Il GDPR definisce il titolare del trattamento come la persona, fisica o giuridica, che determina, da sola o insieme ad altri, le finalità e i mezzi di un trattamento di dati personali. Essere titolare del trattamento non si limita quindi alla raccolta di informazioni: presuppone la decisione sul perché tali dati vengono raccolti, per quanto tempo vengono conservati, chi può accedervi e con quali mezzi vengono protetti dalla perdita, dall'alterazione o dall'accesso non autorizzato. Lendovia agisce in questa veste per l'insieme dei trattamenti descritti nella presente informativa: moduli di simulazione, richieste di finanziamento, creazione e gestione di un'area riservata cliente.
Tale qualificazione comporta un obbligo di rendicontazione, noto come principio di responsabilizzazione ("accountability"): il titolare del trattamento deve poter dimostrare, in qualsiasi momento e in particolare dinanzi alla CNIL, che i propri trattamenti rispettano i principi del GDPR. Ciò si traduce concretamente nella tenuta di un registro dei trattamenti che censisce ciascuna finalità, nello svolgimento di valutazioni d'impatto quando il livello di rischio lo giustifica, e nella formalizzazione di procedure interne di sicurezza e di gestione delle richieste degli interessati.
La presente informativa si applica all'insieme dei visitatori, prospect e clienti di Lendovia, indipendentemente dal prodotto interessato (prestito personale, credito revolving, consolidamento debiti, assicurazione sul credito). Il punto di contatto per qualsiasi domanda relativa alla protezione dei dati è il responsabile della protezione dei dati (RPD/DPO) di Lendovia, raggiungibile tramite l'area riservata cliente, sezione "I miei dati e la mia riservatezza". Il DPO è incaricato di informare, consigliare e vigilare sul rispetto del GDPR all'interno dell'organizzazione; costituisce il naturale punto di contatto sia con la CNIL sia con l'interessato.
Il volume di informazioni che Lendovia detiene su di te non è fisso: cresce progressivamente man mano che procedi nel tuo percorso, e non raccogliamo mai in anticipo dati di cui non avremmo ancora un uso concreto. Questa progressione illustra concretamente il principio di minimizzazione sancito dal GDPR, secondo cui devono essere raccolti solo i dati pertinenti a ciascuna fase.
Quando visiti il nostro simulatore di credito in modo anonimo, senza indicare alcun recapito, non deteniamo alcun dato che ti identifichi direttamente: gli importi, le durate e i tassi testati restano semplici parametri di calcolo non riconducibili a una persona, ad eccezione dei dati tecnici di navigazione descritti nella nostra informativa sui cookie. Non appena avvii una simulazione lasciando i tuoi recapiti per ricevere un risultato personalizzato — nome, indirizzo e-mail, numero di telefono — trattiamo dati che ti identificano, ma entro un perimetro limitato a quanto necessario per ricontattarti e affinare la tua proposta.
La presentazione di una richiesta di finanziamento completa segna un cambiamento di scala: raccogliamo allora una pratica molto più dettagliata, comprensiva di un documento d'identità, un giustificativo di domicilio, le tue buste paga o dichiarazioni dei redditi, un estratto conto bancario, il dettaglio delle tue spese ricorrenti (affitto, altri crediti, assegni versati) e, se del caso, i documenti relativi al tuo progetto, come un preventivo di lavori o un ordine d'acquisto di un veicolo — indispensabili per istruire la tua pratica e valutare la tua capacità di rimborso. Una volta firmato il contratto, arricchiamo questa pratica per tutta la durata del credito: credenziali della tua area riservata cliente, storico delle tue rate ed eventuali insoluti, scambi con il tuo consulente, documenti aggiornati in caso di rinegoziazione.
Queste categorie di dati si suddividono come segue:
I tuoi dati sono trattati da Lendovia per cinque finalità precise, ciascuna fondata su una specifica base giuridica illustrata di seguito:
Non trattiamo i tuoi dati per finalità incompatibili con quelle iniziali sopra indicate, e limitiamo la raccolta ai soli dati pertinenti rispetto a ciascuna di esse, conformemente al principio di minimizzazione sancito dal GDPR.
L'esecuzione del contratto, o le misure precontrattuali adottate su tua richiesta prima della sua sottoscrizione (art. 6, par. 1, lett. b del GDPR), costituisce il fondamento della maggior parte dei nostri trattamenti: ci consente di trattare la tua simulazione, istruire la tua richiesta, quindi gestire il credito sottoscritto — piani di ammortamento, incasso delle rate mensili, rimborso anticipato o rinegoziazione. Senza questa base giuridica, non potremmo semplicemente adempiere agli impegni reciproci che il contratto pone a nostro carico e a tuo carico.
L'obbligo legale (art. 6, par. 1, lett. c) fonda tutti i trattamenti che la normativa ci impone indipendentemente dalla tua volontà: verifica della tua identità e dell'origine dei fondi ai fini della lotta contro il riciclaggio di capitali e il finanziamento del terrorismo, segnalazione di talune operazioni atipiche a TRACFIN, iscrizione al FICP in caso di incidente accertato, o conservazione dei documenti per i periodi imposti dal codice monetario e finanziario francese o dal codice generale delle imposte francese.
