Informativa privacy del servizio di ricarica

01Titolare e contatti privacy

Il titolare del trattamento è Sirius Technology S.r.l., C.F. e P.IVA 01834240473, con sede legale in Via di Folonica 63/A, 51039 Quarrata (PT), di seguito «Sirius».

Tutta la corrispondenza cartacea, incluse le raccomandate, deve essere inviata alla sede operativa di Prato sopra indicata, distinta dalla sede legale; restano ferme le regole inderogabili di notificazione degli atti.

02Ambito e persone interessate

La presente informativa è resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e riguarda le ricariche delle SIM ed eSIM Sirius richieste tramite sirius.it o MyMobile, i relativi pagamenti, la documentazione, l’assistenza e l’eventuale autoricarica separatamente richiesta.

Riguarda il richiedente la ricarica, l’intestatario e l’utilizzatore dell’utenza nei limiti dei dati necessari, il titolare dello strumento di pagamento e le persone fisiche che operano per aziende, enti o organizzazioni. Non presuppone che chi paga coincida sempre con l’intestatario della SIM.

La ricarica dal sito è possibile senza accesso all’area clienti, esclusivamente per numeri Sirius. L’operazione non conferisce al richiedente accesso ai dati personali dell’intestatario, al suo traffico o al suo account. La presente informativa integra, per questo specifico servizio, l’informativa dei servizi Mobile consegnata al cliente.

03Dati trattati e provenienza

Utenza e operazione

Numero da ricaricare, riferimenti della SIM e del cliente, importo, data e ora, identificativo dell’ordine, stato di pagamento e accredito, credito e storico delle ricariche necessari alla gestione dell’operazione.

Contatti e documenti

Dati anagrafici e fiscali necessari alla documentazione, recapito e-mail associato all’utenza, informazioni su ricevute e fatture, richieste di assistenza e contestazioni. Per rappresentanti e referenti aziendali sono trattati i dati di contatto e i poteri necessari alla richiesta.

Pagamenti con carta

Sirius e Yukom ricevono dati della carta mascherati, token, identificativi ed esiti delle transazioni. Non ricevono il numero completo della carta e non richiedono che il codice di sicurezza, il PIN o i codici di autenticazione siano inviati all’assistenza. I dati completi sono gestiti nell’ambiente del prestatore di pagamento.

Addebiti SEPA

Quando è richiesta l’autoricarica al rinnovo mediante SDD: intestatario del conto, IBAN, schema Core o B2B, mandato e relativa sottoscrizione, riferimento UMR, preavvisi, date e importi degli addebiti ed esiti bancari. Le coordinate bancarie possono essere trattate anche per i rimborsi che le richiedano.

Evidenze e sicurezza

Versione delle condizioni presentate, evidenze delle scelte e delle autorizzazioni, informazioni tecniche necessarie al funzionamento e alla sicurezza, quali indirizzo IP, data e ora degli accessi e log applicativi pertinenti all’operazione.

I dati provengono dal richiedente, dall’intestatario dell’utenza, dall’organizzazione per conto della quale opera il referente, dagli archivi del rapporto Mobile già esistente, da Yukom e dai prestatori di pagamento e bancari coinvolti. Quando i dati non sono raccolti direttamente presso l’interessato, Sirius rende disponibili le informazioni nei termini dell’articolo 14 GDPR, salve le eccezioni previste dalla norma.

04Finalità e basi giuridiche

Gestione della ricarica

Ricevere ed eseguire la richiesta, verificare pagamento e accredito, inviare conferme e documenti, gestire assistenza, errori e rimborsi. Base giuridica: art. 6, par. 1, lett. b), GDPR per l’esecuzione del rapporto o delle misure precontrattuali richieste dall’interessato.

Autoricarica richiesta

Registrare i meccanismi scelti, utilizzare i riferimenti di pagamento autorizzati, inviare le prenotifiche SDD, gestire rinnovi, revoche ed esiti. Base giuridica: art. 6, par. 1, lett. b), GDPR. L’autorizzazione al pagamento e il mandato SDD sono distinti da un consenso privacy.

Obblighi di legge

Contabilità, fatturazione, adempimenti fiscali e regolamentari e risposta a richieste legittime delle autorità. Base giuridica: art. 6, par. 1, lett. c), GDPR, in relazione agli obblighi applicabili.

Referenti e beneficiari

Gestire il rapporto con clienti aziendali e i dati delle persone coinvolte che non siano personalmente parte del contratto, nonché verificare la corretta destinazione della ricarica. Base giuridica: art. 6, par. 1, lett. f), GDPR, per l’interesse legittimo alla corretta gestione del rapporto e dell’operazione, previa valutazione di necessità e bilanciamento.

