Informativa sulla privacy

In vigore dal 14 agosto 2026. Si applica a CommonLynk («CommonLynk», «noi», «ci»), gestita da Common Ground Solutions (CGS), società a responsabilità limitata costituita ai sensi della Legge egiziana n. 159 del 1981, New Maadi, Il Cairo, Egitto.

1. Informazioni sulla presente informativa

La presente informativa illustra le modalità con cui CommonLynk tratta i dati personali quando l'utente visita il nostro sito web, crea un account e utilizza la piattaforma CommonLynk. Ci impegniamo a proteggere i dati personali e a trattarli in conformità con i principali quadri normativi in materia di protezione dei dati, tra cui il Regolamento generale sulla protezione dei dati dell'UE (GDPR), e con le leggi sulla protezione dei dati applicabili all'utilizzo della piattaforma da parte dell'utente.

CommonLynk è una piattaforma multi-tenant che le organizzazioni (ONG, organizzazioni della società civile ed enti analoghi — le «Organizzazioni») utilizzano per gestire i propri programmi, beneficiari, moduli e rendicontazione.

2. I nostri due ruoli

In qualità di titolare del trattamento (controller): per i dati relativi ai nostri clienti diretti e ai visitatori del sito web — titolari di account, referenti per la fatturazione e persone che ci contattano — stabiliamo le finalità e le modalità del trattamento di tali dati. La presente informativa disciplina tale trattamento.
In qualità di responsabile del trattamento (processor): per i dati che un'Organizzazione inserisce in merito agli individui, ai nuclei familiari e alle strutture che registra e assiste sulla piattaforma (ciascuno, un «Beneficiario») e in merito alle proprie attività operative, l'Organizzazione è il titolare del trattamento e CommonLynk agisce esclusivamente in qualità di responsabile del trattamento sulla base delle istruzioni documentate dell'Organizzazione. Tale trattamento è disciplinato dal nostro Accordo sul trattamento dei dati e le domande relative a tali dati devono essere rivolte all'Organizzazione interessata.

3. Dati personali che raccogliamo (in qualità di titolare del trattamento)

Account e identità: nome, indirizzo email di lavoro, organizzazione, ruolo, preferenze linguistiche e regionali.
Autenticazione: password (sottoposta a hashing), codici di accesso monouso e metadati di sicurezza e di accesso.
Fatturazione: nominativo di fatturazione, indirizzo, codice fiscale o partita IVA, abbonamento, fatture e riferimenti di pagamento. Non conserviamo i numeri completi delle carte — i pagamenti con carta sono gestiti dal nostro fornitore di servizi di pagamento; i riferimenti dei bonifici bancari e le ricevute caricate dall'utente sono conservati ai fini della riconciliazione dei pagamenti.
Utilizzo e dati tecnici: indirizzo IP (utilizzato, tra l'altro, per mostrare la valuta e la lingua corrette), dati del dispositivo e del browser e dati di log.
Comunicazioni: messaggi che l'utente ci invia e metadati relativi al recapito delle email.
Dati diagnostici e di assistenza: quando la piattaforma riscontra un errore, oppure quando l'utente segnala un problema o formula un suggerimento, registriamo informazioni tecniche sull'accaduto — l'indirizzo della pagina, i dettagli tecnici dell'errore, il browser e il sistema operativo, la lingua, l'orario, l'account e l'organizzazione dell'utente, nonché una traccia delle azioni compiute immediatamente prima (il tipo di azione e il nome del controllo utilizzato — mai il contenuto digitato né i record visualizzati). Se l'utente sceglie di allegare a una segnalazione uno screenshot o un file, conserviamo anche questi. La Sezione 6 illustra come vengono trattati tali dati, compresi i nostri controlli sugli screenshot.

