Informativa privacy
Servizio di autenticazione federata (IdP)
1. Premessa e ambito
Questa informativa, resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“Regolamento” o “GDPR”), descrive il trattamento dei dati personali degli utenti che si autenticano tramite il servizio di autenticazione federata (Identity Provider, “IdP”) gestito da Cineca – Consorzio Interuniversitario.
Il servizio consente agli utenti dell’ente titolare del trattamento (Cineca – Consorzio Interuniversitario) di accedere, con un’unica identità digitale, ai servizi online dell’ente e ai servizi di terzi aderenti alle federazioni di identità IDEM ed eduGAIN. Il servizio consente, ove attivato, l’accesso tramite identità digitali esterne (SPID, CIE, eIDAS, IDP di terze parti) e l’autenticazione a due fattori.
L’informativa riguarda le pagine e i sistemi raggiungibili all’indirizzo https://idp-is.cineca.it/idp. Non riguarda i servizi ai quali l’utente accede dopo l’autenticazione: per questi valgono le informative dei rispettivi gestori.
2. Titolare del trattamento e DPO
Titolare del trattamento è Cineca – Consorzio Interuniversitario, con sede in Via Magnanelli 6/3, 40033 Casalecchio di Reno (BO), nella persona del legale rappresentante pro tempore. Contatti: privacy@cineca.it, PEC: cineca@pec.cineca.it.
Il Responsabile della protezione dei dati (DPO) di Cineca – Consorzio Interuniversitario è raggiungibile all’indirizzo dpo@cineca.it, dpo@pec.cineca.it.
3. Tipologie di dati trattati
Il servizio tratta solo i dati necessari ad autenticare l’utente e a trasmettere ai servizi richiesti le informazioni indispensabili per l’accesso.
| Categoria | Dati | Origine |
|---|---|---|
| Credenziali | Nome utente e password (verificata sul sistema di gestione delle identità dell’ente e mai conservata in chiaro) | Utente |
| Attributi d’identità | Nome, cognome, indirizzo email, codice fiscale, matricola, ruolo e affiliazione all’ente, identificativi persistenti o pseudonimi | Sistemi anagrafici dell’ente |
| Dati da identità digitali esterne | Attributi ricevuti dal gestore SPID, dalla CIE, dal nodo eIDAS o da un IDP di terze parti (es. nome, cognome, codice fiscale, codice identificativo) | Gestore dell’identità digitale scelto dall’utente |
| Secondo fattore di autenticazione | Dispositivo o applicazione registrati, informazioni tecniche necessarie alla verifica del codice | Utente |
| Dati di autenticazione e log | Indirizzo IP, data e ora, browser e sistema operativo, servizio richiesto, metodo ed esito dell’autenticazione, attributi rilasciati al servizio | Generati dal sistema |
| Cookie e strumenti analoghi | Identificativi di sessione e preferenze tecniche (vedi sezione 8) | Generati dal sistema |
Il servizio non tratta categorie particolari di dati (art. 9 del Regolamento) né dati relativi a condanne penali e reati (art. 10).
4. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Autenticare l’utente e consentirgli l’accesso unificato (Single Sign-On) ai servizi dell’ente, di Cineca e di terzi federati | Esecuzione di un compito di interesse pubblico o connesso all’esercizio di pubblici poteri del Titolare (art. 6, par. 1, lett. e) e/o esecuzione del rapporto con l’utente (art. 6, par. 1, lett. b) |
| Trasmettere ai servizi richiesti gli attributi necessari all’accesso | Come sopra |
| Consentire l’accesso con SPID, CIE o eIDAS | Come sopra e normativa sull’identità digitale (art. 64 del D.Lgs. 82/2005) |
| Garantire la sicurezza del servizio: prevenzione di accessi abusivi, rilevazione e gestione di incidenti, verifica degli accessi | Obbligo di legge in materia di sicurezza (art. 6, par. 1, lett. c e art. 32 del Regolamento) e interesse pubblico del Titolare |
| Produrre statistiche aggregate sull’uso del servizio, anche per la federazione IDEM | Interesse pubblico del Titolare; i dati sono pseudonimizzati o aggregati |
I dati non sono utilizzati per finalità di profilazione, marketing o comunicazione commerciale. Il servizio non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sull’utente (art. 22 del Regolamento).
