Informativa sulla Privacy

1. Identità del titolare e canali di contatto

Il titolare del trattamento dei dati personali trattati nell’ambito dell’applicazione Okeanun per subacquei (di seguito, l’“Applicazione” o il “Servizio”) è MUNAEKO DEVELOPMENT SOFTWARE SOLUTIONS, S.L. (marchio “Okeanun”), con codice fiscale B88989868 e sede legale in Gran Vía Manuel López Carreño, 1, 2.º, 30180 Bullas, Murcia, Spagna. Per qualsiasi questione relativa alla privacy, nonché per l’esercizio dei diritti nei trattamenti in cui Okeanun agisce come titolare, è disponibile il canale [email protected]. La presente Informativa costituisce informazione aggiuntiva o “secondo livello”, secondo lo schema di informativa a livelli, ed è concepita per essere concisa, trasparente, intelligibile e facilmente accessibile, con linguaggio chiaro, restando permanentemente accessibile nell’Applicazione e, ove pertinente, negli ambienti web associati.

2. Principi applicabili al trattamento

Okeanun tratta i dati personali secondo i principi di liceità, correttezza e trasparenza; limitazione della finalità; minimizzazione; esattezza; limitazione della conservazione; integrità e riservatezza; e responsabilizzazione. In particolare, Okeanun adotta un approccio di responsabilizzazione (accountability), il che implica adottare misure tecniche e organizzative adeguate ed essere in grado di dimostrare la conformità del trattamento, riesaminandole e aggiornandole ove necessario; tale approccio si articola mediante politiche interne, documentazione delle decisioni, controlli di accesso e misure di tracciabilità, particolarmente rilevanti quando il Servizio integra accessi da parte di terzi (centri) o gestisce documentazione potenzialmente sensibile.

3. Ruoli e scenari di trattamento: Okeanun e centri di immersione

Nell’ecosistema Okeanun possono coesistere trattamenti con titolari diversi, a seconda dello scenario e della finalità concreta. In via generale, Okeanun agisce come titolare rispetto ai trattamenti necessari per far funzionare l’account Okeanun e il Servizio (ad esempio, registrazione, autenticazione, manutenzione, assistenza, sicurezza e funzionamento del livello sociale). Inoltre, determinati centri di immersione agiscono come titolari autonomi rispetto ai dati che trattano per gestire le proprie prenotazioni, attività, corsi, immersioni e obblighi verso i subacquei; in tali ipotesi, Okeanun può trattare dati per conto del centro in qualità di responsabile del trattamento. L’incarico è formalizzato mediante contratto o altro atto giuridico con il contenuto richiesto, incluso il trattamento secondo istruzioni documentate, l’impegno di riservatezza, le misure di sicurezza, l’assistenza al titolare nell’esercizio dei diritti, la disciplina dei sub-responsabili, la restituzione o cancellazione al termine della prestazione e la messa a disposizione di informazioni per le verifiche.

4. Quali dati personali trattiamo

In funzione dell’uso del Servizio, Okeanun può trattare le seguenti categorie di dati personali, in conformità al principio di minimizzazione:

• a) Dati identificativi e di account: nome e cognome (se forniti), alias/nome utente, identificativi interni, email, credenziali e preferenze dell’account.
• b) Dati di contatto: ad esempio, telefono e telefono di emergenza (se forniti).
• c) Dati di attività e contenuti: registrazioni del diario di immersioni (logbook), pubblicazioni, commenti, reazioni e contenuti che la persona utente carichi o generi nel Servizio.
• d) Fotografie del logbook e contenuti multimediali: fotografie inserite dalla persona utente nelle proprie registrazioni, che possono contenere immagini di terzi.
• e) Grafo sociale: amicizie, “buddy”, inviti e relazioni sociali all’interno dell’Applicazione.
• f) Dati di localizzazione: posizione associata alle immersioni quando l’utente la inserisca nelle proprie registrazioni o attivi funzionalità che la richiedano.
• g) Dati economici verso i centri: informazioni relative a importi in sospeso, voucher o richieste di pagamento quando la persona utente utilizzi funzionalità che li richiedano.
• h) Dati tecnici e di sicurezza: dati necessari al funzionamento e alla protezione del Servizio ed evidenze di tracciabilità in operazioni sensibili (ad esempio, conferma o rifiuto di un collegamento con un centro), inclusi, ove pertinente, indirizzo IP e dati del browser/dispositivo.
• i) Metadati di dichiarazioni o accettazioni: prova dell’accettazione e relativa tracciabilità (ad esempio, marcature temporali e metadati associati), con finalità probatoria della decisione dell’utente e di sicurezza del Servizio.
• j) Documentazione del subacqueo, incluse categorie particolari: certificazioni e assicurazione; e, se l’utente decide di fornirli, questionari, certificati medici o altra documentazione relativa alla salute. I dati relativi alla salute costituiscono categorie particolari di dati e sono soggetti a un regime rafforzato di garanzie.
• k) Dati antropometrici e fisiologici: peso, altezza, numero di calzatura, zavorra preferita e SAC. Tali dati, pur non essendo categoria particolare, sono trattati con cautele rafforzate di accesso data la loro prossimità alla sfera della salute, sono limitati alle finalità di preparazione dell’attrezzatura e stima del consumo e non sono inclusi nella directory visibile ai centri privi di collegamento (livello 0).

