Archiviazione Dati

POLITICA DI CONSERVAZIONE E DISTRUZIONE DEI DATI PERSONALI DI YOUSIZER.COM

04.01.2026

1. SCOPO E AMBITO DI APPLICAZIONE DELLA POLITICA

La presente Politica di archiviazione e distruzione dei dati personali

("Politica"),www.yoursizer.comLa presente informativa è stata predisposta da Yoursizer.com ("Società" o "Titolare del trattamento"), con sede legale in [indirizzo], in conformità con le disposizioni della Legge n. 6698 sulla protezione dei dati personali (KVKK) e del Regolamento sulla cancellazione, distruzione o anonimizzazione dei dati personali ("Regolamento") e di altre normative pertinenti. Lo scopo principale dell'informativa è garantire che la nostra Società, in qualità di Titolare del trattamento, rispetti pienamente i principi generali specificati nell'articolo 4 del KVKK (liceità e correttezza, accuratezza e, ove necessario, aggiornamento delle informazioni, trattamento per finalità determinate, esplicite e legittime, pertinenti, limitate e proporzionate alle finalità, e conservazione per il periodo previsto dalla normativa pertinente o necessario per le finalità per le quali sono trattati) nel trattamento dei dati personali.

La presente Informativa illustra in modo trasparente le finalità per cui verranno archiviati i dati personali di tutti gli utenti della piattaforma Yoursizer.com (sito web, applicazione mobile e widget integrati), la durata dell'archiviazione, le basi giuridiche e tecniche del trattamento e le modalità con cui i dati verranno distrutti in modo sicuro al termine della finalità del trattamento. La presente Informativa è vincolante per tutti i reparti, i dipendenti e i fornitori di servizi esterni (responsabili del trattamento dei dati) all'interno della nostra azienda e garantisce l'applicazione dei principi di piena trasparenza e responsabilità nella governance dei dati. Adottando le migliori pratiche nazionali e internazionali in materia di protezione dei dati personali, l'Informativa dà priorità alla tutela dei diritti e delle libertà fondamentali degli interessati.

2. DEFINIZIONI E ABBREVIAZIONI

Nell'attuazione della presente Informativa, si è fatto riferimento alle definizioni contenute nell'Articolo 3 della Legge n. 6698 sulla Protezione dei Dati Personali (KVKK), nell'Articolo 4 del Regolamento sulla Cancellazione, Distruzione o Anonimizzazione dei Dati Personali e in altre normative pertinenti. Di seguito sono spiegati alcuni termini e abbreviazioni di base utilizzati nell'ambito della presente Informativa:

• •Anonimizzazione: si riferisce al trattamento dei dati personali in modo tale che non possano essere associati a una persona fisica identificata o identificabile, anche se combinati con altri dati (articolo 3/b del Codice della Privacy). Nel caso specifico di Yoursizer.com, ciò comprende la rescissione irreversibile del collegamento all'identità, in particolare per i dati utilizzati per il miglioramento degli algoritmi e per scopi di ricerca aggregata.

• •Dati biometrici (misure corporee): ai sensi dell'articolo 6 della legge sulla protezione dei dati personali, si tratta di misure fisiche quali altezza, lunghezza delle gambe, circonferenza della vita, larghezza delle spalle, torace e fianchi che identificano in modo univoco la forma del corpo di una persona e sono considerate categorie speciali di dati personali.

• •Avatar 3D: si riferisce a un modello digitale tridimensionale che rappresenta le caratteristiche fisiche di una persona, generato dalle sue misurazioni corporee attraverso i nostri algoritmi. Questo avatar è una rappresentazione unica creata elaborando dati biometrici.

• •Cancellazione sicura: si tratta del processo che rende i dati personali completamente inaccessibili e inutilizzabili per gli utenti interessati (articolo 8 del Regolamento). Si ottiene

attraverso metodi quali la cancellazione dei dati e la sovrascrittura con altri dati tramite software.

• •Interessato: si riferisce alla persona fisica i cui dati personali sono oggetto di trattamento (articolo 3/ç KVKK). Nel caso specifico di Yoursizer.com, si riferisce agli utenti della piattaforma.

