Informativa sulla Privacy – DRAMIŃSKI S.A.
Versione aggiornata al 7 ottobre 2026 – comprensiva del modulo CRA relativo alla cybersicurezza.
- Titolare del trattamento
Il titolare del trattamento dei dati personali di clienti, partner commerciali, utenti dei servizi online di DRAMIŃSKI S.A., nonché delle persone che utilizzano i moduli messi a disposizione dalla Società, incluso il modulo per la segnalazione di vulnerabilità e incidenti di sicurezza in relazione al Cyber Resilience Act (CRA), è DRAMIŃSKI S.A., ul. Wiktora Steffena 21, 11-036 Sząbruk, Polonia, P.IVA (NIP): 7393855706, REGON: 281418440, tel. +48 89 675 26 00, e-mail: biuro@draminski.pl. - Responsabile della protezione dei dati
Il titolare del trattamento ha nominato un Responsabile della protezione dei dati (RPD/DPO) – Michał Minurski. È possibile contattare il DPO all’indirizzo: iod@draminski.pl. - Finalità, basi giuridiche e periodo di conservazione dei dati personali
I dati personali possono essere trattati per le seguenti finalità e sulle seguenti basi giuridiche:
– la conclusione e l’esecuzione di un contratto, o l’adozione di misure precontrattuali – art. 6, par. 1, lett. b) del RGPD,
– l’adempimento degli obblighi legali incombenti sul titolare del trattamento, inclusi obblighi fiscali, contabili e, se applicabile, obblighi derivanti dalla normativa in materia di cybersicurezza – art. 6, par. 1, lett. c) del RGPD,
– il perseguimento dei legittimi interessi del titolare del trattamento, in particolare il marketing dei propri servizi, la garanzia della sicurezza di sistemi, servizi e prodotti, l’accertamento o la difesa di diritti in sede giudiziaria, nonché la gestione delle segnalazioni relative alla cybersicurezza e alle vulnerabilità – art. 6, par. 1, lett. f) del RGPD,
– lo svolgimento di attività che richiedono il consenso, in particolare in relazione a determinati cookie, strumenti di analisi, marketing o altre funzioni, laddove richiesto dalla legge – art. 6, par. 1, lett. a) del RGPD.
Periodo di conservazione:
I dati sono conservati per un periodo adeguato alla finalità e alla base giuridica del trattamento, in particolare:
– per il tempo necessario a gestire il rapporto con l’utente o il cliente e, in caso di contratto, per la sua durata e fino alla scadenza del termine di prescrizione applicabile alle eventuali pretese,
– per il periodo richiesto dalla normativa contabile, fiscale o da altre disposizioni di legge applicabili,
– per i dati trattati sulla base del consenso – fino alla revoca dello stesso, salvo che sussista un’altra base giuridica per l’ulteriore trattamento,
– per i dati trattati sulla base del legittimo interesse – fino al venir meno di tale interesse, alla presentazione di un’opposizione efficace, o fino alla scadenza del termine necessario per l’accertamento, l’esercizio o la difesa di un diritto.
Il conferimento dei dati è volontario, ma necessario per la conclusione e l’esecuzione del contratto. La mancata fornitura dei dati può impedire al titolare del trattamento di erogare il servizio.
- Modulo CRA – segnalazione di vulnerabilità e incidenti di sicurezza
Il titolare del trattamento mette, o può mettere, a disposizione un modulo per la trasmissione di informazioni relative a potenziali vulnerabilità, falle di sicurezza, incidenti o altri eventi che possano incidere sulla cybersicurezza dei prodotti, dei servizi o dei sistemi di DRAMIŃSKI S.A. Tale modulo serve in particolare alla ricezione della segnalazione, alla sua registrazione, analisi, verifica e chiarimento, al contatto con il segnalante, all’adozione di misure correttive o di mitigazione del rischio, nonché alla documentazione della gestione della segnalazione.
Finalità e base giuridica del trattamento. Per quanto riguarda la ricezione, l’analisi e la gestione delle segnalazioni relative a vulnerabilità o ad altre minacce alla cybersicurezza, la base giuridica del trattamento è l’art. 6, par. 1, lett. f) del RGPD, ossia il legittimo interesse del titolare del trattamento a garantire e migliorare la sicurezza dei prodotti con elementi digitali, dei sistemi e degli utenti, a individuare e rimuovere le vulnerabilità, a limitare gli effetti degli incidenti e a proteggersi dalle minacce alla cybersicurezza. Qualora il contenuto di una segnalazione dia luogo, in capo al titolare del trattamento, a un obbligo previsto dalla legge, in particolare all’obbligo di notifica previsto dall’articolo 14 del regolamento (UE) 2024/2847 del Parlamento europeo e del Consiglio (Cyber Resilience Act), i dati sono trattati anche sulla base dell’art. 6, par. 1, lett. c) del RGPD, nella misura necessaria all’adempimento di tale obbligo legale.
Categorie di dati. Nell’ambito del modulo possono essere trattati i dati forniti dal segnalante, in particolare dati identificativi e di contatto, informazioni sull’organizzazione rappresentata, il contenuto della segnalazione, nonché i dati tecnici necessari alla valutazione dell’evento, quali informazioni sul prodotto, sulla versione del software, sull’ambiente, sui log, sugli indirizzi IP, sulle marche temporali, sugli allegati e su altri dati tecnici trasmessi unitamente alla segnalazione. Il titolare del trattamento applica il principio di minimizzazione dei dati e non richiede la trasmissione di dati personali non necessari all’analisi della segnalazione.
