Session ended

You've been signed out

Compass allows only one active session per account at a time. Another device just signed in with your credentials, so this session has been ended automatically.

Need to use Compass with colleagues? An Organization Account lets each member sign in with their own credentials, simultaneously, with either independent private workspaces or a shared collaborative one. Get in touch to upgrade.

Dati personali & GDPR

Politica sulla privacy

Ultimo aggiornamento: settembre 2026

Nota di lettura. La presente pagina è tradotta a titolo informativo. L'interfaccia di Compass, una volta effettuato l'accesso, è disponibile esclusivamente in inglese; non è prevista alcuna versione italiana dell'applicazione. In caso di divergenza interpretativa con la presente traduzione, fa fede unicamente il testo in inglese.

1. Introduzione

Compass Political Intelligence Platform (di seguito « Compass ») è gestita da CL Corporate Affairs Consulting E.I. (di seguito « CL » o « CL Corporate Affairs Consulting », utilizzati indifferentemente nel presente documento), con sede legale in 1 avenue de l'Observatoire, 75006 Parigi, Francia (VAT: FR58902992189), e un ufficio di rappresentanza in Avenue de Tervueren 103, B-1040 Bruxelles, Belgio. La presente Politica sulla privacy illustra le modalità di raccolta, utilizzo e protezione dei dati personali all'interno della piattaforma Compass, in conformità al Regolamento (UE) 2016/679 (il « GDPR ») e alla Loi Informatique et Libertés francese.

Compass è progettata e gestita da una società di consulenza in affari pubblici in attività e può essere resa disponibile ad altri professionisti del settore, quali team interni di public affairs, associazioni di categoria, ONG e altre organizzazioni la cui attività si sovrappone al nostro ambito di pratica. Questo contesto particolare ha plasmato il modo in cui abbiamo concepito la piattaforma: pur applicando CL, in quanto dovere professionale fondante, una politica rigorosa di rifiuto di qualsiasi conflitto di interessi (cfr. anche sezione 3 delle Condizioni generali), riteniamo che tale impegno contrattuale ed etico debba essere accompagnato da garanzie tecniche e organizzative che conferiscano a ciascun utente un controllo reale e dimostrabile sui propri dati. Le disposizioni che seguono (in particolare la cifratura end-to-end opzionale, sezione 10.1, e la nostra politica deliberata in materia di IA, sezione 9) costituiscono l'espressione pratica di tale convinzione. Non si tratta di formule generiche di conformità: esse traducono una scelta di posizionamento che riteniamo inseparabile dal tipo di piattaforma che una società di consulenza in affari pubblici può responsabilmente offrire ai propri pari.

2. Titolare del trattamento

CL Corporate Affairs Consulting E.I.
1 avenue de l'Observatoire, 75006 Parigi, Francia
Avenue de Tervueren 103, B-1040 Bruxelles, Belgio
Contatti: compass.eu.com/contact

3. Ruoli e responsabilità ai sensi del GDPR

L'attribuzione dei ruoli in materia di protezione dei dati all'interno di Compass dipende dal contesto specifico di utilizzo, valutato caso per caso, in conformità agli articoli 4, paragrafo 7, 4, paragrafo 8, 26 e 28 del GDPR. Il fattore determinante è quale parte decide le finalità e i mezzi essenziali di ciascuna operazione di trattamento, e non la sola qualificazione contrattuale.

Quando CL utilizza Compass per la propria attività di consulenza, CL Corporate Affairs Consulting agisce in qualità di unico titolare del trattamento per tutti i dati trattati all'interno della piattaforma, ivi compresi i dati di riferimento, la mappatura degli stakeholder, l'analisi delle posizioni e le registrazioni di engagement.

Quando un utente terzo accede a Compass nell'ambito delle proprie attività di public affairs, i ruoli rispettivi sono determinati dalla natura della missione e dal grado di autonomia di ciascuna parte:

In tutti i casi, CL Corporate Affairs Consulting si impegna ad attuare misure tecniche e organizzative adeguate per garantire la sicurezza e la riservatezza dei dati personali, in conformità al GDPR. Quando CL Corporate Affairs Consulting agisce in qualità di responsabile del trattamento, le Condizioni generali della piattaforma disciplinano gli obblighi di ciascuna parte ai sensi dell'articolo 28 del GDPR.

3.1 Caso particolare: le metodologie analitiche progettate da CL

I ruoli descritti alla sezione 3 distinguono chi decide cosa in una determinata operazione di trattamento. In tale cornice, una sfumatura merita di essere esplicitamente enunciata: Compass integra un certo numero di metodologie analitiche progettate da CL Corporate Affairs Consulting: in particolare la ponderazione dell’influenza applicata agli stakeholder, lo scoring di urgenza che segnala gli engagement sensibili al tempo, l’individuazione dei target da attivare che fa emergere i contatti prioritari, e la stima predittiva delle durate legislative basata su schemi procedurali passati. L’utente controlla chi viene aggiunto alla piattaforma, quali dati vi sono inseriti e la finalità strategica perseguita; CL è l’autore della metodologia che trasforma tale dato controllato dall’utente in uno score, in una classifica o in una stima.

In qualità di editore che definisce la metodologia, la responsabilità di CL Corporate Affairs Consulting si limita alla messa a disposizione dello strumento, di cui risponde con diligenza alla luce dei propri obblighi regolamentari e giuridici. Inserendo i dati, individuando le persone e le istituzioni interessate, dando priorità a quelle la cui mobilitazione conta di più in ragione della loro influenza presunta, e assumendo la finalità del trattamento dei dati che le riguardano, l’utente ne resta di conseguenza il titolare del trattamento ai sensi del GDPR. Ogni valore suggerito resta peraltro visibile e può essere modificato o sovrascritto a mano. La progettazione della metodologia non conferisce a CL Corporate Affairs Consulting alcun potere decisionale sulle finalità né sui mezzi essenziali del trattamento dei dati dell’utente e non comporta pertanto una contitolarità ai sensi dell’articolo 26 del GDPR. Tale ripartizione è quella enunciata alla sezione 7 delle condizioni generali, che costituiscono l’accordo di responsabile del trattamento ai sensi dell’articolo 28 del GDPR.

Concretamente, l’utente resta libero di contestare uno score, di sostituirlo manualmente, e di utilizzare Compass senza affidarsi alla ponderazione suggerita: le posizioni e i valori di influenza possono sempre essere inseriti o sovrascritti a mano. La metodologia di scoring progettata da CL poggia su ponderazioni e modalità di analisi dell’influenza ricavate dalla pertinente letteratura politologica. Ciò che è offerto all’utente è un controllo effettivo sul risultato (ogni valore suggerito è visibile e può essere modificato o sovrascritto a mano), e CL si assume la responsabilità della metodologia che progetta. Tale parte residuale di responsabilità metodologica non si estende al lavoro di mappatura dell’utente nel suo insieme: per i dati inseriti, gli interessati selezionati e la finalità perseguita, l’utente resta titolare del trattamento.

