C. Trattamenti di dati personali e cookies
Inquadramento giuridico e nozioni generali
Diritto applicabile
Il trattamento dei dati personali tramite il Sito è disciplinato dal diritto svizzero in materia di protezione dei dati, in particolare dalla Legge cantonale ticinese sulla protezione dei dati personali (nel seguito, “LPDP”) e dalla Legge federale sulla protezione dei dati (nel seguito, “LPD”), nei rispettivi ambiti di applicazione, nonché, ove applicabile, dal Regolamento (UE) 2016/679 (nel seguito, “GDPR”).
La LPDP si applica in relazione alle attività che comprendono lo svolgimento, direttamente o per conto di terzi, di compiti pubblici stabiliti dal diritto cantonale o comunale. Per contro, ove il trattamento dei dati personali sia di natura economica e non discenda da un potere sovrano, il trattamento medesimo è disciplinato dalla LPD.
Nozione di “dato personale” secondo la LPDP
Si tratta di indicazioni o informazioni che direttamente o indirettamente permettono di identificare una persona, sia essa fisica o giuridica.
Nozione di “dato personale” secondo la LPD
Si tratta di tutte le informazioni concernenti una persona fisica identificata o identificabile, come nome, cognome, indirizzo, data di nascita, dati sul consumo, e-mail, numero di telefono, indirizzo IP (di cosa si tratta?), preferenze e interessi personali, acquisti effettuati, pagine web visitate, dati sulla geolocalizzazione ecc.
Nozione di “dato personale meritevole di particolare protezione” secondo la LPDP
Si tratta di informazioni sulle opinioni o sulle attività religiose, filosofiche o politiche, la sfera intima, lo stato psichico, mentale o fisico, come pure quelle sui reati commessi, le relative pene inflitte e i provvedimenti adottati.
Nozione di “dato degno di particolare protezione” secondo la LPD
Si tratta di dati personali particolarmente sensibili: (i) dati riguardanti le opinioni o attività religiose, filosofiche, politiche o sindacali, la salute, la sfera intima o l’appartenenza a una razza o a un’etnia, (ii) dati genetici, (iii) dati biometrici che identificano in modo univoco una persona fisica, (iv) dati concernenti perseguimenti e sanzioni amministrativi e penali, (vi) dati concernenti le misure d’assistenza sociale.
Nozione di “profilazione”
Si tratta del trattamento automatizzato di dati personali consistente nell’utilizzazione degli stessi per valutare determinati aspetti personali di una persona fisica, in particolare per analizzare o prevedere aspetti concernenti il rendimento professionale, la situazione economica, la salute, le preferenze, gli interessi, l’affidabilità, il comportamento, i luoghi di permanenza e gli spostamenti di tale persona.
Nozione di “profilazione a rischio elevato”
Si tratta di profilazione che comporta un rischio elevato per la personalità o i diritti fondamentali della persona interessata poiché comporta un collegamento tra dati che permette di valutare aspetti essenziali della personalità di una persona fisica.
Obbligo dell’Utente di proteggere credenziali d’accesso e dispositivi personali
L’uso di Internet e dell’e-mail è esposto a rischi di sicurezza. L’Utente ha il dovere di provvedere alla sicurezza dei propri dispositivi e delle proprie password (in particolare le password relative al Sito e alla propria e-mail) mediante adeguati provvedimenti tecnici e organizzativi
Obbligo dell’Utente di comunicare dati corretti nonché eventuali modifiche dei dati personali
L’Utente è responsabile per la correttezza dei dati personali comunicati al Titolare. Egli deve parimenti comunicare spontaneamente e tempestivamente ogni modifica dei dati personali affinché i registri possano essere mantenuti costantemente aggiornati.
