I vostri dati, alla lettera

Titolare del trattamento

LEGIUM, titolare Dario Turianelli · admin@legium.it. [SOCIETÀ TITOLARE, PARTITA IVA E SEDE: da compilare alla costituzione della società, W11] A questo indirizzo potete rivolgere ogni richiesta su questa informativa e sui vostri diritti.

Quali dati trattiamo, perché, con quale base

• Anagrafica dell'azienda e del referente (ragione sociale, partita IVA, sede, nome ed email del referente, telefono se lo lasciate): per rispondere alla richiesta del primo report gratis, attivare e gestire l'account, fatturare. Base: contratto e misure precontrattuali (articolo 6.1.b), obblighi di legge per la fatturazione (articolo 6.1.c).
• Partita IVA: al momento della richiesta ne controlliamo solo la forma (undici cifre e cifra di controllo), senza servizi esterni. La partita IVA a cui è stato dato il report gratis resta registrata, con la data, anche dopo la cancellazione dell'account: serve a dare un solo report gratis per partita IVA. Base: legittimo interesse a evitare abusi (articolo 6.1.f).
• Prenotazioni e dati per la fattura (il pacchetto prenotato; ragione sociale, sede, partita IVA, codice fiscale, codice destinatario o indirizzo di posta elettronica certificata): per confermare la prenotazione e, quando le vendite aprono, fatturare. Nessun dato di pagamento. Base: misure precontrattuali (articolo 6.1.b).
• Account e accessi: password in forma protetta (mai in chiaro), ogni accesso, uscita, tentativo fallito e blocco con data e ora, indirizzo di rete e tipo di dispositivo, le sessioni aperte. Alla scelta della password ne confrontiamo un frammento cifrato con un servizio pubblico di password rubate (solo i primi cinque caratteri dell'impronta, mai la password e mai l'impronta intera): se compare, la rifiutiamo. Base: contratto (articolo 6.1.b) e legittimo interesse alla sicurezza (articolo 6.1.f).
• Gare seguite, report consultati, spunte della checklist, documenti scaricati: sono il cuore del servizio; servono a produrre i report, tenere la sorveglianza e mostrarvi il vostro archivio. Base: contratto (articolo 6.1.b). Restano riservati.
• Documenti di gara che caricate («Carica gli atti»): i file così come li mandate, il testo che ne leggiamo, la ricevuta di ogni invio e il report che ne nasce. Servono soltanto a produrre il vostro report. Restano vostri e privati: li vede solo la vostra azienda, non entrano nell'archivio pubblico di LEGIUM, non li vede nessun altro cliente e non li usiamo per misurare o migliorare il lettore. Del caricamento teniamo una riga di controllo senza nomi di file e senza contenuto (un codice anonimo dell'azienda, il CIG, quanti file, quali formati, l'esito e i tempi), per sapere che la consegna funziona. Base: contratto (articolo 6.1.b).
• Note interne dell'assistenza sulla vostra azienda (appunti di lavoro della Direzione di LEGIUM, mai visibili nella vostra scrivania): per seguirvi nel tempo. Base: legittimo interesse all'organizzazione del servizio (articolo 6.1.f).
• Il registro di chi ha fatto cosa (accessi, azioni dell'assistenza sulla vostra azienda, esportazioni, cancellazioni, accettazioni di questi testi): non si modifica né si cancella prima di 24 mesi. Base: legittimo interesse alla sicurezza e alla prova di ciò che è avvenuto (articolo 6.1.f).
• Comunicazioni email di servizio (invito, codici, avvisi sulle gare seguite, scadenze, conferme di cancellazione): necessarie al servizio, non promozionali. Base: contratto (articolo 6.1.b).
• Log tecnici del sito (indirizzo di rete, data e ora, pagina, esito, browser): sicurezza e funzionamento; dagli stessi log ricaviamo una misura aggregata delle visite, senza cookie, senza script di tracciamento e senza profili individuali. Base: legittimo interesse (articolo 6.1.f).

Non usiamo i vostri dati per pubblicità, non li vendiamo, non li cediamo a terzi per finalità loro, non prendiamo decisioni automatizzate che producano effetti giuridici su di voi.

