valuta virtuale interna denominata «ProCoin», utilizzabile esclusivamente all'interno dell'ecosistema Promethea. I ProCoin non hanno valore monetario legale, non sono convertibili in denaro, rimborsabili o trasferibili a terzi, e possono essere spesi unicamente nel negozio interno («Negozio ProCoin»).

Il Negozio ProCoin offre benefici (sconti, prodotti o servizi) messi a disposizione direttamente da Promethea oppure da esercenti terzi convenzionati («partner convenzionati»). L'utente può riscattare un beneficio spendendo i propri ProCoin oppure, ove previsto, utilizzando un codice promozionale reso disponibile da un partner. Ogni riscatto genera un codice di validazione associato al beneficio.

Quando il beneficio riscattato è offerto da un partner convenzionato, al solo fine di consentirne la verifica ed erogazione, Promethea comunica al partner i dati strettamente necessari: nome, cognome e codice di validazione, unitamente alla descrizione del beneficio. Il partner convenzionato tratta tali dati in qualità di titolare autonomo, esclusivamente per onorare il riscatto. Per i benefici offerti direttamente da Promethea nessun dato è comunicato a terzi. La base giuridica della comunicazione è l'esecuzione del servizio richiesto dall'interessato ai sensi dell'art. 6(1)(b) GDPR.

8. Fornitori, destinatari e trasferimenti fuori dallo Spazio economico europeo

Per l'erogazione del servizio Promethea Account il Titolare si avvale di fornitori terzi. Alcuni agiscono come responsabili del trattamento (art. 28 GDPR), sulla base di accordi conformi alla normativa; altri come destinatari tecnici, che ricevono i soli dati necessari al servizio che rendono (ad esempio la consegna delle notifiche al browser); altri ancora come titolari autonomi per i dati che trattano secondo le proprie condizioni (ad esempio il gestore dei pagamenti).

L'elenco completo e aggiornato dei fornitori è pubblicato alla pagina www.prometheasrl.it/fornitori, nella sezione «Servizi comuni a tutte le applicazioni». Per ciascun fornitore la pagina indica cosa fa, quali categorie di dati riceve, il suo ruolo, dove sono conservati i dati e, se i dati escono dallo Spazio economico europeo, la garanzia su cui si basa il trasferimento. La pagina ha una propria versione e una propria data; ogni sua versione resta consultabile.

Le categorie di fornitori sono: infrastruttura di database e archiviazione dei file; servizio che esegue il sistema di accesso; database del sistema di accesso e del registro dei consensi; distribuzione delle applicazioni web; invio delle e-mail di accesso, di servizio e, con il consenso dell'utente, delle comunicazioni promozionali; consegna delle notifiche al browser; gestione dei pagamenti e degli incassi; trasmissione dei documenti fiscali, verifica della partita IVA, consultazione del registro imprese e firma elettronica dei contratti; ricerca di città e indirizzi; controllo di funzionamento dei servizi; modelli di intelligenza artificiale per le attività interne (par. 4.15).

Il database principale di Promethea Account è ospitato nella regione West EU (Irlanda) e il database del sistema di accesso e del registro dei consensi a Francoforte (Germania). Alcuni fornitori hanno sede negli Stati Uniti o nel Regno Unito: in questi casi il trasferimento avviene sulla base della decisione di adeguatezza della Commissione europea relativa all'EU-US Data Privacy Framework, per i fornitori che vi aderiscono, delle clausole contrattuali tipo approvate dalla Commissione (art. 46 GDPR) oppure della decisione di adeguatezza relativa al Regno Unito (art. 45 GDPR), come indicato fornitore per fornitore nella pagina dei fornitori.

Altri destinatari.

Oltre ai fornitori, possono ricevere dati personali, ciascuno per il solo scopo indicato:

• l'Agenzia delle Entrate e il Sistema di Interscambio, per le fatture e i documenti fiscali, per obbligo di legge;
• il consulente fiscale e contabile di Promethea, con sede in Italia, che riceve fatture ed estratti conto per gli adempimenti fiscali e contabili;
• i partner convenzionati del Negozio ProCoin, per i soli benefici riscattati (par. 7);
• l'impresa di cui un utente chiede di essere collegato come titolare, che riceve l'avviso del collegamento e, se si usa la conferma via PEC, la richiesta con nome del richiedente, denominazione, partita IVA e codice della richiesta (par. 4.14); la PEC è spedita dalla casella di posta elettronica certificata di Promethea, gestita da InfoCert S.p.A. in Italia;
• il terzo che richiede l'estratto del registro imprese di un'impresa per un'iscrizione o una verifica, che lo riceve come titolare autonomo (par. 4.14); quando il terzo è Google LLC (verifica per Google Play), con sede negli Stati Uniti, il trasferimento si basa sulla sua adesione all'EU-US Data Privacy Framework;
• le autorità, quando richiesto dalla legge.