5. Natura del conferimento e modalità del trattamento
Il conferimento delle credenziali è necessario per accedere ai servizi protetti. Senza di esso l’autenticazione non può avvenire e l’utente non può accedere ai servizi che la richiedono.
I dati sono trattati con strumenti informatici, da personale autorizzato e istruito, secondo i principi di liceità, minimizzazione e limitazione della conservazione. Cineca applica misure tecniche e organizzative adeguate ai sensi dell’art. 32 del Regolamento, tra cui cifratura delle comunicazioni, controllo degli accessi ai sistemi e registrazione delle operazioni.
Ai servizi richiesti vengono rilasciati solo gli attributi necessari, secondo regole definite dal Titolare per ciascun servizio.
Il servizio è ospitato su infrastruttura cloud di Amazon Web Services in data center situati nell’Unione europea.
6. Destinatari e trasferimenti extra-UE
I dati sono trattati dal personale autorizzato del Titolare. Possono inoltre essere comunicati ai seguenti soggetti.
| Destinatario | Ruolo | Dati |
|---|---|---|
| Servizi (Service Provider) ai quali l’utente chiede di accedere | Titolari autonomi del trattamento per i propri servizi | Solo gli attributi necessari all’accesso |
| Federazione IDEM (gestita dal Consortium GARR) | Titolare autonomo per le statistiche di federazione | Dati di autenticazione pseudonimizzati, per statistiche aggregate |
| Gestori SPID, Ministero dell’Interno (CIE), nodi eIDAS, IDP di terze parti | Titolari autonomi del trattamento | Richiesta di autenticazione e relativo esito |
| Amazon Web Services EMEA SARL | Responsabile del trattamento (hosting dell’infrastruttura) | Tutti i dati trattati dal servizio, in data center UE |
| Cloudflare, Inc. | Responsabile del trattamento (protezione delle risorse web da traffico automatizzato) | Indirizzo IP e dati tecnici della richiesta |
I dati non sono diffusi.
Trasferimenti extra-UE. Se l’utente accede a un servizio della federazione eduGAIN che ha sede fuori dall’Unione europea, gli attributi necessari all’accesso vengono trasmessi a quel servizio. Il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea, ove esistente, oppure delle garanzie e delle deroghe previste dagli artt. 46 e 49 del Regolamento. Per Cloudflare il trasferimento è coperto dall’EU-US Data Privacy Framework e dalle clausole contrattuali tipo approvate dalla Commissione europea.
7. Conservazione dei dati
I dati sono conservati per il tempo strettamente necessario alle finalità indicate, secondo questi termini.
| Dati | Durata |
|---|---|
| Dati di sessione | Fino alla chiusura del browser o al logout; la sessione di Single Sign-On scade comunque dopo 10 ore di inattività |
| Log di autenticazione e audit log | 24 mesi dalla registrazione, salvo necessità di conservazione ulteriore per accertare illeciti o gestire incidenti di sicurezza |
| Dati pseudonimizzati per statistiche | Le statistiche aggregate possono essere conservate senza limiti, perché non riconducibili all’utente |
| Dati del secondo fattore di autenticazione | Fino alla revoca del dispositivo da parte dell’utente o alla cessazione dell’account |
| Attributi d’identità | Restano nei sistemi anagrafici dell’ente secondo le regole del Titolare; l’IdP non ne conserva copie oltre la sessione |
Al termine dei periodi indicati i dati sono cancellati o resi anonimi.