Motivi giustificativi dei trattamenti dei dati personali
Un trattamento di dati personali è illecito quando costituisce una violazione della personalità. Quest’ultima può essere giustificata sulla base del consenso della persona interessata, di un interesse preponderante pubblico o privato oppure della legge. Un interesse preponderante privato sussiste, in particolare, se il trattamento è necessario in vista della fornitura di beni e/o servizi richiesti dal cliente. Ove richiesto dalla legge, ad esempio nel caso di determinate attività di marketing o pubblicitarie che comportano la profilazione dell’Utente oppure l’adozione di decisioni automatizzate oppure ancora il trattamento di dati personali degni di particolare protezione, il Titolare sottopone all’Utente una richiesta di consenso informato tramite i canali elettronici (online oppure per e-mail) oppure analogici (posta ordinaria).
Esclusioni di responsabilità
Considerata la natura di Internet quale “rete aperta”, il Titolare non garantisce che i dati forniti dall’Utente non possano essere intercettati o acquisiti da terzi non autorizzati. L’Utente è inoltre esclusivamente responsabile per la scelta del proprio fornitore di servizi di posta elettronica e per il trattamento corretto e sicuro dei propri dati personali al di fuori del Sito.
Fornitori specializzati di servizi a contatto con i dati personali
Il Titolare si avvale di fornitori esterni di servizi nel campo dell’informatica per garantire il corretto funzionamento del Sito. Tali fornitori hanno accesso ai dati solo nella misura strettamente necessaria per lo svolgimento dei loro compiti, previa assunzione, mediante convenzione, di severi obblighi di riservatezza e non uso in relazione ai dati personali. Devono inoltre essere stabiliti in Svizzera oppure (ove strettamente necessario) in Stati esteri al beneficio di una decisione di adeguatezza del Consiglio federale. L’elenco completo e aggiornato dei fornitori è disponibile in visione presso la sede del Titolare. Per ragioni di sicurezza dei dati e dei sistemi informatici, talune informazioni potrebbero essere anonimizzate oppure mascherate.
Relazione con il diritto europeo della protezione dei dati personali
La Svizzera non è uno Stato membro dell’Unione europea (UE), per cui il diritto europeo non risulta direttamente applicabile. L’art. 3 cpv. 2 del Regolamento (UE) 2016/679 (GDPR) specifica che la normativa si applica a soggetti stabiliti fuori dall’UE nel caso di trattamenti di dati che dipendono da: (i) offerta di beni o servizi a persone fisiche nell'UE oppure (ii) monitoraggio del comportamento di persone fisiche nell’UE.
Il Titolare non indirizza l’attività verso l’UE, né sorveglia il comportamento di coloro che si trovano nell’UE, per cui il GDPR risulta inapplicabile. Il diritto svizzero offre una protezione adeguata dei dati personali, così come accertato dalla Commissione europea in data 26 luglio 2000 (la decisione di adeguatezza è scaricabile qui).
In caso (eccezionale) di assoggettamento al GDPR, il presente documento vale quale informativa ai sensi e per gli effetti degli art. 13 e 14 GDPR. Oltre a beneficiare di tutte le tutele previste dal GDPR, l’Utente può far valere i diritti come espressi dagli artt. 15, 16, 17, 18, 19, 20, 21, 22 GDPR, rivolgendosi al Titolare. L’Utente ha il diritto, in qualunque momento, nei limiti e alle condizioni stabilite dal GDPR, di chiedere l’accesso ai propri dati personali, la rettifica, la cancellazione degli stessi, la limitazione del trattamento che lo riguarda o di opporsi al trattamento, nonché di esercitare il diritto alla portabilità dei dati personali. Qualora il trattamento sia basato sull’articolo 6, paragrafo 1, lettera a) oppure sull’articolo 9, paragrafo 2, lettera a) GDPR, l’Utente ha il diritto di revocare il consenso in qualsiasi momento. Ha pure il diritto di proporre reclamo all’Autorità di controllo competente. Nel caso di richiesta di portabilità del dato, il Titolare fornisce, in un formato strutturato di uso comune e leggibile da dispositivo automatico, i dati personali che riguardano l’Utente, fatti salvi i commi 3 e 4 dell’art. 20 GDPR.
Riservato ogni altro ricorso amministrativo e giurisdizionale, se ritiene che il trattamento dei dati personali che lo riguarda violi quanto previsto dal GDPR, l’Utente ha il diritto di proporre reclamo alla competente Autorità di sorveglianza per la protezione dei dati personali (UE: elenco delle Autorità nazionali).
