Informativa Privacy - App ON

INFORMATIVA PRIVACY EX ART 13 E 14 DEL REGOLAMENTO (UE) 2016/679 APPLICAZIONE MOBILE/WEB “ON”

Gentile Cliente,

CiviBank - BANCA DI CIVIDALE S.p.A. - Società Benefit (la “Banca”), appartenente al Gruppo Cassa di Risparmio di Bolzano, iscritto all’Albo dei gruppi Bancari, con sede in Cividale del Friuli (UD) - 33043, Via Sen. Guglielmo Pelizzo n. 8/1, soggetta all’attività di Direzione e Coordinamento della Capogruppo Cassa di Risparmio di Bolzano S.p.A. – Südtiroler Sparkasse AG, in qualità di Titolare del trattamento ai sensi della normativa europea Regolamento (UE) 2016/679 (GDPR), ai sensi degli artt. 13 e 14 della medesima normativa, sottopone alla Vs. attenzione la presente informativa generale relativa a quei dati personali raccolti con riferimento al servizio di sponsoring reso disponibile tramite apposita piattaforma web, attraverso la quale i richiedenti (associazioni/enti) possono accedervi per presentare la propria domanda alla Banca.

1. TITOLARE DEL TRATTAMENTO E RESPONSABILE DELLA PROTEZIONE DEI DATI

Il titolare del trattamento è la società CiviBank - BANCA DI CIVIDALE S.p.A. - Società Benefit iscritto all’Albo dei gruppi Bancari, con sede legale in Cividale del Friuli (UD), Via Sen. Guglielmo Pelizzo n. 8/1, soggetta all’attività di Direzione e Coordinamento della Capogruppo Cassa di Risparmio di Bolzano S.p.A. – Südtiroler Sparkasse AG. Per ogni necessità inerente alla presente informativa privacy e/o per l’esercizio dei diritti riservati agli interessati, come meglio rappresentati in seguito, potrete contattare il titolare e/o il Data Protection Officer (DPO) nominato dalla Banca, tramite posta cartacea e/o email ai seguenti indirizzi: -

• CiviBank - BANCA DI CIVIDALE S.p.A. - Società Benefit, Cividale del Friuli (UD), Via Sen. Guglielmo Pelizzo n. 8/1, alla c.a. del DPO

• Posta elettronica: dpo@civibank.it

• Posta elettronica certificata: DPO@cert.civibank.it

Il Titolare e il DPO, anche tramite le strutture designate, provvederanno a prendere in carico la Sua richiesta e a fornirle, senza ingiustificato ritardo e comunque, al più tardi entro un mese dal ricevimento della stessa, le informazioni relative alla richiesta o le ragioni di un eventuale ritardo o diniego.

La informiamo che, qualora il Titolare nutra dubbi circa l’identità della persona fisica che presenta la richiesta, potrà richiedere ulteriori informazioni necessarie a confermare l’identità dell’interessato.

2. TIPOLOGIA DI DATI TRATTATI.

Per le finalità riportate nella presente informativa la Banca tratterà i dati da Lei direttamente forniti (di seguito anche i “Dati”), quali:

• dati anagrafici, identificativi e di contatto inseriti in fase di registrazione e primo accesso all’APP e ogni qualvolta venga richiesta l’autenticazione per accedere all’applicazione (e.g., nome e cognome, indirizzo, email di contatto, numero di telefono);

• informazioni ricavate dall’utilizzo dello SPID e/o mediante procedura di riconoscimento da remoto (a tal proposito si rimanda all’informativa privacy “Riconoscimento da remoto”);

• informazioni sulla tipologia di log-in utilizzata per l’accesso;

• informazioni sulla posizione, anche con rilevamento in tempo reale, qualora il cliente desideri localizzare le filiali o gli atm della Banca e fornire informazioni utili ad arricchire ed ottimizzare le valutazioni di rischio a sua maggiore tutela fatte dal sistema antifrode della Banca;

• foto, multimedia e file archiviati sul dispositivo dell’utente, qualora sia necessario per la tipologia di operazione richiesta e sempre comunque a fronte di consenso dell’utente all’accesso;

• altro necessario al funzionamento dell’APP stessa (accesso di rete completo, flash, informazioni sul dispositivo e sul sistema operativo installato, memoria del dispositivo).