4. Categorie di dati trattati

Compass tratta tre distinte categorie di dati personali, ciascuna soggetta al proprio regime:

I dati dell'account utente (nome, indirizzo e-mail, società, numero di telefono se fornito, credenziali di accesso sottoposte a hashing) sono altresì trattati al fine di fornire l'accesso alla piattaforma.

Dati di navigazione: un unico cookie di sessione (HTTP-only, strettamente funzionale, senza tracciamento) è utilizzato per l'autenticazione.

Dati della richiesta di account: quando un account viene richiesto tramite il modulo di richiesta, trattiamo i dati di identità, di contatto e di attività professionale forniti, l’organizzazione e, se del caso, i clienti dichiarati, gli eventuali loghi allegati, il modo in cui il richiedente è venuto a conoscenza di Compass e l’indirizzo IP da cui la richiesta è stata inviata. Questi dati hanno un’unica finalità: decidere sulla richiesta. Se accolta, diventano dati dell’account; se respinta, sono cancellati, loghi compresi.

5. Base giuridica e finalità

Il trattamento dei dati personali all'interno di Compass si fonda sulle seguenti basi giuridiche:

Richieste di account. Una richiesta di account è trattata per adottare misure precontrattuali su richiesta dell’interessato (articolo 6, par. 1, lett. b) GDPR). La verifica del conflitto di interessi descritta all’articolo 3 delle condizioni generali e la protezione del modulo pubblico contro gli abusi automatizzati si fondano sul legittimo interesse (articolo 6, par. 1, lett. f) GDPR).

E-mail di promemoria. Quando un account non registra accessi per 30 giorni, inviamo al titolare una breve e-mail che ricorda che cosa fa la piattaforma e rinvia al modulo di contatto, poi una successiva 90 giorni dopo il messaggio precedente finché l’account resta inutilizzato. Il trattamento si fonda sul legittimo interesse (articolo 6, par. 1, lett. f) GDPR): un account esiste per essere usato, e un account inutilizzato indica di norma un ostacolo pratico che possiamo rimuovere. Queste e-mail non sono mai inviate a terzi e non promuovono mai altro rispetto al servizio di cui il titolare già dispone. Ognuna contiene un link di disiscrizione, la preferenza è modificabile in qualsiasi momento in Manage my account, e opporsi non ha alcun effetto sull’account stesso (sezione 13).

6. Valutazione del legittimo interesse

Ai sensi dell'articolo 6, paragrafo 1, lettera f, del GDPR, il ricorso al legittimo interesse quale base giuridica per il trattamento dei dati degli stakeholder è stato valutato come segue:

7. Dati pubblicamente accessibili e categorie particolari

Una parte significativa dei dati personali trattati in Compass riguarda personalità pubbliche che agiscono nella loro capacità ufficiale (membri del Parlamento europeo, commissari, funzionari del Consiglio, rappresentanti di interessi registrati). Tali dati provengono da banche dati istituzionali ufficiali e pubblicamente accessibili:

Qualora i dati trattati comprendano informazioni atte a rivelare opinioni politiche ai sensi dell'articolo 9, paragrafo 1, del GDPR (ad esempio: voti registrati, posizioni dichiarate pubblicamente su dossier legislativi, affiliazione a un gruppo politico), tale trattamento è consentito in virtù dell'articolo 9, paragrafo 2, lettera e, del GDPR, in quanto riguarda esclusivamente dati personali che l'interessato ha manifestamente reso pubblici tramite canali istituzionali ufficiali, voti parlamentari, dichiarazioni pubbliche o pubblicazioni volontarie su account social media pubblici. Tale eccezione è applicata rigorosamente ai dati che si trovano già nel dominio pubblico in conseguenza delle proprie azioni dell'interessato nella sua capacità ufficiale.

Occorre distinguere tra tali dati sottostanti manifestamente pubblici e la valutazione analitica dell'atteggiamento che un utente può attribuire a uno stakeholder. Tale valutazione (il punteggio attitude, assegnato dall'utente) è la caratterizzazione propria dell'utente circa una posizione politica che la personalità pubblica ha essa stessa manifestamente reso pubblica, tramite voti registrati, posizioni dichiarate su dossier legislativi e dichiarazioni pubbliche. Adottando un approccio prudente, nella misura in cui la valutazione dell'atteggiamento incida su dati atti a rivelare opinioni politiche, CL si fonda su una duplice base: l'articolo 9, paragrafo 2, lettera e, del GDPR (dati manifestamente resi pubblici dall'interessato), poiché la valutazione caratterizza una posizione che la personalità ha pubblicamente manifestato nella sua capacità ufficiale, unitamente alla base del legittimo interesse di cui all'articolo 6, paragrafo 1, lettera f, del GDPR, secondo la valutazione esposta alla sezione 6 (personalità pubbliche che agiscono in una capacità professionale o pubblica, fonti pubbliche, assenza di profilazione commerciale). CL non si fonda sul solo articolo 6, paragrafo 1, lettera f, per tale aspetto di categoria particolare. L'articolo 9, paragrafo 2, lettera e, resta in ogni caso la base per i dati sottostanti genuinamente e manifestamente pubblici (voti registrati, posizioni dichiarate, affiliazione a un gruppo politico).

8. Il nostro approccio al controllo dell'utente e alla trasparenza

Due delle scelte progettuali più rilevanti di Compass (la cifratura end-to-end opzionale dei contenuti redatti dall'utente, sezione 10.1, e la politica della piattaforma in materia di IA, sezione 9) sono governate da un medesimo principio sottostante. Le tecnologie moderne (crittografia avanzata, modelli linguistici) apportano un reale valore aggiunto al lavoro di affari pubblici, ma sollevano anche legittime domande: chi può leggere cosa, dove fluiscono i dati e cosa controlla realmente l'utente. Anziché rispondere a tali domande con rassicurazioni generiche, Compass è progettata affinché le risposte siano visibili, verificabili e scelte dall'utente.

Ciò si traduce in tre regole operative applicabili sia alla cifratura sia all'IA:

Le due sezioni che seguono applicano tale quadro ai due casi specifici dell'analisi assistita da IA (sezione 9) e della cifratura end-to-end (sezione 10.1).

9. Servizi di IA

Compass integra uno strato di intelligenza artificiale che supporta attività analitiche come la classificazione delle posizioni, l’analisi degli stakeholder, la produzione di briefing strategici e la formulazione di proposte di posizionamento e di riscrittura sui testi in discussione. La piattaforma è progettata attorno a un principio fermo: l’utente sceglie sempre quale configurazione di IA sia utilizzata, se del caso, e può in qualunque momento tornare a una configurazione in cui non interviene alcuna IA.