4. Finalità del trattamento e basi giuridiche

Trattiamo i dati sopra indicati al fine di: fornire il servizio e garantirne la sicurezza; autenticare l'utente; gestire abbonamenti, pagamenti e fatture; fornire assistenza; diagnosticare, correggere e prevenire malfunzionamenti della piattaforma (Sezione 6); inviare email di servizio e transazionali; e adempiere agli obblighi di legge. A seconda della legge applicabile, le nostre basi giuridiche comprendono l'esecuzione di un contratto, il legittimo interesse, il consenso e l'adempimento di obblighi di legge. Qualora la base giuridica sia il consenso, l'utente può revocarlo in qualsiasi momento. Il nostro legittimo interesse al trattamento dei dati diagnostici consiste nel mantenere la piattaforma correttamente funzionante e sicura; limitiamo la raccolta ai soli dati necessari a tale finalità.

5. Sub-responsabili del trattamento e comunicazione dei dati

Per la gestione del servizio ci avvaliamo di terze parti selezionate — ad esempio per il recapito delle email, l'elaborazione dei pagamenti, l'hosting cloud e i backup. Tali soggetti trattano i dati esclusivamente sulla base delle nostre istruzioni e nel rispetto di garanzie adeguate. Un elenco aggiornato dei sub-responsabili del trattamento (sub-processor) — con l'indicazione di ciascun fornitore, dei dati che tratta e del luogo del trattamento — è riportato nella sezione Sub-responsabili del trattamento (elenco aggiornato) alla fine della presente informativa. Diamo un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento, affinché le Organizzazioni possano opporsi per ragionevoli motivi attinenti alla protezione dei dati. Non vendiamo dati personali.

5A. Collegamento del proprio spazio di archiviazione (Google Drive, Dropbox, OneDrive o S3)

Un'Organizzazione può facoltativamente collegare il proprio spazio di archiviazione cloud affinché CommonLynk vi recapiti una copia dei pacchetti di backup cifrati dell'Organizzazione (si veda l'Accordo sul trattamento dei dati, Sezione 4A(8)). Quando l'utente collega un account di questo tipo, CommonLynk utilizza esclusivamente un accesso limitato alla cartella dell'app: il collegamento può soltanto leggere e scrivere i file di backup creati da CommonLynk stessa nella propria cartella dedicata — non può mai vedere, leggere né accedere ad alcun altro file dell'utente presente in tale account.

Uso limitato delle API di Google. Qualora l'utente colleghi Google Drive, l'uso e il trasferimento da parte di CommonLynk delle informazioni ricevute dalle API di Google sono conformi alle Norme sui dati utente dei servizi API di Google (Google API Services User Data Policy), compresi i requisiti di uso limitato (Limited Use). In particolare, CommonLynk non utilizza i dati utente di Google per fornire pubblicità; non li vende né li trasferisce a intermediari di dati (data broker) o rivenditori di informazioni; non li utilizza per finalità di valutazione del merito creditizio o di concessione di prestiti; e non li utilizza per addestrare, creare o migliorare alcun modello generalizzato di intelligenza artificiale o di apprendimento automatico. Tali dati non vengono letti da persone se non con il consenso esplicito dell'utente, ove necessario per ragioni di sicurezza o per adempiere alla legge, oppure in forma aggregata o anonimizzata per operazioni interne. Un'analoga limitazione alla cartella dell'app si applica a Dropbox (App Folder) e a OneDrive (Microsoft Graph Files.ReadWrite.AppFolder).

6. Dati diagnostici e segnalazioni di malfunzionamento

Quando si verifica un problema sulla piattaforma, o quando l'utente segnala un problema, registriamo dati diagnostici per poter comprendere e correggere il malfunzionamento: i dettagli tecnici dell'errore, l'indirizzo della pagina, il browser e il sistema operativo, la lingua dell'interfaccia, le marche temporali, l'utente connesso e lo spazio di lavoro in cui operava, nonché una traccia delle azioni compiute immediatamente prima del malfunzionamento — limitata al tipo di azione e al nome del controllo utilizzato, mai a quanto digitato né al contenuto di alcun record. L'utente può inoltre scegliere di allegare uno screenshot o un file.

Le segnalazioni vengono lette da persone. Il nostro personale di assistenza riceve ogni giorno un riepilogo interno che elenca le segnalazioni pervenute, in modo che ciascuna di esse sia letta da una persona. Tale riepilogo viene trasmesso via email e non contiene mai uno screenshot né un file caricato — contiene un link che apre la segnalazione all'interno della piattaforma, in modo che continuino ad applicarsi le tutele descritte di seguito, compreso il registro di chi l'ha aperta.

