Informativa sul Trattamento dei Dati Personali - Vora

Versione: 3.2.1 Data di entrata in vigore: 13 maggio 2026 Ultimo aggiornamento: 26 maggio 2026 Lingua autoritativa: Italiano. Traduzione inglese di cortesia in privacy-policy.en.md. In caso di discrepanza prevale la versione italiana.

Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 30 giugno 2003 n. 196 ("Codice Privacy") come modificato dal D.Lgs. 10 agosto 2018 n. 101, nonché - per gli interessati residenti in giurisdizioni terze - delle normative equivalenti (UK GDPR + DPA 2018, Swiss FADP, Brazilian LGPD, California CCPA/CPRA, Canadian PIPEDA, Australian Privacy Act 1988, etc.).

Premessa - La Società è italiana, la Piattaforma è globale

Vora S.r.l. è società di diritto italiano con sede legale in Italia. La Piattaforma Vora è tuttavia tecnicamente accessibile a livello globale e tratta dati personali di interessati residenti in numerose giurisdizioni. La presente informativa adotta una postura italiana prevalente (lingua italiana autoritativa, art. 13-14 GDPR come schema di base) ma riconosce e applica i diritti aggiuntivi previsti dalle normative applicabili nel Paese di residenza abituale di ciascun interessato. Vedi §§ 7, 8 che seguono.

Postura sui dati residenti per regione (sintesi):

1. Identità del Titolare e Contatti

Vora S.r.l. Sede legale: [INDIRIZZO SEDE LEGALE] C.F. / P.IVA: [P.IVA: _] REA: [REA] Email privacy: privacy@voiceofthenewera.com PEC: [PEC: _]

La Società non ha designato un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR, non rientrando nelle ipotesi obbligatorie. Resta ferma la nomina volontaria su richiesta motivata.

Rappresentanti UE / UK / Brasile. In assenza di obbligo formale di designare rappresentanti ai sensi degli artt. 27 GDPR / UK GDPR / LGPD (sussistenza valutata caso per caso), la Società come società stabilita in UE designa sé stessa come referente; per le richieste di interessati UK, brasiliani o di altre giurisdizioni terze il punto di contatto è privacy@voiceofthenewera.com.

2. Ruoli - La Società come Titolare, Responsabile, o Co-Titolare

La Piattaforma Vora opera su una struttura a doppio ruolo, sia ai sensi del GDPR sia delle normative equivalenti (UK GDPR, LGPD - controlador/operador, CCPA - business/service provider, PIPEDA - organisation/third-party-processor, etc.):

2.1 La Società è Titolare autonomo (art. 4 par. 7 GDPR; controlador LGPD; business CCPA; organisation PIPEDA) dei seguenti trattamenti:

a) dati dell'account dei rappresentanti delle organizzazioni-clienti (nome, cognome, email, password hashed) per finalità di registrazione, autenticazione, gestione del rapporto contrattuale;

b) dati di fatturazione delle organizzazioni-clienti (denominazione, P.IVA, indirizzo, dati di pagamento token-izzati) per finalità di esecuzione del contratto e adempimento di obblighi fiscali;

c) log di sicurezza e audit tecnico (indirizzi IP, timestamp di login, user-agent, eventi di sistema) per finalità di sicurezza informatica, prevenzione frodi, indagini su abuso del servizio;

d) dati di account degli utenti finali (email, password hashed, opzionalmente nome) per finalità di autenticazione personale e gestione delle preferenze, indipendentemente dall'iniziativa specifica cui partecipano.

2.2 La Società è Responsabile del trattamento (art. 4 par. 8 e art. 28 GDPR; operador LGPD; service provider CCPA; processor UK GDPR; processor PIPEDA) dei dati che le organizzazioni-clienti raccolgono, trattano e custodiscono nei propri spazi sulla Piattaforma in qualità di Titolari:

a) i contenuti delle idee sottomesse, i voti espressi, i commenti degli utenti finali nello spazio del cliente;

b) le anagrafiche dei partecipanti raccolte dall'organizzazione-cliente per finalità inerenti la propria iniziativa (es. mailing list, profilazione finalizzata alla consegna del premio);

c) i dati di reward e premio attribuiti dall'organizzazione-cliente ai partecipanti.

