Versione 2 · 2 ottobre 2026
Informativa sulla privacy
La presente informativa riguarda i dati personali che trattiamo tramite questo sito web: in pratica, il modulo di richiesta e i log del server che lo supportano. È scritta per essere letta una volta sola, quindi dice ciò che facciamo, non ciò che la legge consente. Se qualcosa non è chiaro, ce lo chieda e le risponderemo con la stessa semplicità.
Chi è il titolare del trattamento
Il titolare del trattamento è TPC Aviation L.L.C-FZ, società di free zone registrata a Dubai, Emirati Arabi Uniti, con sede in Meydan Grandstand, 6° piano, Meydan Road, Nad Al Sheba, Dubai, Emirati Arabi Uniti.
Per qualsiasi aspetto della presente informativa — una domanda, una rettifica, una cancellazione — scriva a info@tpcaptain.com indicando «all’attenzione della protezione dei dati». Il messaggio arriva alle persone che rispondono alle richieste, che in una società di queste dimensioni sono anche quelle che detengono i dati.
Non abbiamo nominato un responsabile della protezione dei dati (RPD/DPO), né siamo tenuti a farlo: ai sensi dell’articolo 10 della legge degli Emirati Arabi Uniti sulla protezione dei dati personali (Decreto-legge federale n. 45/2021), l’obbligo si applica ai trattamenti ad alto rischio, alla valutazione sistematica di dati sensibili e ai trattamenti di grandi volumi di tali dati. Un modulo di richiesta commerciale non rientra in nessuno di questi casi. L’assenza di un RPD non riduce in alcun modo i diritti descritti di seguito.
TPC Aviation L.L.C-FZ non ha alcuno stabilimento nell’Unione europea. Laddove la presente informativa si applica a persone che si trovano nell’UE, ciò avviene ai sensi dell’articolo 3, paragrafo 2, del GDPR e, finché non sarà designato un rappresentante ai sensi dell’articolo 27, ogni richiesta ci raggiunge direttamente all’indirizzo sopra indicato e riceve risposta entro un mese.
Cosa raccogliamo, perché e su quale base
Solo ciò che il modulo richiede, più ciò che qualsiasi server web registra per restare in funzione. Su questo sito non ci sono pixel di tracciamento né mailing list, e nulla viene acquistato da o venduto a nessuno.
Due campi sono obbligatori — nome ed e-mail aziendale — perché senza di essi non possiamo risponderle. Tutto il resto è facoltativo: lasciare un campo vuoto le costa una risposta più lenta o più vaga, e nient’altro. Quando ci basiamo sul legittimo interesse, l’interesse è specifico e circoscritto: rispondere a una richiesta commerciale che lei ci ha inviato e mantenere funzionante il canale che la trasmette.
La preghiamo di non inserire categorie particolari di dati nel campo di testo libero — salute, opinioni politiche o religiose, appartenenza sindacale, qualsiasi informazione relativa a questioni penali. Non ci servono per collocare o ispezionare un aeromobile, e un campo di testo libero non è il posto adatto. Se arrivano comunque, cancelliamo quella parte e glielo comunichiamo.