5. Finalità del trattamento e basi giuridiche

Okeanun tratta i dati personali per finalità determinate, esplicite e legittime, individuando per ciascun trattamento la base giuridica applicabile e garantendo che, quando siano trattate categorie particolari, si applichi il corrispondente regime rafforzato.

• a) Registrazione, autenticazione, gestione dell’account e fornitura delle funzionalità del Servizio. Base giuridica: esecuzione di un contratto o misure precontrattuali richieste dalla persona utente.
• b) Assistenza e supporto all’utente. Base giuridica: esecuzione del contratto.
• c) Comunicazioni operative necessarie per il Servizio. Base giuridica: esecuzione del contratto e/o legittimo interesse, nella misura in cui siano necessarie e proporzionate al funzionamento del Servizio.
• d) Sicurezza e integrità del Servizio, tracciabilità e prevenzione di usi impropri. Base giuridica: legittimo interesse, con misure tecniche e organizzative adeguate e controlli di accesso.
• e) Directory di qualificazione visibile ai centri privi di collegamento preesistente (livello 0). Base giuridica: legittimo interesse. L’utente può esercitare il diritto di opposizione mediante il controllo/interruttore disponibile nell’Applicazione, il cui effetto è l’esclusione dalla directory di livello 0.
• f) Verifica del collegamento subacqueo↔centro e prova dell’operazione. Base giuridica: esecuzione del contratto e, ove pertinente, conservazione delle evidenze dell’accettazione/decisione dell’utente e della relativa revoca, con finalità probatoria e di sicurezza.
• g) Trattamento di documentazione medica o dati sanitari forniti dall’utente. Quando la persona utente decide di fornire dati relativi alla salute, il trattamento è effettuato su base giuridica adeguata e nel regime rafforzato applicabile alle categorie particolari, incluso, ove pertinente, il consenso esplicito per finalità specifiche; il consenso può essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato prima della revoca.

6. Directory di qualificazione e livelli di accesso per i centri

Il Servizio può includere una directory di qualificazione visibile ai centri privi di collegamento (livello 0). A tale livello, il centro può visualizzare unicamente i campi strettamente necessari e configurati a tale scopo, tra cui: nome e cognome, alias, avatar, identificativo interno di Okeanun, totale delle immersioni, data dell’ultima immersione, capacità derivate dalle certificazioni e, per ciascuna certificazione, ente certificatore (incluso il logo), nome del corso, livello e stato di verifica, nonché metadati funzionali strettamente necessari (type, isOkeanunUser). Al livello 0 non sono esposti dati di contatto (email, telefono), dati assicurativi, dati antropometrici e fisiologici, informazioni mediche o da esse derivate, immagini di documentazione sanitaria, identificativi di certificazione verificabili presso terzi (ad esempio, numero di certificazione) né date di scadenza delle certificazioni. Tale delimitazione risponde ai principi di minimizzazione e di protezione dei dati per impostazione predefinita quanto all’accessibilità dei dati da parte di terzi.

L’accesso di un centro a informazioni del subacqueo oltre il livello 0 (di seguito, “livello 1 o superiore”) non è abilitato per il solo fatto che il centro effettui una ricerca nella directory né per la semplice esistenza di una prenotazione creata dal centro. Per abilitare il livello 1 o superiore deve esistere un rapporto preesistente con il centro considerato verificato secondo la logica del Servizio. A tal fine, si considerano presupposti abilitanti del livello 1 o superiore: (i) l’esistenza di un collegamento verificato subacqueo↔centro e (ii) l’appartenenza al centro (ad esempio, quando il subacqueo sia titolare, contitolare o personale/staff del centro), ipotesi in cui l’accesso deriva dall’appartenenza al centro.