Il trattamento "per conto" è regolato dal DPA (Data Processing Agreement) firmato con ciascuna organizzazione-cliente: dpa.it.md, con annesso SCC dpa-annex-sccs.it.md per i trasferimenti internazionali.

2.3 La Società e l'Organizzazione-Cliente possono essere Co-Titolari (art. 26 GDPR; co-controllers nelle giurisdizioni equivalenti) in casi limitati, ad esempio: quando lo Space Owner aziona la funzionalità di condivisione opt-in dell'identità del voter (campo Vote.share_identity_with_org). In tale ipotesi, l'utente ha prestato consenso esplicito a rivelare la propria identità al promotore; la registrazione di tale consenso e la gestione del flusso "condividi → revoca" sono operate congiuntamente dalla Società e dal promotore. La ripartizione delle responsabilità è descritta in dpa.it.md § 4.

3. Tipologie di Dati Trattati

La Società non tratta categorie particolari di dati ex art. 9 GDPR (dati sanitari, biometrici, di orientamento, ecc.) - né sensitive personal information CCPA, né dados pessoais sensíveis LGPD - nell'ambito dell'erogazione standard del Servizio. Qualora un'organizzazione-cliente decidesse di raccogliere tali dati attraverso il proprio spazio, ne assume integralmente la responsabilità di Titolare.

4. Finalità e Basi Giuridiche

4-bis. Uso promozionale dei profili social e dei contenuti presentati

Qualora l'utente fornisca link social (nelle Impostazioni dello spazio, per le organizzazioni Clienti, ovvero nel proprio profilo di partecipante) e, per i partecipanti, presti la specifica autorizzazione (opt-in) descritta all'art. 3.5 delle Condizioni d'Uso per gli Utenti Finali, la Società e l'organizzazione che gestisce la relativa Idea Challenge o spazio (il "Promotore") possono menzionare, taggare, collegare e valorizzare l'handle, il nome, il titolo e le immagini dell'idea presentata sui canali social ufficiali della Società e del Promotore, al fine di promuovere la Piattaforma e il relativo spazio o Idea Challenge. Per i partecipanti tale trattamento si fonda sul consenso e puo essere revocato in qualsiasi momento rimuovendo i propri link o scrivendo a privacy@voiceofthenewera.com; la revoca opera solo per il futuro. Quando la Società pubblica tali contenuti su piattaforme di terzi (a titolo esemplificativo Instagram, TikTok, X/Twitter, YouTube, Facebook), tali piattaforme agiscono come titolari autonomi dei dati che ricevono ai sensi delle rispettive informative.

5. Trattamenti Specifici - Blockchain e Immutabilità

5.1 La Società certifica ogni voto su rete blockchain pubblica (Base L2 per Starter/Growth/Pro; Ethereum Mainnet per piani Enterprise).

5.2 Sul registro distribuito viene scritto esclusivamente un digest crittografico (keccak256) insieme al timestamp e all'identificativo della proposta; nessun dato personale diretto dell'utente è scritto on-chain.

5.3 Qualifica dell'hash on-chain come dato non personale. Coerentemente con la prassi del Garante per la protezione dei dati personali (in particolare FAQ del 2019 sull'integrazione blockchain-GDPR), con le linee guida dello European Data Protection Board (EDPB) e con il working paper di vari regolatori nazionali (CNIL nota 2018 sulla blockchain), la Società qualifica l'hash crittografico irreversibile keccak256 scritto on-chain come dato non personale ai sensi dell'art. 4(1) GDPR, in ragione dell'impossibilità tecnica di re-identificazione senza accesso ai dati off-chain di collegamento.

