Informativa sulla Privacy

Ultimo aggiornamento: 14 ottobre 2026

La presente informativa è resa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (di seguito «GDPR») e descrive le modalità di trattamento dei dati personali raccolti attraverso il sito web www.operalife.eu e i relativi sottodomini (di seguito «Sito»), nonché attraverso gli indirizzi email pubblicati dal Titolare. La invitiamo a leggere attentamente questo documento prima di fornire qualsiasi dato personale.

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è OPERA S.r.l., con sede legale in Via Aretina 155/1, 50136 Firenze (FI), Italia — P.IVA e C.F.: 07502760486 — REA: FI-707988 — PEC: operalife@pecaruba.it — Email per questioni relative alla privacy: privacy@operalife.eu.

Per qualsiasi questione relativa alla protezione dei dati personali è possibile contattare il Titolare all'indirizzo privacy@operalife.eu. Alla data dell'ultimo aggiornamento il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO).

2. Tipi di dati raccolti

Attraverso il Sito e gli indirizzi email pubblicati il Titolare tratta le seguenti categorie di dati personali:

Dati forniti tramite il modulo di contatto

Compilando il modulo di contatto presente sul Sito, Lei fornisce volontariamente i seguenti dati: nome, indirizzo email, organizzazione di appartenenza (facoltativo) e testo del messaggio. L'invio del modulo comporta inoltre la registrazione della conferma di presa visione della presente informativa.

Il conferimento del nome, dell'indirizzo email e del testo del messaggio è necessario per consentire al Titolare di rispondere alla richiesta: in loro assenza non è possibile inviare il modulo. Il conferimento dell'organizzazione di appartenenza è facoltativo e la sua omissione non comporta alcuna conseguenza. La spunta di presa visione della presente informativa è anch'essa necessaria per l'invio e serve unicamente a documentare che l'informativa è stata resa disponibile.

Comunicazioni via email

Il Sito pubblica alcuni indirizzi email di contatto. Scrivendo direttamente a tali indirizzi, Lei fornisce al Titolare il proprio indirizzo email e i dati eventualmente contenuti nel messaggio. Tali dati sono trattati per le medesime finalità e sulle medesime basi giuridiche previste per le richieste inviate tramite il modulo di contatto, e sono conservati per il periodo indicato alla sezione 6. Alle candidature spontanee si applica quanto indicato nel paragrafo seguente.

Candidature spontanee

Qualora Lei invii spontaneamente la propria candidatura a uno degli indirizzi email pubblicati dal Titolare, il Titolare tratta i dati contenuti nel messaggio e nel curriculum vitae — tipicamente dati anagrafici e di contatto, percorso di studi, esperienze professionali e ogni altra informazione che Lei sceglie di includere — al solo fine di valutare la candidatura e, se del caso, ricontattarLa in vista dell'eventuale instaurazione di un rapporto di lavoro o di collaborazione. Il Sito non prevede un modulo dedicato alle candidature né consente il caricamento di file; alle candidature eventualmente inviate tramite il modulo di contatto si applica comunque il presente paragrafo, fermo restando quanto indicato alla sezione 4 sul recapito dei messaggi del modulo. Ai sensi dell'art. 111-bis del D.Lgs. 196/2003, nei limiti delle finalità di cui all'art. 6, par. 1, lett. b, del GDPR il consenso al trattamento dei dati contenuti nei curricula trasmessi spontaneamente non è dovuto; le informazioni di cui all'art. 13 del GDPR sono contenute nella presente informativa, che il Titolare richiama nel primo riscontro inviato al candidato.

Per valutare una candidatura il Titolare non richiede categorie particolari di dati personali (art. 9 del GDPR) né dati relativi a condanne penali o reati (art. 10): La invitiamo a non inserirli. I dati relativi a condanne penali o reati eventualmente presenti non sono utilizzati e non fondano alcuna decisione. Lo stesso vale per le categorie particolari di dati non pertinenti alla candidatura: il Titolare non le utilizza, non le estrae dal documento e non le copia altrove, ed esse restano nel documento ricevuto fino alla sua cancellazione. Le sole categorie particolari che Lei abbia scelto di comunicare perché necessarie all'adempimento di obblighi o all'esercizio di diritti in materia di diritto del lavoro — ad esempio l'appartenenza alle categorie protette di cui alla L. 68/1999 — sono trattate a tal fine ai sensi dell'art. 9, par. 2, lett. b, del GDPR, nel rispetto delle prescrizioni del Garante per la protezione dei dati personali (provvedimento n. 146 del 5 giugno 2019). Resta salvo, per le categorie particolari di dati, il caso in cui esse risultino strettamente necessarie all'accertamento, all'esercizio o alla difesa di un diritto nell'ambito di una controversia già insorta (art. 9, par. 2, lett. f, GDPR).

L'invio di una candidatura è interamente volontario. Il mancato conferimento dei dati, o il loro conferimento parziale, ha come sola conseguenza l'impossibilità per il Titolare di valutare la candidatura in tutto o in parte.