8. Diritti dell’interessato, cookie e aggiornamenti
L’utente può esercitare in qualsiasi momento i diritti previsti dagli artt. 15–22 del Regolamento: accesso ai dati, rettifica, cancellazione, limitazione del trattamento, opposizione e, ove applicabile, portabilità.
Le richieste vanno rivolte al Titolare (Cineca – Consorzio Interuniversitario, privacy@cineca.it, PEC: cineca@pec.cineca.it) o al suo DPO (dpo@cineca.it, dpo@pec.cineca.it). Il Titolare risponde entro un mese, prorogabile di due mesi nei casi di particolare complessità.
L’utente che ritenga il trattamento non conforme al Regolamento può proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o adire l’autorità giudiziaria.
Cookie. Il servizio utilizza esclusivamente cookie e strumenti tecnici necessari all’autenticazione, alla gestione della sessione e alla sicurezza. Non utilizza cookie di profilazione. Il dettaglio è riportato nella cookie policy del servizio.
Aggiornamenti. Questa informativa può essere modificata, ad esempio per cambiamenti normativi o del servizio. La versione in vigore è sempre pubblicata a questo indirizzo.
Privacy notice
Federated authentication service (IdP)
1. Introduction and scope
This notice, provided pursuant to Articles 13 and 14 of Regulation (EU) 2016/679 (the “Regulation” or “GDPR”), describes the processing of personal data of users who authenticate through the federated authentication service (Identity Provider, “IdP”) operated by Cineca – Consorzio Interuniversitario.
The service allows users of the institution acting as data controller (Cineca – Consorzio Interuniversitario) to access, with a single digital identity, the institution’s online services and third-party services belonging to the IDEM and eduGAIN identity federations. Where enabled, the service also allows access through external digital identities (SPID, CIE, eIDAS, third-party IdPs) and two-factor authentication.
This notice covers the pages and systems available at https://idp-is.cineca.it/idp. It does not cover the services the user accesses after authentication, which are governed by the privacy notices of their respective providers.
2. Data controller and DPO
The data controller is Cineca – Consorzio Interuniversitario, with registered office at Via Magnanelli 6/3, 40033 Casalecchio di Reno (BO), represented by its legal representative pro tempore. Contact: privacy@cineca.it, certified email (PEC): cineca@pec.cineca.it.
The Data Protection Officer (DPO) of Cineca – Consorzio Interuniversitario can be contacted at dpo@cineca.it, dpo@pec.cineca.it.
3. Categories of data processed
The service processes only the data needed to authenticate the user and to send the requested services the information strictly necessary for access.
| Category | Data | Source |
|---|---|---|
| Credentials | Username and password (verified against the institution’s identity management system and never stored in clear text) | User |
| Identity attributes | First name, last name, email address, tax code, student number, role and affiliation with the institution, persistent identifiers or pseudonyms | Institution’s registry systems |
| Data from external digital identities | Attributes received from the SPID provider, the CIE, the eIDAS node or a third-party IdP (e.g. first name, last name, tax code, identification code) | Digital identity provider chosen by the user |
| Second authentication factor | Registered device or application, technical information needed to verify the code | User |
| Authentication data and logs | IP address, date and time, browser and operating system, requested service, authentication method and outcome, attributes released to the service | Generated by the system |
| Cookies and similar technologies | Session identifiers and technical preferences (see section 8) | Generated by the system |
The service does not process special categories of data (Article 9 of the Regulation) or data relating to criminal convictions and offences (Article 10).