Il legittimo interesse (art. 6, par. 1, lett. f) copre i trattamenti che riteniamo necessari per lo svolgimento della nostra attività, senza arrecare un pregiudizio sproporzionato ai tuoi diritti: rilevazione delle frodi, messa in sicurezza della tua area riservata cliente contro accessi fraudolenti, attività di marketing diretto rivolta ai nostri clienti e ex clienti su prodotti simili a quelli già sottoscritti. Questa base giuridica presuppone un costante bilanciamento tra il nostro interesse e il tuo, e viene meno non appena eserciti il tuo diritto di opposizione.
Il consenso (art. 6, par. 1, lett. a) interviene quando nessuna delle basi precedenti può giustificare un trattamento — tipicamente per le comunicazioni elettroniche indirizzate a prospect non ancora legati a un rapporto contrattuale, o per i cookie non strettamente necessari al funzionamento del sito. Deve essere libero, specifico, informato e inequivocabile; puoi revocarlo con la stessa semplicità con cui lo hai prestato, senza pregiudicare la liceità dei trattamenti già effettuati.
Internamente, l'accesso ai tuoi dati è compartimentato secondo il principio della necessità di conoscere ("need to know"): i consulenti commerciali incaricati dell'istruttoria vedono le informazioni necessarie all'esame della tua pratica (redditi, spese, progetto finanziato); i team di gestione dei rischi e di lotta contro le frodi accedono agli elementi necessari alla verifica della tua identità e al rilevamento di anomalie, senza necessariamente visualizzare il dettaglio dei tuoi scambi commerciali; il servizio clienti dispone di una visualizzazione orientata al monitoraggio della pratica; i team di recupero crediti intervengono solo in caso di insoluto. Ogni accesso è tracciato e limitato ai soli dati utili alla funzione svolta.
I tuoi dati vengono inoltre comunicati a subincaricati tecnici che operano per conto di Lendovia e secondo le sue istruzioni contrattuali scritte, disciplinate dalle garanzie richieste dal GDPR: clausole di riservatezza, misure di sicurezza, possibilità di audit. Si tratta tipicamente di un hosting provider che assicura la conservazione sicura dei dati all'interno dell'Unione europea, di un fornitore di firma elettronica per i contratti sottoscritti online, e di un fornitore di invio di lettere, e-mail o SMS per i tuoi piani di ammortamento, solleciti o notifiche. Nessuno di questi fornitori è autorizzato a riutilizzare i tuoi dati per conto proprio.
Infine, i tuoi dati possono essere comunicati ad autorità pubbliche in casi precisamente disciplinati dalla legge: iscrizione al FICP (il registro francese degli incidenti di rimborso dei crediti ai privati) tenuto dalla Banca di Francia in caso di incidente accertato sul tuo credito; segnalazione a TRACFIN, l'unità di informazione finanziaria francese, quando un'operazione lascia supporre un rischio di riciclaggio di capitali; comunicazione alle autorità giudiziarie su richiesta o provvedimento giudiziario; oppure trasmissione alle autorità di vigilanza del settore bancario e finanziario nell'ambito delle loro funzioni di supervisione.
I trattamenti di dati descritti nella presente informativa sono ospitati all'interno dell'Unione europea. Qualora tuttavia un subincaricato dovesse trattare in tutto o in parte i tuoi dati al di fuori dell'Unione — ad esempio nell'ambito di un supporto tecnico internazionale — un simile trasferimento potrebbe avvenire solo nell'ambito di un quadro giuridico che garantisca un livello di protezione equivalente a quello offerto dal GDPR.
Il meccanismo più comunemente utilizzato a tal fine è quello delle clausole contrattuali standard (CCS/SCC), talvolta denominate "Standard Contractual Clauses". Si tratta di modelli contrattuali redatti e approvati dalla Commissione europea, che l'esportatore e l'importatore di dati si impegnano a sottoscrivere senza modificarne la sostanza. La Commissione li ha concepiti per rispondere a un problema concreto: consentire gli scambi internazionali di dati necessari all'attività economica, imponendo al contempo all'organismo situato al di fuori dell'Unione obblighi precisi — sicurezza dei dati, limitazione degli accessi, informativa in caso di richiesta di accesso da parte di un'autorità straniera, diritto dell'interessato di agire direttamente nei confronti dell'importatore in caso di inadempimento. Tali clausole ricostituiscono così, per via contrattuale, un livello di garanzie paragonabile a quello vigente all'interno dell'Unione, anche quando il paese di destinazione non beneficia di una decisione di adeguatezza della Commissione.