5.4 Esercizio del diritto all'oblio (art. 17 GDPR e equivalenti). La registrazione on-chain è per sua natura immutabile: non è tecnicamente possibile cancellarla né modificarla. La Società esercita il diritto all'oblio rendendo inaccessibili e cancellando i dati off-chain di collegamento (l'identificativo utente e i metadati di voto custoditi nel database PostgreSQL); l'hash on-chain, privo di identificatori diretti, perde di rappresentatività rispetto a una persona identificabile. Tale approccio è coerente con le linee guida del Garante, dell'EDPB e con le best practice internazionali in materia di interazione GDPR-blockchain. (N.B.: parere esterno di privacy boutique italiana richiesto sulla conferma di tale qualificazione prima del rilascio pubblico v3.1 - cfr. fase 9 del piano di rollout.)

5.5 Cifratura at-rest delle immagini. Le immagini caricate dagli utenti sono memorizzate all'interno del database PostgreSQL come BYTEA cifrato applicativo AES-256-GCM prima della scrittura, con chiave master IMAGE_ENCRYPTION_MASTER_KEY custodita in AWS SSM Parameter Store SecureString. La cancellazione dell'immagine implica la cancellazione della tupla cifrata; la chiave non consente decifratura post-cancellazione.

5.6 La Società conserva, off-chain, le associazioni tra voto, utente e proposta per il tempo necessario alla verificabilità del voto stesso. La cancellazione del voto on-chain è tecnicamente impossibile ma operativamente irrilevante una volta cancellati gli identificatori off-chain.

6. Destinatari e Sub-Responsabili

I dati personali possono essere comunicati a:

Sub-responsabili del trattamento (art. 28 par. 2 GDPR e equivalenti), autorizzati con contratto:

Nota - Verifica stato DPF. Lo status EU-US Data Privacy Framework di Resend Inc. è verificato manualmente all'indirizzo https://www.dataprivacyframework.gov/list al momento della pubblicazione della presente informativa. Qualora alla data della verifica Resend non risulti certificato DPF, l'SCC UE 2021/914 Modulo 3 costituisce comunque meccanismo di trasferimento legalmente sufficiente; il DPF è un livello aggiuntivo di tutela ove disponibile.

La Società pubblica e mantiene aggiornato l'elenco dei sub-responsabili all'indirizzo voiceofthenewera.com/subprocessors.html (in preparazione). Le organizzazioni-clienti sono informate di ogni nuovo sub-responsabile con almeno 30 giorni di preavviso, e possono opporsi entro 15 giorni ai sensi del DPA.

Soggetti autonomi titolari:

• consulenti legali, fiscali, contabili e revisori della Società, ove necessario;
• autorità giudiziarie, di polizia o di vigilanza di qualunque giurisdizione rilevante (MIMIT, AGCM, Garante, AdE, GdF in Italia; FTC, IRS, State AGs negli USA; ICO, ASA, Gambling Commission nel Regno Unito; CNIL in Francia; ANPD in Brasile; etc.) su richiesta legittima;
• soggetti acquirenti di Vora S.r.l. in caso di operazioni di M&A, previo NDA e con informativa preventiva all'utente ove tecnicamente possibile.
• piattaforme social di terzi (es. Meta, TikTok, X, Google/YouTube) quando la Società pubblica contenuti promozionali che menzionano o taggano l'utente sui propri canali, in qualita di titolari autonomi ai sensi delle rispettive informative;

7. Trasferimenti Internazionali di Dati Personali - Per Giurisdizione

La Società configura i propri sistemi affinché il trattamento primario avvenga nell'area economica europea (AWS EU-West-1, Irlanda). I trasferimenti extra-UE/SEE sono limitati e disciplinati come segue, in funzione della giurisdizione di provenienza dell'interessato:

7.1 Regola generale di minimizzazione

Tutti i sub-responsabili principali (AWS, Google) sono contrattualmente vincolati ad ospitare i dati della Società primariamente nell'Area Economica Europea. I trasferimenti extra-UE risultano tecnicamente necessari solo per: (a) Resend Inc. per il recapito email; (b) Google OAuth per il flusso di autenticazione; (c) Anthropic PBC per i servizi AI ove attivati; (d) edge CDN globali di CloudFront per asset pubblici privi di PII; (e) eventuali accessi operativi di supporto AWS dagli USA sotto SCC.