4. Purposes and legal bases
| Purpose | Legal basis |
|---|---|
| Authenticating the user and providing single sign-on (SSO) access to the services of the institution, of Cineca and of federated third parties | Performance of a task carried out in the public interest or in the exercise of official authority vested in the controller (Art. 6(1)(e)) and/or performance of the relationship with the user (Art. 6(1)(b)) |
| Sending the requested services the attributes needed for access | As above |
| Allowing access with SPID, CIE or eIDAS | As above, and the legislation on digital identity (Art. 64 of Legislative Decree 82/2005) |
| Ensuring the security of the service: preventing unauthorised access, detecting and handling incidents, auditing access | Legal obligation regarding security (Art. 6(1)(c) and Art. 32 of the Regulation) and public interest of the controller |
| Producing aggregate statistics on the use of the service, including for the IDEM federation | Public interest of the controller; data are pseudonymised or aggregated |
The data are not used for profiling, marketing or commercial communication. The service does not take decisions based solely on automated processing that produce legal effects concerning the user (Article 22 of the Regulation).
5. Provision of data and processing methods
Providing credentials is necessary to access protected services. Without them authentication cannot take place and the user cannot access the services that require it.
The data are processed electronically by authorised and trained staff, in accordance with the principles of lawfulness, data minimisation and storage limitation. Cineca applies appropriate technical and organisational measures pursuant to Article 32 of the Regulation, including encryption of communications, access control to systems and logging of operations.
Only the necessary attributes are released to the requested services, according to rules defined by the controller for each service.
The service is hosted on Amazon Web Services cloud infrastructure in data centres located in the European Union.
6. Recipients and transfers outside the EU
The data are processed by authorised staff of the controller. They may also be disclosed to the following parties.
| Recipient | Role | Data |
|---|---|---|
| Services (Service Providers) the user requests access to | Independent controllers for their own services | Only the attributes needed for access |
| IDEM federation (operated by Consortium GARR) | Independent controller for federation statistics | Pseudonymised authentication data, for aggregate statistics |
| SPID providers, Ministry of the Interior (CIE), eIDAS nodes, third-party IdPs | Independent controllers | Authentication request and its outcome |
| Amazon Web Services EMEA SARL | Data processor (infrastructure hosting) | All data processed by the service, in EU data centres |
| Cloudflare, Inc. | Data processor (protection of web resources from automated traffic) | IP address and technical request data |
The data are not disseminated.
Transfers outside the EU. If the user accesses an eduGAIN federation service established outside the European Union, the attributes needed for access are sent to that service. The transfer is based on an adequacy decision of the European Commission, where available, or otherwise on the safeguards and derogations provided for by Articles 46 and 49 of the Regulation. For Cloudflare, the transfer is covered by the EU-US Data Privacy Framework and by the standard contractual clauses adopted by the European Commission.
7. Data retention
The data are kept only as long as strictly necessary for the stated purposes, as follows.
| Data | Retention |
|---|---|
| Session data | Until the browser is closed or the user logs out; the single sign-on session expires in any case after 10 hours of inactivity |
| Authentication logs and audit logs | 24 months from recording, unless further retention is needed to establish offences or handle security incidents |
| Pseudonymised data for statistics | Aggregate statistics may be kept indefinitely, as they cannot be linked to the user |
| Second authentication factor data | Until the user revokes the device or the account is closed |
| Identity attributes | They remain in the institution’s registry systems according to the controller’s rules; the IdP keeps no copies beyond the session |
At the end of these periods the data are deleted or anonymised.
8. Data subject rights, cookies and updates
Users may exercise at any time the rights provided for by Articles 15–22 of the Regulation: access, rectification, erasure, restriction of processing, objection and, where applicable, data portability.
Requests should be addressed to the controller (Cineca – Consorzio Interuniversitario, privacy@cineca.it, PEC: cineca@pec.cineca.it) or to its DPO (dpo@cineca.it, dpo@pec.cineca.it). The controller replies within one month, which may be extended by two months for particularly complex requests.
Users who believe that the processing does not comply with the Regulation may lodge a complaint with the Italian Data Protection Authority, Garante per la protezione dei dati personali (www.garanteprivacy.it), or take legal action.
Cookies. The service uses only technical cookies and similar tools necessary for authentication, session management and security. It does not use profiling cookies. Details are provided in the service cookie policy.
Updates. This notice may be amended, for example following changes in the law or in the service. The version in force is always published at this address.