Categorie particolari di dati

Il modulo di contatto e gli indirizzi email pubblicati sono destinati a comunicazioni di natura professionale e commerciale. Per le comunicazioni ricevute attraverso tali canali il Titolare non richiede né necessita di categorie particolari di dati personali ai sensi dell'art. 9 del GDPR — in particolare dati relativi alla salute — né di dati relativi a condanne penali o reati (art. 10): La invitiamo a non includerli nei Suoi messaggi. Il Titolare non fonda alcuna decisione su tali dati, non li estrae dalla comunicazione né li organizza in archivi dedicati, e li elimina non appena esaurito il riscontro alla richiesta, senza attendere il termine ordinario di conservazione indicato alla sezione 6. Nell'intervallo tra la ricezione e la cancellazione tali dati non sono oggetto di alcuna operazione diversa dalla loro eliminazione. Unica eccezione, limitata alle categorie particolari di dati, è il caso in cui esse risultino strettamente necessarie all'accertamento, all'esercizio o alla difesa di un diritto nell'ambito di una controversia già insorta (art. 9, par. 2, lett. f, GDPR). Quanto precede non riguarda le candidature spontanee, per le quali vale quanto indicato nel paragrafo dedicato.

Indirizzo IP utilizzato per limitare gli invii del modulo di contatto

Per prevenire invii abusivi o automatizzati, a ogni richiesta di invio del modulo di contatto il server del Sito rileva l'indirizzo IP da cui la richiesta proviene e lo utilizza per limitare a tre il numero di invii al minuto provenienti dal medesimo indirizzo; per gli indirizzi IPv6 il limite si applica al prefisso di rete (i primi 64 bit dell'indirizzo) anziché all'indirizzo completo. Il conteggio è affidato a un servizio di Cloudflare, il fornitore sulla cui rete il Sito è in esecuzione (sezione 4): a ogni richiesta di invio il server passa a tale servizio l'indirizzo, o il prefisso, come chiave di conteggio, e ne riceve soltanto l'indicazione se il limite è stato superato. I contatori sono tenuti da Cloudflare presso il centro dati che ha ricevuto la richiesta; nell'ambito di questa limitazione il Sito non scrive l'indirizzo in alcun altro archivio o database e non lo associa ai dati inseriti nel modulo. Soltanto nel caso in cui tale servizio non sia disponibile il conteggio avviene nella memoria volatile del server. Nell'ambito di questa limitazione l'indirizzo IP non è comunicato a soggetti diversi da Cloudflare. Sulla verifica anti-abuso, nella quale Cloudflare riceve l'indirizzo IP direttamente dal Suo browser, si veda il paragrafo seguente. La richiesta di invio è inoltre registrata nei log del server come ogni altra richiesta che lo raggiunge, secondo quanto indicato al paragrafo «Dati di navigazione».

Tale trattamento è automatico e avviene a ogni invio del modulo: non è possibile inviare il modulo senza che l'indirizzo IP sia rilevato a questo fine.

Dati trattati dalla verifica anti-abuso del modulo di contatto

Il modulo di contatto è protetto da Cloudflare Turnstile, un servizio di Cloudflare, Inc. che verifica che il modulo sia utilizzato da una persona e non da un programma automatico. Il servizio non viene caricato all'apertura della pagina: il Suo browser lo scarica dai server di Cloudflare (dominio challenges.cloudflare.com) soltanto quando, dopo il caricamento di una pagina, Lei modifica per la prima volta uno dei campi del modulo — nome, email, organizzazione, messaggio — o la casella di spunta: quando digita il primo carattere, incolla o detta un testo, spunta la casella, oppure quando è il browser a compilare un campo per Suo conto (compilazione automatica). Non lo scarica quando Lei si limita a selezionare un campo — con il mouse, con il tocco o con la tastiera — senza modificarlo. Con una sola eccezione: se i campi sono stati compilati prima che la pagina avesse terminato di caricarsi, o sono stati ripristinati dal browser al ricaricamento della pagina, e non vengono più modificati, il browser scarica il servizio quando Lei invia il modulo. Una riga posta in testa al modulo, prima dei campi, avverte della verifica e del salvataggio di un codice nel browser. Dal momento in cui il servizio è caricato Cloudflare riceve, direttamente dal Suo browser, le informazioni tecniche (i cosiddetti segnali) di cui il servizio si serve; nel corso della verifica il browser scambia dati con il dominio indicato e, per quanto abbiamo osservato, con un suo sottodominio. Secondo quanto Cloudflare dichiara nella propria informativa sul servizio (Turnstile Privacy Addendum), tra queste vi sono l'indirizzo IP, l'impronta della connessione cifrata (TLS fingerprint), l'intestazione User-Agent del browser, la chiave che identifica il Sito presso il servizio e l'indirizzo del Sito; secondo la documentazione tecnica del servizio, la verifica esegue inoltre nel browser alcuni programmi che ne rilevano le caratteristiche tecniche e gli indizi di un utilizzo da parte di una persona. Nel richiedere il servizio il Suo browser indica inoltre a Cloudflare, per come il Sito lo configura, la lingua della pagina, il tema in cui la pagina è mostrata, il formato del riquadro della verifica e un'etichetta che indica che la verifica riguarda il modulo di contatto. Secondo la documentazione del servizio, il codice di verifica descritto più sotto scade dopo circa cinque minuti e, finché la pagina resta aperta, il servizio lo rinnova da sé, contattando di nuovo Cloudflare. Il servizio salva infine nel Suo browser un codice, distinto dal codice di verifica, che non ha una scadenza prestabilita e di cui Cloudflare non documenta pubblicamente né il contenuto né la funzione specifica: in base alle nostre verifiche è diverso per ciascun browser e può quindi consentire a Cloudflare di riconoscere lo stesso browser in occasioni successive e, a seconda del browser e delle sue impostazioni, anche su altri siti che usano il servizio. È un identificativo online (considerando 30 del GDPR), descritto nella Cookie Policy. Questo trattamento non riguarda chi visita il Sito senza che alcun campo del modulo di contatto, né la casella di spunta, venga modificato — da Lei o dal browser per Suo conto — e senza che il modulo venga inviato.

