INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI ("PRIVACY POLICY") Servizio: European Funds Monitoring Titolare: Massimo Gabellone, operatore economico individuale registrato in Albania presso NUIS M21306029D Versione: 1.1 — 21/09/2026 Applicabilità: la presente informativa si applica (a) a chi visita il sito del Fornitore, come informativa autonoma ai sensi dell'art. 13 GDPR; (b) a chi attiva il servizio "European Funds Monitoring", come parte integrante del Contratto di fornitura del servizio ai sensi del suo art. 12.8. 1. Titolare del trattamento 1.1 Titolare. Il titolare del trattamento è Massimo Gabellone, operatore economico individuale registrato in Albania presso NUIS M21306029D, con sede in Rruga Riza Cerova, nd. 2, hy. 7, ap. 40, cap 1001, Tirana (Albania), tel./WhatsApp +355 692882052, email monitoring@massimogabellone.com. 1.2 Contatti. L'interessato può contattare il titolare all'indirizzo email di cui al punto 1.1 per qualsiasi domanda sul trattamento dei dati personali o per esercitare i diritti previsti alla sezione 7. 1.3 DPO. Il titolare non è tenuto alla designazione di un Responsabile della protezione dei dati (DPO) ai sensi dell'art. 37 GDPR. Le richieste sono gestite direttamente dal titolare all'indirizzo di cui al punto 1.1. 2. Quali dati personali trattiamo 2.1 Dati dell'ente Cliente. Per l'attivazione e l'erogazione del servizio trattiamo i dati identificativi dell'ente collettivo: denominazione, forma giuridica, sede legale, codice fiscale/partita IVA o equivalente nazionale, e i dati di profilazione professionale (settore, territorio, tipologia di attività) inseriti nella scheda di profilazione. 2.2 Dati della persona che compila la scheda. Trattiamo i dati identificativi del soggetto che compila la scheda di profilazione per conto dell'ente: nome, cognome, ruolo ed email di contatto. 2.3 Dati di pagamento. Per il pagamento tramite bonifico il titolare tratta esclusivamente i dati necessari alla riconciliazione dell'incasso e alla gestione contabile: denominazione del Cliente, importo, data dell'accredito, causale e riferimento del conto da cui proviene il pagamento, quando visibile. Nella fase attiva del servizio non usa gestori di pagamento online. 2.4 Dati di navigazione — statistiche server e Google Analytics. Nel corso della visita al sito trattiamo dati tecnici raccolti automaticamente, quali indirizzo IP, data e ora della richiesta, tipo di browser e dispositivo, pagine visitate. Tali dati sono necessari al funzionamento tecnico del sito, alla sicurezza (prevenzione di attacchi e accessi non autorizzati) e alla diagnostica di eventuali malfunzionamenti. Questa parte del trattamento avviene lato server e non richiede il consenso dell'utente, in quanto necessaria per l'erogazione del servizio richiesto. Se l'utente presta il proprio consenso attraverso il banner cookie, il sito utilizza inoltre Google Analytics 4 (fornito da Google LLC, con sede legale negli Stati Uniti), configurato per raccogliere statistiche di visita aggregate: pagine viste, provenienza geografica dei visitatori, tipologia di dispositivo, sorgenti di traffico. La configurazione adottata prevede: anonimizzazione dell'indirizzo IP; disattivazione di Google Signals e della condivisione dati con Google; periodo di conservazione dei dati impostato al minimo (2 mesi); trattamento nella regione UE dove tecnicamente possibile. Google Analytics utilizza cookie di durata limitata (_ga, _ga_XXXXX) per riconoscere le sessioni utente. Nessun dato è utilizzato per finalità di pubblicità comportamentale, remarketing o creazione di profili personali. L'utente può revocare il consenso in qualsiasi momento riaprendo il banner cookie dal piè di pagina del sito. 2.5 Cookie. Il sito utilizza: - cookie tecnici strettamente necessari al funzionamento (ad esempio: gestione della sessione utente, memorizzazione della lingua preferita, memorizzazione delle preferenze cookie stesse). Questi cookie non richiedono consenso preventivo; - cookie di terza parte di Google Analytics utilizzati per le statistiche di visita descritte al punto 2.4. Questi cookie richiedono il consenso preventivo dell'utente e sono attivati solo dopo la sua espressa accettazione tramite il banner cookie. Al primo accesso al sito, l'utente riceve un banner cookie che consente di: accettare tutti i cookie; rifiutare i cookie non tecnici (in questo caso il sito funziona normalmente ma senza Google Analytics); personalizzare la scelta per singola categoria. La scelta effettuata è registrata e resta valida fino a modifica da parte dell'utente. L'utente può in qualsiasi momento modificare o revocare le proprie preferenze attraverso il link "Preferenze cookie" nel piè di pagina del sito. 3. Finalità e basi giuridiche del trattamento 3.1 Erogazione del servizio (esecuzione del contratto). Trattiamo i dati dell'ente Cliente e della persona che compila la scheda per attivare ed erogare il servizio, generare i report, gestire il rapporto contrattuale e fornire assistenza. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR). 3.2 Pagamenti. Trattiamo i dati necessari alla gestione dei bonifici e delle attivazioni del servizio. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR). 3.3 Obblighi fiscali e contabili. Trattiamo i dati per adempiere agli obblighi fiscali, contabili e amministrativi previsti dalla legge. Base giuridica: obbligo legale (art. 6, par. 1, lett. c GDPR). 3.4 Sicurezza e difesa in giudizio. Trattiamo i dati tecnici di navigazione (punto 2.4) per garantire la sicurezza del sito e prevenire accessi non autorizzati, e trattiamo i dati contrattuali per la difesa di eventuali pretese in sede giudiziale o stragiudiziale. Base giuridica: legittimo interesse del titolare (art. 6, par. 1, lett. f GDPR), consistente nel proteggere l'integrità del sito, prevenire abusi e tutelare i propri diritti in caso di contenzioso. Il titolare ha effettuato una valutazione di bilanciamento con i diritti dell'interessato, ritenendo tale interesse prevalente in ragione della natura strettamente tecnica e difensiva del trattamento. 3.5 Statistiche di visita. Se l'utente presta il consenso tramite il banner cookie, trattiamo i dati di navigazione per raccogliere statistiche aggregate sulle visite al sito tramite Google Analytics 4 (punto 2.4). Base giuridica: consenso dell'interessato (art. 6, par. 1, lett. a GDPR). Il consenso è revocabile in qualsiasi momento tramite il link "Preferenze cookie" nel piè di pagina del sito, senza pregiudicare la liceità del trattamento effettuato prima della revoca. 3.6 Comunicazioni. Trattiamo l'indirizzo email di contatto per inviare le comunicazioni operative relative al servizio (consegna dei report, avvisi di scadenza, notifiche di sospensione o riattivazione) e i promemoria previsti dal contratto. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR). Non inviamo comunicazioni promozionali, marketing diretto o newsletter senza uno specifico consenso preventivo dell'interessato. 4. Destinatari dei dati 4.1 Banca del Fornitore. La banca presso cui è intestato il conto del Fornitore tratta i dati del bonifico secondo la propria informativa e per l'esecuzione dell'operazione. Il Fornitore riceve dalla banca le informazioni necessarie per verificare l'accredito e registrare il pagamento. 4.2 Fornitore di statistiche. Se l'utente presta il consenso al banner cookie, i dati di navigazione sono trattati da Google LLC (Google Analytics 4, con sede negli Stati Uniti) per la produzione di statistiche aggregate sulle visite al sito (punto 2.4). Google agisce come responsabile del trattamento per conto del titolare ai sensi del Data Processing Amendment (DPA) accettato dal titolare al momento della configurazione del servizio. 4.3 Fornitore di hosting e posta elettronica. Il servizio (monitoring.massimogabellone.com) è ospitato su server Hetzner Online GmbH (Germania, UE); la casella di posta del dominio massimogabellone.com è gestita tramite Serverplan S.r.l. (Italia). Entrambi agiscono come responsabili del trattamento per conto del titolare. 4.4 Consulenti e autorità. I dati possono essere comunicati a consulenti fiscali e contabili del titolare, nei limiti delle rispettive competenze e degli obblighi di legge, e alle autorità pubbliche che ne facciano richiesta nei casi previsti dalla legge. 4.5 Nessuna cessione a terzi. I dati personali non sono venduti, ceduti o comunicati a terzi per finalità commerciali o di marketing. 4.6 Responsabili del trattamento. I soggetti indicati ai punti 4.2 e 4.3 che trattano dati per conto del titolare sono nominati responsabili del trattamento ai sensi dell'art. 28 GDPR, con i relativi accordi di trattamento (Data Processing Agreement — DPA) sottoscritti dal titolare. 5. Trasferimento dei dati fuori dall'Unione europea 5.1 Applicazione del GDPR. Il titolare è stabilito in Albania, paese terzo rispetto all'Unione europea e privo di decisione di adeguatezza ai sensi dell'art. 45 GDPR. Poiché il servizio è offerto anche a enti stabiliti nell'Unione europea, il trattamento dei dati personali dei relativi interessati rientra nell'ambito di applicazione del GDPR ai sensi dell'art. 3, par. 2, lett. a). 5.2 Trattamento in Albania. Il trattamento svolto direttamente dal titolare avviene in Albania. Esso non costituisce un "trasferimento" ai sensi del capo V del GDPR, in quanto il titolare non trasmette i dati a un diverso titolare o responsabile: è il titolare stesso che li tratta presso la propria sede. Il trattamento è conforme alla Legge albanese n. 124/2024 "Për mbrojtjen e të dhënave personale", che recepisce integralmente il Regolamento (UE) 2016/679 (GDPR). 