| Cosa ci fornisce | Per cosa lo usiamo | Base giuridica | Per quanto tempo lo conserviamo |
|---|---|---|---|
| Nome, ruolo e società | Sapere con chi stiamo parlando e rispondere come persone, non come un ticket. | Misure precontrattuali adottate su sua richiesta (art. 6, par. 1, lett. b), GDPR) e nostro legittimo interesse a rispondere a una richiesta commerciale (art. 6, par. 1, lett. f)). | 24 mesi dall’ultimo contatto, se la richiesta non ha seguito. |
| E-mail aziendale e, se lo fornisce, numero di telefono | Risponderle attraverso il canale che ha scelto. | Art. 6, par. 1, lett. b) e art. 6, par. 1, lett. f), come sopra. | 24 mesi dall’ultimo contatto. |
| La richiesta in sé: operazione, tipo di aeromobile, configurazione, durata, mercato di operazione e data in cui le serve | Capire cosa possiamo collocare a fronte della richiesta, quanto costerebbe e quanto tempo richiederanno le pratiche in quella giurisdizione. | Misure precontrattuali adottate su sua richiesta (art. 6, par. 1, lett. b)). | 24 mesi se non ha seguito; se ne deriva un’operazione, per tutta la durata dell’operazione più il periodo richiesto dalle norme contabili e fiscali applicabili. |
| Qualsiasi altra cosa scriva nel campo di testo libero | La finalità che ci indica. | Art. 6, par. 1, lett. b) e art. 6, par. 1, lett. f). | Lo stesso periodo della richiesta a cui appartiene. |
| Indirizzo IP, browser e ora della richiesta, nel log del server | Mantenere il sito attivo e impedire l’abuso automatizzato del modulo. Il firewall del nostro fornitore di hosting conta le richieste per indirizzo IP per limitare gli invii ripetuti e segnalare il traffico automatizzato; non la identifica. | Legittimo interesse alla sicurezza del servizio (art. 6, par. 1, lett. f)). | Il breve periodo per cui il nostro fornitore di hosting conserva i propri log. Non li copiamo altrove e non li usiamo per costruire un suo profilo. |
| Un campo nascosto e una marca temporale firmata che accompagnano il modulo | Distinguere una persona da un bot senza costringerla a risolvere un rompicapo. | Legittimo interesse a prevenire gli abusi (art. 6, par. 1, lett. f)). | Eliminati nel momento in cui l’invio viene accettato o respinto. |
| La scelta sui cookie che effettua — solo se un giorno verranno introdotte misurazione o pubblicità. Oggi non c’è nulla da scegliere e non viene registrato nulla | Fare ciò che ha chiesto, non tornare a chiederglielo per un certo periodo e poter dimostrare che la richiesta è partita da lei. | Obbligo legale di poter dimostrare il consenso (art. 7, par. 1); i cookie stessi si baserebbero sul suo consenso (art. 6, par. 1, lett. a)). | 12 mesi, poi glielo chiederemmo di nuovo. |
| Un identificatore di clic pubblicitario (gclid, wbraid) — oggi non raccolto; solo se un giorno verrà introdotta la misurazione pubblicitaria e lei la accetterà | Sapere quale annuncio ha generato una richiesta reale, così da smettere di pagare per quelli che non ne generano. | Consenso (art. 6, par. 1, lett. a)). Senza consenso, nessun identificatore. | Insieme alla richiesta a cui appartiene. |
Chi altro li vede
Ciascun destinatario è indicato per nome nella tabella seguente. Nessun altro riceve i suoi dati: né un data broker, né un partner, né un altro cliente. Se questo dovesse mai cambiare, cambierà prima questa tabella.
C’è una distinzione che conta più di quanto sembri, ed è il punto in cui la maggior parte delle informative sulla privacy bara in silenzio. Un responsabile del trattamento agisce solo su nostre istruzioni e ne rispondiamo noi. Un titolare autonomo decide le proprie finalità e ne risponde in prima persona: non possiamo dargli istruzioni e non facciamo rientrare il nostro utilizzo nei suoi contratti. Google appartiene alla seconda categoria, e così Meta. Dire il contrario renderebbe questa informativa più facile da scrivere, e sbagliata.
