I tuoi dati, alla lettera

Titolare del trattamento

LEGIUM, titolare Dario Turianelli · admin@legium.it. [SOCIETÀ TITOLARE, PARTITA IVA E SEDE: da compilare alla costituzione della società, W11] A questo indirizzo puoi rivolgere ogni richiesta su questa informativa e sui tuoi diritti.

Quali dati trattiamo, perché, con quale base

• Anagrafica dell'azienda e del referente (ragione sociale, partita IVA, sede, nome ed email del referente e dei colleghi invitati, telefono se lo lasci): per rispondere alla richiesta di prova, attivare e gestire l'account, fatturare. Base: contratto e misure precontrattuali (articolo 6.1.b), obblighi di legge per la fatturazione (articolo 6.1.c).
• Partita IVA verificata sul sistema europeo VIES: al momento della richiesta la confrontiamo con l'archivio europeo delle partite IVA (servizio della Commissione europea) e conserviamo l'esito, la denominazione e l'indirizzo che quell'archivio restituisce, per intestare la prova all'impresa giusta. Base: legittimo interesse a evitare abusi e a contrattare con imprese reali (articolo 6.1.f).
• Account e accessi: password in forma protetta (mai in chiaro), ogni accesso, uscita, tentativo fallito e blocco con data e ora, indirizzo di rete e tipo di dispositivo, le sessioni aperte. Alla scelta della password ne confrontiamo un frammento cifrato con un servizio pubblico di password rubate (solo i primi cinque caratteri dell'impronta, mai la password e mai l'impronta intera): se compare, la rifiutiamo. Base: contratto (articolo 6.1.b) e legittimo interesse alla sicurezza (articolo 6.1.f).
• Gare seguite, dossier consultati, spunte della checklist, documenti scaricati: sono il cuore del servizio; servono a produrre i dossier, tenere la sorveglianza e mostrarti il tuo archivio. Base: contratto (articolo 6.1.b). Restano riservati.
• Note interne dell'assistenza sulla tua azienda (appunti di lavoro della Direzione di LEGIUM, mai visibili nella tua scrivania): per seguirti nel tempo. Base: legittimo interesse all'organizzazione del servizio (articolo 6.1.f).
• Il registro di chi ha fatto cosa (accessi, azioni dell'assistenza sulla tua azienda, esportazioni, cancellazioni, accettazioni di questi testi): non si modifica né si cancella prima di 24 mesi. Base: legittimo interesse alla sicurezza e alla prova di ciò che è avvenuto (articolo 6.1.f).
• Comunicazioni email di servizio (invito, codici, avvisi sulle gare seguite, scadenze, conferme di cancellazione): necessarie al servizio, non promozionali. Base: contratto (articolo 6.1.b).
• Log tecnici del sito (indirizzo di rete, data e ora, pagina, esito, browser): sicurezza e funzionamento; dagli stessi log ricaviamo una misura aggregata delle visite, senza cookie, senza script di tracciamento e senza profili individuali. Base: legittimo interesse (articolo 6.1.f).

Non usiamo i tuoi dati per pubblicità, non li vendiamo, non li cediamo a terzi per finalità loro, non prendiamo decisioni automatizzate che producano effetti giuridici su di te.

Per quanto tempo

• Dati dell'azienda, utenti, gare e dossier: per la durata del contratto e fino a 7 giorni dopo la cancellazione (chiesta da te o programmata da noi): in quei 7 giorni la cancellazione si può annullare; poi i dati vengono rimossi per sempre.
• Richieste di prova mai attivate: 12 mesi, poi rimosse.
• Prove scadute senza abbonamento: 6 mesi dalla scadenza, con un avviso 30 giorni prima della rimozione.
• Il registro (accessi e azioni): 24 mesi; oltre, solo conteggi mensili senza nomi.
• Documenti di fatturazione: 10 anni (obbligo di legge).
• Log tecnici del sito: 90 giorni.
• Copie di sicurezza: ogni notte una copia cifrata di database, documenti e configurazione resta sul server per 7 giorni; una copia, sempre cifrata, viene scaricata sul computer del titolare del servizio. Chi non ha la chiave non le può leggere. Servono a ripristinare il servizio, non ad altro.
• Codici di accesso, link di invito e di recupero, sessioni: il tempo della loro validità (da pochi minuti a 30 giorni), poi puliti ogni giorno.

Chi tocca i dati e dove

Solo fornitori tecnici necessari, nominati responsabili del trattamento dove previsto:

• Hosting: il server che ospita sito e piattaforma è di OVHcloud, in un centro dati nell'Unione Europea (Francia).
• Posta: Microsoft 365 (Microsoft Ireland Operations Limited, Irlanda), per le email che ti mandiamo.
• Verifica della partita IVA: il sistema VIES della Commissione europea, che riceve la sola partita IVA.
• Controllo delle password rubate: il servizio pubblico «Have I Been Pwned» (Regno Unito), che riceve solo i primi cinque caratteri dell'impronta cifrata della password, da cui la password non si può ricostruire; nessun dato che ti identifichi.
• Pagamenti con carta, quando disponibili: un fornitore di pagamento che tratta i dati della carta al posto nostro (noi non li vediamo mai); lo indicheremo qui quando sarà attivo.

Nessun trasferimento fuori dall'Unione Europea senza le garanzie previste dal GDPR (decisioni di adeguatezza o clausole contrattuali standard): i due casi sopra fuori dall'Unione riguardano il Regno Unito, coperto da una decisione di adeguatezza, e ricevono dati da cui non si risale a una persona.

Cookie: solo tecnici, nessun banner

I tuoi diritti, e i bottoni per esercitarli

Puoi chiedere in ogni momento accesso, rettifica, cancellazione, limitazione, portabilità dei tuoi dati e opporti ai trattamenti basati sul legittimo interesse (articoli 15-22 del GDPR). Per l'azienda, il titolare dell'account trova i bottoni direttamente nella scrivania, sotto «I vostri dati»:

• Esportate i dati dell'azienda: un archivio con tutto ciò che conserviamo (anagrafica, colleghi, gare seguite con lo stato, spunte, i propri accessi, le accettazioni dei termini), in un file JSON e in tabelle CSV leggibili. È la portabilità.
• Chiedete la cancellazione dell'azienda: la procedura a 7 giorni descritta sopra, con email di conferma. È la cancellazione.

Per tutto il resto, o se non sei il titolare dell'account, scrivi a admin@legium.it: rispondiamo entro 30 giorni. Se ritieni che un trattamento violi la legge puoi reclamare al Garante per la protezione dei dati personali (gpdp.it).