CL Corporate Affairs Consulting ha deliberatamente limitato il perimetro di IA di Compass a Mistral, il fornitore europeo di IA con sede a Parigi (Francia). Nessun altro fornitore di IA terzo (né OpenAI, né Anthropic, né alcun modello non europeo) è integrato nella piattaforma, e nessuno è previsto per un’integrazione futura. Compass si basa su un’unica configurazione di IA: l’API commerciale europea di Mistral, descritta di seguito. Il trattamento di IA resta su infrastruttura europea, senza alcun trasferimento di dati verso fornitori non europei.

9.1 API commerciale europea di Mistral

In questa configurazione, le richieste di IA sono inviate all’API commerciale di Mistral AI (api.mistral.ai). Mistral AI è una società di diritto francese; secondo le dichiarazioni di Mistral, i dati dell’API sono ospitati per impostazione predefinita nell’Unione europea. A seconda delle funzionalità utilizzate, Mistral può avvalersi dei sub-responsabili elencati nel proprio Trust Center; ogni trasferimento all’interno della catena di sub-trattamento propria di Mistral è disciplinato dal suo addendum sul trattamento dei dati (decisioni di adeguatezza o clausole contrattuali tipo). Questa configurazione opera secondo un’unica modalità:

Si applicano le seguenti garanzie:

Documentazione di riferimento: Termini Mistral: legal.mistral.ai/terms · Addendum sul trattamento dei dati: legal.mistral.ai/terms/data-processing-addendum.

9.2 Ricerca assistita di fonti pubbliche

Su azione esplicita dell’utente, lo strato di IA può consultare fonti pubblicamente accessibili (sito ufficiale di un’organizzazione, prese di posizione pubbliche, position paper) per contribuire a caratterizzare il posizionamento di un’organizzazione o di un cliente, oppure a individuare i clienti dichiarati di una società di consulenza. Tale consultazione non è mai automatica: deriva da un comando esplicito dell’utente, è registrata, e il suo risultato è presentato all’utente per convalida prima di qualsiasi memorizzazione. Il Registro per la trasparenza dell’Unione europea è invece consultato localmente a partire dai dati già integrati in Compass, senza alcuna richiesta esterna.

9.3 Nessun fornitore di IA è mai imposto all’utente

L’attivazione di la configurazione di IA presuppone un’azione deliberata dell’utente da Manage my account. Lo stato predefinito di ogni account Compass è « nessuna IA »: le funzionalità assistite da IA sono semplicemente assenti finché l’utente non abilita esplicitamente l’API europea di Mistral. L’utente può tornare a « nessuna IA » in qualunque momento, senza persistenza di dati tra le configurazioni.

9.4 eTranslation — traduzione automatica della Commissione europea

Compass propone una traduzione facoltativa dei testi che lei ha prodotto nella piattaforma — un’analisi di emendamenti depositati, una bozza di messaggio a un portatore di interesse — verso una delle 24 lingue ufficiali dell’Unione. I professionisti devono regolarmente rivolgersi a una delegazione nazionale o a un relatore nella sua lingua, e gli stessi documenti di partenza arrivano in più lingue.

Tale traduzione è effettuata da eTranslation, il servizio di traduzione automatica della Commissione europea, gestito dalla sua direzione generale della Traduzione nell’ambito del programma Europa digitale. Si tratta dunque di un servizio pubblico europeo gestito da un’istituzione dell’Unione, e non di un fornitore privato né di un fornitore extraeuropeo: le soluzioni comunemente impiegate a tale scopo avrebbero comportato il trasferimento del suo lavoro a un responsabile stabilito fuori dall’Unione, cosa che CL ha rifiutato.

I contenuti generati da IA, prodotti tramite l’API europea di Mistral, sono forniti a titolo puramente informativo e devono sempre essere rivisti e convalidati dall’utente prima di essere utilizzati o condivisi all’esterno. CL Corporate Affairs Consulting non garantisce l’esattezza, la completezza o l’affidabilità degli output generati da IA.

10. Sicurezza dei dati e hosting

L'insieme dei dati trattati da Compass è conservato su server privati e dedicati situati all'interno dell'Unione europea, sotto il controllo fisico di CL Corporate Affairs Consulting; nessun host di cloud pubblico terzo conserva tali dati. L'accesso pubblico è instradato verso di essi tramite un reverse proxy situato all'interno dell'Unione europea, attraverso una rete privata cifrata; il relay non conserva alcun dato personale, e nessun dato personale è conservato al di fuori dell'Unione europea.

Quando CL Corporate Affairs Consulting tratta dati personali per conto di un utente, si avvale di un insieme deliberatamente limitato di sub-responsabili del trattamento, ciascuno vincolato da un accordo sul trattamento dei dati ai sensi dell’articolo 28 del GDPR, attualmente due: la Commissione europea (direzione generale della Traduzione), per la funzionalità facoltativa eTranslation descritta alla sezione 9.4, che opera con credenziali detenute da CL e tratta soltanto il testo che un utente sottopone esplicitamente a traduzione, sull’infrastruttura della Commissione europea all’interno dell’Unione; e OVHcloud (Francia), che veicola le nostre e-mail transazionali in uscita — creazione dell’account, reimpostazione della password, avvisi di sicurezza — e tratta pertanto il nome del destinatario, il suo indirizzo e i link sicuri contenuti in tali messaggi. Non inviamo alcuna e-mail di marketing. Per contro, la funzionalità Mistral opzionale e su opt-in, disattivata per impostazione predefinita, descritta alla sezione 9.1, è eseguita sotto l’account e la chiave API Mistral propri dell’utente, con Mistral che agisce come responsabile del trattamento dell’utente, non come sub-responsabile di CL. CL mantiene un elenco aggiornato dei propri sub-responsabili e informerà gli utenti di qualsiasi modifica sostanziale, in particolare prima che un nuovo sub-responsabile inizi a trattare dati personali. Gli utenti possono opporsi a tale aggiunta o sostituzione, per motivi legittimi attinenti alla protezione dei dati, entro quindici (15) giorni dalla comunicazione.

Gli asset caricati nel browser sono ospitati su infrastruttura UE. Tutti gli asset caricati nel browser del visitatore, ivi compresi i web font (Cormorant Garamond, Vollkorn e Montserrat) e la libreria JavaScript di visualizzazione (D3.js) utilizzata nella pagina di mappatura degli stakeholder, sono serviti direttamente dai server UE di CL Corporate Affairs Consulting. Nessuna pagina carica asset da Google, Cloudflare o da qualsiasi altra rete di distribuzione di contenuti non UE, e nessun indirizzo IP o dettaglio del browser del visitatore è trasmesso a tali fornitori in fase di resa delle pagine. Di conseguenza, l’unico trasferimento di dati personali associato alla piattaforma è la funzionalità di IA Mistral opzionale e su opt-in (disattivata per impostazione predefinita), il cui trattamento resta all’interno dell’Unione europea (cfr. sezione 9.1).

La piattaforma attua le seguenti misure di sicurezza:

Le e-mail relative alla gestione dell'account (creazione di password, reset, notifiche di modifica) sono inviate tramite SMTP con cifratura TLS.