Gli screenshot meritano una precisazione specifica. Uno screenshot di una pagina della piattaforma può contenere dati personali relativi alle persone assistite da un'Organizzazione. Pertanto: gli screenshot vengono acquisiti soltanto quando una persona sceglie di allegarne uno; la persona ne visualizza un'anteprima e può oscurarne qualsiasi parte, o scartarlo, prima dell'invio; sono conservati in uno spazio di archiviazione protetto non raggiungibile dal web pubblico; soltanto il personale di assistenza autorizzato può aprirli, e ogni apertura viene registrata nel nostro registro di audit; e sono conservati e cancellati in conformità con la Politica di conservazione dei dati.

7. Trasferimenti internazionali

La piattaforma può trattare dati in più di un paese. Qualora i dati personali siano trasferiti oltre i confini nazionali, applichiamo le garanzie richieste dalla legge applicabile (che possono comprendere le autorizzazioni delle autorità di controllo, garanzie contrattuali quali le Clausole contrattuali tipo (Standard Contractual Clauses) o l'hosting nella regione richiesto dalla giurisdizione pertinente). Le Organizzazioni sono invitate a consultare l'Accordo sul trattamento dei dati per i dettagli relativi ai dati dei propri beneficiari.

8. Conservazione

Conserviamo i dati personali soltanto per il tempo necessario alle finalità sopra indicate e secondo quanto richiesto dalla legge. I dati dell'account e dello spazio di lavoro seguono il ciclo di vita previsto dalla nostra Politica di conservazione dei dati (attivo → periodo di tolleranza → inattivo → cancellazione).

9. I diritti dell'utente

Fatto salvo quanto previsto dalla legge applicabile, l'utente può avere il diritto di accedere ai propri dati personali, di rettificarli, di cancellarli, di limitarne il trattamento o di opporsi al trattamento, di revocare il consenso e di richiederne la portabilità, nonché di proporre reclamo all'autorità di controllo per la protezione dei dati competente. Per esercitare tali diritti in relazione ai dati che deteniamo in qualità di titolare del trattamento, l'utente può contattare la nostra Responsabile della protezione dei dati (DPO), Yasmine Ossama — dpo@commonlynk.com. Per i dati che un'Organizzazione detiene sull'utente in quanto Beneficiario, l'utente deve contattare tale Organizzazione (le presteremo assistenza in qualità di responsabile del trattamento).

10. Sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio — tra cui la cifratura dei dati in transito (HTTPS), controlli degli accessi, isolamento degli spazi di lavoro, accesso autenticato ai file caricati e backup periodici. Nessun sistema è perfettamente sicuro, ma ci adoperiamo per proteggere i dati dell'utente e per informare tempestivamente i soggetti interessati in caso di violazione.

11. Minori

La piattaforma è destinata all'uso da parte delle Organizzazioni e del loro personale, non all'uso diretto da parte di minori. Qualora un'Organizzazione registri dati relativi a minori in quanto Beneficiari, l'Organizzazione è il titolare del trattamento ed è responsabile del consenso e delle tutele rafforzate richiesti dalla legge applicabile; CommonLynk la supporta in tal senso in qualità di responsabile del trattamento.

12. Modifiche e contatti

Possiamo aggiornare la presente informativa; la data di «ultimo aggiornamento» sarà modificata e gli aggiornamenti sostanziali saranno notificati. Domande o richieste: la nostra Responsabile della protezione dei dati, Yasmine Ossama — dpo@commonlynk.com / Common Ground Solutions (CGS), società a responsabilità limitata costituita ai sensi della Legge egiziana n. 159 del 1981, New Maadi, Il Cairo, Egitto.

Sub-responsabili del trattamento (elenco aggiornato)

Che cos'è questa pagina

Un sub-responsabile del trattamento è una società terza che tratta dati personali per conto di CommonLynk al fine di fornire il servizio. Questa pagina li indica tutti, specificando quali dati tratta ciascuno e dove, affinché un'Organizzazione che utilizza CommonLynk possa adempiere ai propri obblighi di accountability e di due diligence nei confronti dei donatori.