Periodo di conservazione. I dati relativi a una segnalazione saranno conservati per il tempo necessario alla ricezione, all’analisi, al chiarimento e alla chiusura della segnalazione, nonché all’attuazione delle eventuali misure correttive o di mitigazione del rischio. Al termine della gestione della segnalazione, i dati potranno essere conservati per il periodo necessario a dimostrare la correttezza dell’operato del titolare del trattamento, ad adempiere agli obblighi derivanti dalla normativa in materia di cybersicurezza, nonché fino alla scadenza del termine di prescrizione applicabile alle eventuali pretese. Qualora la normativa richieda una conservazione più lunga di specifica documentazione, i dati saranno conservati per il periodo derivante da tale normativa.
Volontarietà del conferimento dei dati. Il conferimento dei dati identificativi o di contatto è volontario, salvo che un determinato campo del modulo sia stato indicato come obbligatorio per la necessità di una corretta gestione della segnalazione. La mancanza di dati di contatto può impedire al titolare del trattamento di richiedere informazioni aggiuntive o di fornire un riscontro sulle modalità di gestione della segnalazione.
Destinatari dei dati in relazione a una segnalazione CRA. I dati potranno essere messi a disposizione di dipendenti e collaboratori autorizzati del titolare del trattamento, di fornitori di servizi IT, di cybersicurezza, di hosting, di manutenzione del modulo o di servizi legali, nonché – ove richiesto dalla normativa o necessario all’adempimento di un obbligo di legge – dei CSIRT competenti, dell’ENISA, delle autorità di vigilanza del mercato o di altri organismi autorizzati.
- Diritti dell’interessato
All’interessato spettano, nei limiti previsti dal RGPD, in particolare i diritti di:
– accedere ai propri dati e ottenerne una copia (art. 15 del RGPD),
– rettificare i propri dati (art. 16 del RGPD),
– ottenere la cancellazione dei propri dati, quando ricorrano i presupposti di cui all’art. 17 del RGPD,
– limitare il trattamento (art. 18 del RGPD),
– ottenere la portabilità dei dati – nei casi previsti dall’art. 20 del RGPD,
– opporsi al trattamento basato sull’art. 6, par. 1, lett. f) del RGPD, per motivi connessi alla propria situazione particolare, e in qualsiasi momento in caso di marketing diretto (art. 21 del RGPD),
– revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca, qualora il consenso costituisca la base del trattamento (art. 7, par. 3 del RGPD),
– proporre reclamo al Presidente dell’Ufficio polacco per la protezione dei dati personali (UODO).
Qualora i dati siano trattati per l’adempimento di un obbligo legale di cui all’art. 6, par. 1, lett. c) del RGPD, il diritto di opposizione non si applica a tale ambito di trattamento. - Destinatari dei dati e responsabili del trattamento
I dati personali possono essere comunicati a soggetti che supportano il titolare del trattamento nello svolgimento della propria attività e nel perseguimento delle finalità sopra descritte, in particolare fornitori di servizi IT, hosting, manutenzione di siti web e moduli, strumenti di analisi e marketing, operatori di pagamento e di consegna, soggetti che forniscono servizi contabili, legali, di audit e di cybersicurezza, nonché autorità pubbliche o altri soggetti autorizzati in base alla normativa applicabile. Qualora un soggetto agisca in qualità di responsabile del trattamento, tratta i dati sulla base di un contratto di nomina e conformemente alle istruzioni del titolare del trattamento. - Trasferimento di dati al di fuori dello Spazio Economico Europeo
In relazione all’utilizzo di determinati fornitori tecnologici, i dati potranno essere trasferiti al di fuori dello Spazio Economico Europeo. In tal caso, il titolare del trattamento garantisce la base giuridica del trasferimento richiesta dal RGPD, in particolare avvalendosi di una decisione di adeguatezza della Commissione Europea – ove applicabile – o di garanzie adeguate, quali le clausole contrattuali tipo della Commissione Europea. Informazioni sul meccanismo di trasferimento applicato possono essere richieste contattando il titolare del trattamento o il DPO. - Cookie e tecnologie simili
I siti web del titolare del trattamento possono utilizzare:
– cookie e tecnologie necessari al corretto funzionamento del sito o alla fornitura del servizio richiesto,
– cookie e tecnologie analitiche, funzionali o di marketing – ove sia richiesto il consenso, vengono attivati solo dopo averlo ottenuto.
Il consenso per i cookie non obbligatori viene prestato tramite il meccanismo di gestione dei consensi disponibile sul sito. L’utente può rifiutare o revocare il consenso in qualsiasi momento utilizzando le impostazioni relative al consenso. La revoca del consenso non pregiudica la liceità delle operazioni effettuate prima della revoca.
- Profilazione e attività di marketing
Il titolare del trattamento può utilizzare i dati per analisi e per personalizzare le comunicazioni di marketing nei limiti consentiti dalla legge. Qualora la profilazione utilizzi cookie o tecnologie simili non obbligatori, essa viene effettuata solo dopo aver ottenuto il consenso richiesto. Nella misura in cui la base del trattamento sia il legittimo interesse del titolare del trattamento, all’interessato spetta il diritto di opposizione ai sensi dell’art. 21 del RGPD. - Modifiche all’Informativa sulla Privacy
L’Informativa sulla Privacy può essere periodicamente aggiornata, in particolare al fine di adeguarla alle modifiche normative, alle linee guida delle autorità di controllo, alle tecnologie utilizzate e all’effettivo ambito del trattamento dei dati svolto dal titolare del trattamento.
Ultimo aggiornamento: 7 ottobre 2026
Titolare del trattamento: DRAMIŃSKI S.A.