10.1 Cifratura end-to-end opzionale

Perché esiste questa funzionalità. Compass è progettata e gestita da una società di consulenza in affari pubblici in attività i cui utenti sono spesso, a loro volta, professionisti degli affari pubblici impegnati su questioni sensibili, talvolta su dossier che toccano gli stessi ambiti di politica pubblica seguiti da CL stessa o dai suoi altri clienti. Pur applicando CL Corporate Affairs Consulting, in quanto dovere professionale fondante, una rigorosa politica di rifiuto di qualsiasi conflitto di interessi (cfr. anche sezione 3 delle Condizioni generali) e impegnandosi contrattualmente a non leggere mai i contenuti redatti dagli utenti (cfr. sezione 11 delle Condizioni generali), riteniamo che agli utenti non debba essere richiesto di accettare tale impegno sulla sola base della fiducia. La cifratura end-to-end è la traduzione tecnica di tale convinzione: essa offre agli utenti un mezzo per assicurarsi, tramite la stessa architettura della piattaforma, che il loro lavoro analitico sia matematicamente fuori dalla portata degli operatori di CL, di qualunque terzo che ottenga l'accesso ai server e di qualunque autorità che richieda una divulgazione coatta. È, a nostro avviso, una conseguenza naturale del costruire uno strumento per la propria professione.

In cosa consiste, in pratica. Oltre alle misure di sicurezza di base sopra descritte, Compass offre una modalità di cifratura end-to-end opzionale che gli utenti possono attivare in qualunque momento da Gestisci il mio account. Tale funzionalità non è abilitata per impostazione predefinita; si tratta di un opt-in esplicito, destinato agli utenti che maneggiano materiale particolarmente sensibile e desiderano aggiungere una garanzia tecnica agli impegni contrattuali di CL. Gli utenti che non la attivano sono, ovviamente, pienamente coperti dall'impegno contrattuale di non consultazione, che si applica indipendentemente dallo stato di cifratura; la funzionalità è offerta come strato aggiuntivo per chi la desidera e non come prerequisito per l'utilizzo della piattaforma.

Cosa viene cifrato. Quando la cifratura end-to-end è abilitata su un account, i seguenti dati sono cifrati nel browser dell'utente prima di essere conservati sul server: le note personali, il contenuto redatto dall'utente della mappatura degli stakeholder (sintesi delle posizioni attribuite, argomentazioni, commenti privati e fonti), le parole chiave di sorveglianza (in modalità Secure Search), i nomi dei topic, le biografie e note di profilo redatte dall'utente, le voci del registro di engagement (verbali di riunione, take-away, segnali), la cache del radar personale dell'utente e qualunque altro contenuto redatto personalmente dall'utente. Il perimetro di cifratura è volutamente ampio e mira a impedire a qualunque osservatore del server (ivi compresi gli operatori CL) di profilare l'attività, gli interessi o le posizioni analitiche dell'utente.

Cosa non è cifrato, e perché. Le seguenti categorie restano non cifrate, per progettazione: l’elenco dei dossier seguiti dall’utente (il numero di procedura è la chiave con cui il server recupera e aggiorna ciascun dossier presso le fonti pubbliche europee — OEIL, votazioni, atti delegati, calendari istituzionali — e con cui gli avvisi sono associati; cifrarlo interromperebbe tale arricchimento automatizzato, che costituisce la sostanza del servizio. Tale numero è esso stesso un riferimento di procedura pubblico. La stessa precisazione figura alla sezione 11 delle condizioni generali); dati di riferimento pubblici condivisi tra tutti gli utenti (membri del Parlamento europeo, commissari, personale della Commissione, personale del Consiglio, organizzazioni del Registro per la trasparenza, eventi del calendario istituzionale, tutti provenienti dalle banche dati ufficiali dell'UE); informazioni dell'account necessarie all'autenticazione e alle notifiche (nome, cognome, e-mail, numero di telefono, organizzazione); identificativi tecnici necessari ai join SQL (chiavi primarie, chiavi esterne, identificativi utente); timestamp di audit (orari di creazione, modifica, accesso); hash crittografici di ricerca (digest SHA-256 irreversibili delle parole chiave di sorveglianza in modalità Secure Search, utilizzati per il matching lato server senza rivelare la parola chiave); e i punteggi analitici e le classifiche da essi derivate (i punteggi di influenza, urgenza, engagement e atteggiamento associati a ciascuno stakeholder, nonché il quadrante di priorità e i contrassegni «target da attivare» calcolati a partire da essi). Questi ultimi non sono testo redatto dall'utente ma valori prodotti dalle metodologie analitiche progettate da CL (ponderazione dell'influenza, scoring di urgenza e di target da attivare), che il server calcola e ricalcola; mantenere i punteggi numerici leggibili dal motore è precisamente ciò che consente alla piattaforma di posizionare gli stakeholder sulla mappa, classificarli e ricalcolarne il quadrante. Il ragionamento scritto che giustifica ciascun punteggio è invece cifrato, e un semplice numero (un'influenza di 80, ad esempio) è comunque assai meno rivelatore dell'analisi redatta, che resta protetta. Tali categorie sono o già pubbliche per natura, o necessarie al funzionamento tecnico del servizio. Le elenchiamo qui, anziché evocare la cifratura in termini vaghi, perché riteniamo che una descrizione onesta dei confini della garanzia faccia parte della garanzia stessa.

Come funziona: in termini semplici. Quando un utente attiva la cifratura end-to-end, due cose accadono all'interno del suo browser, entrambe invisibili al server. In primo luogo, una nuova chiave maestra viene generata localmente: è la chiave che effettivamente cifrerà il contenuto dell'utente. In secondo luogo, tale chiave maestra è essa stessa riposta all'interno di una busta sigillata, la cui serratura è apribile solo con la password di accesso dell'utente. Il server conserva la busta sigillata, ma mai la chiave maestra in chiaro né mai la password. A ogni accesso, la password apre localmente la busta nel browser, la chiave maestra è recuperata per la durata della sessione e i campi cifrati possono essere letti; quando l'utente effettua il logout, tutto torna all'interno della propria busta sigillata sul lato server. CL non possiede mai la chiave maestra e non può ricostruirla: la garanzia crittografica è che ciò che è conservato sui nostri server, in forma cifrata, è per costruzione illeggibile per noi.

Come funziona: in termini tecnici. Lo schema è zero-knowledge: le chiavi che decifrano i dati dell'utente non lasciano mai il suo dispositivo e non sono conservate sul server in alcuna forma recuperabile. Più precisamente:

Cosa significa nell'uso quotidiano. La progettazione a due chiavi presenta un beneficio diretto e concreto per gli utenti:

Conseguenze per CL. Poiché la chiave che protegge la chiave maestra è derivata dalla password dell'utente e non lascia mai il suo browser, CL Corporate Affairs Consulting e i suoi amministratori non possono, per costruzione, leggere i campi cifrati di un account su cui la cifratura end-to-end è attiva. Tale proprietà è imposta tecnicamente, e non solo contrattualmente, e si applica anche a fronte di un'indagine interna, di un incidente di sicurezza o di un provvedimento giudiziale: CL non possiede la chiave, non può ricostruirla e non può essere obbligata a produrre il contenuto in chiaro dei campi cifrati. Tale limite si applica anche a CL stessa ed è assunto come conseguenza deliberata dell'architettura zero-knowledge (cfr. anche sezione 11 delle Condizioni generali).