7.2 Interessati residenti nell'UE / SEE

Si applicano le Standard Contractual Clauses della Commissione Europea (Decisione di Esecuzione UE 2021/914 del 4 giugno 2021), Modulo 3 (processor-to-processor) per i flussi la Società → sub-responsabili. Copia degli SCC è disponibile su richiesta a privacy@voiceofthenewera.com. Le SCC sono accompagnate da una Transfer Impact Assessment (TIA) conforme alla sentenza C-311/18 della CGUE ("Schrems II") e dalle misure tecniche supplementari di cui al § 10.

7.3 Interessati residenti nel Regno Unito

Si applica il UK International Data Transfer Addendum (IDTA) B1.0 emesso il 21 marzo 2022 dall'Information Commissioner's Office (ICO) ai sensi della section 119A del Data Protection Act 2018, applicato come addendum agli SCC UE di cui al § 7.2. Per i flussi la Società → US sub-processor, è applicabile in alternativa il "UK Extension to the EU-US Data Privacy Framework" ove il sub-responsabile risulti certificato presso il DPF.

7.4 Interessati residenti in Svizzera

Si applicano gli SCC UE 2021/914 come adattati per la Svizzera ai sensi della dichiarazione del Federal Data Protection and Information Commissioner (FDPIC) del 27 agosto 2021 e del revFADP (Federal Act on Data Protection rivisto) del 25 settembre 2020.

7.5 Interessati residenti in Brasile (LGPD)

Si applicano le clausole contrattuali specifiche ai sensi dell'art. 33 della Lei 13.709/2018 (LGPD), come integrate negli SCC UE 2021/914 con adattamento brasiliano. I diritti LGPD dell'interessato di cui all'art. 18 LGPD sono esercitabili scrivendo a privacy@voiceofthenewera.com; l'autorità nazionale di riferimento è la Autoridade Nacional de Proteção de Dados (ANPD - gov.br/anpd).

7.6 Interessati residenti in California (CCPA / CPRA)

La Società NON vende né condivide dati personali ai sensi del Cal. Civ. Code § 1798.140 lett. (ad) ("sell") e (ah) ("share"), né lo ha fatto nei 12 mesi precedenti la presente informativa, né ha l'intenzione di farlo. Pertanto:

a) La Società non è tenuta a pubblicare un link "Do Not Sell or Share My Personal Information"; tuttavia, lo pubblica nel footer del sito a tutela trasparenza (link a voiceofthenewera.com/ccpa-rights.html);

b) i trasferimenti UE → USA verso sub-responsabili (Resend, Google, Anthropic) avvengono nell'ambito di rapporti "service provider" / processor ex Cal. Civ. Code § 1798.140 lett. (ag), e non integrano sale né sharing;

c) gli interessati californiani esercitano i diritti CCPA/CPRA (right to know, delete, correct, opt-out of automated decision-making, non-discrimination) scrivendo a privacy@voiceofthenewera.com; l'autorità di riferimento è la California Privacy Protection Agency (CPPA - cppa.ca.gov).

7.7 Altre giurisdizioni

Per gli interessati residenti in altre giurisdizioni (Canada - PIPEDA; Australia - Privacy Act 1988; Giappone - APPI; Singapore - PDPA; Sudafrica - POPIA; etc.), la Società applica gli SCC UE 2021/914 come baseline e, ove l'ordinamento locale lo richieda, meccanismi addizionali di adeguatezza (es. decisione di adeguatezza UE per il Giappone; transfer assessment per Canada PIPEDA ex PIPEDA Fair Information Principles; etc.).

8. Diritti dell'Interessato - Per Giurisdizione

L'interessato può esercitare in qualsiasi momento i diritti di cui agli artt. 15-22 GDPR (per i residenti UE/SEE) e i diritti equivalenti previsti dalla normativa applicabile nel proprio Paese di residenza abituale. Si rinvia alla sintesi della Section 7 delle Condizioni d'Uso End-User end-user-tos.it.md.