• •Distruzione: si riferisce alla cancellazione, distruzione o anonimizzazione dei dati personali (Regolamento articolo 4/c).

• •Supporto di registrazione: si riferisce a qualsiasi supporto contenente dati personali trattati in modo totalmente o parzialmente automatico, o trattati in modo non automatico come parte di un sistema di registrazione dei dati (articolo 4/d del regolamento).

• •Dati personali: si riferisce a qualsiasi informazione relativa a una persona fisica identificata o identificabile (articolo 3/d KVKK).

• •Trattamento dei dati personali: si intende qualsiasi operazione eseguita su dati personali, come l'ottenimento, la registrazione, la conservazione, la conservazione, la modifica, la riorganizzazione, la divulgazione, il trasferimento, l'acquisizione, la messa a disposizione, la classificazione o l'impedimento dell'utilizzo dei dati, sia interamente o parzialmente automatizzata che non automatizzata, purché faccia parte di un sistema di registrazione dei dati (KVKK articolo 3/e).

• •Distruzione crittografica: consiste nel rendere i dati crittografati illeggibili e inutilizzabili distruggendone irreversibilmente le chiavi di crittografia. Questo metodo è utilizzato in particolare per i backup crittografati.

• •KVKK si riferisce alla Legge sulla protezione dei dati personali, numero 6698 e datata 24/3/2016.

• •Distruzione periodica: si riferisce alla cancellazione, distruzione o anonimizzazione dei dati personali che verrà effettuata automaticamente a intervalli ricorrenti come specificato nella politica di conservazione e distruzione dei dati personali, quando cessano di esistere tutte le condizioni per il trattamento dei dati personali previste dalla legge (Regolamento articolo

4/ğ).

• •Titolare del trattamento: indica la persona fisica o giuridica che determina le finalità e i mezzi del trattamento dei dati personali ed è responsabile dell'istituzione e della gestione del sistema di registrazione dei dati (articolo 3/ı del KVKK). Nella presente Informativa, si riferisce a Yoursizer.com.

• •Regolamento: si riferisce al Regolamento sulla cancellazione, distruzione o anonimizzazione dei dati personali.

• •Distruzione: è il processo che rende i dati personali inaccessibili, irrecuperabili e inutilizzabili da chiunque in qualsiasi modo (articolo 9 del Regolamento). Include anche la distruzione irreversibile dei supporti fisici.

3. RESPONSABILITÀ E RIPARTIZIONE DEI COMPITI

Per garantire l'esecuzione efficiente, il monitoraggio e la sostenibilità dei processi di archiviazione e distruzione dei dati personali all'interno di Yoursizer.com, è stata stabilita una specifica distribuzione di responsabilità e compiti in conformità con l'organigramma. Tale distribuzione è stata creata nel rigoroso rispetto dei principi di "need-to-know" e "least privilege".

3.1. Alta dirigenza (team di gestione):

• •La società assume la proprietà aziendale della conformità alla KVKK (Legge sulla protezione dei dati personali), approva le politiche sulla protezione dei dati personali e assegna le risorse necessarie per l'implementazione di tali politiche.

• •Prende le decisioni finali nella selezione dei fornitori e dei subappaltatori e approva le decisioni strategiche riguardanti l'accettazione o la mitigazione dei rischi per la protezione dei dati.

• •Avvia la gestione delle crisi in caso di eventi critici quali violazioni dei dati e approva processi di notifica formali.

• •Esamina i rapporti di audit periodici e approva le azioni di miglioramento necessarie. 3.2. Direzione tecnica / CTO (Direttore tecnico):

• •Sono responsabili della progettazione tecnica dell'architettura dei dati, dei periodi di conservazione e dei processi di distruzione.

• •Il modello di controllo degli accessi (RBAC) supervisiona l'implementazione della gestione delle chiavi di crittografia, dei meccanismi di registrazione, delle policy di backup e di altri controlli tecnici di sicurezza.

• •Gestisce l'accesso all'ambiente di produzione e supervisiona i processi di approvazione per le modifiche critiche.

