Cosa richiede davvero il GDPR in una privacy policy
L'articolo 13 (dati raccolti presso l'interessato) e l'articolo 14 (dati ottenuti da terzi) del Regolamento generale sulla protezione dei dati (GDPR) elencano undici elementi che ogni informativa privacy deve contenere: identità del titolare del trattamento, dati di contatto del DPO se previsto, finalità e base giuridica, destinatari, periodo di conservazione, diritti dell'interessato, diritto di proporre reclamo a un'autorità di controllo, natura obbligatoria o meno del conferimento, processi decisionali automatizzati, fonte dei dati e garanzie per i trasferimenti internazionali. Il generatore inserisce ciascuno come sezione autonoma con il suo titolo, così un'autorità che scorre la pagina trova subito la risposta.
Basi giuridiche (articolo 6)
Per ogni finalità del trattamento il generatore sceglie una delle sei basi giuridiche: consenso, contratto, obbligo legale, interessi vitali, compito di interesse pubblico o legittimo interesse. La maggior parte dei flussi di analisi del prodotto ricade sul legittimo interesse con un bilanciamento dichiarato; i dati dell'account ricadono sul contratto; le email di marketing sul consenso. Il testo indica la base accanto alla finalità, nella forma che le autorità si aspettano.
Trasferimenti internazionali
Se usi un qualsiasi servizio con sede negli Stati Uniti (Google, AWS, Stripe, Meta), la tua policy deve descrivere le garanzie per i trasferimenti dall'UE agli USA. Il generatore indica lo stato di certificazione EU-US Data Privacy Framework di ogni sub-responsabile citato e include le clausole contrattuali tipo 2021/914 come alternativa quando il DPF non è disponibile.
Richieste degli interessati
Gli articoli 15-22 riconoscono agli utenti dell'UE otto diritti: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso e diritti relativi alle decisioni automatizzate. Il generatore pubblica un indirizzo email di contatto per ciascun diritto e un tempo di risposta di un mese, il massimo consentito dall'articolo 12(3).