Superata la verifica, il servizio consegna al Suo browser un codice monouso, che viene inviato al server del Sito insieme ai dati del modulo. Per ottenere conferma della verifica il server trasmette al servizio Turnstile, dei dati che La riguardano, soltanto questo codice: alla richiesta di conferma non unisce il Suo indirizzo IP né i dati inseriti nel modulo, e recapita il messaggio solo se la conferma è positiva. Il Titolare non conserva il codice sui propri sistemi. Secondo la documentazione del servizio, la verifica non accede a quanto Lei scrive nel modulo, non lo salva e non lo trasmette.

Tale trattamento è automatico e ha inizio alla prima modifica di un campo del modulo o della casella di spunta, compresa la compilazione automatica da parte del browser, oppure, nel caso indicato sopra, all'invio del modulo: non è possibile inviare il modulo senza la verifica. Se la verifica non riesce il messaggio non viene recapitato e l'invio può essere ripetuto. Chi preferisce evitare questo trattamento può scrivere direttamente agli indirizzi email pubblicati sul Sito.

Dati di navigazione

Durante la normale navigazione, i sistemi informatici preposti al funzionamento del Sito acquisiscono automaticamente alcuni dati tecnici. Il Sito è distribuito attraverso la rete di Cloudflare (sezione 4), che riceve ogni richiesta diretta al Sito e tratta i dati tecnici necessari a darvi risposta, tra cui l'indirizzo IP. Per le richieste che raggiungono il server del Sito — in particolare le pagine, compresi i reindirizzamenti e le pagine non trovate, i file robots.txt e sitemap.xml e le richieste di invio del modulo di contatto; non i file statici quali fogli di stile, script e caratteri tipografici — Cloudflare registra inoltre, nei log che mette a disposizione del Titolare, una voce per ciascuna richiesta: indirizzo della pagina richiesta, metodo ed esito della richiesta, data e ora, tipo e versione del browser (intestazione User-Agent) e metadati di rete, quali il paese, la località approssimativa e l'operatore di rete da cui la richiesta proviene. Secondo la documentazione del servizio la voce comprende le intestazioni della richiesta, cioè le informazioni tecniche che accompagnano ogni richiesta — ad esempio la lingua preferita e la pagina di provenienza —, tra le quali figura l'indirizzo IP. A queste voci si aggiungono i messaggi diagnostici scritti dal server del Sito, che non contengono i dati inseriti nel modulo di contatto né l'indirizzo IP. Il Titolare utilizza questi dati esclusivamente per garantire il corretto funzionamento del Sito, per la diagnosi dei malfunzionamenti e per finalità di sicurezza informatica; sui trattamenti che il fornitore svolge per finalità proprie si veda la sezione 4.

La raccolta dei dati di navigazione è automatica e inerente al funzionamento dei protocolli di comunicazione di Internet: non deriva da un Suo conferimento volontario e non è disattivabile continuando a utilizzare il Sito.

Cookie

Il Sito utilizza esclusivamente cookie tecnici. Alla data dell'ultimo aggiornamento non sono attivi cookie di analisi statistica o di marketing; qualora venissero introdotti, saranno installati esclusivamente previo Suo consenso e la presente informativa sarà aggiornata di conseguenza. Per informazioni dettagliate sui cookie utilizzati, sulle relative finalità e sulle modalità per rimuoverli o bloccarli, si prega di consultare la nostra Cookie Policy. La Cookie Policy descrive anche quanto, pur non essendo un cookie, è salvato nell'archiviazione locale del browser, compreso quanto vi salva il servizio di verifica anti-abuso del modulo di contatto.

3. Finalità e base giuridica del trattamento

I dati personali raccolti sono trattati per le seguenti finalità, ciascuna associata alla relativa base giuridica ai sensi dell'art. 6 del GDPR e, ove pertinente, dell'art. 9:

Finalità	Base giuridica	Dati trattati
Rispondere alle richieste inviate tramite il modulo di contatto o scritte agli indirizzi email pubblicati, escluse le candidature spontanee, e gestire la comunicazione che ne consegue	Legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR) a rispondere alle comunicazioni ricevute e a dare seguito ai contatti avviati dall'interessato. Lei può opporsi a tale trattamento alle condizioni indicate alla sezione 7 (art. 21).	Per il modulo: nome, email, organizzazione, messaggio, conferma di presa visione dell'informativa. Per le email: indirizzo del mittente e contenuto del messaggio
Valutare le candidature spontanee ricevute e ricontattare i candidati	Esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b, GDPR); ai sensi dell'art. 111-bis del D.Lgs. 196/2003, nei limiti di tale finalità il consenso non è dovuto. Per le eventuali categorie particolari di dati necessarie in materia di diritto del lavoro, art. 9, par. 2, lett. b, GDPR	Dati anagrafici e di contatto, curriculum vitae, percorso di studi ed esperienze professionali, ogni altro dato incluso dal candidato
Funzionamento tecnico e sicurezza del Sito	Legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR) — garantire la disponibilità, l'integrità e la sicurezza del Sito. Lei può opporsi a tale trattamento alle condizioni indicate alla sezione 7 (art. 21).	Dati di navigazione (indirizzo IP, browser, pagine richieste, intestazioni della richiesta, metadati di rete); dati tecnici delle interrogazioni DNS relative al dominio; cookie tecnico che registra la chiusura dell'avviso sui cookie
Prevenzione di invii abusivi o automatizzati del modulo di contatto, mediante limitazione del numero di invii per indirizzo IP	Legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR) a proteggere il modulo di contatto da abusi e a garantirne la disponibilità. Lei può opporsi a tale trattamento alle condizioni indicate alla sezione 7 (art. 21).	Indirizzo IP (per gli indirizzi IPv6, il prefisso di rete) e numero degli invii recenti del modulo
Protezione del modulo di contatto da invii automatizzati, mediante un servizio che verifica che il modulo sia utilizzato da una persona (Cloudflare Turnstile)	Legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR) a proteggere il modulo di contatto da abusi e a garantirne la disponibilità. Lei può opporsi a tale trattamento alle condizioni indicate alla sezione 7 (art. 21).	Informazioni tecniche (segnali) raccolte dal servizio presso il Suo browser, tra cui indirizzo IP, impronta della connessione cifrata, User-Agent, caratteristiche tecniche del browser e indizi di un utilizzo da parte di una persona; codice salvato dal servizio nel browser; codice di verifica monouso
Adempimento degli obblighi contabili, fiscali e di conservazione documentale previsti dalla legge, nonché riscontro a richieste legittime dell'autorità	Obbligo legale (art. 6, par. 1, lett. c, GDPR)	I dati contenuti nella documentazione soggetta a obbligo di conservazione
Accertamento, esercizio o difesa di un diritto in sede giudiziaria	Legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR) alla tutela dei propri diritti; per eventuali categorie particolari di dati, art. 9, par. 2, lett. f, GDPR	I dati necessari in relazione alla specifica controversia

4. Servizi terzi e destinatari dei dati

I dati personali possono essere resi accessibili o comunicati ai seguenti soggetti:

Persone autorizzate: le persone che operano sotto l'autorità del Titolare, autorizzate al trattamento ai sensi dell'art. 2-quaterdecies del D.Lgs. 196/2003 e istruite ai sensi dell'art. 29 del GDPR, che accedono ai dati per lo svolgimento dei propri compiti.
Consulenti professionali: avvocati, commercialisti e revisori, nella misura in cui ciò sia necessario per la gestione degli adempimenti legali, fiscali e contabili.
Autorità pubbliche: enti o istituzioni a cui il Titolare è tenuto a comunicare i dati in adempimento di obblighi di legge.

Il Titolare si avvale inoltre dei seguenti fornitori terzi, che, per i trattamenti svolti per conto del Titolare, agiscono in qualità di Responsabili del trattamento ai sensi dell'art. 28 del GDPR:

Brevo

Servizio di invio di email transazionali fornito da Sendinblue SAS (Francia), che opera con il marchio Brevo. Quando Lei invia il modulo di contatto, il server del Sito trasmette a Brevo i dati inseriti — nome, email, organizzazione, messaggio e conferma di presa visione dell'informativa — affinché siano recapitati via email alla casella del Titolare. La trasmissione avviene da server a server: il Suo browser non contatta Brevo. Brevo conserva nel proprio registro degli invii i dati relativi alla consegna, tra cui destinatario, mittente, oggetto del messaggio (che riporta il Suo nome e, se indicata, l'organizzazione), indirizzo di risposta (il Suo indirizzo email), data, ora ed esito dell'invio. Il testo del messaggio non è conservato nel registro. Per questo trattamento Brevo agisce in qualità di Responsabile, in base all'accordo sul trattamento dei dati (DPA) che costituisce l'Appendice 3 delle sue Condizioni di servizio. Lo stesso DPA prevede che Brevo possa trattare dati in qualità di titolare autonomo, secondo la propria informativa privacy, per gestire l'account del cliente, la fatturazione, la produzione di statistiche e la difesa dei propri diritti. Secondo l'elenco pubblicato nel DPA, l'infrastruttura di hosting di Brevo si trova in Francia e in Belgio; sui sub-responsabili di cui Brevo si avvale si veda la sezione 5.