In nessun caso i riferimenti al GDPR sono da intendersi quale assoggettamento volontario a tale normativa, rispettivamente alla sorveglianza e/o al potere decisionale di qualsiasi Autorità estera (rispetto alla Svizzera).
Per la Newsletter e per le analisi facoltative descritte di seguito, il consenso costituisce la base del trattamento ai sensi dell’articolo 6, paragrafo 1, lettera a), GDPR, ove applicabile; per il funzionamento tecnico del Sito e per la gestione dei collegamenti brevi, la base è l’interesse legittimo del Titolare a garantire la fruibilità e la sicurezza del Sito e a misurare l’efficacia delle proprie comunicazioni (articolo 6, paragrafo 1, lettera f), GDPR). La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.
Informazioni di dettaglio sulle attività di trattamento di dati personali
1. Navigazione sul Sito
1.1 Funzionamento tecnico e sicurezza
- identità e contatti del titolare del trattamento: cfr. paragrafo A. precedente;
- scopo del trattamento e relativo motivo giustificativo (ove si applichi la LPDP): consentire l’accesso e l’uso del Sito, il reindirizzamento dai domini collegati e il funzionamento sicuro dell’infrastruttura;
- categorie di dati personali trattati: indirizzo IP del dispositivo utilizzato dall’Utente, pagine e risorse richieste e dati tecnici connessi alla navigazione e al funzionamento del Sito;
- destinatari o categorie di destinatari dei dati personali: fornitori incaricati della realizzazione, dell’hosting e della manutenzione del Sito, inclusa Tinext per le attività affidatele, nei limiti necessari allo svolgimento dei rispettivi compiti;
- trasferimenti all’estero e garanzie di protezione adottate (rispetto alla Svizzera): nessun trasferimento all’estero; l’infrastruttura di hosting del Sito, gestita da Tinext, si trova in Svizzera. I trattamenti effettuati tramite i servizi esterni sono descritti separatamente di seguito;
- diritti della persona interessata: cfr. paragrafo D. seguente;
- conservazione e trasparenza: gli indirizzi IP salvati nei log del server sono eliminati ogni 28 giorni, secondo il criterio dell’infrastruttura di riferimento. Informazioni di dettaglio sulla conservazione possono essere richieste a privacy@luganoregion.com. Questo termine non si riferisce ai dati di Google Analytics, Short.io o Mailchimp.
1.2 Analisi statistiche con Google Analytics 4
- scopo e base del trattamento: analizzare l’andamento della navigazione e migliorare i contenuti del Sito. Google Analytics 4 (GA4) è utilizzato soltanto previo consenso dell’Utente tramite il sistema di gestione dei cookie. ETL non utilizza queste analisi per pubblicità personalizzata, profilazione degli interessi o collegamenti con Google Ads;
- categorie di dati personali trattati: identificativi online, informazioni sulle pagine visitate e sulle interazioni, dati del browser e del dispositivo e informazioni approssimative sull’area geografica. Non sono previste la raccolta di interessi pubblicitari o la trasmissione a GA4 dei dati immessi nel modulo Newsletter;
- destinatari e trasferimenti: Google Ireland Limited e i fornitori coinvolti nell’erogazione di Google Analytics secondo i relativi termini sul trattamento dei dati. Il servizio utilizza un’infrastruttura internazionale e può comportare trattamenti negli Stati Uniti. Per i trasferimenti coperti si applicano i quadri Swiss–U.S. ed EU–U.S. Data Privacy Framework; negli altri casi, ove necessario, le garanzie contrattuali previste da Google;
- conservazione e scelte dell’Utente: i dati sono conservati per il periodo necessario alla valutazione dell’andamento del Sito e delle iniziative Zaubersee, nei limiti della configurazione del servizio; i dati non più necessari sono eliminati o resi anonimi. La durata dei cookie, distinta dalla conservazione dei dati del servizio, è indicata nella Cookie Policy del Sito. Il consenso può essere modificato o revocato riaprendo le preferenze cookie;
Ulteriori informazioni: trattamento dei dati da parte di Google e garanzie per i trasferimenti. Per i diritti, cfr. paragrafo D.