Ricordiamo che il conferimento dei dati è facoltativo, ma l’eventuale rifiuto all’accesso di specifiche risorse, informazioni o funzionalità del dispositivo sopra descritte, anche successivamente all’installazione dell’applicazione, può impedire il funzionamento di determinati servizi previsti dall’APP anche nelle sue successive versioni.

L’utente può sempre visualizzare e rimuovere selettivamente tali autorizzazioni accedendo alla sezione delle impostazioni del dispositivo personale.

La Banca, per fini statistici, potrà raccogliere informazioni relative al numero di utenti che hanno effettuato il download dell’App e ne sono utilizzatori nonché sulle interazioni degli utenti verso banner pubblicitari e/o menù in generale presenti sull’applicazione.

Per quei dati raccolti e trattati al fine di dare corretta esecuzione al rapporto contrattuale in essere, si rimanda all’informativa privacy consegnata in fase di onboarding (i.e., registrazione come nuovo cliente) nonché ai relativi consensi forniti.

In caso di richiesta di supporto per il funzionamento dell’applicazione, l’operatore potrebbe richiedere e segnalare all’utente la necessità di attivare e prestare il proprio consenso all’utilizzo di alcune tipologie di Dati, di cui sopra, le cui funzioni risultano bloccate dalle impostazioni del dispositivo dell’utente medesimo.

Infine, si informa l’interessato che, ove l’utente richieda di essere ricontattato accedendo alla relativa sezione presente nei banner esplicativi dei prodotti bancari per saperne di più, l’interessato presta il proprio consenso all’utilizzo dei propri dati di contatto a fronte di tale richiesta (c.d. azione di “call to action”).

3. FINALITÀ E BASE GIURIDICA DEL TRATTAMENTO.

Il Titolare informa che i Dati acquisiti tramite l’uso dell’applicazione ON, via mobile e/o web, sono trattati a fronte del consenso fornito dall’utente in sede di registrazione/autenticazione ai sensi dell’art. 6, par. 1, lett. a) del GDPR ovvero per dar seguito al rapporto contrattuale in essere tra la Banca e l’interessato ai sensi dell’art. 6, par. 1, lett. b) del GDPR.

In caso di contenzioso in essere tra le Parti ovvero per far fronte al pericolo ed eventuale successiva gestione di eventi di frode, la Banca può trattare dati relativi agli accessi e/o riferiti ai log in generale ai sensi dell’art. 6, par. 1, lett. f) del GDPR.

Con riferimento all’invio da parte dell’applicazione di Notifiche push, dell’utilizzo dei dati di geolocalizzazione dell’utente ove questi ne abbia autorizzato il funzionamento nelle impostazioni del proprio dispositivo e l’eventuale accesso al servizio di assistenza virtuale “Marion”, si rimanda al successivo paragrafo 4 per le specifiche sulle modalità di utilizzo dei relativi dati trattati.

4. MODALITÀ DI TRATTAMENTO DEI DATI PERSONALI.

Il trattamento dei Dati Personali avviene mediante strumenti informatici, telematici e manuali, con logiche strettamente correlate alle finalità stesse e, comunque, in modo da garantire la protezione, la riservatezza e la sicurezza, dei Dati medesimi ai sensi dell’art. 32 del GDPR. Il titolare tratta i Dati personali dei Clienti adottando le opportune misure di sicurezza volte ad impedire l’accesso, la divulgazione, la modifica o la distruzione non autorizzata dei dati personali. Si informa che nel caso in cui vengano riportati link o altri collegamenti a contenuti esterni all’App e non gestiti/controllati dalla Banca, questa non può esercitare alcun controllo sul contenuto degli stessi. Per quanto attiene al trattamento dei dati personali, si consiglia pertanto di fare riferimento alle privacy policy previste dai siti interessati.

NOTIFICA PUSH

L’Applicazione “ON”, utilizzata via mobile, offre delle funzionalità che eseguono l’invio di messaggistica istantanea grazie alla quale il messaggio perviene al destinatario senza che questo debba effettuare un’operazione di scaricamento (la cosiddetta “notifica push”).

La notifica push viene utilizzata sia per finalità contrattuali (ad esempio per notificare la richiesta di accesso all’applicazione tramite ON ID o per notificare la presenza di un documento da firmare a distanza), sia per proporre, anche attraverso la geolocalizzazione, proposte commerciali su prodotti offerti dalla Banca, anche indirizzati nello specifico all’utente a seconda della tipologia di rapporto contrattuale in essere tra le parti e dei servizi di cui al contratto stesso (e.g., nuovo servizio di finanziamento, nuova polizza assicurativa integrativa rispetto a quella già in essere), sulla base del consenso fornito dall’interessato al momento della sottoscrizione del contratto con la Banca ai sensi dell’art. 6, par. 1, lett. a) del GDPR.