Sicurezza e tutela dei diritti

Prevenire frodi e abusi, verificare anomalie, documentare richieste e transazioni e gestire contestazioni. Base giuridica: art. 6, par. 1, lett. f), GDPR per gli interessi legittimi alla sicurezza e alla difesa dei diritti; lett. c) quando il trattamento sia imposto da uno specifico obbligo di legge.

05SMS, e-mail e destinatario della ricarica

Non appena l’esito della transazione è positivo, viene inviato un SMS al numero ricaricato. A seguito della conferma positiva del pagamento e del regolare accredito, la ricevuta o fattura è inviata entro le successive 48 ore all’e-mail associata al numero ricaricato.

Questo destinatario resta tale anche se la ricarica è effettuata senza accesso all’area clienti o il pagatore è diverso dall’intestatario. Le comunicazioni contengono le informazioni necessarie sull’operazione; non comportano la comunicazione del numero completo della carta o di credenziali di pagamento. I dati ulteriori del pagatore non necessari alla documentazione della ricarica non sono comunicati al destinatario.

Conferme di operazione, prenotifiche SDD e avvisi su pagamenti falliti o mancato rinnovo sono comunicazioni di servizio. Il loro invio non dipende da un consenso al marketing.

06Destinatari e fornitori

I dati sono trattati da personale autorizzato e dai fornitori necessari, secondo il rispettivo ruolo: piattaforme informatiche, assistenza, pagamento e incasso, recapito delle comunicazioni, gestione e conservazione documentale, consulenza amministrativa e professionale. Possono essere comunicati alle autorità legittimate a richiederli. I responsabili operano in forza di accordi ai sensi dell’articolo 28 GDPR; i titolari autonomi trattano i dati per le proprie finalità e gli obblighi di competenza.

Yukom

Yukom S.r.l., Via Lanzone 4, 20123 Milano (MI), C.F. e P.IVA 14640350964, info@yukom.it, fornisce le piattaforme Sirius Mobile, inclusa MyMobile. Per i trattamenti svolti per conto e su istruzioni di Sirius opera come responsabile nel perimetro della nomina; per i dati necessari all’erogazione dei servizi mobili e agli obblighi di legge, regolamentari e di giustizia di propria competenza opera come titolare autonomo. La proprietà delle piattaforme non autorizza l’impiego dei dati per finalità commerciali proprie. L’informativa relativa ai trattamenti autonomi può essere richiesta a Yukom o a Sirius.

Nexi, emittenti e banche

I pagamenti con carta sono gestiti tramite Nexi. Nexi, l’emittente dello strumento e gli altri soggetti del circuito trattano i dati necessari all’esecuzione, all’autenticazione e alla sicurezza del pagamento secondo i rispettivi ruoli e informative. È disponibile l’informativa Nexi XPay, oltre alle informazioni presentate nel percorso di pagamento. Per l’SDD intervengono le banche e i soggetti della catena d’incasso, anche quali titolari autonomi per i propri adempimenti.

I dati non sono diffusi al pubblico né ceduti a terzi per loro marketing. L’elenco aggiornato dei responsabili e ulteriori informazioni sui destinatari possono essere richiesti a Sirius o al DPO.

07Luoghi del trattamento e protezione dei dati

I sistemi utilizzati da Sirius, incluse le piattaforme Yukom per la gestione clienti e MyMobile, le relative copie di sicurezza e gli accessi di assistenza, sono gestiti nello Spazio economico europeo (SEE). Sono adottate misure proporzionate al rischio, con autorizzazioni di accesso, tracciabilità e protezione delle informazioni.

Questa localizzazione non costituisce una dichiarazione riferita indistintamente a tutti i trattamenti autonomi di banche, circuiti ed emittenti: per tali trattamenti valgono le informative dei soggetti coinvolti. Qualora Sirius debba effettuare trasferimenti fuori dal SEE, applica i presupposti del capo V GDPR, quali decisioni di adeguatezza o garanzie appropriate, incluse clausole contrattuali tipo e misure supplementari ove necessarie, informando gli interessati secondo la disciplina applicabile. Informazioni e copia delle garanzie riferibili ai trattamenti di Sirius sono richiedibili al DPO.

08Tempi di conservazione

I dati sono conservati secondo la finalità, evitando di estendere indistintamente a tutti i dati i termini previsti per i documenti contabili.

Operazioni e documenti

Per la gestione del rapporto e, per la documentazione contrattuale, amministrativa e di pagamento necessaria, fino a 10 anni dalla cessazione. Per scritture e documenti contabili il termine legale di 10 anni decorre dalla relativa registrazione, ferme le disposizioni che richiedano una conservazione ulteriore.

Richieste non completate

Fino a 6 mesi dalla chiusura della richiesta, salvo specifiche contestazioni. Se la richiesta ha generato un pagamento, un obbligo contabile o un rimborso, le relative evidenze seguono i termini propri di tali documenti.