| Chi | Ruolo | Dove | Cosa lo disciplina |
|---|---|---|---|
| Vercel Inc. | Responsabile del trattamento per i dati che ci invia: ospita il sito e tratta i log delle richieste su nostre istruzioni. È però anche titolare autonomo per i dati generati dal proprio servizio e per i propri dati di account e di contatto: questa parte non si può regolare per contratto, quindi la dichiariamo, invece di fingere che qui sia tutto sotto la nostra direzione. | Stati Uniti, con erogazione da regioni in tutto il mondo. | L’accordo sul trattamento dei dati di Vercel (art. 28 GDPR) e le clausole contrattuali tipo dell’UE che esso incorpora per i trasferimenti successivi. |
| Formspark | Responsabile del trattamento: il servizio di moduli che riceve la sua richiesta dal nostro server e la consegna alla nostra casella di posta, secondo le nostre istruzioni. È una società belga. | Unione europea: gli invii sono conservati presso Amazon Web Services in Irlanda e presso Hetzner in Germania. | Le condizioni sul trattamento dei dati ai sensi dell’articolo 28 del GDPR incluse nei termini di servizio di Formspark. Lo utilizziamo senza il suo filtro antispam opzionale di terzi, così il contenuto della sua richiesta non passa a un ulteriore fornitore fuori dall’UE, e applichiamo alle copie che conserva gli stessi tempi di conservazione della nostra casella di posta. |
| Microsoft | Responsabile del trattamento: la casella di posta che riceve la sua richiesta e i file che conserviamo, se ne nasce un’operazione, risiedono su Microsoft 365. | Le regioni dei data center Microsoft configurate per il nostro tenant. | Le clausole ai sensi dell’articolo 28 dell’accordo sulla protezione dei dati di Microsoft, con le clausole contrattuali tipo dell’UE. |
| Oggi non è un destinatario: questo sito non utilizza alcuna misurazione né pubblicità di Google. Se un giorno lo farà, Google agirà come titolare autonomo, non come nostro responsabile del trattamento: per la pubblicità e la misurazione che gestisce stabilisce le proprie finalità e ne risponde in base alle proprie informative. La base giuridica con cui le chiederemmo di quei cookie sarebbe nostra — il suo consenso — e non ci faremmo scudo dei termini di Google. | In tutto il mondo. | Servirebbe il suo consenso perché qualsiasi cosa venga attivata, più i meccanismi di trasferimento che Google pubblica per sé, tra cui le clausole contrattuali tipo dell’UE e, ove applicabile, il Data Privacy Framework UE–USA. | |
| Meta | Titolare autonomo. Se ci scrive su WhatsApp, la conversazione avviene sull’infrastruttura di Meta secondo i termini di Meta, e il suo numero di telefono diventa visibile a noi. Nessun elemento di Meta è incorporato in questo sito: il pulsante è un normale link, quindi aprire questa pagina non invia nulla a Meta. | In tutto il mondo. | Le informative di Meta, che le si applicano in quanto utente di Meta. Se preferisce che Meta non sia coinvolta, usi l’e-mail o il modulo. |
| Una società di consulenza incaricata | Responsabile del trattamento: una società di consulenza esterna sviluppa e gestisce parti di questo sito e contribuisce a gestire le richieste in arrivo, esclusivamente su nostre istruzioni. | Unione europea. | Clausole scritte ai sensi dell’articolo 28, con obbligo di riservatezza e divieto di utilizzare i suoi dati per scopi propri. |
Inviare il modulo non è un trasferimento internazionale. I cookie lo sarebbero.
Le due cose vengono confuse di continuo, eppure sono davvero diverse.
Quando compila il modulo, consegna i suoi dati direttamente a noi, titolare del trattamento negli Emirati Arabi Uniti. Non c’è alcun esportatore nello Spazio economico europeo e quindi nessun trasferimento ai sensi del capo V del GDPR: è l’esempio 1 delle Linee guida 05/2021 del Comitato europeo per la protezione dei dati. Ciò che si applica a noi è invece l’articolo 3, paragrafo 2: il GDPR disciplina ciò che facciamo poi con i suoi dati, e la presente informativa fa parte del modo in cui lo rispettiamo. L’assenza di un meccanismo di trasferimento, qui, non è quindi una lacuna: è la risposta corretta.
I cookie sarebbero l’altro caso. Oggi questo sito non ne imposta nessuno, quindi nulla della sua visita va a Google né ad altri. Se un giorno verranno introdotti cookie di misurazione o pubblicitari e lei vi acconsentirà, i dati sulla sua visita andrebbero a Google come titolare autonomo e lascerebbero il suo paese. Quello sarebbe un trasferimento internazionale, basato sui meccanismi che Google pubblica — le clausole contrattuali tipo dell’UE e, ove applicabile, il Data Privacy Framework UE–USA. Per questo la scelta sui cookie sarebbe una decisione separata dall’invio del modulo: rifiutare i cookie non avrebbe alcun effetto sulla sua richiesta né sulla risposta che riceve.
Nella direzione opposta, quando trasferiamo dati personali fuori dagli Emirati Arabi Uniti, si applicano gli articoli 22 e 23 della legge emiratina sulla protezione dei dati personali: una destinazione adeguata, oppure un contratto che imponga le tutele previste da tale legge, oppure il suo consenso esplicito, oppure la necessità di un contratto di cui lei è parte.
