Privacy Policy
Informativa sul trattamento dei dati personali resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 («Codice Privacy»), agli utenti del servizio di posta elettronica via web WebMail raggiungibile all'indirizzo https://webmail.tamone.net (il «Servizio»).
1. Titolare del trattamento
Il Titolare del trattamento è TAMONE SRL, con sede in Via Bocchetto 6, MILANO (MI) - 20123, P.IVA/C.F. 14619300966.
Contatti: email info@tamone.net, PEC tamonesrl@pec.it.
Il Titolare ha nominato un Responsabile della Protezione dei Dati (DPO), contattabile all'indirizzo: a.tamone@tamone.net.
2. Natura del Servizio
Il Servizio è un'interfaccia web che consente agli utenti titolari di una casella di posta elettronica su un dominio abilitato di consultare, inviare e organizzare i propri messaggi. Non è prevista una registrazione autonoma: l'accesso avviene esclusivamente con le credenziali della casella di posta, verificate in tempo reale presso il server di posta del dominio. Tutte le comunicazioni con i server di posta (IMAP e SMTP) avvengono lato server.
3. Categorie di dati trattati
- Dati di autenticazione: indirizzo email e password della casella. La password è conservata esclusivamente in forma cifrata (AES-256-GCM) ed è utilizzata unicamente per collegarsi al server di posta per conto dell'utente.
- Dati anagrafici: nome e cognome forniti al primo accesso, eventuale immagine del profilo (avatar).
- Contenuti della posta: intestazioni, oggetto, corpo dei messaggi e allegati, sincronizzati dal server di posta e conservati in forma cifrata su uno spazio di archiviazione dedicato (object storage compatibile S3) al solo fine di rendere disponibile il Servizio.
- Dati di sicurezza: indirizzo IP, data e ora degli accessi e dei tentativi di accesso falliti, user agent del browser, configurazione dell'autenticazione a due fattori (segreto TOTP cifrato o indirizzo email secondario per la ricezione dei codici).
- Calendario e preferenze: eventi, promemoria, calendari e impostazioni inseriti dall'utente.
- Notifiche: indirizzo email alternativo per avvisi e promemoria e, se l'utente collega il bot, l'identificativo della chat Telegram.
- Dispositivi ricordati: se l'utente sceglie "Ricorda questo dispositivo", un identificativo cifrato, il tipo di browser e l'indirizzo IP dell'ultimo utilizzo.
- Dati tecnici e statistici di navigazione: pagine visitate del Servizio, data e ora, indirizzo IP (anonimizzato salvo diversa configurazione), browser, sistema operativo, tipo di dispositivo, risoluzione dello schermo, lingua, fuso orario e sito di provenienza, raccolti senza cookie per finalità statistiche interne e di sicurezza. Non vengono mai raccolti dati relativi ai contenuti delle email.
4. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Erogazione del Servizio di webmail: autenticazione, sincronizzazione, consultazione e invio dei messaggi | Esecuzione di un contratto o di misure precontrattuali (art. 6.1.b GDPR) |
| Sicurezza del Servizio: prevenzione di accessi abusivi, protezione da attacchi di forza bruta, verifica anti-bot, autenticazione a due fattori | Legittimo interesse del Titolare alla sicurezza dei sistemi (art. 6.1.f GDPR e Considerando 49) |
| Funzioni richieste dall'utente: calendario, promemoria, avvisi di accesso via email o Telegram, accesso ricordato sul dispositivo | Esecuzione del contratto (art. 6.1.b GDPR) |
| Statistiche interne di utilizzo del Servizio (senza profilazione) e protezione da attacchi tramite firewall applicativo | Legittimo interesse al miglioramento e alla sicurezza del Servizio (art. 6.1.f GDPR) |
| Backup della configurazione per garantire la continuità del Servizio | Legittimo interesse e obbligo di sicurezza (artt. 6.1.f e 32 GDPR) |
| Adempimento di obblighi di legge e riscontro a richieste delle Autorità | Obbligo legale (art. 6.1.c GDPR) |
| Accertamento, esercizio o difesa di un diritto in sede giudiziaria | Legittimo interesse (art. 6.1.f GDPR) |
Il conferimento dei dati di autenticazione e di nome e cognome è necessario per l'utilizzo del Servizio; il mancato conferimento comporta l'impossibilità di accedervi. Il caricamento dell'avatar è facoltativo.