I campi che non sono cifrati restano tecnicamente accessibili agli operatori di CL. In assenza di cifratura end-to-end, ciò include il contenuto delle note, della mappatura degli stakeholder, delle posizioni attribuite, dei commenti privati e di qualunque altro contenuto redatto dall'utente. La non consultazione di tali campi da parte di CL è disciplinata esclusivamente dall'impegno contrattuale di cui alla sezione 11 delle Condizioni generali e non è, in assenza di cifratura end-to-end, garantita da un'impossibilità tecnica. Riteniamo che tale distinzione debba essere enunciata esplicitamente: essa segna la differenza tra una garanzia che promettiamo di onorare e una garanzia che la piattaforma stessa impone.

Anche quando la cifratura end-to-end è attivata, taluni metadati operativi restano tecnicamente visibili agli operatori CL, come conseguenza inevitabile della gestione di un servizio web. Tali metadati non consentono la ricostruzione del contenuto cifrato, ma possono permettere di inferire alcune caratteristiche d'uso:

Tali metadati strutturali ricadono entro il medesimo impegno contrattuale di non consultazione di qualunque altro dato non cifrato (sezione 11 delle Condizioni generali). CL Corporate Affairs Consulting si impegna a non sfruttarli per finalità diverse dalla supervisione tecnica del servizio (monitoraggio della sicurezza, debugging, capacity planning). Li documentiamo qui, anziché ometterli, perché la credibilità della garanzia complessiva dipende da una descrizione trasparente dei suoi confini.

Al contrario, i campi cifrati mediante cifratura end-to-end non possono essere letti da nessun altro al di fuori dell'utente, ivi compresa CL stessa. Si tratta di una proprietà della progettazione crittografica, non di una promessa contrattuale: la chiave che la sblocca è derivata dalla password dell'utente all'interno del suo browser e non lascia mai il suo dispositivo. CL non possiede la chiave, non può ricostruirla e non può essere obbligata a produrre il contenuto in chiaro dei campi cifrati: né in risposta a un provvedimento giudiziale, né nell'ambito di un'indagine di sicurezza, né su richiesta di un terzo che acceda ai server. Tale limite si applica anche a CL Corporate Affairs Consulting ed è assunto come conseguenza deliberata della progettazione zero-knowledge.

10.2 Separazione tra la piattaforma Compass e la pratica di consulenza di CL Corporate Affairs

CL Corporate Affairs Consulting svolge due attività distinte all’interno di una stessa entità giuridica: l’edizione di Compass e una pratica di consulenza in affari pubblici. Tale duplice ruolo può, in determinati casi, generare un rischio di conflitto di interessi cui rispondono già l’impegno contrattuale di non consultazione (sezione 11 delle Condizioni generali) e la cifratura end-to-end opzionale (sezione 10.1). Le disposizioni che seguono completano tale quadro con impegni pratici che non richiedono, per essere onorati, alcun apparato formale di compliance.

(a) Non riutilizzo dei dati utenti negli incarichi di consulenza di CL. CL Corporate Affairs Consulting si impegna a non utilizzare mai, nei propri incarichi di consulenza, alcun dato, analisi, posizione, mappatura, commento, bozza di emendamento, lista di sorveglianza o informazione inseriti da un utente di Compass, che la cifratura end-to-end sia attivata o meno. Tale impegno copre l’identità dei dossier seguiti dall’utente, la sostanza del suo lavoro analitico, e perfino il semplice fatto che egli si interessi a un determinato argomento. Quando la cifratura end-to-end è attivata, l’impegno è inoltre garantito da un’impossibilità crittografica (sezione 10.1).

(b) Tassonomia dei dati in tre categorie. Compass tratta tre categorie distinte di dati, ciascuna dotata del proprio regime di protezione:

(c) Politica dei diritti di accesso. L’accesso al database di produzione è limitato alle funzioni tecniche necessarie all’esercizio del servizio e non è di routine: avviene per esigenze di funzionamento, manutenzione e supporto, non per consultare i contenuti degli utenti; le azioni privilegiate sono registrate nel registro di sicurezza e di accountability menzionato alla sezione 10, che serve a rilevare e investigare gli incidenti e a supportare l’accountability, e non come meccanismo di controllo interno. La piattaforma gira su server privati situati nell’UE e fisicamente controllati da CL Corporate Affairs, senza ricorso a un fornitore cloud pubblico né a un terzo con accesso ai contenuti utenti; l’accesso pubblico è instradato tramite un reverse proxy all’interno dell’Unione europea che non conserva alcun contenuto utente. La compartimentazione tra account è assicurata a livello applicativo da interrogazioni scopate per utente, e rafforzata (per gli account con cifratura end-to-end attivata) da buste di cifratura per utente: nessun utente può accedere ai contenuti analitici di un altro.

(d) Impegno di riservatezza rafforzato. Oltre al GDPR, CL Corporate Affairs Consulting allinea volontariamente la propria pratica agli standard di riservatezza professionale applicabili ai professionisti degli affari pubblici: il Codice di condotta del Registro per la trasparenza dell’UE allegato all’Accordo interistituzionale del 2021 tra Parlamento, Consiglio e Commissione (in particolare le sue disposizioni sull’ottenimento, il trattamento e la diffusione onesti dell’informazione europea); i valori di integrità, trasparenza, accuratezza e riservatezza enunciati dal Codice di condotta della SEAP (Society of European Affairs Professionals); e gli standard deontologici della Haute Autorité pour la transparence de la vie publique (HATVP) francese per i rappresentanti di interessi dichiarati, in particolare il divieto di ottenere informazioni con mezzi fraudolenti e di vendere informazioni ottenute da responsabili pubblici. Al momento di accettare un nuovo incarico di consulenza, CL Corporate Affairs verifica in buona fede l’assenza di sovrapposizione manifesta con l’attività nota di un utente di Compass, e declina l’incarico se tale sovrapposizione viene riscontrata.

(e) Procedura semplice di segnalazione, in entrambi i sensi.

Ogni segnalazione è presa sul serio. Ogni segnalazione ricevuta (da un utente, da CL stessa o da un terzo) è esaminata con diligenza etica e giuridica. Consideriamo tale trattamento come una condizione stessa della credibilità della piattaforma e del suo editore, e non come una cortesia opzionale: in una professione in cui la discrezione fa parte di ciò che si consegna, uno strumento che trattasse con leggerezza segnalazioni di conflitto di interessi perderebbe ciò che giustifica il suo uso.