Il collegamento verificato può essere confermato attraverso canali diversi, descritti separatamente per garantire trasparenza sulle modalità di concessione dell’accesso: (a) accettazione espressa dall’Applicazione in una schermata dedicata alla richiesta di accesso del centro, in cui è mostrato l’ambito di accesso e sono offerte le opzioni “Accetta”, “Rifiuta” o “Non ora”; (b) accettazione espressa mediante link inviato per posta elettronica, con validità temporale, che conduce allo stesso flusso di conferma; e (c) nel caso di una prenotazione effettuata nel portale di un centro usando l’identità Okeanun da parte dello stesso titolare della prenotazione (autenticazione e azione per conto proprio), il collegamento può considerarsi verificato senza una schermata aggiuntiva. Tale verifica automatica opera solo rispetto al titolare che agisce per sé e non rispetto ad accompagnatori o altre persone incluse nella prenotazione, che riceveranno una propria richiesta individuale di conferma ove opportuno.

Inoltre, il Servizio può mantenere stati intermedi di rapporto con un centro per riflettere situazioni operative in cui esiste un legame commerciale (ad esempio, prenotazione o voucher) senza che l’utente abbia confermato un collegamento verificato: in tali casi, il centro non accede al fascicolo Okeanun del subacqueo (livello 1 o superiore), bensì unicamente a quanto strettamente necessario per gestire il proprio rapporto (ad esempio, il proprio storico di prenotazioni, saldi, voucher attivi e, se del caso, profili “guest” e documentazione raccolta dal centro stesso), agendo il centro come titolare rispetto a tale trattamento.

7. Diritto di opposizione alla directory di livello 0

Quando la directory di livello 0 si fonda sul legittimo interesse, la persona utente può opporsi in qualsiasi momento mediante il controllo disponibile nell’Applicazione. L’effetto dell’opposizione è l’esclusione dell’utente dai risultati della directory per i centri privi di collegamento. L’opposizione non incide sull’accesso dei centri con collegamento verificato né sull’accesso derivante da un rapporto di appartenenza a un centro.

8. Destinatari e categorie di destinatari

In via generale, Okeanun non comunica dati a terzi salvo quando ciò sia necessario per prestare il Servizio, quando sussista un obbligo di legge o quando la persona utente attivi funzionalità che comportino la condivisione di dati con un centro specifico (ad esempio, collegamento, prenotazioni o gestione documentale associata al centro).

• a) Centri di immersione — centro collegato o con appartenenza: quando esista un collegamento verificato o un rapporto di appartenenza, il centro può accedere ai dati necessari nell’ambito del livello abilitato per gestire prenotazioni, corsi, immersioni, verifiche e obblighi connessi. Nel trattamento che il centro effettua per finalità proprie, il centro agisce come titolare.
• a) Centri di immersione — centro non collegato: accesso alla directory di livello 0. In tale ipotesi, il centro ricevente diviene titolare autonomo rispetto al trattamento che effettua a partire dalla ricezione dei dati e dovrà adempiere al proprio obbligo informativo ove applicabile, in particolare quando i dati non siano ottenuti direttamente presso l’interessato.
• b) Fornitori (responsabili e sub-responsabili): Okeanun si avvale di fornitori tecnologici per prestare il Servizio (ad esempio, hosting e infrastruttura, database, archiviazione ed elaborazione di immagini, email transazionali, autenticazione, mappe, diagnostica degli errori, supporto/gestione ticket e pagamenti). Tali fornitori trattano dati per conto di Okeanun in qualità di responsabili o sub-responsabili, secondo istruzioni documentate e con obblighi contrattuali adeguati, inclusa la disciplina dei sub-responsabili e la trasparenza sui relativi cambiamenti ove applicabile. L’elenco nominativo e aggiornato di fornitori e sub-responsabili, con indicazione delle ubicazioni e, ove pertinente, dei meccanismi di trasferimento internazionale, può essere richiesto in qualsiasi momento a [email protected].

9. Trasferimenti internazionali

Determinati fornitori possono comportare trasferimenti internazionali di dati personali, incluse situazioni in cui, pur essendo la regione di trattamento configurata nell’Unione europea, esista un accesso amministrativo o di supporto da Paesi terzi. In tali casi, Okeanun applica le garanzie adeguate richieste e fornisce informazioni chiare sull’esistenza dei trasferimenti e sui mezzi per ottenere copia o accedere alle garanzie tramite [email protected].