Cloudflare

Cloudflare, Inc. (USA) fornisce al Titolare quattro servizi. Primo, l'esecuzione e la distribuzione del Sito: il Sito è in esecuzione sulla rete di Cloudflare (servizio Cloudflare Workers), che riceve ogni richiesta dei visitatori, vi dà risposta e registra i log descritti alla sezione 2; vi transitano anche i dati inviati con il modulo di contatto, per il tempo necessario a inoltrarli al servizio di recapito, senza che il Sito li registri su tale infrastruttura in forma persistente. Secondo, il servizio DNS del dominio operalife.eu: Cloudflare risponde alle interrogazioni con cui i nomi del dominio vengono tradotti in indirizzi di rete, interrogazioni che di norma le giungono dal server DNS di cui si serve il visitatore o il mittente di un'email e non direttamente dal loro dispositivo; le caselle di posta ordinaria del Titolare sono ospitate da un diverso fornitore (Aruba, indicato di seguito). Terzo, il conteggio degli invii del modulo di contatto per indirizzo IP (sezione 2). Quarto, la verifica anti-abuso Turnstile, descritta nel capoverso seguente. Per questi servizi, e salvo quanto indicato di seguito, Cloudflare agisce in qualità di Responsabile del trattamento per conto del Titolare, in base all'accordo sul trattamento dei dati (Data Processing Addendum, pubblicato all'indirizzo www.cloudflare.com/cloudflare-customer-dpa) richiamato dalle condizioni contrattuali del servizio (www.cloudflare.com/terms). Secondo tali condizioni e la propria informativa privacy (www.cloudflare.com/privacypolicy), Cloudflare utilizza inoltre per finalità proprie — tra cui la sicurezza, la manutenzione e il miglioramento della propria rete — i dati di traffico generati dall'erogazione dei servizi. Il Titolare accede ai log e alle statistiche tramite il pannello di gestione del proprio account. La base del trasferimento verso gli Stati Uniti e le indicazioni sul luogo del trattamento sono riportate alla sezione 5.

Quanto alla verifica anti-abuso Turnstile, che protegge il modulo di contatto nei termini indicati alla sezione 2, Cloudflare raccoglie i segnali direttamente dal Suo browser e, secondo quanto dichiara nel Turnstile Privacy Addendum (www.cloudflare.com/turnstile-privacy-policy), li tratta a due titoli distinti. Quando li utilizza per proteggere il modulo del Sito agisce in qualità di Responsabile del trattamento per conto del Titolare, in base al medesimo Data Processing Addendum. Quando utilizza gli stessi segnali per migliorare la propria capacità di rilevare i programmi automatici dichiara invece di agire in qualità di titolare del trattamento, sulla base del proprio legittimo interesse: per questo trattamento valgono il Turnstile Privacy Addendum e l'informativa privacy di Cloudflare. La raccolta dei segnali presso il Suo browser, che rende possibile anche questo utilizzo, avviene per effetto della scelta del Titolare di proteggere il modulo con questo servizio, per la finalità e sulla base giuridica indicate alla sezione 3; alla data dell'ultimo aggiornamento, né il Turnstile Privacy Addendum, né il Data Processing Addendum, né la documentazione del servizio indicano un modo in cui il Titolare possa escludere tale utilizzo. L'opposizione a questo utilizzo e gli altri diritti che lo riguardano possono essere esercitati direttamente nei confronti di Cloudflare, che nel Turnstile Privacy Addendum indica come recapito il proprio responsabile della protezione dei dati (dpo@cloudflare.com) e nella propria informativa privacy, per l'opposizione, l'indirizzo sar@cloudflare.com; resta ferma la possibilità di rivolgersi al Titolare, ai recapiti indicati alla sezione 8, per la raccolta dei segnali tramite il Sito. Secondo la documentazione del servizio, Cloudflare mette inoltre a disposizione del Titolare, nel pannello di gestione, statistiche sull'uso della verifica che comprendono gli indirizzi IP da cui proviene il maggior numero di richieste.

Aruba

Servizio di hosting email fornito da Aruba S.p.A. (Italia). Le email indirizzate alle caselle di posta ordinaria del Titolare, comprese quelle generate dal modulo di contatto e quelle inviate agli indirizzi pubblicati sul Sito, sono ricevute e conservate su server situati nell'Unione Europea. Aruba agisce in qualità di Responsabile del trattamento ai sensi dell'art. 28 del GDPR, sulla base del relativo accordo sul trattamento dei dati. Quanto precede non riguarda la posta elettronica certificata (PEC): i messaggi inviati all'indirizzo PEC del Titolare sono ricevuti e conservati dal gestore del relativo servizio, secondo le condizioni di quel servizio.

5. Trasferimenti internazionali dei dati

Tra i fornitori terzi sopra indicati, Cloudflare, Inc. ha sede negli Stati Uniti d'America. I trasferimenti avvengono nel rispetto del Capo V del GDPR, sulle basi indicate nella tabella e nelle note che la seguono:

Servizio	Paese	Base del trasferimento
Cloudflare (esecuzione e distribuzione del Sito, DNS, limitazione degli invii del modulo, verifica anti-abuso Turnstile)	Stati Uniti	Decisione di adeguatezza relativa all'EU-US Data Privacy Framework (Decisione di esecuzione (UE) 2023/1795 della Commissione; art. 45 GDPR) — alla data dell'ultimo aggiornamento Cloudflare, Inc. risulta certificata nel registro DPF

Aruba S.p.A. ha sede in Italia e i dati rimangono all'interno dell'Unione Europea; non si configura pertanto alcun trasferimento internazionale.