• •Un campo dati separato per i dati biometrici consente l'integrazione tecnica di misure di sicurezza specializzate, come strategie di pseudonimizzazione.

3.3. Team software (backend/piattaforma):

• •Garantisce il rispetto dei principi di minimizzazione dei dati nei sistemi che migliorano i processi di raccolta ed elaborazione dei dati.

• •Implementa regole di periodo di conservazione, cancellazione sicura e funzioni di anonimizzazione a livello software.

• •Sono responsabili dell'implementazione tecnica delle richieste degli utenti (cancellazione, accesso, correzione).

• •Garantisce che i limiti di condivisione dei dati siano mantenuti e che gli standard di sicurezza dei dati siano implementati nelle API e nelle integrazioni.

• •Consente l'implementazione di un meccanismo di "doppio controllo" (four-eyes) nei processi di distruzione critici; vale a dire che l'avvio e l'approvazione di un processo di distruzione vengono eseguiti da due persone con diversi livelli di autorità.

3.4. Team software (frontend/widget/mobile):

• •È responsabile di garantire che i cookie e i meccanismi di consenso esplicito siano presentati correttamente nell'interfaccia utente.

• •Consente l'attivazione di script e SDK pertinenti in base all'approvazione dell'utente. ● Distingue correttamente tra campi facoltativi e obbligatori nei moduli di immissione dati. ● Fornisce sicurezza lato client (ad esempio, protezione XSS, CSRF).

3.5. Amministratore DevOps/di sistema (all'interno del team software):

• •Sono responsabili della gestione dell'infrastruttura cloud, della sicurezza della rete, dei processi di integrazione continua/distribuzione continua (CI/CD) e della separazione degli ambienti (sviluppo, test, produzione).

• •La rotazione del backup prevede la gestione sicura delle chiavi di crittografia, l'impostazione di sistemi di monitoraggio e avviso e il monitoraggio degli aggiornamenti di sicurezza. ● Garantisce l'integrità e l'accessibilità dei sistemi di registrazione dei dati e dei registri.

3.6. Responsabile della conformità al GDPR (persona nominata all'interno della direzione):

• •Controlla l'attualità e la conformità alla normativa dei testi informativi e delle dichiarazioni di consenso esplicito.

• •Mantiene aggiornato l'inventario dei dati personali trattati e monitora l'attuazione delle sue politiche di archiviazione e distruzione.

• •Verifica il rispetto delle clausole di protezione dei dati nei contratti con i fornitori. ● Coordina i processi di audit interno, prepara report e monitora le modifiche normative.

3.7. Matrice di autorizzazione e meccanismi di controllo: la nostra azienda gestisce le autorizzazioni di accesso e di trattamento dei dati personali con una matrice di autorizzazione dettagliata. Questa matrice specifica per iscritto le categorie di dati a cui ciascun ruolo può accedere (ad esempio, dati biometrici, registri, dati di comunicazione) e le azioni che può eseguire (lettura, scrittura, eliminazione, esportazione). L'autenticazione a più fattori (MFA) e i metodi di autenticazione forte sono obbligatori per l'accesso agli ambienti di produzione. Tutti gli accessi e le azioni amministrative vengono registrati in dettaglio e questi registri vengono monitorati regolarmente. Anche l'accesso ai backup è rigorosamente limitato e i processi di backup e distruzione vengono registrati. Vengono effettuate revisioni periodiche degli accessi (ad esempio, ogni 6 mesi) e le autorizzazioni del personale in uscita vengono immediatamente revocate. Questa struttura garantisce che i processi di archiviazione, protezione e distruzione dei dati personali all'interno di Yoursizer.com vengano eseguiti in modo trasparente, tracciabile e verificabile.

4. SUPPORTI DI REGISTRAZIONE E MISURE DI SICUREZZA

I dati personali trattati da Yoursizer.com vengono conservati su diversi supporti di registrazione, interamente o parzialmente automatizzati o non automatizzati, nell'ambito di un sistema di registrazione dati. Tali supporti variano a seconda della natura dei dati e delle finalità del trattamento, ma per ciascun supporto vengono adottate le più elevate misure di sicurezza.