Allo stesso modo, l’uso di servizi di terzi caricati nel browser (ad esempio, servizi di mappe o di identità di terzi) può comportare comunicazioni dirette di dati dal dispositivo dell’utente verso tali terzi, il che rientra nelle informazioni su destinatari e trasferimenti internazionali ove applicabile.

10. Periodi di conservazione

I dati personali sono conservati per il tempo necessario alle finalità per le quali sono trattati, in conformità al principio di limitazione della conservazione e applicando, ove pertinente, cancellazione o limitazione del trattamento. Okeanun utilizza criteri e termini concreti per le categorie di dati rilevanti, fermo restando che determinati trattamenti possono richiedere una conservazione ulteriore quando ciò sia necessario per far fronte a responsabilità e per la difesa di rivendicazioni.

In particolare:

• a) Dati di account e operatività del Servizio: finché l’account resta attivo e, successivamente, per un periodo aggiuntivo di 2 anni per la gestione delle responsabilità e la difesa di rivendicazioni.
• b) Token di collegamento: fino a 72 ore.
• c) Registro degli accessi dei centri: 12 mesi.
• d) Prova della verifica del collegamento subacqueo↔centro e tracce associate: finché sussiste il collegamento e, successivamente, per 2 anni.
• e) Prenotazioni totalmente cancellate e senza incassi: eliminazione definitiva.
• f) Prenotazioni con incassi o con obblighi associati: conservazione per il tempo necessario ad adempiere agli obblighi e alla difesa di rivendicazioni collegate all’operatività economica.
• g) Dati trattati per conto di un centro: i termini sono fissati dal centro in qualità di titolare; quando Okeanun agisce come responsabile, si applicano i termini dell’atto di incarico (DPA), inclusa la restituzione o cancellazione ove pertinente.

11. Diritti delle persone utenti e modalità di esercizio

La persona utente può esercitare i diritti riconosciuti dalla normativa in materia di protezione dei dati (accesso, rettifica, cancellazione, limitazione, opposizione e portabilità ove applicabile), nonché revocare il consenso quando il trattamento si fondi sul consenso. L’esercizio è agevolato mediante canali accessibili e procedure che consentano una risposta nei termini e con adeguata tracciabilità.

In ogni caso, l’interessato può presentare reclamo all’Agenzia spagnola per la protezione dei dati (AEPD).

• a) Trattamenti in cui Okeanun è titolare: le richieste possono essere inviate a [email protected].
• b) Trattamenti in cui il centro è titolare: quando il trattamento spetti a un centro (ad esempio, gestione di prenotazioni, corsi o documentazione richiesta dal centro), l’esercizio dei diritti deve essere rivolto al centro. Se Okeanun riceve una richiesta relativa a un trattamento per conto del centro, presterà l’assistenza tecnica dovuta secondo il regime di incarico e le istruzioni del centro titolare.
• c) Revoca del collegamento e limiti pratici: la persona utente può revocare un collegamento verificato con un centro dall’Applicazione (Impostazioni → Privacy → Centri collegati → “Revoca accesso”), con effetto immediato sull’accesso del centro al fascicolo del subacqueo in Okeanun. La revoca non impedisce al centro di trattare (i) il proprio storico commerciale e operativo (ad esempio, prenotazioni, voucher, saldi e documentazione o profili “guest” raccolti dal centro stesso), rispetto al quale il centro agisce come titolare autonomo, né (ii) inverte l’eventuale precedente download o incorporazione di dati da parte del centro nei propri sistemi durante il periodo in cui ha avuto accesso; in tal caso, l’esercizio dei diritti deve essere rivolto al centro in qualità di titolare. In caso di rapporto per appartenenza (ad esempio, titolare, contitolare o personale/staff del centro), la revoca dell’accesso tramite revoca del collegamento non elimina l’accesso derivante dall’appartenenza al centro, che dovrà eventualmente essere gestita mediante l’uscita dal centro secondo la procedura applicabile.
• d) Limite reale del diritto alla cancellazione rispetto alle copie conservate dai centri: la cancellazione richiesta a Okeanun non si estende a copie o fascicoli che i centri, in qualità di titolari autonomi, conservino per l’adempimento di obblighi propri o per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria. In tali ipotesi, l’esercizio deve essere articolato nei confronti del centro, fermi restando i diritti spettanti nei confronti di Okeanun rispetto ai propri trattamenti.