11. Conservazione dei dati

In linea con il principio di limitazione della conservazione (articolo 5(1)(e) del GDPR), i dati personali sono conservati solo per il tempo necessario alle finalità per cui sono trattati. Finché un account è attivo, i dati sono conservati sulla base giuridica dell'esecuzione del contratto (articolo 6(1)(b) del GDPR): i dossier, le mappature degli stakeholder, le posizioni, le note e i registri di engagement propri dell'utente sono esattamente i contenuti che il servizio ha lo scopo di conservare e mettere a disposizione, e sono mantenuti finché l'utente mantiene l'account. L'utente controlla direttamente tali contenuti: ogni dossier, nota o altro elemento può essere cancellato dalla piattaforma in qualunque momento.

Cessazione del funzionamento della piattaforma. In caso di cessazione del funzionamento della piattaforma, gli utenti saranno informati in anticipo e potranno scaricare i propri dati. Le modalità e i limiti di tale impegno sono indicati alla sezione 10.1 delle Condizioni generali.

Cessione della piattaforma. In caso di cessione di Compass, gli utenti saranno informati entro due settimane dalla conclusione dell'accordo con l'acquirente, il quale si informerà degli obblighi di legge a suo carico. Entro tale termine, chiunque può esportare i propri dati e chiedere la cancellazione del proprio account se non desidera proseguire sotto il nuovo gestore (sezione 10.2 delle Condizioni generali).

Richieste di account. Una richiesta respinta è cancellata immediatamente al momento della decisione, insieme agli eventuali loghi forniti. Quando una richiesta è accolta, le informazioni fornite diventano dati dell’account e seguono le regole di cui sopra; della decisione resta solo la traccia, senza gli allegati. Una richiesta rimasta senza decisione per 30 giorni scade ed è cancellata alle stesse condizioni, e il richiedente ne è informato.

12. Destinatari dei dati

I dati personali trattati all'interno di Compass sono accessibili solo agli utenti autorizzati della piattaforma. Ciascun utente accede esclusivamente ai dati rilevanti per la propria attività. Le note interne e i registri di engagement sono visibili solo all'utente che li ha creati.

Avvisi del Parlamento europeo. Compass può iscrivervi al servizio di avvisi dell’Osservatorio legislativo del Parlamento per una procedura che seguite. Solo se lo chiedete, il vostro indirizzo di posta elettronica è trasmesso al Parlamento europeo affinché crei l’abbonamento e vi invii la propria conferma. L’abbonamento diventa attivo soltanto quando cliccate su tale conferma, e in quel momento accettate le condizioni del Parlamento e non le nostre. Compass non invia questi avvisi, non li riceve e non conserva alcuna traccia di ciò che vi viene segnalato. Potete disiscrivervi in qualsiasi momento direttamente presso il Parlamento.

Si tratta di un impegno contrattuale opponibile a CL Corporate Affairs Consulting e a ogni amministratore che agisca per suo conto, e non della mera descrizione del funzionamento del software. Quando l’utente ha attivato la cifratura end-to-end, tale impegno è rafforzato da un’impossibilità tecnica: il contenuto non ci è soltanto precluso, ci è illeggibile. I due operano insieme: l’impegno copre ciò che potremmo tecnicamente leggere, la cifratura elimina la questione per il resto.

Amministrazione della piattaforma. Compass è amministrata da CL Corporate Affairs Consulting. Il suo fondatore detiene l’account di amministratore principale ed è l’unica persona che può creare, modificare o revocare diritti di amministrazione : potere non delegabile ad alcuno, per costruzione e non per semplice impegno.

Accanto a esso, CL può concedere un account di amministratore delegato a una persona che assista nella gestione della piattaforma. Tale account detiene soltanto le facoltà che gli sono state concesse, una per una, e nulla di più: ad esempio riavviare il server, gestire gli account o consultare la casella contact@compass.eu.com. Un amministratore delegato non può mai attribuirsi un’ulteriore facoltà, creare un altro amministratore, né agire sull’account dell’amministratore principale. Ogni azione compiuta sotto un account delegato è registrata nel registro di audit e identificata come tale.

Due limiti valgono per ogni amministratore, principale o delegato, e sono di natura tecnica e non contrattuale. Nessun amministratore può leggere contenuti cifrati end-to-end (le vostre note, il vostro ragionamento, i vostri documenti di posizione) poiché sono cifrati con la vostra password e il server non ne detiene mai la chiave (sezione 10.1). E quando un amministratore fa predisporre una copia dei dati di un account per il suo titolare, il link per il download non gli viene mai mostrato: è generato dal server e inviato direttamente al titolare (sezione 11). Lo indichiamo qui perché l’amministrazione delegata è una facoltà reale della piattaforma, e preferiamo descriverla prima che venga impiegata anziché dopo.

Nessun dato è condiviso con terzi, salvo:

Che cosa una richiesta legittima può e non può ottenere. Quando un’autorità giudiziaria, di polizia o amministrativa ci rivolge una richiesta a noi vincolante, vi ottemperiamo. Vale la pena precisare che cosa tale ottemperanza consenta di produrre, affinché nessuno, utente o autorità, se ne faccia un’idea errata.

Per i dati detenuti in chiaro l’ottemperanza non presenta particolarità: i dati dell’account, l’elenco dei dossier seguiti, le mappature degli stakeholder e i punteggi analitici a essi collegati sono leggibili dalla piattaforma e possono essere prodotti. Per i contenuti che l’utente ha protetto con la cifratura end-to-end, ciò che deteniamo è testo cifrato, ed è quanto siamo in grado di produrre. Non possiamo produrre il testo in chiaro, perché non abbiamo la chiave: essa è derivata dalla password dell’utente, che non riceviamo né conserviamo mai, e l’architettura che lo impone è descritta alla sezione 10.1 ed era in essere prima che qualsiasi richiesta potesse essere formulata.

Non si tratta né di un rifiuto di cooperare né dell’invocazione di un segreto. È un’assenza di mezzi tecnici, dichiarata in anticipo, che si applica uniformemente e a noi quanto a chiunque altro. Non deteniamo alcuna chiave principale, alcuna chiave di recupero, alcuna copia in deposito, e non possiamo crearne una retroattivamente per contenuti già cifrati — una chiave che non esiste non può essere consegnata. Un’autorità che cerchi il testo in chiaro di tali contenuti dovrebbe rivolgersi a chi detiene la chiave, ossia all’utente. È esattamente quanto esporremo, producendo tutto ciò che effettivamente deteniamo, ogni volta che ne saremo legalmente tenuti. Resta nondimeno responsabilità degli utenti, in quanto titolari principali del trattamento, cooperare pienamente in caso di richieste giudiziarie; CL Corporate Affairs Consulting assiste al meglio, nel quadro degli obblighi che le incombono e nella latitudine dei mezzi tecnici di cui dispone.