Token e mandati

I token sono mantenuti per il tempo necessario alle funzioni di pagamento autorizzate e disabilitati per futuri addebiti quando l’autorizzazione è revocata. La prova delle autorizzazioni, dei mandati, delle revoche e delle transazioni segue i termini di conservazione documentale pertinenti; la conservazione della prova non consente nuovi addebiti.

Log e assistenza

Per la gestione dell’evento, le verifiche di sicurezza e il tempo necessario a documentarlo e tutelare i diritti, secondo natura e rischio. Il termine decennale dei documenti contrattuali non è esteso automaticamente ai log generici.

Scelte facoltative

Quando esistano consensi validi e pertinenti: marketing e inviti a ricerche fino a 24 mesi dal relativo consenso; risposte identificabili alle ricerche fino a 12 mesi; profilazione limitata a offerte e acquisti degli ultimi 12 mesi, con consenso da rinnovare entro 12 mesi. Resta possibile la revoca anticipata.

Alla scadenza i dati sono cancellati o resi anonimi. Una controversia o un ordine legittimo può richiedere la conservazione ulteriore dei soli dati pertinenti. Le evidenze minime di consensi e opposizioni sono conservate per dimostrare e rispettare le scelte per il tempo necessario alla tutela dei diritti.

09Preferenze commerciali, senza consensi impliciti

La ricarica, il pagamento e la presa visione di questa informativa non conferiscono nuovi consensi commerciali e non rinnovano quelli precedenti. Marketing diretto Sirius, ricerche di mercato e profilazione commerciale richiedono scelte distinte, facoltative, libere e revocabili, ai sensi degli articoli 6, paragrafo 1, lettera a), e 7 GDPR e delle regole applicabili ai singoli canali, incluso l’articolo 130 del Codice privacy.

Eventuali consensi già validamente prestati possono essere utilizzati soltanto entro il loro ambito e periodo di validità. Per il marketing sono utilizzati esclusivamente i recapiti e i canali autorizzati. La profilazione, se consentita, riguarda soltanto offerte e acquisti Sirius, inclusi tipologia, data e valore delle ricariche: sono esclusi traffico voce e SMS, contatti, contenuti, navigazione e localizzazione.

Le offerte personalizzate richiedono sia il consenso marketing sia quello di profilazione. Nessun consenso è desunto dal fatto di pagare la ricarica per un’altra persona. Il rappresentante di un’azienda non presta, con la ricarica, consensi commerciali per dipendenti o utilizzatori. Il rifiuto o la revoca non pregiudicano il servizio richiesto.

10Diritti degli interessati

Nei casi previsti dal GDPR è possibile chiedere accesso e copia dei dati, rettifica, cancellazione o limitazione del trattamento; opporsi per motivi connessi alla propria situazione ai trattamenti fondati sull’interesse legittimo; ricevere i dati forniti in formato strutturato e leggibile e chiederne la trasmissione a un altro titolare, quando ricorrano i presupposti della portabilità.

È possibile opporsi in qualsiasi momento al marketing, inclusa la profilazione connessa, e revocare i consensi senza pregiudicare la liceità del trattamento anteriore. La revoca di un consenso commerciale non equivale alla revoca di un mandato di pagamento o dell’autoricarica.

Le richieste possono essere inviate a dpo@siriustec.it o agli altri recapiti Sirius indicati al punto 1, senza modulo obbligatorio. Sirius risponde entro un mese; può prorogare di altri due mesi in caso di complessità o numero delle richieste, informandone l’interessato e motivandolo entro il primo mese. Le richieste sono normalmente gratuite, salvo i casi previsti dall’articolo 12 GDPR. Le verifiche d’identità sono limitate a quanto necessario e proporzionato.

L’interessato può proporre reclamo al Garante per la protezione dei dati personali o all’autorità competente secondo il GDPR e ricorrere all’autorità giudiziaria. Non è obbligatorio contattare preventivamente Sirius.

11Automazione, cookie e aggiornamenti

L’esecuzione tecnica di pagamenti e autoricariche segue le istruzioni e i criteri del servizio richiesto. La profilazione commerciale sopra descritta non produce decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi. Le valutazioni tecniche o antifrode di competenza di Sirius che incidano sul servizio possono essere sottoposte a riesame umano tramite l’assistenza. Per le verifiche autonome dei prestatori di pagamento si applicano le rispettive informative e garanzie.

Cookie, strumenti di tracciamento e permessi del dispositivo sono disciplinati dalle specifiche informazioni e scelte del sito e dell’applicazione. L’accettazione delle condizioni di ricarica e la presa visione di questa informativa non autorizzano tracciamenti facoltativi o accessi ulteriori al dispositivo.

La presente versione riguarda il servizio descritto nelle Condizioni del servizio di ricarica. Eventuali modifiche dei trattamenti sono comunicate secondo la normativa applicabile; un aggiornamento dell’informativa non amplia automaticamente i consensi già prestati.