4.1 Supporti di registrazione: i tuoi dati personali vengono principalmente memorizzati sui seguenti supporti di registrazione:

• •Ambienti digitali:

• •Infrastruttura cloud: ospitata in data center ad alta sicurezza da provider di servizi cloud riconosciuti a livello internazionale come Amazon Web Services (AWS) e Google Cloud Platform (GCP). Questa infrastruttura viene utilizzata per i processi di archiviazione, elaborazione e backup dei dati.

• •Database: i database relazionali e NoSQL (ad esempio PostgreSQL, MongoDB) sono gli ambienti principali per l'archiviazione di dati strutturati quali informazioni sugli account utente, misurazioni corporee, parametri degli avatar 3D e dati sulle

transazioni.

• •Server: i server applicativi e i server di registro memorizzano dati tecnici e registri di accesso relativi al funzionamento del sistema.

• •Ambienti di backup: i servizi di backup basati su cloud e/o le unità di archiviazione separate sono ambienti in cui vengono archiviati i backup eseguiti regolarmente per prevenire la perdita di dati.

• •Sistemi di posta elettronica: le comunicazioni degli utenti, le richieste di supporto e le notifiche possono essere archiviate sui server di posta elettronica.

• •Sistemi di archiviazione file: i file caricati dall'utente o generati dal sistema (ad esempio, documenti allegati alle richieste di supporto) vengono archiviati in servizi di archiviazione file sicuri.

• •Ambienti fisici:

• •In rari casi, anche documenti cartacei come moduli stampati, contratti o fatture possono essere archiviati per esigenze legali o operative. Tali documenti vengono conservati in armadi chiusi a chiave e in aree protette da accessi non autorizzati.

4.2. Misure di sicurezza: In conformità con l'articolo 12 della Legge sulla protezione dei dati personali (KVKK), vengono adottate tutte le misure tecniche e amministrative necessarie per garantire la conservazione sicura dei dati personali e per impedire il trattamento e l'accesso illeciti. Vengono applicate misure aggiuntive e più rigorose, in particolare per i dati personali sensibili come i dati biometrici.

4.2.1. Misure tecniche:

• •Crittografia:

• •Crittografia durante la trasmissione (TLS/SSL): i dati personali sono protetti dalla crittografia tramite il protocollo Transport Layer Security (TLS) in tutte le

comunicazioni tra la piattaforma e i dispositivi degli utenti (web, applicazioni mobili, widget). Ciò impedisce l'accesso non autorizzato ai dati.

• •Crittografia a riposo: i dati personali archiviati in database e sistemi di archiviazione file vengono crittografati utilizzando algoritmi di crittografia avanzati. Le chiavi di crittografia sono gestite in modo sicuro tramite un sistema di gestione delle chiavi (KMS) separato e riservato. Ciò garantisce che i dati rimangano illeggibili anche in caso di accesso non autorizzato.

• •Controllo degli accessi e autorizzazione:

• •Controllo degli accessi basato sui ruoli (RBAC): l'accesso ai dati personali è limitato secondo il principio dell'autorizzazione basata sui ruoli (privilegi minimi), in linea con le descrizioni delle mansioni e la matrice di autorizzazione dei dipendenti. A ciascun dipendente viene concesso l'accesso solo ai dati necessari per svolgere il proprio lavoro.

• •Autenticazione a più fattori (MFA): i metodi di autenticazione a più fattori (MFA) sono obbligatori per l'accesso a sistemi e dati sensibili. Ciò riduce significativamente il rischio di accessi non autorizzati.

• •Registri di accesso: l'accesso ai dati personali viene registrato in dettaglio, comprese informazioni su chi ha avuto accesso a quali dati e quando. Questi registri vengono regolarmente monitorati e analizzati per il rilevamento di anomalie. L'integrità e l'accessibilità dei registri sono garantite.

• •Sicurezza di rete:
• •Firewall e Web Application Firewall (WAF): il traffico di rete viene monitorato tramite firewall e WAF, impedendo l'accesso non autorizzato. I WAF forniscono protezione, in particolare contro gli attacchi mirati alle applicazioni web.