In assenza di clausole contrattuali standard, potrebbero essere utilizzati altri meccanismi riconosciuti dal GDPR: una decisione di adeguatezza, con cui la Commissione accerta che un paese terzo offre un livello di protezione ritenuto sufficiente, oppure norme vincolanti d'impresa all'interno di uno stesso gruppo. Puoi, su richiesta al nostro responsabile della protezione dei dati, ottenere informazioni sulle garanzie che disciplinano un trasferimento specifico.
Il GDPR ti riconosce sette diritti sui tuoi dati personali, che puoi esercitare in qualsiasi momento nei confronti di Lendovia:
Per esercitare tali diritti, puoi scrivere al nostro responsabile della protezione dei dati tramite la tua area riservata cliente, sezione "I miei dati e la mia riservatezza", precisando il diritto che intendi esercitare e allegando un documento d'identità se necessario. Ci impegniamo a risponderti entro un mese, prorogabile di due mesi per le richieste complesse o numerose, con indicazione dei motivi di tale proroga.
Se ritieni, dopo averci contattati, che i tuoi diritti non siano rispettati, hai il diritto di proporre reclamo all'autorità di controllo competente. In Francia, si tratta della Commission Nationale de l'Informatique et des Libertés (CNIL), l'autorità di riferimento in materia di protezione dei dati personali.
Prima di rivolgerti alla CNIL, ti raccomandiamo di contattarci direttamente: la maggior parte delle difficoltà si risolve in questa fase, in particolare quando si tratta di un semplice aggiornamento di dati o di un termine di risposta da abbreviare. Se, nonostante questo tentativo, i tuoi diritti non sono rispettati, puoi presentare un reclamo online su cnil.fr, per posta, oppure di persona negli orari di apertura della CNIL.
RIVOLGERSI ALLA CNIL
Online — cnil.fr, sezione "Plaintes en ligne".
Per posta — CNIL, 3 Place de Fontenoy, TSA 80715, 75334 Paris Cedex 07.
Affinché il tuo reclamo sia trattato in modo efficace, è utile preparare in anticipo l'identità dell'organismo interessato, una descrizione precisa dei fatti e del trattamento contestato, le date degli scambi già avvenuti con Lendovia, nonché ogni corrispondenza intercorsa con il nostro responsabile della protezione dei dati. Una volta presentato, il reclamo viene ricevuto dalla CNIL, che lo esamina e può richiedere chiarimenti supplementari all'organismo interessato; a seconda dei casi, procede a verifiche, formula raccomandazioni, oppure avvia un procedimento sanzionatorio qualora venga accertata una violazione grave del GDPR. La presentazione di un reclamo è gratuita e non ti priva di alcun altro rimedio, in particolare della possibilità di adire le giurisdizioni civili o amministrative competenti.
Domande frequenti
Sì, in qualsiasi momento e senza dover fornire alcuna motivazione. Il marketing diretto si fonda sul nostro legittimo interesse oppure, a seconda del canale utilizzato, sul tuo consenso: in entrambi i casi, puoi opporti tramite la tua area riservata cliente o utilizzando il link di disiscrizione presente nelle nostre comunicazioni, senza che ciò incida sulla gestione della tua pratica di finanziamento. La tua opposizione viene presa in considerazione rapidamente e vale per l'insieme dei nostri canali di sollecitazione, posta, e-mail e SMS.
I periodi di conservazione variano in funzione della finalità del trattamento e degli obblighi legali applicabili: una pratica di simulazione abbandonata non viene conservata a lungo quanto un contratto di credito in fase di rimborso, e alcuni documenti contabili devono essere conservati per diversi anni dopo la chiusura del contratto. Il dettaglio completo dei nostri periodi di conservazione, finalità per finalità, è disponibile nella nostra informativa sulla conservazione dei dati.
No. Lendovia non vende né cede in locazione i tuoi dati personali a terzi, qualunque sia la finalità invocata. Vengono condivisi esclusivamente con i nostri subincaricati tecnici che agiscono rigorosamente secondo le nostre istruzioni per l'esecuzione di un compito determinato, e, quando la legge lo richiede, con le autorità pubbliche competenti come descritto nella presente informativa.
Puoi esercitare i tuoi diritti di accesso, rettifica, cancellazione, limitazione di trattamento, portabilità e opposizione scrivendo al nostro responsabile della protezione dei dati tramite la tua area riservata cliente, sezione "I miei dati e la mia riservatezza". Potrebbe esserti richiesto un documento d'identità per verificare la tua identità prima del trattamento della tua richiesta, e ci impegniamo a risponderti entro il termine legale di un mese.
Se la tua richiesta di finanziamento non viene accolta, i dati già raccolti vengono conservati per il tempo strettamente necessario alla gestione di tale decisione e ai nostri obblighi legali, prima di essere cancellati o resi anonimi. Questo periodo ci consente in particolare di rispondere a un'eventuale contestazione da parte tua o di giustificare la nostra decisione dinanzi alle autorità di controllo. Conservi l'insieme dei tuoi diritti GDPR su questi dati per tutta la durata della loro conservazione, incluso il diritto di chiederne la cancellazione anticipata qualora nessun obbligo legale vi si opponga.