La presente informativa descrive come vengono trattati i dati personali nell'ambito di GRADO Reflow, il software con cui l'organizzazione cliente si collega al sistema nazionale RENTRI (Registro Elettronico Nazionale per la Tracciabilità dei Rifiuti) per consultare e gestire formulari e registri. È redatta ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR) e integra l'informativa generale pubblicata sul sito web GRADO Tech. Non tutto ciò che si vede in Reflow sta nei server di GRADO TECH Srls: i FIR e i registri restano nel sistema pubblico RENTRI.

Come funziona il servizio

GRADO Reflow è un software in modalità SaaS. Il ruolo di GRADO TECH Srls varia a seconda del contesto:

• Dati di lavoro dell'organizzazione (Parte A): l'azienda o l'ente cliente è il titolare del trattamento dei dati che inserisce nel database dell'applicazione (rubrica soggetti, bozze di FIR di emergenza, file, metadati delle credenziali operative). GRADO TECH Srls agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR.
• Account e funzionamento del software (Parte C): per autenticazione, log di sicurezza, ruoli, stato MFA e preferenze tecniche GRADO TECH Srls è titolare del trattamento.
• Sistema pubblico RENTRI (Parte E): il RENTRI, istituito presso il Ministero dell'Ambiente e della Sicurezza Energetica (MASE), è titolare autonomo dei dati del registro nazionale, dei FIR elettronici e delle anagrafiche RENTRI. GRADO TECH Srls non è titolare di quei dati e non li copia nel proprio database, salvo le eccezioni della Parte A (bozze di emergenza e cache tecniche).

Parte A — Dati inseriti dalle organizzazioni clienti

Questa sezione si applica ai dati che l'organizzazione cliente (o un soggetto da essa autorizzato) inserisce, carica o genera su GRADO Reflow. Tali dati restano sotto il controllo e la responsabilità del titolare; GRADO TECH Srls si limita a ospitarli, conservarli in forma sicura e renderli disponibili secondo il contratto e le istruzioni ricevute.

Ruoli nel trattamento

Per i dati descritti in questa Parte A:

• il titolare del trattamento è l'organizzazione cliente che gestisce il workspace e determina finalità e mezzi del trattamento;
• GRADO TECH Srls (sede legale Corso Umberto I, 7 — 66050 San Salvo (CH), P.IVA IT02868240694) agisce come responsabile del trattamento, sulla base del contratto di servizio e dell'accordo ex art. 28 GDPR;
• il sistema RENTRI / MASE è titolare autonomo dei dati del registro nazionale: GRADO TECH Srls non determina le finalità di quel trattamento.

Il titolare è tenuto a fornire agli interessati un'informativa privacy conforme al GDPR e a disporre di un valido fondamento giuridico per ogni trattamento, inclusi quelli relativi alle credenziali RENTRI e ai documenti di lavoro.

Categorie di dati nel database Reflow

Nel database dell'applicazione possono essere conservati, tra gli altri:

• Credenziali RENTRI: certificato e chiave privata in forma cifrata (AES-256-GCM), codice fiscale / numero di iscrizione, ambiente demo o produzione — mai in chiaro a riposo.
• Rubrica soggetti: copie locali di anagrafiche di lavoro per la compilazione rapida di FIR e registri.
• FIR di emergenza: bozze di formulari cartacei usati quando il RENTRI non è disponibile, fino alla regolarizzazione sul sistema pubblico.
• File caricati dall'organizzazione (documenti di lavoro allegati alle operazioni).
• Audit log: azione, utente, organizzazione, data, indirizzo IP.
• Cache tecnica delle tabelle di codifica RENTRI (codici EER, errori, ecc.), di breve durata.
• Il contenuto live di FIR e registri interrogato via API non viene duplicato come archivio storico nei server di GRADO TECH Srls: resta su RENTRI.

Finalità (per conto del titolare)

GRADO TECH Srls tratta i dati di cui alla Parte A esclusivamente per conto del titolare: erogazione e hosting di Reflow, esecuzione delle istruzioni documentate, sicurezza informatica e assistenza tecnica nei limiti della Parte B. Non utilizza i dati delle organizzazioni clienti per marketing, profilazione commerciale, rivendita o analisi indipendenti.

Base giuridica

La base giuridica del trattamento da parte del titolare è determinata dal titolare stesso (di regola esecuzione di obblighi di legge in materia di tracciabilità dei rifiuti e del rapporto contrattuale con gli operatori). Il trattamento da parte di GRADO TECH Srls come responsabile si fonda sull'esecuzione del contratto di servizio e sull'accordo ex art. 28 GDPR.

Conservazione

I tempi di conservazione dei dati di cui alla Parte A sono determinati dal titolare. In linea di massima: FIR di emergenza e file fino a cancellazione da parte del cliente o cessazione del servizio; credenziali cifrate fino a revoca, sostituzione o cessazione; cache codifiche poche ore / al massimo circa un giorno; log di audit in genere 24 mesi, salvo obblighi più lunghi. Al termine del rapporto i dati vengono restituiti o cancellati secondo il contratto.