2.Gestione dei link brevi (Short.io)
Il Titolare può utilizzare collegamenti brevi con il dominio go.luganoregion.com per rinviare a pagine di Zaubersee. La presente sezione descrive il trattamento effettuato quando l’Utente utilizza tali collegamenti brevi.
- identità e contatti del titolare del trattamento: cfr. paragrafo A. precedente;
- scopo del trattamento e relativo motivo giustificativo (ove si applichi la LPDP): (i) generare e gestire collegamenti brevi (short link) che rinviano a pagine del Sito, segnatamente pagine informative e promozionali destinate ai turisti; (ii) agevolare la condivisione di tali collegamenti sui canali di comunicazione del Titolare (social media, newsletter, materiale promozionale); (iii) misurare in forma aggregata l’efficacia delle campagne di comunicazione (numero di click);
- categorie di dati personali trattati: (i) indirizzo IP del dispositivo utilizzato dall’Utente; (ii) dati tecnici del dispositivo e del browser (user agent, sistema operativo, lingua); (iii) provenienza del click (referrer) e dato di geolocalizzazione approssimativa derivato dall’indirizzo IP (Paese / regione); (iv) data e ora del click;
- destinatari o categorie di destinatari dei dati personali: abbiamo delegato il trattamento di dati personali nell’ambito del servizio di accorciamento e tracciamento dei collegamenti al seguente fornitore di servizi informatici: SHORT.IO (https://short.io):
- SHORT.IO mette a disposizione e gestisce il servizio di creazione di collegamenti brevi e ne registra i relativi click;
- SHORT.IO raccoglie i seguenti dati personali: indirizzo IP del dispositivo utilizzato dall’Utente; dati tecnici del dispositivo e del browser; provenienza del click; dato di geolocalizzazione approssimativa; data e ora del click;
- trasferimenti all’estero e garanzie di protezione adottate (rispetto alla Svizzera): nessun soggetto terzo, ad eccezione di SHORT.IO (quale Responsabile del trattamento), limitatamente ai dati specificati nel paragrafo precedente; Stato di destinazione Germania (Paese con un livello adeguato di protezione dei dati ai sensi della legge sulla protezione dei dati Svizzera);
- diritti della persona interessata: cfr. paragrafo D. seguente;
- complementi a supporto del principio di trasparenza: (i) puoi richiedere informazioni dettagliate sulla politica di conservazione dei dati personali nell’ambito di uno specifico trattamento scrivendo a privacy@luganoregion.com ; (ii) i dati di click di dettaglio (click stream) sono conservati dal fornitore per 12 mesi, mentre i dati statistici aggregati sono conservati per 26 mesi, al termine dei quali sono automaticamente cancellati; (iii) i dati sono archiviati esclusivamente nei data center del fornitore in Germania (Francoforte) e non sono trasferiti negli Stati Uniti.