5. Modalità del trattamento e misure di sicurezza
I dati sono trattati con strumenti elettronici, adottando misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui: cifratura delle password e dei contenuti (AES-256-GCM), cifratura dei metadati dei messaggi nel database, connessioni cifrate (TLS), sistemi anti brute force con blocco degli indirizzi IP, verifica anti-bot, autenticazione a due fattori opzionale, registrazione degli eventi di sicurezza e accesso amministrativo limitato al personale autorizzato.
6. Periodo di conservazione
- Contenuti e oggetti dei messaggi: conservati in forma cifrata per un massimo di 365 giorni dalla data del messaggio; trascorso tale termine vengono eliminati dall'archivio del Servizio (restano disponibili sul server di posta del dominio).
- Allegati: conservati per un massimo di 30 giorni.
- Messaggi meno recenti consultati su richiesta: scaricati dal server di posta e conservati per 30 giorni.
- Dati dell'account (anagrafica, credenziali cifrate, preferenze): fino alla cancellazione dell'account da parte dell'utente o dell'amministratore, o alla disattivazione della casella.
- Log di sicurezza e tentativi di accesso: fino a 90 giorni, salvo necessità di accertamento di illeciti; registro del firewall applicativo: 30 giorni.
- Statistiche di navigazione: 365 giorni.
- Dispositivi ricordati: fino a 30 giorni dall'ultimo accesso o fino alla revoca dal profilo.
- Calendario: fino alla cancellazione da parte dell'utente o dell'account.
- Backup della configurazione (che non contengono dati delle email): secondo la rotazione impostata dal Titolare, conservati cifrati su uno spazio di archiviazione separato.
7. Destinatari dei dati
I dati possono essere trattati da soggetti che agiscono per conto del Titolare in qualità di Responsabili del trattamento ai sensi dell'art. 28 GDPR, quali il fornitore dei servizi di hosting (Hetzner (DE)), il fornitore del servizio di object storage, il fornitore dello spazio di archiviazione dei backup, il fornitore del servizio di invio delle email di sistema e i gestori dei server di posta dei domini abilitati. Se l'utente collega il bot, gli avvisi vengono inviati tramite Telegram (Telegram Messenger Inc.), che tratta i messaggi secondo la propria informativa. I dati non sono diffusi né ceduti a terzi per finalità commerciali.
8. Trasferimenti extra UE
Il Titolare privilegia fornitori che trattano i dati all'interno dello Spazio Economico Europeo. Qualora un fornitore effettui trattamenti al di fuori dello SEE, il trasferimento avverrà solo in presenza di una decisione di adeguatezza della Commissione europea (es. EU-U.S. Data Privacy Framework) o di garanzie adeguate ai sensi degli artt. 44 e ss. GDPR (Clausole Contrattuali Standard).
9. Diritti dell'interessato
L'utente può esercitare in qualsiasi momento i diritti di cui agli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione al trattamento basato sul legittimo interesse. Dall'area Profilo del Servizio l'utente può in autonomia scaricare una copia dei propri dati in formato strutturato e cancellare il proprio account con tutti i dati locali. Le richieste possono inoltre essere inviate a info@tamone.net.
L'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma – www.garanteprivacy.it) o all'autorità di controllo dello Stato membro di residenza.
10. Processi decisionali automatizzati
Il Servizio non adotta processi decisionali automatizzati che producano effetti giuridici sull'utente. Il blocco temporaneo di un indirizzo IP dopo ripetuti tentativi di accesso falliti è una misura di sicurezza revocabile su richiesta.
11. Modifiche
La presente informativa può essere aggiornata. La versione vigente è sempre pubblicata su questa pagina.
Ultimo aggiornamento: 14/10/2026