• •Segmentazione della rete: i database, i server applicativi e altri sistemi critici vengono separati tra loro tramite la segmentazione della rete, impedendo la diffusione di una potenziale violazione della sicurezza.

• •Gestione delle vulnerabilità e test di penetrazione: i sistemi vengono sottoposti regolarmente a scansioni di vulnerabilità e test di penetrazione. Le vulnerabilità identificate vengono classificate in base alla priorità e affrontate. Aggiornamenti e patch di sicurezza vengono applicati regolarmente.

• •Misure aggiuntive per i dati biometrici:

• •Area dati separata: i dati biometrici, come le misurazioni del corpo e i parametri degli avatar 3D, vengono archiviati in aree dati altamente sicure con accesso più limitato, logicamente separate dagli altri dati personali.

• •Pseudonimizzazione: i dati biometrici vengono separati dalle informazioni identificative dirette e associati a un token o a un ID utente. Ciò rende più difficile l'identificazione diretta durante l'analisi dei set di dati.

• •Politica di accesso: l'accesso ai dati biometrici è limitato da una matrice di autorizzazione molto più ristretta. Il numero di personale autorizzato ad accedere a questi dati è ridotto al minimo e tale accesso è soggetto a meccanismi di controllo aggiuntivi.

4.2.2. Misure amministrative:

• •Formazione e sensibilizzazione del personale: tutti i dipendenti ricevono regolarmente formazione sulla protezione dei dati personali, sulla sicurezza dei dati e sulla presente Politica. Il livello di sensibilizzazione dei dipendenti è in continuo aumento.

• •Accordi di riservatezza: vengono firmati accordi di riservatezza con tutti i dipendenti e i partner commerciali che hanno accesso ai dati personali.

• •Politiche e procedure interne: vengono stabilite e mantenute aggiornate politiche e procedure interne dettagliate su questioni quali la minimizzazione dei dati, l'archiviazione dei dati, la distruzione dei dati, il controllo degli accessi e i piani di risposta alle violazioni dei dati.

• •Gestione Fornitori/Subappaltatori: Nei contratti con i responsabili del trattamento dei dati terzi da cui riceviamo servizi, gli obblighi di sicurezza dei dati, riservatezza e notifica delle violazioni in conformità con le disposizioni del KVKK (Legge sulla protezione dei dati personali) sono chiaramente definiti e il rispetto di tali obblighi viene periodicamente verificato. Per i trasferimenti internazionali, sono previste garanzie adeguate, come clausole contrattuali standard o impegni, in conformità con l'articolo 9 del KVKK.

• •Piano di Audit e Risposta agli Incidenti: i processi di elaborazione dei dati e le misure di sicurezza vengono sottoposti a audit periodici. È in atto un piano di risposta agli incidenti per garantire una risposta rapida ed efficace in caso di violazione dei dati.

4.3. Politica di backup:

• •Frequenza e tipo di backup: per garantire la continuità aziendale e prevenire la perdita di dati, i dati personali vengono sottoposti a backup periodici. La frequenza di backup viene determinata in base al livello di criticità dei dati (ad esempio, giornaliera, settimanale).
• •Sicurezza dei backup: i backup vengono archiviati in forma crittografata su supporti fisicamente o logicamente separati dai sistemi attivi e l'accesso ad essi è strettamente limitato. L'accesso ai supporti di backup è limitato al solo personale autorizzato ed è protetto dall'autenticazione a più fattori.

• •Periodi di conservazione dei backup: i periodi di conservazione dei backup sono determinati in base al principio del "requisito minimo" e gestiti in modo da non superare i periodi di conservazione massimi del sistema operativo. Ad esempio, i backup per i set di dati biometrici vengono conservati a cicli brevi (ad esempio, rotazione giornaliera/settimanale tra 30 e 90 giorni), mentre i backup per i dati di utilizzo/log vengono conservati in modo analogo tra 30 e 180 giorni, a seconda delle esigenze operative. Questi periodi vengono rivisti periodicamente in base all'infrastruttura utilizzata e alla valutazione del rischio.