9. Finalità del trattamento e basi giuridiche

Laddove il trattamento si fondi sul consenso, l'utente potrà revocarlo in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca. Per le comunicazioni promozionali la revoca è possibile sia dalle preferenze del profilo sia tramite il link di disiscrizione presente in fondo a ogni messaggio; il consenso è facoltativo e il suo rifiuto non pregiudica in alcun modo l'utilizzo del Promethea Account e delle applicazioni collegate.

10. Tempi di conservazione dei dati

Alla richiesta di cancellazione, confermata tramite il collegamento inviato all'indirizzo e-mail registrato, l'account resta attivo per 30 giorni, durante i quali la richiesta può essere annullata. Trascorso tale periodo la cancellazione diventa definitiva e irreversibile: i dati identitari e di profilo, i dati di accesso alle applicazioni e gli altri dati legati all'account sono cancellati o resi anonimi. Restano conservati i dati riferiti alle organizzazioni (abbonamenti, fatture, contratti e pagamenti), che appartengono all'organizzazione e seguono i termini indicati in tabella, e le registrazioni dei consensi. Queste ultime (documento e versione accettati, data e ora, identificativo dell'account) non vengono mai cancellate, perché costituiscono la prova del consenso prestato (art. 7, par. 1, GDPR) e servono all'accertamento, all'esercizio o alla difesa di un diritto in sede giudiziaria (art. 17, par. 3, lett. e, GDPR): con la cancellazione definitiva dell'account restano collegate soltanto a un identificativo non più riconducibile all'utente, e l'indirizzo IP e lo user agent sono cancellati dopo 5 anni. I dati cancellati possono permanere nelle copie di backup dei fornitori fino alla loro sovrascrittura automatica, entro 30 giorni, senza essere utilizzati.

11. Diritti dell'interessato

L'utente, in qualità di interessato, può esercitare i propri diritti in relazione ai dati trattati da Promethea Account:

Per esercitare i diritti.

La modifica dei dati di identità (nome, cognome, indirizzo e-mail, data di nascita) e la cancellazione del Promethea Account si effettuano dalla pagina account del sistema di accesso (https://auth.prometheasrl.it/account), dopo l'accesso. I dati del profilo personale si modificano dall'area account (https://account.prometheasrl.it) o dalle applicazioni collegate che li utilizzano. Per esercitare gli altri diritti, inviare una richiesta a privacy@prometheasrl.it specificando se essa riguarda il solo Promethea Account (dati di identità e profilo personale), una o più applicazioni dell'ecosistema (dati operativi) o entrambi.

Effetti della cancellazione del Promethea Account.

La richiesta di cancellazione è confermata tramite un collegamento inviato all'indirizzo e-mail registrato. Dalla conferma l'account resta attivo per 30 giorni e la richiesta può essere annullata. Trascorsi i 30 giorni la cancellazione è definitiva e irreversibile e comporta:

• La perdita di accesso a tutte le applicazioni collegate.
• La disattivazione dei token di autenticazione e dei relativi meccanismi di accesso.
• La cancellazione o l'anonimizzazione dei dati del Promethea Account, secondo quanto indicato al paragrafo 10.
• La gestione dei dati operativi già registrati nelle singole applicazioni (es. eventi, prenotazioni, transazioni) secondo le rispettive privacy policy e i relativi tempi di conservazione.
• Se l'utente è Proprietario di un'organizzazione, l'organizzazione non viene cancellata e prosegue con i propri dati, anche senza un Proprietario; il trasferimento del ruolo a un altro membro può essere chiesto con gli strumenti disponibili nel servizio o all'assistenza.

L'utente ha inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).

12. Rapporti privacy tra Promethea Account e le applicazioni

Per chiarezza si precisa che:

13. Aggiornamenti e revisione della presente informativa

La presente informativa potrà essere oggetto di aggiornamenti in caso di:

• Modifiche normative o interpretative in materia di protezione dei dati personali.
• Evoluzione tecnica del servizio Promethea Account.
• Integrazione di nuove funzionalità o sistemi di autenticazione aggiuntivi.
• Introduzione di nuove applicazioni nell'ecosistema Promethea.

L'elenco dei fornitori (par. 8) è tenuto aggiornato nella pagina dei fornitori, che porta una propria versione e data: l'ingresso o l'uscita di un fornitore vi è pubblicato prima che il fornitore riceva dati.

Il Titolare prevede una revisione periodica della policy con aggiornamento dell'Allegato A (elenco applicazioni), dei sub-responsabili e delle misure di sicurezza, senza che ciò comporti necessariamente la modifica delle basi giuridiche o delle finalità. Sono previste eventuali certificazioni future (es. schemi di sicurezza delle informazioni) senza necessità di revisione integrale del documento.

Gli utenti saranno informati in modo adeguato in caso di modifiche sostanziali, anche attraverso comunicazioni in-app o via e-mail.