Modalità di esercizio: scrivere a privacy@voiceofthenewera.com, indicando giurisdizione di residenza e diritto invocato. La Società risponde:

• Interessati UE/SEE/UK: entro trenta (30) giorni dalla richiesta, prorogabili di sessanta (60) giorni nei casi complessi ex art. 12 par. 3 GDPR / UK GDPR;
• Interessati californiani (CCPA): entro quarantacinque (45) giorni, prorogabili di ulteriori 45 giorni con avviso all'interessato (Cal. Civ. Code § 1798.130);
• Interessati brasiliani (LGPD): entro quindici (15) giorni dalla richiesta (LGPD art. 19);
• Altre giurisdizioni: entro i termini previsti dalla normativa applicabile, e in ogni caso senza ingiustificato ritardo.

Reclamo all'autorità di controllo: ai sensi dell'art. 77 GDPR e disposizioni equivalenti, l'interessato può proporre reclamo all'autorità competente della propria residenza abituale:

• Italia: Garante per la Protezione dei Dati Personali - Piazza Venezia 11, 00187 Roma - garante@gpdp.it - protocollo@pec.gpdp.it - www.gpdp.it;
• Altri Stati UE/SEE: autorità nazionale equivalente (CNIL Francia, BfDI Germania, AEPD Spagna, etc.);
• Regno Unito: ICO - ico.org.uk;
• California: CPPA - cppa.ca.gov;
• Brasile: ANPD - gov.br/anpd;
• altre giurisdizioni: autorità nazionale di protezione dati equivalente.

Ricorso giurisdizionale: ai sensi dell'art. 79 GDPR e norme equivalenti, l'interessato può proporre ricorso davanti all'autorità giudiziaria ordinaria della propria residenza (per i consumatori UE/SEE, art. 79 par. 2 GDPR + Reg. 1215/2012 artt. 17-19).

9. Conservazione (Retention)

I tempi di conservazione sono indicati nella tabella di cui al § 4 e si articolano come segue:

• Account attivo: per tutto il periodo di utilizzo del servizio;
• Account inattivo: cancellazione automatica dopo 24 mesi di inattività documentata, previa email di avviso 30 giorni prima;
• Dati contabili e fiscali: 10 anni ex art. 2220 c.c. e D.P.R. 633/1972 (per i Clienti italiani; per i Clienti di altre giurisdizioni, i termini di conservazione fiscale applicabili - es. 7 anni in molti Stati USA, 10 anni in Brasile per dati contabili, 6 anni nel Regno Unito ex Companies Act 2006 s. 388);
• Log di sicurezza generici: 12 mesi;
• Log di eventi di sicurezza (es. tentativi di accesso non autorizzato): 24 mesi;
• Backup di sicurezza: 30 giorni con cifratura at-rest, sovrascritti ciclicamente;
• Record di consenso (es. accettazione ToS, opt-in di condivisione identità, Promoter Acknowledgement): per tutta la durata + 10 anni dalla revoca, a difesa della Società in sede contenziosa in qualunque giurisdizione.

10. Misure di Sicurezza (TOMs)

Sintesi delle misure tecniche e organizzative ai sensi dell'art. 32 GDPR (e degli equivalenti - LGPD art. 46, CCPA reasonable security, etc.). Dettaglio completo nel DPA.

• Cifratura at-rest: AES-256 a livello AWS (KMS-managed) per volumi Aurora e S3; AES-256-GCM applicativo per immagini utente in PostgreSQL BYTEA (chiave master in SSM Parameter Store SecureString).
• Cifratura in-transit: TLS 1.2+ obbligatorio su tutti gli endpoint pubblici; cipher suites moderne (ECDHE / AES-GCM / ChaCha20).
• Controllo accessi: IAM AWS least-privilege; MFA obbligatoria per gli amministratori la Società; isolamento di rete (Aurora in subnet privata); credenziali ruotate via SSM.
• Audit log: log strutturato JSON (structlog); CloudWatch + retention 90gg; log di accesso ai dati personali tracciati a livello applicativo.
• Backup: snapshot automatici Aurora con retention; backup volumi EBS tramite Data Lifecycle Manager (DLM); restore testato.
• Resilienza: architettura serverless multi-AZ; failover automatico Aurora; CDN globale; rate limiting; protezione DDoS layer 7.
• Sicurezza applicativa: revisione di codice; SAST/dependency scanning; ambiente di staging separato; segregazione di dati dev/prod.
• Personale: NDA contrattuale; accesso ai dati di produzione su base "need-to-know"; formazione periodica privacy + security.