• •Distruzione dei backup: i backup scaduti vengono eliminati in modo sicuro tramite meccanismi di rotazione automatizzati. Anche i backup crittografati vengono sottoposti a distruzione crittografica (distruzione sicura delle chiavi). Ai backup archiviati su supporti fisici vengono applicate procedure di distruzione fisica sicura. Questi processi vengono verificati tramite controlli periodici e documentati.

5. MATRICE DEI TEMPI DI CONSERVAZIONE IN BASE ALLE CATEGORIE DI DATI

Yoursizer.com, nel determinare il periodo massimo per il quale i dati personali sono necessari per le finalità per le quali vengono trattati, aderisce al principio di "conservazione per il periodo previsto dalla normativa vigente o necessario per le finalità per le quali vengono trattati" ai sensi dell'articolo 4/2-d del KVKK (Legge sulla protezione dei dati personali). I seguenti fattori vengono presi in considerazione per determinare i periodi di conservazione: la finalità del trattamento, gli obblighi di legge pertinenti (ad esempio, la normativa fiscale, gli obblighi di contabilità commerciale), i termini di prescrizione per l'accertamento/esercizio/tutela dei diritti e la necessità di prova, la prosecuzione/revoca del consenso nelle transazioni basate sul consenso e i principi di minimizzazione dei dati. Di seguito è riportata una matrice dei periodi di conservazione in base alle categorie di dati di base:

Tali periodi vengono rivisti a intervalli regolari. Alla scadenza del periodo o al termine della finalità del trattamento, i dati personali vengono distrutti mediante cancellazione sicura, distruzione o anonimizzazione, in conformità con le disposizioni del Regolamento. Il periodo di conservazione di 10 anni, in particolare per i dati biometrici e i dati derivati, serve a fini di analisi statistica e di sviluppo di algoritmi per migliorare l'accuratezza del servizio; durante tale periodo, i dati vengono conservati in forma anonima o pseudonimizzata.

6. METODI DI DISTRUZIONE E ANONIMIZZAZIONE DEI DATI PERSONALI

Yoursizer.com, ai sensi dell'articolo 7 del KVKK (Legge sulla protezione dei dati personali) e dell'articolo 7 del Regolamento, adempie all'obbligo di cancellare, distruggere o rendere anonimi i dati personali d'ufficio o su richiesta dell'interessato quando vengono meno i motivi che giustificano il trattamento dei dati personali. In tali processi, viene scelto il metodo più appropriato, tenendo conto della natura dei dati, del supporto di registrazione e del rischio di reidentificazione.

6.1. Eliminazione e metodi di eliminazione:

• •Cancellazione definitiva (cancellazione sicura): si tratta del processo che rende i dati personali completamente inaccessibili e inutilizzabili per gli utenti interessati (articolo 8 del Regolamento). Questo metodo è preferibile, in particolare per i dati che identificano direttamente un individuo o che rappresentano un rischio inutile se associati a tale individuo, come informazioni di identità e di contatto, dati relativi a pagamenti/fatturazioni e corrispondenza di supporto. Si ottiene sovrascrivendo i dati con dati casuali tramite software o eliminando in modo irreversibile i record del database.

• •Distruzione crittografica (distruzione delle chiavi): comporta la distruzione irreversibile delle chiavi di crittografia dei dati crittografati, rendendoli illeggibili e inutilizzabili. Questo metodo è particolarmente applicabile ai dati archiviati su supporti di backup crittografati. Distruggendo le chiavi, l'accesso ai dati crittografati diventa impossibile.

• •Distruzione fisica: si riferisce alla distruzione irreversibile di supporti fisici contenenti dati personali (dischi rigidi, CD, DVD, unità USB, ecc.) (Articolo 9 del Regolamento). Ciò si ottiene attraverso metodi quali la smagnetizzazione dei supporti magnetici, la rottura o la frantumazione fisica dei supporti ottici e la triturazione dei supporti cartacei mediante macchine distruggidocumenti.

