I vostri dati, alla lettera

Titolare del trattamento

LEGIUM, titolare Dario Turianelli · admin@legium.it. [SOCIETÀ TITOLARE, PARTITA IVA E SEDE: da compilare alla costituzione della società, W11] A questo indirizzo potete rivolgere ogni richiesta su questa informativa e sui vostri diritti.

Quali dati trattiamo, perché, con quale base

• Anagrafica dell'azienda e del referente (ragione sociale, partita IVA, sede, nome ed email del referente, telefono se lo lasciate): per rispondere alla richiesta del primo report gratis, attivare e gestire l'account, fatturare. Base: contratto e misure precontrattuali (articolo 6.1.b), obblighi di legge per la fatturazione (articolo 6.1.c).
• Partita IVA: al momento della richiesta ne controlliamo solo la forma (undici cifre e cifra di controllo), senza servizi esterni. La partita IVA a cui è stato dato il report gratis resta registrata, con la data, anche dopo la cancellazione dell'account: serve a dare un solo report gratis per partita IVA. Base: legittimo interesse a evitare abusi (articolo 6.1.f).
• Prenotazioni e dati per la fattura (il pacchetto prenotato; ragione sociale, sede, partita IVA, codice fiscale, codice destinatario o indirizzo di posta elettronica certificata): per confermare la prenotazione e, quando le vendite aprono, fatturare. Nessun dato di pagamento. Base: misure precontrattuali (articolo 6.1.b).
• Account e accessi: password in forma protetta (mai in chiaro), ogni accesso, uscita, tentativo fallito e blocco con data e ora, indirizzo di rete e tipo di dispositivo, le sessioni aperte. Alla scelta della password ne confrontiamo un frammento cifrato con un servizio pubblico di password rubate (solo i primi cinque caratteri dell'impronta, mai la password e mai l'impronta intera): se compare, la rifiutiamo. Base: contratto (articolo 6.1.b) e legittimo interesse alla sicurezza (articolo 6.1.f).
• Gare seguite, report consultati, spunte della checklist, documenti scaricati: sono il cuore del servizio; servono a produrre i report, tenere la sorveglianza e mostrarvi il vostro archivio. Base: contratto (articolo 6.1.b). Restano riservati.
• Note interne dell'assistenza sulla vostra azienda (appunti di lavoro della Direzione di LEGIUM, mai visibili nella vostra scrivania): per seguirvi nel tempo. Base: legittimo interesse all'organizzazione del servizio (articolo 6.1.f).
• Il registro di chi ha fatto cosa (accessi, azioni dell'assistenza sulla vostra azienda, esportazioni, cancellazioni, accettazioni di questi testi): non si modifica né si cancella prima di 24 mesi. Base: legittimo interesse alla sicurezza e alla prova di ciò che è avvenuto (articolo 6.1.f).
• Comunicazioni email di servizio (invito, codici, avvisi sulle gare seguite, scadenze, conferme di cancellazione): necessarie al servizio, non promozionali. Base: contratto (articolo 6.1.b).
• Log tecnici del sito (indirizzo di rete, data e ora, pagina, esito, browser): sicurezza e funzionamento; dagli stessi log ricaviamo una misura aggregata delle visite, senza cookie, senza script di tracciamento e senza profili individuali. Base: legittimo interesse (articolo 6.1.f).

Non usiamo i vostri dati per pubblicità, non li vendiamo, non li cediamo a terzi per finalità loro, non prendiamo decisioni automatizzate che producano effetti giuridici su di voi.

Per quanto tempo

• Dati dell'azienda, degli accessi, delle gare e dei report: per la durata del contratto e fino a 7 giorni dopo la cancellazione (chiesta da voi o programmata da noi): in quei 7 giorni la cancellazione si può annullare; poi i dati vengono rimossi per sempre.
• Richieste di prova mai attivate: 12 mesi, poi rimosse.
• Account senza pacchetti: restano finché non ne chiedete la cancellazione.
• Partita IVA del report gratis: la partita IVA e la data, senza altri dati, anche dopo la cancellazione dell'account.
• Il registro (accessi e azioni): 24 mesi; oltre, solo conteggi mensili senza nomi.
• Documenti di fatturazione: 10 anni (obbligo di legge).
• Log tecnici del sito: 90 giorni.
• Copie di sicurezza: ogni notte una copia cifrata di database, documenti e configurazione resta sul server per 7 giorni; una copia, sempre cifrata, viene scaricata sul computer del titolare del servizio. Chi non ha la chiave non le può leggere. Servono a ripristinare il servizio, non ad altro.
• Codici di accesso, link di invito e di recupero, sessioni: il tempo della loro validità (da pochi minuti a 30 giorni), poi puliti ogni giorno.

Chi tocca i dati e dove

Solo fornitori tecnici necessari, nominati responsabili del trattamento dove previsto:

• Hosting: il server che ospita sito e piattaforma è di OVHcloud, in un centro dati nell'Unione Europea (Francia).
• Posta: Microsoft 365 (Microsoft Ireland Operations Limited, Irlanda), per le email che vi mandiamo.
• Controllo delle password rubate: il servizio pubblico «Have I Been Pwned» (Regno Unito), che riceve solo i primi cinque caratteri dell'impronta cifrata della password, da cui la password non si può ricostruire; nessun dato che vi identifichi.
• Pagamenti con carta, quando disponibili: un fornitore di pagamento che tratta i dati della carta al posto nostro (noi non li vediamo mai); lo indicheremo qui quando sarà attivo.

Nessun trasferimento fuori dall'Unione Europea senza le garanzie previste dal GDPR (decisioni di adeguatezza o clausole contrattuali standard): i due casi sopra fuori dall'Unione riguardano il Regno Unito, coperto da una decisione di adeguatezza, e ricevono dati da cui non si risale a una persona.

Cookie: solo tecnici, nessun banner

I vostri diritti, e i bottoni per esercitarli

Potete chiedere in ogni momento accesso, rettifica, cancellazione, limitazione, portabilità dei vostri dati e opporvi ai trattamenti basati sul legittimo interesse (articoli 15-22 del GDPR). Per l'azienda, il titolare dell'account trova i bottoni direttamente nella scrivania, sotto «I vostri dati»:

• Esportate i dati dell'azienda: un archivio con tutto ciò che conserviamo (anagrafica, colleghi, gare seguite con lo stato, spunte, i propri accessi, le accettazioni dei termini), in un file JSON e in tabelle CSV leggibili. È la portabilità.
• Chiedete la cancellazione dell'azienda: la procedura a 7 giorni descritta sopra, con email di conferma. È la cancellazione.

Per tutto il resto, o se non siete il titolare dell'account, scrivete a admin@legium.it: rispondiamo entro 30 giorni. Se ritenete che un trattamento violi la legge potete reclamare al Garante per la protezione dei dati personali (gpdp.it).