Avviso di modifica. Diamo alle Organizzazioni un preavviso di almeno 30 giorni prima di aggiungere o sostituire un sub-responsabile del trattamento. Un'Organizzazione può opporsi per ragionevoli motivi attinenti alla protezione dei dati; la procedura è descritta nell'Accordo sul trattamento dei dati, Sezione 5. Per ricevere gli avvisi di modifica, contattare la nostra Responsabile della protezione dei dati, Yasmine Ossama — dpo@commonlynk.com.

Ultima revisione: 18 agosto 2026.

Sub-responsabili del trattamento attuali

Brevo

Finalità: Email transazionali in uscita — messaggi relativi ad account, fatturazione, assistenza e notifiche
Dati personali trattati: Nome e indirizzo email del destinatario, oggetto e corpo del messaggio, metadati di recapito
Luogo del trattamento: UE
Stato: Attivo

Paymob

Finalità: Elaborazione dei pagamenti con carta
Dati personali trattati: Nominativo di fatturazione, dati di contatto, identificativi di pagamento. CommonLynk non riceve né conserva mai i numeri delle carte — questi vengono inseriti nella pagina ospitata dal fornitore stesso
Luogo del trattamento: Egitto
Stato: Configurato — non ancora in fase di trattamento di dati reali dei titolari di carta; attivato al momento del primo pagamento reale

Contabo GmbH

Finalità: Hosting dell'infrastruttura server (VPS su cui operano la piattaforma e i relativi database, compreso il primo spazio di lavoro) e archiviazione di backup fuori sede ad accesso controllato
Dati personali trattati: Tutti i dati della piattaforma — a riposo, in fase di trattamento e all'interno dei backup completi
Luogo del trattamento: Germania (UE)
Stato: Attivo

Ampliamento dell'hosting. Con la crescita di CommonLynk, ulteriori spazi di lavoro potranno essere ospitati presso altri fornitori o in altri paesi. Ciascuno di tali fornitori sarà indicato in questo elenco e le Organizzazioni riceveranno un preavviso prima della sua aggiunta, ai sensi dell'Accordo sul trattamento dei dati, Sezione 5.

Soggetti che non sono sub-responsabili del trattamento

Elencati affinché la loro assenza risulti intenzionale e non frutto di una svista — i revisori incaricati della due diligence chiedono informazioni su di essi:

GeoNames

Perché non è un sub-responsabile del trattamento: CommonLynk recupera da tale servizio dati di riferimento pubblici sulle suddivisioni amministrative. Non viene inviato alcun dato personale.

Fonte pubblica dei tassi di cambio

Perché non è un sub-responsabile del trattamento: I tassi vengono recuperati; non viene inviato nulla.

Individuazione del paese a partire dall'indirizzo IP (database locale)

Perché non è un sub-responsabile del trattamento: Il paese del visitatore (per la valuta e la lingua) viene letto da un database locale; nessun indirizzo IP viene inviato a terzi.

Manutenzione dell'hardware effettuata da Contabo GmbH

Perché non è un sub-responsabile del trattamento: Rientra nell'accordo di hosting sopra indicato e non costituisce un incarico separato.

Spazio di archiviazione per il deposito di backup collegato dal titolare del trattamento (Google Drive / Dropbox / OneDrive / S3)

Perché non è un sub-responsabile del trattamento: Quando un'Organizzazione collega il proprio spazio di archiviazione per ricevere copie di backup, tale account costituisce una risorsa propria dell'Organizzazione e non un sub-responsabile del trattamento di CommonLynk. CommonLynk utilizza un accesso limitato alla cartella dell'app e può operare soltanto sui file di backup che essa stessa crea. Si veda l'Accordo sul trattamento dei dati, Sezione 4A(8).

Che cosa richiediamo a ogni sub-responsabile del trattamento

Ai sensi dell'Accordo sul trattamento dei dati, Sezione 5, ciascun sub-responsabile del trattamento è vincolato da un accordo scritto che impone obblighi in materia di protezione dei dati almeno equivalenti a quelli che CommonLynk ha nei confronti delle proprie Organizzazioni, e CommonLynk resta pienamente responsabile del loro adempimento.