Il consenso: dove si applicherebbe e come funzionerebbe
Oggi nulla su questo sito si basa sul consenso. Non ci sono cookie di misurazione né pubblicitari, e il modulo non le chiede di accettare nulla oltre all’invio della sua richiesta. Risponderle non si basa mai sul consenso — ci ha scritto lei, e a questo provvede l’articolo 6, paragrafo 1, lettera b) — e non utilizziamo la sua richiesta per contatti commerciali oltre alla risposta.
Se un giorno verranno introdotti cookie di misurazione o pubblicitari, funzioneranno solo con il suo consenso, richiesto in un banner prima di memorizzare qualsiasi cosa. L’articolo 7, paragrafo 1, ci chiede di poter dimostrare quel consenso, non solo di ottenerlo. A quel punto registreremmo separatamente, per ciascuna finalità, la sua scelta, la data e l’ora, la versione dell’informativa sui cookie in vigore e un identificativo tecnico di quel record — senza il suo nome. Il record sarebbe conservato per 12 mesi, dopodiché le verrebbe chiesto di nuovo, e sarebbe conservato anche dopo una revoca, perché la revoca è proprio ciò che potremmo dover dimostrare di aver rispettato.
Revocarlo richiederebbe lo stesso clic che darlo, da un link alle impostazioni dei cookie che allora comparirebbe nel piè di pagina di ogni pagina. Rifiutare sarebbe facile quanto accettare, già nella prima schermata, senza nulla di preselezionato e senza alcun muro davanti ai contenuti. Niente di tutto questo è oggi sul sito, perché non c’è ancora nulla a cui acconsentire; l’informativa sui cookie cambierà prima che ci sia.
La revoca del consenso interrompe il trattamento da quel momento. Non rende illecito quanto avvenuto prima e non può raggiungere i dati già trasmessi a un titolare autonomo sotto la sua responsabilità: per quella parte valgono gli strumenti di quel titolare, e le indicheremo dove trovarli.
CookieI suoi diritti e cosa serve per esercitarli
Può esercitare ciascuno di questi diritti scrivendo a info@tpcaptain.com. Rispondiamo entro un mese. Potremmo chiederle di confermare l’indirizzo e-mail da cui è partita la richiesta: è l’unica verifica d’identità necessaria per una richiesta commerciale, e non le chiederemo un passaporto per chiudere un modulo di contatto.
Non è previsto alcun costo, e l’esercizio di un diritto non ha alcun effetto su un’operazione in corso.
- Accesso: una copia di ciò che conserviamo su di lei e della sua provenienza.
- Rettifica: tutto ciò che è errato viene corretto, anche nella conversazione e-mail.
- Cancellazione: veda il paragrafo seguente, perché è quello che interessa davvero.
- Limitazione: conserviamo i dati ma smettiamo di usarli finché una questione è contestata.
- Opposizione: a qualsiasi trattamento basato sul legittimo interesse, in qualsiasi momento.
- Portabilità: i dati che ci ha fornito, in un file strutturato e leggibile da dispositivo automatico.
- Revoca del consenso: in qualsiasi momento, senza bisogno di motivarla.
- Reclamo a un’autorità di controllo, senza dover passare prima da noi.
Se si trova nell’Unione europea o nello Spazio economico europeo, può presentare reclamo all’autorità di protezione dei dati dello Stato membro in cui risiede o lavora, o di quello in cui ritiene sia avvenuta la violazione. Il Comitato europeo per la protezione dei dati pubblica l’elenco di queste autorità: autorità nazionali di protezione dei dati (EDPB)
Come ottenere la cancellazione, nel concreto
Scriva a info@tpcaptain.com indicando la parola «cancellazione» e l’indirizzo e-mail che ha utilizzato. Cancelliamo la richiesta e i relativi allegati dalla casella di posta, dai registri del servizio di moduli e dal fascicolo dell’operazione, e le confermiamo per iscritto cosa è stato cancellato e quando.
Due cose restano, ed è giusto che lei le conosca entrambe. Conserviamo una traccia minima del fatto che è stata presentata una richiesta di cancellazione e di quando — senza i dati stessi — perché è con quella traccia che dimostriamo di averla rispettata. E se un’operazione è andata a buon fine, le norme contabili e fiscali ci impongono di conservare i documenti contrattuali per il periodo da esse previsto; li limitiamo a quella finalità anziché cancellarli, e le indichiamo quali sono.