Preferiamo enunciare il limite di questa posizione anziché lasciarla intendere per più di quanto sia. Ciò che descriviamo qui è un’impossibilità di decifrare contenuti già cifrati. Non è l’affermazione che nessun ordine possa mai esigere alcunché da noi per il futuro: un giudice può legittimamente imporre misure prospettiche, e ne saremmo vincolati come qualsiasi altro operatore. Ne discendono due conseguenze, che preferiamo precisare, a fini di piena trasparenza e diligenza. La cifratura protegge ciò che è già sigillato, non ciò che non è ancora stato scritto. E l’unico momento in cui un contenuto cifrato è trattato in chiaro è il relay IA facoltativo descritto alla sezione 9.1, disattivato per impostazione predefinita, funzionante unicamente con una chiave fornita dall’utente, che nulla scrive su disco: è la ragione per cui quella sezione lo descrive con tanto dettaglio. Se fossimo un giorno costretti a modificare elementi sostanziali della presente informativa, la modificheremmo nel rigoroso rispetto dei nostri obblighi regolamentari, tenendo conto dei limiti tecnici entro i quali tali future modifiche potrebbero inscriversi, e di eventuali altri obblighi di legge che siamo parimenti tenuti a osservare.

L'elenco completo dei sub-responsabili del trattamento, unitamente alla conferma che tutti gli asset caricati nel browser (web font e la libreria di visualizzazione D3.js) sono ospitati sui server UE di CL e al nostro impegno a informare gli utenti dei nuovi sub-responsabili, è esposto alla sezione 10.

Cloudflare (Turnstile). Il modulo pubblico di richiesta di account è protetto dagli abusi automatizzati da Cloudflare Turnstile. Per effettuare questa verifica, Cloudflare riceve l’indirizzo IP, lo user agent del browser e segnali tecnici provenienti da esso. Il dispositivo funziona solo su questa singola pagina pubblica, mai su una pagina in cui l’utente è autenticato, e non è utilizzato per finalità pubblicitarie o di profilazione comportamentale. Cloudflare, Inc. ha sede negli Stati Uniti; il suo intervento si limita a questa verifica su questa pagina e nessun contenuto conservato in Compass le è esposto.

13. I tuoi diritti

Il GDPR conferisce diritti specifici alle persone i cui dati personali sono trattati. All'interno di Compass, tali diritti si esercitano in modo differente a seconda della categoria di persona interessata:

Gli utenti della piattaforma (titolari di account) possono in qualunque momento:

Le persone referenziate come stakeholder (personalità pubbliche, attori istituzionali) i cui dati pubblicamente accessibili sono trattati in Compass possono:

A chi rivolgersi: le richieste relative ai dati dell'account utente devono essere indirizzate a CL Corporate Affairs Consulting. Qualora un utente terzo agisca in qualità di titolare del trattamento per dati di stakeholder che ha inserito, le richieste degli stakeholder relative a tali dati devono essere indirizzate all'utente competente (titolare). CL Corporate Affairs Consulting assisterà, ove opportuno, nell'inoltro di tali richieste.

Per esercitare uno qualsiasi di tali diritti, vi invitiamo a contattarci tramite il nostro modulo di contatto. Qualora sussista un ragionevole dubbio sull'identità della persona che presenta la richiesta, potremo chiedere le informazioni necessarie a confermarne l'identità prima di dare seguito alla richiesta. Rispondiamo alle richieste entro un mese dal ricevimento; tale termine può essere prorogato di un massimo di due ulteriori mesi qualora la richiesta sia complessa o qualora pervengano numerose richieste, nel qual caso ne informeremo il richiedente entro il primo mese. Potete altresì proporre reclamo alla CNIL (cnil.fr) o a qualunque autorità di controllo competente.

14. Cookie

Compass utilizza un cookie di sessione di prima parte, strettamente necessario (compass_session), richiesto per l'autenticazione. Esso è HTTP-only e Secure, impostato con SameSite=Lax, e memorizza esclusivamente un identificativo di sessione: nessun dato personale oltre tale identificativo e nessun tracciamento tra siti. La sua durata corrisponde alla sessione dell'utente; è prolungata quando l'utente seleziona « ricordami » e in caso contrario è di breve durata.

Sulle pagine pubbliche (la home page e le altre pagine esterne all'applicazione), Compass deposita inoltre due cookie di prima parte puramente funzionali, che non contengono alcun dato personale, alcun identificativo e non effettuano alcun tracciamento: compass_lang memorizza la lingua dell'interfaccia scelta dal visitatore (EN/FR/DE/IT) affinché non debba essere riselezionata a ogni visita, e compass_intro_seen registra che la breve animazione introduttiva è già stata mostrata affinché non venga riprodotta a ogni visita. Entrambi sono di prima parte, scadono dopo circa 7 giorni e memorizzano solo un semplice valore di preferenza.

Non sono utilizzati cookie di tracciamento, di profilazione o pubblicitari, e sulla piattaforma Compass non è installato alcuno strumento di misurazione del pubblico. Poiché il cookie di sessione è strettamente necessario alla fornitura del servizio richiesto dall'utente (l'autenticazione) e i due cookie di preferenza sono puramente funzionali (limitati a memorizzare scelte effettuate attivamente dall'utente e privi di dati personali), essi rientrano nell'esenzione per i cookie « strettamente necessari / funzionali » della direttiva ePrivacy (articolo 5, paragrafo 3, della direttiva 2002/58/CE, come recepita nel diritto francese) e pertanto non richiedono alcun banner di consenso. L'autenticazione si basa unicamente su tale cookie di sessione e non sull'archiviazione del browser; gli eventuali dati conservati nella memoria locale del browser consistono esclusivamente in preferenze di interfaccia non personali.

Il modulo pubblico di richiesta di account carica Cloudflare Turnstile (articolo 12), che può depositare nel browser un token tecnico di breve durata al solo scopo di convalidare la verifica anti-robot. Non ha alcuna funzione pubblicitaria o di tracciamento, non è presente su nessun’altra pagina e rientra nella stessa esenzione di stretta necessità, essendo necessario per proteggere un servizio richiesto dal visitatore stesso.

15. Notifica di violazione dei dati personali

CL Corporate Affairs Consulting gestisce l'infrastruttura di Compass ed è responsabile, in qualità di titolare del trattamento a livello di piattaforma, del rilevamento, della valutazione e della risposta alle violazioni di dati personali. Qualora veniamo a conoscenza di una violazione di dati personali suscettibile di comportare un rischio per i diritti e le libertà delle persone, ne daremo notifica alla CNIL senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne siamo venuti a conoscenza (articolo 33 del GDPR). Qualora una violazione sia suscettibile di comportare un rischio elevato per le persone interessate, ne informeremo tali persone senza ingiustificato ritardo (articolo 34 del GDPR), affinché possano adottare misure di protezione.