3. Newsletter
- identità e contatti del titolare del trattamento: cfr. paragrafo A. precedente;
- scopo e base del trattamento: La Newsletter è un servizio gratuito e opzionale di aggiornamento sull’evento Zaubersee e sulle sue successive edizioni. Può comprendere informazioni su attività e offerte della regione pertinenti all’evento e al soggiorno dei visitatori, con collegamenti al sito di Lugano Region. L’iscrizione non comporta l’inserimento nella mailing-list della newsletter generale di Lugano Region. L’iscrizione è basata sul consenso e viene confermata tramite e-mail (double opt-in). La lista è autonoma: non sono importati contatti da Salesforce o altre liste e gli iscritti non vengono trasferiti a Salesforce;
- categorie di dati personali trattati: (i) indirizzo e-mail; (ii) nome e cognome; (iii) lingua; (iv) indirizzo IP del dispositivo, data e ora dell’iscrizione e della relativa conferma; (v) dati relativi all’apertura delle e-mail e ai collegamenti attivati, alle condizioni descritte nel punto seguente. Il modulo distingue i campi obbligatori da quelli facoltativi;
- rilevazioni statistiche: La rilevazione delle aperture delle e-mail e dei clic sui collegamenti per misurare l’efficacia della Newsletter è effettuata soltanto dopo un consenso facoltativo e distinto dall’iscrizione. Queste informazioni possono essere associate all’indirizzo e-mail del destinatario. ETL non le utilizza per segmentare i destinatari in base agli interessi o personalizzare i contenuti. Il rifiuto o la revoca di questo consenso non impediscono di ricevere la Newsletter. La revoca è possibile attraverso le modalità indicate in ogni invio oppure scrivendo a privacy@luganoregion.com;
- terzi che trattano i dati personali per nostro conto: Gestiamo la Newsletter tramite Mailchimp, servizio di The Rocket Science Group LLC, gruppo Intuit, con sede ad Atlanta, Stati Uniti. Per la raccolta delle iscrizioni e la gestione e l’invio della Newsletter, il fornitore tratta i dati per conto dell’ETL secondo il Data Processing Addendum (DPA).
- trasferimenti all’estero e garanzie adottate: L’utilizzo di Mailchimp comporta il trasferimento e la conservazione di dati negli Stati Uniti. The Rocket Science Group LLC è compresa nella certificazione Intuit allo Swiss–U.S. Data Privacy Framework e all’EU–U.S. Data Privacy Framework. Per i trasferimenti coperti da tali quadri si applicano i rispettivi riconoscimenti di adeguatezza (per la Svizzera: art. 16 cpv. 1 LPD e allegato 1 OPDa); ove siano necessarie altre garanzie, il DPA prevede clausole contrattuali tipo. Il fornitore può avvalersi di subresponsabili secondo il DPA; le loro localizzazioni sono indicate nell’elenco aggiornato del servizio.
Documenti del fornitore: DPA Mailchimp e elenco dei subresponsabili.
- conservazione: I dati degli iscritti sono conservati finché l’iscrizione resta attiva. In caso di disiscrizione vengono eliminati entro 30 giorni, ad eccezione delle informazioni minime necessarie a documentare il consenso e la revoca e a escludere l’indirizzo da ulteriori invii. ETL riesamina periodicamente la lista, tenendo conto della prosecuzione dell’evento e della frequenza degli invii; qualora l’evento non venga più organizzato, la lista è cancellata entro 12 mesi dall’ultima edizione;
- diritti e ulteriori informazioni: cfr. paragrafo D. seguente e Newsletter Policy del Sito. La disiscrizione è possibile in ogni momento, con cessazione degli invii, tramite il collegamento presente in ogni Newsletter. ETL non vende né cede gli indirizzi a terzi per il marketing di questi ultimi; resta il trattamento da parte dei fornitori descritti nella presente Informativa.
Eventuali nuove attività
L’eventuale attivazione di concorsi o di ulteriori moduli di raccolta dati è accompagnata, prima della raccolta, dalle informazioni specifiche sul trattamento e, ove necessario, dalla richiesta di consenso. La partecipazione a un concorso non comporta automaticamente l’iscrizione alla Newsletter.
Utilizzo di cookies e relativa gestione
Cosa sono i cookie?
I cookie sono piccoli file di testo depositati nel sistema dell’Utente dai server durante la navigazione in rete. Grazie ai cookie, i server sono in grado di riconoscere il navigatore dell’Utente (browser) durante la navigazione corrente e in caso di visita successiva.
Le tipologie di cookie
I cookie sono suddivisi in varie tipologie.
- Quando il soggetto che deposita il cookie sul sistema dell’Utente coincide con il sito visitato, il cookie è detto di “prima parte”. Diversamente, è detto di “terza parte”.
- I cookie “di sessione” vengono automaticamente cancellati quando l’Utente chiude il browser, mentre i cookie “persistenti” restano memorizzati fino alla loro data di scadenza. I cookie “tecnici” rendono possibile la navigazione sicura e agevole sul web nonché la fornitura dei servizi e dei contenuti richiesti dall’Utente.