12. Informativa a livelli nei punti di raccolta

Quando i dati personali sono raccolti direttamente presso l’utente, l’informativa è fornita in modo chiaro e accessibile, potendosi utilizzare un sistema a livelli: un primo livello (informazioni di base) nei punti di raccolta (ad esempio, registrazione, moduli, flussi di collegamento, caricamento di documentazione e pagamenti) e un secondo livello di informazioni aggiuntive mediante la presente Informativa o mediante link diretto alla stessa. Quando i dati personali non sono raccolti presso l’interessato, l’informativa è fornita nei termini e con le tempistiche applicabili, potendosi parimenti utilizzare uno schema a livelli conformemente alla normativa spagnola.

13. Protezione dei dati fin dalla progettazione e per impostazione predefinita e configurazioni predefinite del Servizio

Okeanun adotta misure tecniche e organizzative per integrare la protezione dei dati fin dalla progettazione e per impostazione predefinita, in modo che, per impostazione predefinita, siano trattati solo i dati necessari per ciascuna finalità specifica e siano controllati quantità, estensione, accessibilità e conservazione, tenuto conto dello stato dell’arte, dei costi e dei rischi per i diritti e le libertà. Tali misure sono documentate e riesaminate in funzione del rischio.

Fermo quanto precede, il Servizio prevede configurazioni predefinite rilevanti che devono essere note fin dalla registrazione e che la persona utente può modificare senza attriti:

Tali opzioni sono offerte per consentire una decisione informata e un controllo effettivo da parte della persona utente sull’accessibilità delle proprie informazioni nel Servizio.

• a) Visibilità del profilo sociale: per impostazione predefinita, il profilo sociale è pubblico. Ciò implica che determinati elementi del profilo e dei contenuti sociali che la persona utente pubblichi volontariamente possono essere visibili secondo la logica sociale del Servizio. La persona utente può modificare questa impostazione in qualsiasi momento, con effetto immediato. La documentazione sanitaria non fa parte del profilo sociale.
• b) Visibilità nella directory per i centri: per impostazione predefinita, la persona utente è visibile ai centri nella directory di qualificazione (livello 0). La persona utente può disattivare questa visibilità in qualsiasi momento mediante il controllo disponibile, con effetto immediato.

14. Sicurezza del trattamento e incidenti

Okeanun applica misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, con controlli di accesso, misure orientate a riservatezza, integrità e disponibilità e meccanismi di tracciabilità particolarmente rilevanti negli accessi da parte dei centri e nelle operazioni sensibili. Tali misure sono riesaminate e aggiornate quando necessario, tenuto conto dell’analisi dei rischi e, ove pertinente, delle valutazioni d’impatto.

In caso di violazione dei dati personali, Okeanun documenta l’incidente e gestisce gli obblighi di notifica ove applicabili. Quando Okeanun agisce come responsabile per conto di un centro, notifica senza ingiustificato ritardo al centro titolare le violazioni di sicurezza di cui venga a conoscenza, come richiesto dal regime di incarico.

15. Minori

Il Servizio non è destinato ai minori. Tuttavia, i centri possono gestire subacquei minorenni come “guest diver” e fornire o gestire la relativa documentazione nell’ambiente del centro. In tale ipotesi, il centro agisce come titolare del trattamento e Okeanun può agire come responsabile per conto del centro, spettando al centro l’ottenimento del consenso di chi esercita la responsabilità genitoriale o la tutela quando ciò sia necessario, specialmente in relazione a documentazione sanitaria o altra documentazione particolarmente sensibile.

16. Cookie e tecnologie simili

Negli ambienti web del Servizio, Okeanun utilizza attualmente solo l’archiviazione e l’accesso a informazioni nelle apparecchiature terminali strettamente necessari per prestare il servizio richiesto dalla persona utente e per finalità di sicurezza (ad esempio, il mantenimento della sessione). Non sono utilizzati cookie o tecnologie simili di analisi, pubblicità o personalizzazione, pertanto non viene richiesto alcun consenso né mostrato alcun banner sui cookie. Qualora in futuro fossero introdotte tecnologie non strettamente necessarie, saranno fornite in via preventiva informazioni chiare e complete sul loro utilizzo e sulle finalità, sarà raccolto il consenso dell’utente e saranno resi disponibili meccanismi di configurazione e revoca del consenso.

17. Modifiche dell’Informativa sulla privacy

Okeanun può aggiornare la presente Informativa in caso di modifiche del Servizio, dei propri processi o per evoluzione normativa. La versione vigente sarà disponibile in modo accessibile, con indicazione della data dell’ultima revisione, e le modifiche sostanziali saranno comunicate con mezzi ragionevoli all’interno del Servizio o per via elettronica.