6.2. Metodi di anonimizzazione: l'anonimizzazione è il processo che rende i dati personali non riconducibili a una persona fisica identificata o identificabile, anche se abbinati ad altri dati (articolo 3/b del KVKK, articolo 10 del Regolamento). Yoursizer.com applica metodi di anonimizzazione, in particolare nelle strutture di dati in cui l'identità può essere completamente e irreversibilmente separata e il collegamento con l'individuo può essere interrotto, e che sono necessari solo per generare output aggregati/statistici, come statistiche aggregate derivate da misurazioni biometriche, metriche di performance del modello e set di dati di ricerca. È essenziale che il processo di anonimizzazione sia irreversibile.

Le principali tecniche utilizzate durante l'anonimizzazione sono le seguenti:

• •Aggregazione: consiste nel combinare i dati di più individui per generare riepiloghi statistici (medie, totali, percentuali) anziché singoli record. Ciò rende impossibile identificare un

individuo basandosi esclusivamente sui suoi dati. Ad esempio, potrebbero essere presentati dati come "altezza media degli utenti con una circonferenza vita compresa tra 70 e 75 cm". ● Mascheramento/arrotondamento dei dati: consiste nell'occultare alcune parti dei dati personali

o nell'arrotondarne i valori per ridurne la sensibilità. Ad esempio, utilizzando intervalli di età anziché l'età completa (ad esempio, 25-30 anni) o valori arrotondati anziché misure complete (ad esempio, 70-75 cm anziché 72,3 cm).

• •Generalizzazione/Bucketizzazione: consiste nel convertire i singoli valori in intervalli più ampi. Ad esempio, invece di esprimere "altezza 175 cm", potrebbe essere espresso come "intervallo di altezza 170-180 cm".

• •Aggiunta di rumore: consiste nell'aggiungere piccole deviazioni casuali ai dati che non influiscono sull'analisi statistica, ma rendono più difficile l'identificazione di un individuo univoco. Questa tecnica è particolarmente utilizzata quando si vogliono rendere anonimi dati sensibili.

• •K-Anonimato e L-Diversità: queste tecniche riducono il rischio di identificare un individuo univoco garantendo che almeno k individui in un set di dati anonimizzato condividano la stessa combinazione di caratteristiche. La L-diversità, d'altra parte, protegge dagli attacchi di inferenza garantendo che i valori delle caratteristiche sensibili abbiano almeno l valori diversi in ciascun set k-anonimo.

Queste tecniche rendono difficile ricondurre i dati a un singolo individuo, riducono il rischio di "combinazioni uniche" e garantiscono che i risultati di reporting/ricerca rimangano esclusivamente a livello aggregato. Le decisioni e i metodi di anonimizzazione vengono rivisti periodicamente, tenendo conto del tipo di dati e del rischio di reidentificazione. L'irreversibilità dei processi di anonimizzazione viene verificata attraverso report tecnici e audit indipendenti. Soprattutto per i dati utilizzati nell'addestramento del modello, anche se non è tecnicamente possibile rimuovere i dati dell'utente eliminato dal modello, i set di dati vengono anonimizzati in modo da rendere l'individuo non identificabile (utilizzando tecniche come aggregazione, spaziatura, mascheramento e iniezione di rumore).

7. PROCESSI PERIODICI DI DISTRUZIONE E ISPEZIONE

Yoursizer.com esegue regolarmente processi di distruzione e audit dei dati per garantire la conformità alla legislazione e l'efficacia nella conservazione e distruzione dei dati personali. Questi processi rafforzano i principi di trasparenza e responsabilità in ogni fase del ciclo di vita dei dati.

7.1. Processi di distruzione periodica: Ai sensi dell'articolo 11/2 del Regolamento, il titolare del trattamento effettua processi di distruzione periodica secondo gli intervalli temporali stabiliti nella politica di conservazione e distruzione dei dati personali. Su Yoursizer.com, i dati vengono distrutti nel primo processo di distruzione periodica successivo alla data in cui sorge l'obbligo di cancellazione, distruzione o anonimizzazione dei dati personali. Tale periodo di distruzione periodica non può in ogni caso superare i sei mesi. Tale processo viene eseguito mediante una combinazione di sistemi automatizzati e controlli manuali.