11. Notifica di Data Breach

In caso di violazione di dati personali ("data breach") ai sensi degli artt. 33-34 GDPR (e disposizioni equivalenti):

• La Società notifica l'autorità di controllo competente entro 72 ore dalla conoscenza, ove la violazione presenti un rischio per i diritti e le libertà delle persone fisiche; i termini variano per giurisdizione (UK GDPR - 72 ore; LGPD - "tempo razoável" generalmente entro 2 giorni; CCPA - without unreasonable delay; PIPEDA - as soon as feasible; Australia Notifiable Data Breaches scheme - entro 30 giorni con valutazione);
• La Società comunica la violazione all'interessato senza ingiustificato ritardo quando la violazione presenti un rischio elevato;
• in qualità di Responsabile per i dati delle organizzazioni-clienti, la Società notifica il Cliente entro 48 ore dalla conoscenza, fornendo le informazioni necessarie all'adempimento della notifica all'autorità di controllo da parte del Cliente-Titolare.

Procedura interna di incident response: vd. docs/legal/incident-response-policy.md (in preparazione) e docs/06-compliance/concorso-a-premi-playbook.md.

12. Cookie e Tecnologie Analoghe

L'uso di cookie e tecnologie analoghe è descritto nella Cookie Policy separata pubblicata a voiceofthenewera.com/cookie-policy.html, conforme al Provvedimento del Garante del 10 giugno 2021 ("Linee guida cookie"), all'art. 122 D.Lgs. 196/2003, e - per gli interessati di altre giurisdizioni - alle norme equivalenti (ePrivacy Directive 2002/58/EC per UE; PECR 2003 per Regno Unito; CCPA/CPRA per California - "opt-out of sale/sharing"; LGPD per Brasile).

13. Minori

L'età minima per utilizzare la Piattaforma è quella prevista dalla "regola della soglia applicabile più elevata" di cui all'art. 2.2 delle Condizioni d'Uso End-User end-user-tos.it.md. In sintesi:

• Italia: 14 anni per consenso al trattamento; 18 per piena capacità contrattuale;
• UE/SEE: 13-16 anni per consenso digitale ex GDPR art. 8 (default 16);
• Regno Unito: 13 anni;
• USA: 13 anni ex COPPA;
• Brasile: 18 anni ex LGPD/CDC;
• altre giurisdizioni: soglia locale applicabile.

Qualora la Società venga a conoscenza di un account intestato a un minore in violazione delle Condizioni d'Uso o ai sensi di COPPA, l'account è sospeso e i dati cancellati entro 30 giorni dalla conoscenza. La Società non collega volontariamente la propria pubblicità a un pubblico di minori (no targeted advertising to children).

14. Modifiche all'Informativa

La Società può modificare la presente informativa. Le modifiche sono comunicate via email agli utenti registrati e mediante pubblicazione della nuova versione, con preavviso di trenta (30) giorni rispetto all'entrata in vigore, salvo modifiche imposte da norma di legge a efficacia immediata.

15. Contatti

• Privacy (richieste GDPR, UK GDPR, LGPD, CCPA, PIPEDA, FADP, etc.): privacy@voiceofthenewera.com
• PEC: [PEC: ____]
• Legale generale: legal@voiceofthenewera.com
• Segnalazione contenuti illeciti (DSA, UK OSA, NetzDG, Marco Civil): report@voiceofthenewera.com
• Sede: Vora S.r.l., [INDIRIZZO SEDE LEGALE]

Documento sorgente in markdown: docs/legal/privacy-policy.it.md (v3.1.0 - 2026-05-13).