Il servizio di notifica push, nel caso di sistema operativo iOS, viene attivato a seguito di un’autorizzazione fornita dall’utente, attraverso la scelta dell’opzione “Consenti” al momento dell’installazione dell’App “ON”; nel caso invece del sistema operativo Android, l’attivazione viene effettuata automaticamente al momento dell’installazione dell’App di Sparkasse ON. In ogni momento l’utente può comunque attivare o disattivare il servizio di notifica push accedendo alla sezione delle impostazioni dell’App “ON”.

LOCALIZZAZIONE NON PUNTUALE E NON CONTINUATIVA

L’App “ON”, mobile e/o web, offrono delle funzionalità che possono acquisire dati relativi alla posizione geografica dell’utente (GPS, Wi-FI, rete GSM). L’impostazione di localizzazione consente l’utilizzo del servizio di localizzazione degli ATM e delle filiali più vicine alla posizione geografica dell’utente e di calcolarne il percorso più veloce per raggiungerli. Inoltre, la raccolta di tali dati permette di inviare al cliente una notifica push (ove tale funzionalità sia attiva, cfr. paragrafo precedente “notifica push”) che presenta all’utente prodotti commerciali in linea con la località rilevata in cui risulta trovarsi l’utente.

Tali servizi vengono attivati a seguito di un’autorizzazione fornita dall’utente, attraverso la scelta dell’opzione “Consenti” al momento dell’installazione dell’App di Sparkasse ON. I dati sono raccolti solo quando l’Applicazione o il sito sono in uso.

In ogni momento l’utente può comunque attivare o disattivare i servizi di geolocalizzazione accedendo all’apposita sezione dei permessi nel menù impostazioni del proprio dispositivo personale. Mediante la disattivazione del servizio di geolocalizzazione, viene disattivato automaticamente l’invio delle notifiche push e non sarà più possibile consultare gli ATM e le filiali più vicine.

I servizi utilizzati da ON permettono il recupero di alcune informazioni di localizzazione attraverso firewall (come indirizzo IP, username, data/ora di accesso all’applicativo, device utilizzato) che vengono storicizzate ad uso esclusivo del team sicurezza della Banca ai fini audit e/o analisi antifrode per i successivi 24 mesi.

ASSISTENTE VIRTUALE

L’App “ON” offre la possibilità di usufruire dell’Assistente Virtuale (MariON), una funzione chatbot di IA che consente all’utente di essere guidato nella navigazione dell’applicativo.

L’utente ha la possibilità di dialogare con MariON sia attraverso il testo digitato sulla tastiera del dispositivo sia attraverso decodificazione del parlato in testo scritto. L’utilizzo dell’interazione vocale può essere attivato esclusivamente su iniziativa del cliente, mediante clic sull’apposita icona di MariON presente sulla Home Page dell’applicazione, con apposito ed esplicito consenso all’utilizzo del microfono del proprio dispositivo richiesto al primo utilizzo di MariON, revocabile in qualsiasi momento sia attraverso le impostazioni dell’applicazione sia attraverso le impostazioni del proprio dispositivo. Si precisa comunque che, in caso di utilizzo di comandi vocali, nessuna registrazione viene trasferita verso il motore dell’Assistente Virtuale e la conversione dell’audio in testo viene svolta dal sistema operativo dello smartphone dell’utente. A completezza si comunica che la sicurezza delle informazioni è garantita da cifratura end-to-end e che nessuna informazione classificabile come dato personale inerente alla conversazione è conservata dai sistemi utilizzati per rendere il servizio, venendo mascherati.

5. PERIODO DI CONSERVAZIONE DEI DATI PERSONALI.

I Dati saranno conservati nel rispetto della normativa applicabile per la protezione dei Dati Personali per un periodo di tempo pari a 10 anni dalla cessazione del rapporto.

In caso di controversia, ove non ancora eliminati i Dati potranno essere conservati per tutto il periodo necessario a garantire la difesa in giudizio dei diritti e degli interessi del Titolare ovvero per l’espletamento di richieste investigative dell'Autorità giudiziaria o di Polizia per l’accertamento e la repressione di reati.