7.2. Processi di audit e reporting: per garantire la continuità dei processi di conservazione e distruzione, è stata istituita una struttura di governance che si sviluppa attraverso una politica scritta di conservazione e distruzione, un inventario del trattamento dei dati personali, registri di accesso e transazioni e meccanismi di audit interno periodici.

• •Frequenza degli audit: gli audit vengono condotti almeno ogni 6 mesi. Audit più frequenti potrebbero essere necessari in casi quali modifiche di rischio/prodotto, nuove integrazioni o aggiornamenti normativi.

• •Responsabilità: I principali ruoli responsabili dei processi di audit sono il Responsabile della Conformità al GDPR, il Team di Sicurezza delle Informazioni (ISO/Sicurezza IT) e i Team di Prodotto/Operazioni. Questi team collaborano per svolgere le attività di audit.

• •Contenuto della rendicontazione: i risultati dell'audit vengono presentati alla direzione aziendale in relazioni dettagliate che includono le seguenti intestazioni:

• •Record e set di dati il cui periodo di conservazione è scaduto.

• •I processi di cancellazione, distruzione o anonimizzazione che sono stati effettuati. ● Prove di rotazione e distruzione del backup (registri delle operazioni, registri di approvazione).

• •Processi di conformità e distruzione della protezione dei dati dei

fornitori/subappaltatori.

• •Azioni identificate, vulnerabilità della sicurezza e piani di risanamento.

• •Ai sensi dell'articolo 7/3 della KVKK (Legge sulla protezione dei dati personali), tutti i processi relativi alla cancellazione, distruzione o anonimizzazione dei dati personali vengono registrati e tali registrazioni vengono conservate per almeno tre anni, esclusi altri obblighi di legge.

7.3. Meccanismi di aggiornamento della policy: la presente policy è un documento dinamico e viene rivista e aggiornata nelle seguenti situazioni:

• •Modifiche legislative (modifiche alla legge sulla protezione dei dati personali, ai regolamenti o ad altre disposizioni di legge pertinenti).

• •Nuovi sviluppi tecnologici o cambiamenti nei fornitori di infrastrutture.

• •Inizia l'elaborazione di nuove categorie di dati (ad esempio, l'ampliamento della copertura dei dati biometrici).

• •Aggiungere nuove funzionalità al prodotto o al servizio.

• •Decisioni o linee guida del Comitato per la protezione dei dati personali.

• •Risultati e raccomandazioni identificati a seguito di audit interni o esterni. Gli aggiornamenti delle policy vengono effettuati con la partecipazione dei team competenti (Responsabile della Conformità DVAT, Direzione Tecnica, Team Software) ed entrano in vigore dopo l'approvazione da parte del senior management.

8. IMPLEMENTAZIONE E AGGIORNAMENTI DELLE POLITICHE

La presente Politica è stata approvata dal Consiglio di Amministrazione di Yoursizer.com ed è entrata in vigore il 4 gennaio 2026. La Politica stabilisce i principi fondamentali, le procedure e le linee guida da applicare nella conservazione e distruzione dei dati personali in tutte le unità della nostra Azienda e presso i fornitori di servizi esterni.

La politica è disponibile sul sito web della nostra azienda (www.yoursizer.comIl documento è pubblicato sui sistemi di gestione delle informazioni interne dell'azienda e su altre piattaforme correlate (applicazione mobile, widget) e reso accessibile ai soggetti interessati. Il documento sarà conservato sia in formato digitale (sistemi di gestione delle informazioni interne) sia cartaceo (copie cartacee ove necessario).

Grafico di monitoraggio delle revisioni:

Yoursizer.com si riserva il diritto di aggiornare la presente Informativa in conformità a eventuali modifiche della normativa applicabile e alle decisioni adottate dal Garante per la Protezione dei Dati Personali. Gli aggiornamenti entreranno in vigore alla data di pubblicazione della presente Informativa.

Yoursizer.com