Cloudflare esegue il Sito e ne conta gli invii nel centro dati della propria rete che riceve la richiesta, di norma il più vicino al visitatore: il Titolare non ha vincolato l'esecuzione a una regione determinata, e i dati di una richiesta possono quindi essere trattati anche in un centro dati situato fuori dallo Spazio economico europeo; le località in cui Cloudflare dispone di centri dati sono pubblicate all'indirizzo www.cloudflare.com/network. Nella propria informativa privacy Cloudflare dichiara di conservare le informazioni principalmente negli Stati Uniti e nello Spazio economico europeo. Secondo il Data Processing Addendum di Cloudflare, i dati trattati per conto del Titolare possono essere trattati da Cloudflare e dai suoi sub-responsabili anche in altri paesi al di fuori dello Spazio economico europeo: l'elenco, pubblicato all'indirizzo www.cloudflare.com/gdpr/subprocessors, alla data dell'ultimo aggiornamento indica fornitori e società del gruppo Cloudflare stabiliti, oltre che nello Spazio economico europeo e negli Stati Uniti, in Australia, Canada, Corea del Sud, Emirati Arabi Uniti, Giappone, India, Malaysia, Messico, Regno Unito, Singapore e Svizzera. Alla data dell'ultimo aggiornamento, tra questi paesi non sono oggetto di una decisione di adeguatezza della Commissione europea l'Australia, gli Emirati Arabi Uniti, l'India, la Malaysia, il Messico e Singapore; lo stesso vale per molti dei paesi in cui Cloudflare dispone di centri dati. Per i trasferimenti verso paesi privi di una decisione di adeguatezza valgono le previsioni del Data Processing Addendum riportate di seguito. Per i trasferimenti dal Titolare a Cloudflare che non siano coperti da una decisione di adeguatezza l'accordo prevede l'applicazione delle clausole contrattuali standard adottate con la Decisione di esecuzione (UE) 2021/914 della Commissione; per gli ulteriori trasferimenti di tali dati richiede il rispetto della normativa applicabile e, ove applicabili, delle medesime clausole. Il testo dell'accordo è pubblicato all'indirizzo indicato alla sezione 4 della presente informativa; il Titolare ne fornisce copia su richiesta, da inviare a privacy@operalife.eu.

Sendinblue SAS (Brevo) ha sede in Francia e, secondo l'elenco dei sub-responsabili allegato al suo DPA, ospita i dati in Francia e in Belgio. Lo stesso elenco indica che, per attività accessorie al servizio — tra cui rete di distribuzione e protezione del traffico, strumenti di assistenza clienti e di reportistica, supporto e manutenzione da parte di società del gruppo — Brevo si avvale di sub-responsabili stabiliti negli Stati Uniti e in India, il che può comportare un trattamento, al di fuori dello Spazio economico europeo, dei dati dei messaggi inviati tramite il modulo di contatto e del relativo registro degli invii. Per tali ipotesi l'elenco indica, a seconda del sub-responsabile, l'EU-US Data Privacy Framework, norme vincolanti d'impresa o clausole contrattuali standard con misure supplementari; per l'India, per la quale non esiste una decisione di adeguatezza, clausole contrattuali standard con misure supplementari. L'elenco aggiornato dei sub-responsabili, con sede, luogo di trattamento e garanzie di ciascuno, è pubblicato nell'Allegato 2 del DPA all'indirizzo www.brevo.com/legal/termsofuse.

Per i sub-responsabili di Brevo, le garanzie applicabili a ciascuno sono indicate nell'Allegato 2 del DPA di Brevo; su Sua richiesta, da inviare a privacy@operalife.eu, il Titolare si attiva presso il fornitore per ottenere copia di tali garanzie o le ulteriori informazioni disponibili, e Le trasmette quanto ottenuto. La decisione di adeguatezza relativa all'EU-US Data Privacy Framework (Decisione di esecuzione (UE) 2023/1795) è pubblicata nella Gazzetta ufficiale dell'Unione europea ed è consultabile su eur-lex.europa.eu; l'elenco aggiornato delle entità certificate è consultabile su www.dataprivacyframework.gov.

6. Periodo di conservazione dei dati

Il Titolare conserva i dati personali per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti, nel rispetto del principio di limitazione della conservazione (art. 5, par. 1, lett. e, GDPR); dove un termine dipende da un fornitore che non lo dichiara, la tabella lo segnala:

Tipo di dato	Periodo di conservazione	Motivazione
Dati del modulo di contatto e delle comunicazioni email, escluse le candidature spontanee	12 mesi dall'ultima comunicazione scambiata in relazione alla richiesta	Tempo necessario per gestire la richiesta e un ragionevole periodo successivo per eventuali comunicazioni di follow-up
Registro degli invii del fornitore di recapito email (Brevo): destinatario, mittente, oggetto, indirizzo di risposta, data, ora ed esito dell'invio	1 mese dall'invio, oltre ai tempi tecnici di cancellazione del fornitore (fino a 24 ore)	Verifica dell'avvenuta consegna e diagnostica di eventuali mancati recapiti
Candidature spontanee e curricula	12 mesi dalla ricezione della candidatura, anche in caso di successivi scambi, salvo Sua richiesta di cancellazione anticipata. Se alla candidatura segue l'instaurazione di un rapporto di lavoro o di collaborazione, i dati sono trattati secondo l'informativa resa in quella sede	Una candidatura spontanea non è riferita a una posizione determinata: il periodo consente di valutarla rispetto alle esigenze di personale che si presentino nei mesi successivi
Log delle richieste al server del Sito (dati di navigazione), messaggi diagnostici del server e dati tecnici delle interrogazioni DNS	3 giorni per i log che Cloudflare mette a disposizione del Titolare, secondo la documentazione del servizio e il piano di servizio in uso alla data dell'ultimo aggiornamento. Per gli altri dati tecnici che tratta per conto del Titolare, compresi quelli delle interrogazioni DNS, Cloudflare non indica un termine: vale il criterio del Data Processing Addendum riportato nella riga sulla verifica anti-abuso. Cloudflare può conservare più a lungo i dati che tratta per finalità proprie, secondo la propria informativa privacy	Sicurezza informatica e diagnostica tecnica
Indirizzo IP utilizzato per limitare gli invii del modulo di contatto	Nell'ambito di questa limitazione l'indirizzo è registrato nei contatori tenuti da Cloudflare e, soltanto quando tale servizio non è disponibile, nella memoria volatile del server; la richiesta di invio resta registrata nei log indicati alla riga precedente. Ai fini del limite contano solo gli invii degli ultimi 60 secondi; la documentazione di Cloudflare non indica per quanto tempo i contatori siano conservati oltre tale intervallo: vale il criterio del Data Processing Addendum riportato nella riga sulla verifica anti-abuso. Quando il conteggio avviene nella memoria volatile del server (sezione 2), gli indirizzi inattivi da oltre 60 secondi sono eliminati la volta successiva in cui la stessa istanza del server conta un invio in memoria, oppure all'arresto di questa	Il dato serve soltanto a contare gli invii recenti; la durata dei contatori dipende dal fornitore, che non la dichiara
Segnali raccolti dal servizio di verifica anti-abuso del modulo di contatto (Cloudflare Turnstile), codice salvato dal servizio nel browser e codice di verifica	Il Titolare non conserva sui propri sistemi né i segnali né il codice di verifica, che è utilizzato una sola volta al momento dell'invio. Le statistiche che Cloudflare mette a disposizione del Titolare coprono, secondo la documentazione del servizio, al massimo gli ultimi sette giorni con il piano in uso alla data dell'ultimo aggiornamento. Per i segnali che tratta per conto del Titolare Cloudflare non indica un termine in giorni o mesi: il suo Data Processing Addendum prevede che i dati siano conservati finché il trattamento è necessario e che, alla cessazione del contratto, siano cancellati o restituiti, salvo che la legge ne imponga la conservazione. Ai trattamenti che svolge per finalità proprie Cloudflare applica i criteri indicati nella propria informativa privacy. Il codice che il servizio salva nel Suo browser resta sul Suo dispositivo senza una scadenza prestabilita, finché non viene cancellato (Cookie Policy, punti 4 e 8); il Titolare non lo riceve e non lo conserva	La verifica richiede i segnali nel momento in cui Lei utilizza il modulo. Per il resto vale il criterio previsto dall'accordo con il fornitore, che non lo esprime in forma di termine
Cookie tecnico che registra la chiusura dell'avviso sui cookie	Fino a 365 giorni dalla chiusura dell'avviso	Evitare che l'avviso sui cookie venga riproposto a ogni pagina
Dati conservati per obblighi di legge	Per il tempo previsto dalla specifica normativa applicabile: di norma dieci anni per la documentazione contabile e fiscale (art. 2220 c.c.)	Adempimento di obblighi contabili, fiscali o di altra natura imposti dalla legge
Dati necessari alla difesa in giudizio	Fino alla prescrizione del diritto azionabile	Accertamento, esercizio o difesa di un diritto in sede giudiziaria

Qualora a un medesimo dato risultino applicabili più periodi, prevale il più lungo, limitatamente alla finalità che lo giustifica; resta fermo quanto previsto alla sezione 2 per le categorie particolari di dati e per i dati relativi a condanne penali o reati. Al termine del periodo di conservazione i dati sono cancellati o resi anonimi. La cancellazione può richiedere tempi tecnici ulteriori per le copie presenti nei backup, che sono conservate per il solo tempo del rispettivo ciclo di rotazione e non sono utilizzate per altre finalità.

7. Diritti dell'interessato

Ai sensi degli artt. 15–22 del GDPR, nonché dell'art. 7, par. 3, per quanto riguarda la revoca del consenso, Lei ha il diritto di:

Accesso (art. 15): ottenere conferma dell'esistenza di un trattamento dei Suoi dati personali, accedere al loro contenuto e ottenerne copia.
Rettifica (art. 16): ottenere la correzione dei dati personali inesatti o l'integrazione di quelli incompleti.
Cancellazione (art. 17): ottenere la cancellazione dei Suoi dati personali, nei casi previsti dal GDPR.
Limitazione del trattamento (art. 18): ottenere la limitazione del trattamento dei Suoi dati personali in determinate circostanze.
Portabilità dei dati (art. 20): ricevere i dati personali forniti in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare, laddove il trattamento sia basato sul consenso o su un contratto e sia effettuato con mezzi automatizzati. Alla data dell'ultimo aggiornamento nessuno dei trattamenti descritti nella presente informativa è fondato sul consenso; l'unico fondato sull'esecuzione di misure precontrattuali è quello delle candidature spontanee, rispetto ai cui dati tale diritto può essere esercitato.
Opposizione (art. 21): opporsi in qualsiasi momento al trattamento dei Suoi dati personali basato sul legittimo interesse, per motivi connessi alla Sua situazione particolare; il Titolare si asterrà dal trattamento salvo che dimostri l'esistenza di motivi legittimi cogenti prevalenti sui Suoi interessi, diritti e libertà, oppure la necessità di accertare, esercitare o difendere un diritto in sede giudiziaria. Qualora i dati siano trattati per finalità di marketing diretto, Lei ha il diritto di opporsi in qualsiasi momento senza necessità di motivazione; in tal caso i dati non saranno più trattati per tali finalità.
Revoca del consenso (art. 7, par. 3): revocare in qualsiasi momento il consenso eventualmente prestato, senza che ciò pregiudichi la liceità del trattamento basato sul consenso prestato prima della revoca. Alla data dell'ultimo aggiornamento nessuno dei trattamenti descritti nella presente informativa è fondato sul consenso; qualora vengano introdotti cookie non essenziali, il consenso potrà essere revocato in qualsiasi momento tramite lo strumento di gestione delle preferenze che sarà reso disponibile sul Sito.
Decisioni automatizzate (art. 22): non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che La riguardano o che incida in modo analogamente significativo sulla Sua persona. Nell'ambito dei trattamenti descritti nella presente informativa il Titolare non effettua trattamenti di questo tipo. La limitazione degli invii e la verifica anti-abuso del modulo di contatto sono controlli automatici, ma non producono effetti di questo tipo: un invio rifiutato può essere ripetuto e resta possibile scrivere agli indirizzi email pubblicati sul Sito.

Diritto di opposizione. Le segnaliamo in modo specifico che, quando il trattamento si fonda sul legittimo interesse del Titolare, Lei ha il diritto di opporvisi in qualsiasi momento per motivi connessi alla Sua situazione particolare. Qualora i dati fossero trattati per finalità di marketing diretto, l'opposizione può essere esercitata in qualsiasi momento e senza necessità di motivazione (art. 21 GDPR).

8. Come esercitare i diritti

Per esercitare i diritti sopra elencati, Lei può inviare una richiesta scritta all'indirizzo email privacy@operalife.eu oppure alla PEC operalife@pecaruba.it, indicando il diritto che intende esercitare. Il Titolare richiederà informazioni ulteriori necessarie a confermare la Sua identità soltanto qualora nutra ragionevoli dubbi circa l'identità del richiedente (art. 12, par. 6, GDPR). Il Titolare risponde entro un mese dalla ricezione della richiesta, come previsto dall'art. 12, par. 3, del GDPR; tale termine può essere prorogato di due mesi ulteriori, tenuto conto della complessità e del numero delle richieste, e in tal caso Le comunicherà la proroga e i motivi del ritardo entro un mese. Qualora il Titolare non dia seguito alla richiesta, La informerà senza ritardo e comunque entro un mese, indicando i motivi e la possibilità di proporre reclamo all'autorità di controllo e di ricorrere in sede giudiziaria (art. 12, par. 4, GDPR). Le rettifiche, le cancellazioni e le limitazioni sono comunicate a ciascuno dei destinatari cui i dati sono stati comunicati, salvo che ciò risulti impossibile o comporti uno sforzo sproporzionato; su Sua richiesta il Titolare Le comunica l'identità di tali destinatari (art. 19 GDPR). Per i trattamenti fondati sul legittimo interesse Lei può chiedere al Titolare di illustrarLe le ragioni per cui ritiene che tale interesse prevalga sui Suoi interessi, diritti e libertà. L'esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive, per le quali il Titolare potrà addebitare un contributo ragionevole o rifiutare la richiesta, motivando la decisione.

9. Reclamo all'autorità di controllo

Qualora Lei ritenga che il trattamento dei Suoi dati personali avvenga in violazione del GDPR, ha il diritto di proporre reclamo all'autorità di controllo competente ai sensi dell'art. 77 del GDPR. Per l'Italia l'autorità competente è il Garante per la Protezione dei Dati Personali, con sede in Piazza Venezia 11, 00187 Roma — email: protocollo@gpdp.it — PEC: protocollo@pec.gpdp.it — sito web: www.garanteprivacy.it. Il reclamo può essere proposto, in alternativa, all'autorità di controllo dello Stato membro dell'UE/SEE in cui Lei risiede abitualmente, in cui lavora, oppure in cui si è verificata la presunta violazione.

10. Aggiornamenti alla presente informativa

Il Titolare si riserva il diritto di modificare o aggiornare la presente informativa in qualsiasi momento, ad esempio in seguito a modifiche normative, all'introduzione di nuovi servizi o a cambiamenti nelle modalità di trattamento dei dati. La data dell'ultimo aggiornamento è indicata in alto nella pagina. In caso di modifiche sostanziali, il Titolare ne darà comunicazione attraverso un avviso ben visibile sul Sito. Si consiglia di consultare periodicamente questa pagina per restare informati sulle modalità di protezione dei dati personali raccolti. Qualora il Titolare intenda trattare i dati personali per una finalità diversa da quelle sopra indicate, fornirà all'interessato, prima di tale ulteriore trattamento, le informazioni relative alla nuova finalità e ogni altra informazione pertinente ai sensi dell'art. 13, par. 3, del GDPR.