6. SOGGETTI O CATEGORIE DI SOGGETTI CUI POSSONO ESSERE COMUNICATI I DATI O CHE POSSONO VENIRNE A CONOSCENZA.

Per il perseguimento delle finalità descritte al precedente punto 3, i Dati potranno essere trattati da nostri dipendenti e collaboratori espressamente autorizzati e nominati incaricati del trattamento, nonché dai soggetti terzi che operano in qualità di Responsabili Esterni del Trattamento.

Si informa l’interessato che l’applicazione “ON” è stata sviluppata da Links Management and Technology S.p.A. con sede in Lecce, via R. Scotellaro n. 55, P.I. 03351210756, soggetto nominato ai sensi dell’art. 28 del GDPR Responsabile Esterno del trattamento dei dati.

L’elenco di tutti i soggetti, costantemente aggiornato, può essere richiesto ai riferimenti sopra riportati.

I Dati Personali raccolti tramite l’applicazione “ON” potranno essere inoltre comunicati all’Autorità giudiziaria e alle Autorità pubbliche competenti nelle ipotesi e con le modalità previste dalla legge.

Il Titolare non diffonde i Dati e non li trasferisce verso Paesi che si trovano al di fuori dello Spazio Economico Europeo (“Extra SEE”), fatta eccezione delle trascrizioni delle conversioni intercorse con l’Assistente virtuale, conservate su server in cloud localizzati anche fuori dalla UE, a fronte del quale il Titolare ha eseguito le opportune valutazioni, analisi dei rischi e regolarizzazione del rapporto con il fornitore; in ogni caso le trascrizioni dei dialoghi intercorsi con l’assistente virtuale vengono conservate prive di dati personali che, ove presenti, vengono mascherati.

7. DIRITTI DELL’INTERESSATO.

Oltre al diritto di accesso concernente la possibilità di ottenere dal Titolare la conferma che sia in corso un trattamento dei propri Dati ai sensi dell’art. 15 GDPR, l’Interessato gode altresì dei diritti riconosciutigli agli artt. 16-21 del Regolamento e precisamente:

a) ottenere dal Titolare la rettifica dei Dati inesatti che lo riguardano senza ingiustificato ritardo, ovvero l'integrazione dei Dati Personali incompleti, anche fornendo una dichiarazione integrativa;

b) ottenere dal Titolare senza ingiustificato ritardo la cancellazione dei Dati Personali che lo riguardano, quando:

• i Dati non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti

• trattati;

• l’Interessato revoca il consenso al Trattamento dei Dati Personali e non sussiste altro fondamento giuridico per il Trattamento dei medesimi;

• l’Interessato si è opposto al Trattamento e non sussiste alcun motivo legittimo prevalente per procedere al Trattamento;

• i Dati Personali sono stati trattati illecitamente;

• i Dati Personali devono essere cancellati per adempiere ad un obbligo di legge cui è soggetto il Titolare;

c) ottenere dal Titolare la limitazione del trattamento dei Dati Personali quando:

• l’Interessato contesta l'esattezza dei Dati Personali, per il periodo necessario al Titolare per verificare detta circostanza;

• il Trattamento è illecito e l’Interessato opponendosi alla cancellazione dei Dati, chiede solamente che ne sia limitato l'utilizzo;

• benché il Titolare non ne abbia più bisogno ai fini del Trattamento, i Dati Personali sono necessari per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;

• l’Interessato si è opposto al Trattamento per il periodo necessario alla valutazione della prevalenza dei motivi legittimi del Titolare rispetto ai propri.

d) ricevere dal Titolare in un formato strutturato, di uso comune e leggibile da dispositivo automatico i Dati Personali da che lo riguardano se:

• il Trattamento si basa sul consenso o su un contratto;

• il Trattamento è effettuato con mezzi automatizzati. In tal caso l’Interessato ha il diritto di ottenere la trasmissione diretta dei Dati Personali da un Titolare all'altro, se tecnicamente fattibile

e) opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare al Trattamento dei Dati Personali che lo riguardano.

Per l’esercizio dei propri diritti, gli interessati possono rivolgersi al Titolare agli indirizzi e nelle modalità meglio descritte al punto 1 della presente informativa.

L’Interessato ha la possibilità di proporre reclamo all’Autorità Garante per la Protezione dei Dati Personali, contattabile al sito web https://www.garanteprivacy.it/ ove ritenesse il mancato rispetto da parte del Titolare degli obblighi di cui alla normativa GDPR.