Per quanto tempo

• Dati dell'azienda, degli accessi, delle gare e dei report: per la durata del contratto e fino a 7 giorni dopo la cancellazione (chiesta da voi o programmata da noi): in quei 7 giorni la cancellazione si può annullare; poi i dati vengono rimossi per sempre (dalle copie di sicurezza escono al più tardi in 12 mesi, vedi sotto).
• Documenti che caricate: i file e il testo che ne leggiamo si cancellano da soli 90 giorni dopo la consegna, oppure 30 giorni dopo il termine della gara se arriva prima; un lavoro automatico lo controlla ogni giorno. Il report che ne è nato e le ricevute restano finché c'è l'account, come gli altri report, e vanno via con la cancellazione dell'azienda. Potete cancellare prima in ogni momento: «Rimuovi» su ogni documento e «Cancella la consegna» nella pagina della consegna, con la ricevuta di ciò che è stato tolto; i file spariscono subito.
• Richieste di prova mai attivate: 12 mesi, poi rimosse.
• Account senza pacchetti: restano finché non ne chiedete la cancellazione.
• Partita IVA del report gratis: la partita IVA e la data, senza altri dati, anche dopo la cancellazione dell'account.
• Il registro (accessi e azioni): 24 mesi; oltre, solo conteggi mensili senza nomi.
• Documenti di fatturazione: 10 anni (obbligo di legge).
• Log tecnici del sito: 90 giorni.
• Copie di sicurezza: ogni notte una copia cifrata di database, report e configurazione. Sul server teniamo le copie degli ultimi 7 giorni, una per ognuna delle ultime 4 settimane e una per ognuno degli ultimi 12 mesi; le altre si cancellano da sole. Una copia, sempre cifrata, viene scaricata sul computer del titolare del servizio. Chi non ha la chiave non le può leggere. Servono a ripristinare il servizio, non ad altro: per questo un dato cancellato può restare in una copia fino a 12 mesi, senza essere usato. I documenti che caricate e il testo che ne leggiamo non entrano nelle copie; nelle copie del database resta solo l'elenco delle vostre consegne (CIG, ente, oggetto, date).
• Codici di accesso, link di invito e di recupero, sessioni: il tempo della loro validità (da pochi minuti a 30 giorni), poi puliti ogni giorno.

Chi tocca i dati e dove

Solo fornitori tecnici necessari, nominati responsabili del trattamento dove previsto:

• Hosting: il server che ospita sito e piattaforma è di OVHcloud, in un centro dati nell'Unione Europea (Francia).
• Posta: Microsoft 365 (Microsoft Ireland Operations Limited, Irlanda), per le email che vi mandiamo.
• Controllo delle password rubate: il servizio pubblico «Have I Been Pwned» (Regno Unito), che riceve solo i primi cinque caratteri dell'impronta cifrata della password, da cui la password non si può ricostruire; nessun dato che vi identifichi.
• Pagamenti con carta, quando disponibili: un fornitore di pagamento che tratta i dati della carta al posto nostro (noi non li vediamo mai); lo indicheremo qui quando sarà attivo.

Nessun trasferimento fuori dall'Unione Europea senza le garanzie previste dal GDPR (decisioni di adeguatezza o clausole contrattuali standard): i due casi sopra fuori dall'Unione riguardano il Regno Unito, coperto da una decisione di adeguatezza, e ricevono dati da cui non si risale a una persona.

Cookie: solo tecnici, nessun banner

I vostri diritti, e i bottoni per esercitarli

Potete chiedere in ogni momento accesso, rettifica, cancellazione, limitazione, portabilità dei vostri dati e opporvi ai trattamenti basati sul legittimo interesse (articoli 15-22 del GDPR). Per l'azienda, il titolare dell'account trova i bottoni direttamente nella scrivania, sotto «I vostri dati»:

• Esportate i dati dell'azienda: un archivio con tutto ciò che conserviamo (anagrafica, colleghi, gare seguite con lo stato, spunte, i propri accessi, le accettazioni dei termini), in un file JSON e in tabelle CSV leggibili. È la portabilità.
• Chiedete la cancellazione dell'azienda: la procedura a 7 giorni descritta sopra, con email di conferma. È la cancellazione.

Per tutto il resto, o se non siete il titolare dell'account, scrivete a admin@legium.it: rispondiamo entro 30 giorni. Se ritenete che un trattamento violi la legge potete reclamare al Garante per la protezione dei dati personali (gpdp.it).