I log del server non sono consultabili per nome, quindi non vengono cancellati su richiesta; scadono da soli, entro il breve periodo indicato nella tabella precedente.
Nessuna decisione automatizzata che la riguardi
Nulla su questo sito prende decisioni su di lei in modo automatizzato, e non effettuiamo profilazione. Una richiesta viene letta da una persona, e la risposta la scrive una persona. Non ci sono punteggi, classifiche né rifiuti automatici.
Se acconsente ai cookie pubblicitari, Google può profilarla per le proprie finalità in qualità di titolare autonomo. Si tratta di un trattamento di Google, soggetto alle sue informative e ai suoi strumenti di controllo, e non incide in alcun modo sulla gestione della sua richiesta.
Minori
Questo sito e i servizi che descrive sono rivolti alle imprese: compagnie aeree, operatori, società di leasing, trader e le persone che lavorano per loro. Non sono rivolti a minori di 18 anni, e non raccogliamo consapevolmente i loro dati personali.
Se veniamo a sapere che una richiesta o qualsiasi altro dato proviene da un minore di 18 anni, lo cancelliamo e non vi diamo seguito.
Sicurezza, e cosa succede se viene meno
Il sito è servito esclusivamente tramite HTTPS. L’accesso alle richieste è limitato alle persone che vi rispondono, con account nel nostro tenant Microsoft 365 protetti da autenticazione a più fattori. Non conserviamo copie delle richieste sul portatile di nessuno.
In caso di violazione che metta a rischio i suoi dati, la notifichiamo all’autorità di controllo competente entro 72 ore ai sensi dell’articolo 33 del GDPR e immediatamente all’UAE Data Office ai sensi dell’articolo 9 della legge sulla protezione dei dati personali, e la informiamo direttamente quando il rischio per lei è elevato.
Emirati Arabi Uniti: la PDPL
Siamo stabiliti negli Emirati Arabi Uniti, quindi ci si applica, accanto al GDPR, il Decreto-legge federale n. 45/2021 sulla protezione dei dati personali. Siamo una società di free zone registrata a Dubai e non siamo stabiliti in nessuna delle free zone finanziarie (DIFC o ADGM), che hanno proprie leggi sulla protezione dei dati; riteniamo quindi che a noi si applichi il regime federale.
L’articolo 13 di tale legge ci chiede di informarla, prima dell’inizio del trattamento, sulle finalità, sui soggetti con cui i dati saranno condivisi all’interno e all’esterno degli Emirati e su come vengono protetti quando attraversano un confine. È a questo che servono le tabelle precedenti. L’articolo 4 si basa sul consenso più di quanto faccia il GDPR; quando ci basiamo sulla necessità di un contratto o di misure precontrattuali, lo indichiamo nella tabella, e quando ci basiamo sul consenso, le sarà stato chiesto.
Gli articoli da 13 a 18 le riconoscono i diritti di accesso, portabilità, rettifica, cancellazione, limitazione e opposizione, compresa l’opposizione alle decisioni automatizzate. Sono gli stessi diritti elencati sopra, e si esercitano allo stesso indirizzo. I reclami vanno presentati all’UAE Data Office.
Svizzera
Se si trova in Svizzera, a questo trattamento si applica la legge federale sulla protezione dei dati (LPD) riveduta. L’articolo 19 richiede che le vengano comunicati, al momento della raccolta dei dati, chi è il titolare del trattamento, qual è la finalità e chi sono i destinatari: è la presente informativa, e le tabelle precedenti vi provvedono.
L’autorità di vigilanza è l’Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Se l’articolo 14 ci obblighi a nominare un rappresentante in Svizzera dipende da soglie che stiamo valutando; se sarà nominato, il suo nome e il suo indirizzo compariranno qui prima che in qualsiasi altro luogo.
Se la presente informativa cambia
La versione e la data in alto cambiano di conseguenza, e la versione precedente resta disponibile su richiesta. Una modifica della formulazione non richiede alcun suo intervento.
Una modifica della finalità sì. Se mai volessimo utilizzare i dati che ci ha fornito per qualcosa che esula da quanto descritto nella presente informativa, l’articolo 13, paragrafo 3, ci impone di informarla prima di farlo, indicando la nuova finalità e la relativa base giuridica — e, se la base è il consenso, di chiederglielo.
Condizioni d’uso