Parte B — Accesso ai dati da parte di GRADO TECH Srls

GRADO TECH Srls non accede, consulta o utilizza liberamente i contenuti del workspace in assenza di una base lecita e documentata. L'accesso del personale autorizzato è consentito solo nei seguenti casi:

• Delega o autorizzazione esplicita del titolare: su richiesta scritta, email, ticket o comunicazione ufficiale documentabile;
• Assistenza tecnica strettamente necessaria: interventi limitati al tempo e alla portata indispensabili per diagnosticare malfunzionamenti, ripristinare il servizio o rispondere a segnalazioni;
• Obblighi di legge: ordini dell'autorità giudiziaria o obblighi legali inderogabili, con informazione al titolare ove consentito;
• Sicurezza della piattaforma: monitoraggio su metadati tecnici, salvo quanto strettamente necessario per gestire incidenti.

Ogni accesso è limitato al personale autorizzato, soggetto a riservatezza e circoscritto alla durata dell'intervento. GRADO TECH Srls non vende i dati e non usa il certificato RENTRI in autonomia: le chiamate alle API pubbliche avvengono solo su iniziativa dell'utente autenticato, con il certificato dell'operatore.

Parte C — Dati per cui GRADO TECH Srls è titolare

Questa sezione si applica ai dati personali raccolti per erogare l'applicazione: account, autenticazione, log di sicurezza e preferenze tecniche.

Titolare del trattamento

Il titolare del trattamento per i dati di cui alla Parte C è GRADO TECH Srls, sede legale Corso Umberto I, 7 — 66050 San Salvo (CH), Italia. P.IVA IT02868240694. Email: info@gradotech.it — Tel. +39 378 421 3717. Sito: www.gradotech.it.

Categorie di dati

• Account: email, nome, hash irreversibile della password, stato dell'account, appartenenza a un'organizzazione e ruolo (owner, admin, operator).
• Autenticazione: log di login, indirizzo IP, user-agent, stato MFA e secret TOTP in forma cifrata, recovery code.
• Preferenze tecniche: accettazione dell'informativa (data e versione), tema/aspetto, token di sessione.

Finalità e basi giuridiche

Erogare il servizio e autenticare gli utenti (esecuzione del contratto, art. 6.1.b GDPR); conservare in modo sicuro le credenziali e i log (obblighi di sicurezza e, ove applicabile, obblighi di legge, artt. 6.1.c e 32 GDPR); prevenire abusi e garantire la continuità del servizio (legittimo interesse, art. 6.1.f GDPR). Non trattiamo dati di marketing, non profiliamo gli utenti per pubblicità, non vendiamo elenchi a terzi.

Parte D — Diritti degli interessati

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nei limiti di legge.

• per i dati di cui alla Parte C, scrivi a info@gradotech.it;
• per i dati di lavoro nel workspace (Parte A), i diritti si esercitano prevalentemente nei confronti dell'organizzazione cliente (titolare); GRADO TECH Srls, in qualità di responsabile, inoltrerà la richiesta o risponderà nei limiti del proprio ruolo;
• resta sempre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Per i dati che stanno solo su RENTRI, la richiesta va rivolta al titolare pubblico competente, non a GRADO TECH Srls.

Parte E — RENTRI, cookie, destinatari e trasferimenti

Interazione con il sistema RENTRI

Reflow interroga le API ufficiali RENTRI (api.rentri.gov.it / ambiente demo) usando il certificato digitale dell'operatore, conservato cifrato. Le risposte (FIR, registri, anagrafiche, esiti) sono mostrate in sessione. Il contenuto live di FIR e registri resta su RENTRI.

Per i dati RENTRI i diritti privacy si esercitano presso il titolare pubblico competente, secondo le informative del portale RENTRI (rentri.gov.it).

Cookie e sessione

Usiamo solo cookie (o storage equivalente) tecnici per l'autenticazione e le preferenze di aspetto. Non usiamo cookie di profilazione pubblicitaria né tracker di terze parti a fini di marketing.

Destinatari e sub-responsabili

I dati possono essere conosciuti da personale autorizzato di GRADO TECH Srls per assistenza e manutenzione; da Aruba S.p.A. (Via San Clemente 53, 24036 Ponte San Pietro (BG), Italia — P.IVA 01573850516), quale fornitore dei servizi infrastrutturali — GDPR Aruba; dal sistema RENTRI / MASE solo per le chiamate API che l'utente autenticato effettua con il proprio certificato. Elenco aggiornato su richiesta a info@gradotech.it.

Trasferimenti extra-UE

Il trattamento avviene di norma in Italia / Unione Europea. Eventuali trasferimenti verso Paesi terzi avvengono solo in presenza di garanzie adeguate previste dal GDPR.

Misure di sicurezza

GRADO TECH Srls adotta misure tecniche e organizzative adeguate: segregazione multi-tenant, TLS, hash irreversibile delle password, MFA attivabile, cifratura AES-256-GCM delle credenziali RENTRI, controllo degli accessi basato su ruoli, backup, audit log e conformità ISO/IEC 27001:2024. In caso di violazione che interessi dati trattati per conto del titolare, GRADO TECH Srls informerà il titolare senza ingiustificato ritardo.

Modifiche

La presente informativa può essere aggiornata per riflettere modifiche normative, contrattuali o al servizio. Eventuali modifiche sostanziali saranno pubblicate su questa pagina (e rese disponibili via API) con indicazione della data di ultimo aggiornamento; in Reflow verrà chiesta una nuova accettazione.