个人数据处理告知书

In ossequio al principio di trasparenza sancito dall'art. 12 del Regolamento (UE) 2016/679 (di seguito 'GDPR'), si rende noto che il Titolare del Trattamento è McFrancis, persona giuridica di diritto italiano con sede legale in Via Sandro Botticelli 58, Torino, C.F./P.IVA 12272120010. Ogni istanza inerente la protezione dei dati potrà essere indirizzata con formalità certa all'indirizzo PEC steven.di.francesca@pec.net o alla casella dedicata steven@mcfrancis.com.

个人数据的处理遵循合法、公正和透明的原则（GDPR 第 5 条），并基于以下法律依据（GDPR 第 6 条）：

• 履行合同（第 6.1.b 条）： 数据处理是建立和履行房地产中介关系、预约管理以及履行合同前义务的必要条件。
• 履行法律义务（第 6.1.c 条）： 数据处理是由强制性规范要求的，包括反洗钱法规（第 231/2007 号法令）以及税务和会计义务。
• 合法利益（第 6.1.f 条）： 用于保护公司资产、预防欺诈以及行使司法辩护权。
• 同意（第 6.1.a 条）： 仅用于直接营销活动和非必要的画像分析，前提是获得自由、具体、知情且明确的同意，且该同意可随时撤销。

数据控制者在数据最小化原则（GDPR 第 5.1.c 条）的范围内获取并处理以下信息：

• 普通数据： 身份信息、电话及电子联系方式，用于识别合同方身份。
• 经济与财产数据： 评估不动产能力或需求所必需的信息。
• 浏览数据： 通过互联网通信协议自动获取的 IP 地址、URI 及技术参数（详见 Cookie 政策）。

数据处理通过信息技术和远程工具进行，以确保安全（GDPR 第 32 条）和机密性。数据将在实现目的所需的严格必要时间内保存（存储限制原则），具体如下：

• 在合同关系存续期间，以及随后根据民事和税务目的的十年普通诉讼时效期（《民法典》第 2946 条）。
• 用于营销目的的期限为 24 个月，除非重新获得同意。

数据不会被公开传播。数据可能会被披露给第三方，在必要时，这些第三方将根据 GDPR 第 28 条被任命为数据处理者（例如 IT 服务提供商、法律和税务顾问），或在履行其合法职能时披露给公共机构。

数据主体可随时向数据控制者提交正式申请，以行使 GDPR 第 15-22 条规定的各项权利（访问权、更正权、删除/被遗忘权、限制处理权、数据可携带权及反对权）。若认为相关处理行为违反了现行法规，数据主体亦有权向个人数据保护监管机构（GDPR 第 77 条）提出投诉。

出于合同目的提供数据是强制性的；若未能提供，将导致无法建立居间代理关系。出于营销目的提供数据是自愿的，拒绝同意不会影响您使用主要服务。

个人数据存储在位于欧盟境内的服务器上。如果出于技术和运营需要，必须使用位于欧洲经济区 (EEA) 以外的实体，则传输将根据 GDPR 第五章的规定进行，并预先签署标准合同条款 (SCC) 或核实欧盟委员会的充分性认定。

所有者保留随时修改本通知的权利，并通过在此页面上发布通知的方式告知用户。因此，请定期查阅本页面，并参考页面底部注明的最后修改日期。

数据处理遵循“零知识”安全模型（Zero-Knowledge Architecture）。通过公共界面（SAMI）收集的个人数据，在传输和存储至受保护的管理系统（Janus II）时，均仅以加密格式进行。该流程包括：

• 数据摄取：通过安全的 HTTPS 渠道进行采集。
• 加密：在持久化存储到数据库之前，通过混合协议（针对有效负载的 AES-256 + 针对密钥的 RSA-4096）进行即时加密。
• 隔离：托管服务器仅作为不可读数据（“加密二进制大对象”）的存储库。从技术上讲，只有持有存储在公司设备本地的特定私钥的授权人员才能进行解密。

如果个人数据并非直接从数据主体处获取，控制者应在合理期限内，且最迟不得超过一个月（或在首次取得联系时），向数据主体告知以下信息：数据来源的渠道、所处理的数据类别、目的和法律依据、接收方以及 GDPR 赋予的权利。

数据控制者采取符合 GDPR 第 33-34 条要求的事件管理程序。在发生个人数据泄露的情况下，若该泄露对自然人的权利和自由构成风险，我们将在 72 小时内向监管机构发出通知；若风险较高，则会 通知相关数据主体。该流程包括：遏制、取证分析、影响评估、纠正措施以及在事件登记簿中记录该事件。

Per questioni inerenti la protezione dei dati personali, l'interessato può contattare il Titolare all'indirizzo steven@mcfrancis.com o la casella PEC steven.di.francesca@pec.net. Qualora sia nominato un Data Protection Officer (DPO), la relativa casella di contatto è pubblicata su questa pagina. È disponibile un canale dedicato per la segnalazione di vulnerabilità o incidenti di sicurezza.