Qualora un utente sospetti un incidente di sicurezza o una violazione che riguardi i propri dati, può segnalarlo tramite il nostro modulo di contatto; CL svolgerà le indagini del caso e, ove siano raggiunte le soglie sopra indicate, effettuerà le notifiche richieste. I contenuti per i quali un utente ha abilitato la cifratura end-to-end opzionale (sezione 10.1) sono conservati esclusivamente come testo cifrato che CL non può leggere, il che riduce in misura sostanziale l'impatto che una tale violazione avrebbe su tali contenuti.

16. Registro delle attività di trattamento (articolo 30)

Benché CL Corporate Affairs Consulting sia una piccola organizzazione, l'esenzione di cui all'articolo 30, paragrafo 5, per le organizzazioni con meno di 250 dipendenti non trova qui applicazione, in quanto il trattamento è regolare e può riguardare dati idonei a rivelare opinioni politiche (una categoria particolare ai sensi dell'articolo 9 del GDPR). CL mantiene pertanto un registro delle proprie attività di trattamento, disponibile su richiesta della CNIL.

17. Valutazione d'impatto sulla protezione dei dati (articolo 35)

Poiché Compass comporta la valutazione sistematica (scoring) di persone identificabili (i punteggi di influenza, atteggiamento e urgenza) su dati idonei a rivelare opinioni politiche, CL Corporate Affairs Consulting tratta tali funzionalità come soggette all'obbligo di una valutazione d'impatto sulla protezione dei dati ai sensi dell'articolo 35 del GDPR e ne ha condotta una. Tale valutazione documenta le garanzie su cui il trattamento poggia: la natura pubblica delle personalità interessate, l'uso esclusivo di fonti pubbliche, la valutazione del legittimo interesse esposta alla sezione 6, la disponibilità della cifratura end-to-end opzionale, la facoltà dell'utente di modificare ogni valore e l'assenza di qualsiasi profilazione commerciale di persone private. Lo scoring delle personalità pubbliche poggia sul legittimo interesse (articolo 6, paragrafo 1, lettera f, del GDPR), supportato da tale valutazione, che è oggetto di costante riesame. La valutazione completa è esposta nella nostra valutazione d'impatto sulla protezione dei dati (DPIA).

18. Responsabile della protezione dei dati (articolo 37) e contatto in materia di privacy

La questione dell'articolo 37 segue la ripartizione dei ruoli esposta alle sezioni 3 e 3.1: come la CGUE ha stabilito nelle sentenze Wirtschaftsakademie (C-210/16) e Fashion ID (C-40/17), la responsabilità in materia di protezione dei dati (e con essa il ruolo di responsabile della protezione dei dati e di referente) si lega alla portata effettiva di ciascun trattamento e alla parte che ne determina i mezzi e le finalità, e non a una mera etichetta. Compass comporta due trattamenti distinti, e la risposta differisce per ciascuno di essi.

In primo luogo, per i dati di terzi trattati all'interno dell'interfaccia (gli stakeholder che un utente mappa e valuta) le scelte determinanti (quali persone sono trattate, quali dati, per quale finalità) spettano in via preponderante all'utente. L'utente è pertanto il titolare del trattamento per tale trattamento e, qualora la propria attività renda obbligatoria una designazione ai sensi dell'articolo 37 del GDPR, la parte che designa il responsabile della protezione dei dati per esso. CL Corporate Affairs fornisce la piattaforma, la metodologia e le garanzie tecniche.

In secondo luogo, per i dati degli utenti stessi (i loro dati di account e di identificazione), CL Corporate Affairs Consulting è il titolare del trattamento e, tramite il proprio rappresentante legale, agisce come responsabile della protezione dei dati e punto di contatto. Essa è raggiungibile tramite il nostro modulo di contatto, vigilando sulla conformità del trattamento a livello di piattaforma, gestendo le richieste sui dati di account e mantenendo i rapporti con la CNIL. Poiché tale trattamento dei dati di account è limitato e non costituisce, di per sé, un monitoraggio su larga scala né un trattamento su larga scala di categorie particolari di dati, CL non è tenuta a nominare un responsabile formale ai sensi dell'articolo 37 distinto per esso, e mantiene tale valutazione sotto costante riesame.

La designazione da parte di CL del proprio referente per la protezione dei dati è documentata per iscritto: si veda la nostra Designazione del referente per la protezione dei dati.

19. Informazioni fornite agli stakeholder (articolo 14)

Una parte dei dati personali trattati in Compass riguarda terzi (le personalità pubbliche che gli utenti mappano) ed è ottenuta non da tali persone stesse ma da fonti pubbliche (le banche dati e i registri istituzionali ufficiali elencati alle sezioni 4 e 7). Qualora i dati personali non siano ottenuti presso l'interessato, si applica l'articolo 14 del GDPR. Poiché è l'utente a selezionare gli stakeholder da mappare e a determinare i dati inseriti e la finalità perseguita (sezioni 3 e 3.1), l'obbligo di informazione di cui all'articolo 14 grava principalmente sull'utente, in qualità di titolare di tale analisi; CL Corporate Affairs Consulting, in qualità di fornitore della piattaforma, facilita l'adempimento, anche rendendo pubblicamente disponibili le informazioni generali che seguono e consentendo alle persone interessate di esercitare i propri diritti (sezione 13).

Notificare individualmente ciascuna di tali persone comporterebbe, dato il numero di personalità pubbliche referenziate sulla piattaforma, uno sforzo sproporzionato e pregiudicherebbe gravemente gli obiettivi del trattamento. In tali circostanze trova applicazione l'esenzione di cui all'articolo 14, paragrafo 5, lettera b, del GDPR. Quale garanzia richiesta da tale disposizione, le presenti informazioni sono rese pubblicamente disponibili tramite questa stessa Politica sulla privacy, che descrive le categorie di dati, le fonti, le finalità e le basi giuridiche, nonché i diritti spettanti alle persone interessate (cfr. in particolare le sezioni 4, 6, 7 e 13).

L'analisi che un utente svolge su uno stakeholder (le posizioni attribuite, le valutazioni assegnate e le motivazioni che le accompagnano) costituisce un prodotto del lavoro professionale riservato, e se essa sia o meno pubblicata o divulgata è una decisione che spetta unicamente a tale utente. Di conseguenza, una richiesta di accesso a tali dati ai sensi dell'articolo 15 del GDPR è soggetta al limite riconosciuto dall'articolo 15, paragrafo 4, del GDPR e dal considerando 63, in forza del quale il diritto di ottenere una copia non deve ledere i diritti e le libertà altrui: ivi compresa la riservatezza del prodotto del lavoro analitico dell'utente e gli eventuali segreti commerciali applicabili.

20. Modifiche alla presente politica

La presente politica può essere aggiornata per riflettere evoluzioni delle funzionalità della piattaforma, della legislazione applicabile o degli orientamenti regolamentari. Le modifiche sono pubblicate su questa pagina con una data di aggiornamento. Qualora le modifiche incidano in modo sostanziale sul trattamento dei dati personali, gli utenti ne saranno informati al successivo accesso.