5.3 Trasferimenti verso i fornitori con sede fuori dall'UE. I trasferimenti di dati verso Google, indicato alla sezione 4, sono disciplinati dalle Clausole Contrattuali Standard approvate dalla Commissione europea con Decisione 2021/914 (SCC), adottate dal fornitore nell'ambito del relativo accordo sul trattamento dei dati. Per Google Analytics si applicano inoltre le garanzie descritte al punto 2.4 (anonimizzazione dell'indirizzo IP, esclusione della condivisione dati). Una copia delle clausole è disponibile su richiesta all'indirizzo di cui al punto 1.1. 5.4 Altri fornitori. Gli altri fornitori indicati alla sezione 4 hanno sede nell'Unione europea (Serverplan S.r.l., Hetzner Online GmbH) o trattano i dati nei limiti strettamente necessari alla prestazione (consulenti e autorità di cui al punto 4.4). 6. Periodo di conservazione dei dati 6.1 Dati del contratto e di profilazione. I dati riferiti al Cliente e alla persona che compila la scheda sono conservati per la durata del contratto e per i 10 anni successivi alla sua cessazione, per esigenze fiscali, contabili e di difesa in giudizio, in coerenza con l'art. 12.5 del Contratto di fornitura del servizio. Decorso tale termine, i dati sono cancellati o resi anonimi. 6.2 Dati di pagamento. I dati del bonifico sono conservati dal titolare per la durata prevista per i dati contrattuali, fiscali e contabili. La banca conserva i propri dati secondo la propria informativa e gli obblighi di legge. 6.3 Dati di navigazione — statistiche server. I dati tecnici trattati lato server sono conservati per il tempo strettamente necessario alle finalità di sicurezza e diagnostica, e comunque non oltre 12 mesi, salvo esigenze di accertamento di violazioni della sicurezza informatica o di difesa in sede giudiziale in relazione a pretese. 6.4 Dati di navigazione — Google Analytics. I dati raccolti tramite Google Analytics sono conservati secondo i parametri configurati dal titolare, con periodo di conservazione impostato al minimo (2 mesi), come indicato al punto 2.4. 6.5 Criteri del periodo di conservazione. Il periodo di 10 anni di cui al punto 6.1 corrisponde al termine di conservazione previsto dalla normativa fiscale e contabile albanese (Legge n. 25/2018 "Për kontabilitetin dhe pasqyrat financiare") e coincide con il tempo ragionevolmente necessario alla difesa in giudizio dei diritti derivanti dal contratto. Il titolare applica tale termine unitariamente a tutti i dati contrattuali, in quanto la separazione tecnica dei dati per finalità distinte comporterebbe un onere sproporzionato rispetto al beneficio, e in ogni caso i dati restano necessari per la difesa in giudizio fino al medesimo termine. Il trattamento resta conforme al principio di limitazione della conservazione (art. 5, par. 1, lett. e GDPR). 7. Diritti dell'interessato 7.1 Diritti. L'interessato può esercitare i seguenti diritti previsti dagli artt. 15-22 GDPR e dalla normativa albanese applicabile: - accesso (art. 15 GDPR): ottenere conferma del trattamento e copia dei dati; - rettifica (art. 16 GDPR): correggere dati inesatti o integrarli; - cancellazione (art. 17 GDPR): chiedere la cancellazione dei dati, nei casi previsti; - limitazione (art. 18 GDPR): limitare il trattamento, nei casi previsti; - portabilità (art. 20 GDPR): ricevere i dati in formato strutturato, di uso comune e leggibile da dispositivo automatico; - opposizione (art. 21 GDPR): opporsi al trattamento fondato sul legittimo interesse; - revoca del consenso (art. 7, par. 3 GDPR): revocare in qualsiasi momento il consenso prestato per Google Analytics tramite il banner cookie, senza pregiudicare la liceità del trattamento effettuato prima della revoca. 7.2 Modalità di esercizio. L'interessato esercita i diritti scrivendo all'indirizzo email del titolare indicato al punto 1.1. Il titolare risponde senza ingiustificato ritardo e comunque entro un mese dalla richiesta, termine prorogabile di ulteriori due mesi in caso di richieste complesse. 7.3 Reclamo all'autorità di controllo. L'interessato può proporre reclamo all'autorità di controllo competente: per i clienti stabiliti nell'Unione europea, l'autorità di controllo del proprio Stato membro; per la disciplina albanese, il Commissario per il diritto all'informazione e la protezione dei dati personali (Komisioneri për të Drejtën e Informimit dhe Mbrojtjen e të Dhënave Personale). 8. Modifiche a questa Privacy Policy 8.1 Aggiornamenti. Il titolare può modificare la presente informativa per adeguarla a modifiche normative, a nuove finalità di trattamento o a variazioni dei fornitori indicati alla sezione 4. La versione aggiornata è pubblicata sul sito con indicazione della data di ultimo aggiornamento. 8.2 Comunicazione delle modifiche. Le modifiche sostanziali che incidono sui diritti degli interessati sono comunicate per email ai Clienti attivi con un preavviso di almeno 30 giorni rispetto alla loro efficacia. Per i visitatori del sito, la versione vigente è sempre quella pubblicata. 8.3 Trattamenti già svolti. Le modifiche alla presente informativa non incidono sulla liceità dei trattamenti svolti prima della loro efficacia.