- I cookie “analitico-statistici” sono assimilati ai cookie tecnici quando sono utilizzati direttamente dal sito per raccogliere informazioni, in forma aggregata, sul numero degli Utenti e su come questi interagiscono con il sito.
- I cookie di “tracciamento“ / “profilazione” sono cookie, generalmente di terza parte, utilizzati per rilevare e analizzare il comportamento online dell’Utente, segnatamente allo scopo di sottoporgli annunci pubblicitari personalizzati.
L’utilizzo di GA4 sul Sito è comunque subordinato alla scelta dell’Utente per le statistiche: la sola disponibilità di risultati aggregati non determina la sua assimilazione ai cookie tecnici.
Quali cookie implementa il Sito?
L’elenco dei cookie in uso e le informazioni sui relativi fornitori, finalità e durate sono disponibili nella Cookie Policy di Zaubersee, accessibile dal collegamento posto in calce alle pagine del Sito.
È riservato l’obbligo di informare del Titolare in merito alle attività di trattamento svolte nella propria funzione di Titolare del trattamento con i dati raccolti tramite i cookie (cfr. paragrafi precedenti).
Possibilità di disattivazione / cancellazione dei cookie
L’Utente ha la possibilità, tramite il plug-in di gestione dei cookie presente sulla home-page del Sito, di scegliere liberamente quali cookie autorizzare e quali rifiutare. Sussiste la possibilità di negare con un click il consenso ai cookie non strettamente necessari (inclusi i cookie statistico - analitici), mantenendo attivi i cookie tecnici. L’Utente ha anche la possibilità di impostare il proprio browser affinché lo informi sulla ricezione dei cookie oppure blocchi i cookie (in maniera generalizzata oppure per tipologia di cookie oppure ancora per sito di provenienza). Il blocco generalizzato dei cookie, dato che lo stesso si applica anche ai cookie tecnici, può determinare limitazioni nell’uso del Sito. Si raccomanda di cancellare manualmente i cookie dalla memoria del browser, come pure di impostare il browser affinché cancelli automaticamente i cookie alla chiusura del programma.
Per impostazione predefinita, i browser accettano generalmente i cookie. Le istruzioni per disattivare o cancellare i cookie sono disponibili sul sito dello sviluppatore del browser (cui si rinvia).
Esistono altri modi per ridurre il rischio di tracciamento online (utilizzabili cumulativamente):
Gestione delle preferenze tramite Cookiebot
Per raccogliere, conservare e rispettare le scelte relative ai cookie utilizziamo Cookiebot, servizio di Usercentrics A/S, Danimarca. Il servizio tratta le preferenze espresse, l’identificativo e la data della scelta e le informazioni tecniche necessarie alla gestione del consenso, quali pagina visitata, lingua, dati del browser e indirizzo IP. Il trattamento è finalizzato a rispettare e documentare le scelte dell’Utente e non richiede l’accettazione delle statistiche o del marketing.
Il DPA del servizio indica hosting in Irlanda e nei Paesi Bassi e fornitori di distribuzione dei contenuti che, in funzione della configurazione utilizzata, possono comportare trattamenti anche negli Stati Uniti. Le condizioni del servizio e le garanzie sui trasferimenti, incluse le clausole contrattuali applicabili, sono riportate nel DPA. Il fornitore indica la cancellazione periodica dei dati degli utenti finali dopo 12 mesi dalla registrazione; le durate dei cookie sono riportate separatamente nella Cookie Policy del Sito.
Ulteriori informazioni: DPA Cookiebot e informativa del fornitore.
Collegamento al profilo Instagram
Il Sito contiene un semplice collegamento al profilo Instagram, non un feed o un widget incorporato. Attivando il collegamento, l’Utente accede alla piattaforma esterna, sulla quale si applicano le informative del relativo fornitore. L’accesso al profilo non comporta l’iscrizione alla Newsletter Zaubersee.
Informazioni del fornitore: informativa privacy Instagram.
