Documento legale
Informativa sul trattamento dei dati personali
Versione 1.2 · 11 ottobre 2026
Informativa sul trattamento dei dati personali Ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e dell'articolo 122 del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003) per quanto riguarda i cookie. Questa informativa riguarda i dati delle persone che **usano la piattaforma Tela** — chi si registra, chi accede, chi amministra un'organizzazione — e di chi ci lascia il proprio indirizzo dal sito per chiedere di essere ricontattato, anche senza registrarsi. Se sei un fornitore che ha ricevuto un questionario, o hai chiesto di consultare il questionario che un'azienda ha condiviso con te, questa informativa non è quella che ti riguarda: i tuoi dati sono trattati per conto dell'azienda che ti ha invitato o che ha condiviso il questionario, che ne è titolare e deve fornirti la propria informativa. Noi agiamo come suo responsabile del trattamento. 1. Chi tratta i tuoi dati | | | | Titolare del trattamento | Lorenzo Colautti, libero professionista | | Domicilio professionale | Via Grolette, 4 – 37057 San Giovanni Lupatoto (VR), Italia | | Partita IVA | 04915320230 | | Email per il trattamento dati | info@certifie.me | | PEC | colautti.lorenzo@pecmail.com | Non è stato designato un responsabile della protezione dei dati (DPO): non ricorrono i casi in cui l'art. 37 GDPR lo rende obbligatorio. Per qualsiasi questione sui tuoi dati puoi scrivere ai recapiti indicati sopra. 2. Quali dati trattiamo Dati che ci fornisci tu • indirizzo email, usato anche come credenziale di accesso; • nome, cognome, numero di telefono (facoltativo); • ragione sociale, partita IVA, sede e paese dell'organizzazione e delle aziende che gestisci; • dati di fatturazione, quando attivi un piano a pagamento. Dati che riceviamo da altri Se scegli di accedere con un account Google o LinkedIn, riceviamo da quel servizio il tuo nome, il tuo indirizzo email e, se presente, l'immagine del profilo. Non riceviamo la password né altri dati del tuo account. Google e LinkedIn trattano i dati dell'accesso come titolari autonomi, secondo le rispettive informative. Dati generati dall'uso della piattaforma • data del primo accesso e stato dell'utenza; • la traccia delle attività: quale utenza ha compiuto quale operazione e quando (importazioni, valutazioni, invii di campagna, emissione di chiavi API). Contiene il tuo indirizzo email; • i dati della verifica in due passaggi, se la attivi: il segreto è conservato cifrato e i codici di recupero solo come impronta; • log tecnici e di sicurezza generati dai fornitori di infrastruttura. Dati di chi chiede una dimostrazione dal sito Sul sito c'è un questionario che aiuta a capire se un'azienda rientra fra i soggetti obbligati dalla NIS2. Le risposte restano nel tuo browser e non ci arrivano: si salvano solo se scegli di lasciarci un indirizzo per essere ricontattato. In quel caso conserviamo l'indirizzo email, le risposte date — settore, dimensione, esito — e la data della richiesta. Il tuo indirizzo di rete viene usato per qualche minuto per limitare il numero di invii dallo stesso punto e tenere fuori gli invii automatici; **non viene salvato**. Dati che carichi tu e che riguardano altre persone L'anagrafica dei tuoi fornitori può contenere dati personali: nomi di persone di contatto, indirizzi email nominativi, numeri di telefono dei referenti. Lo stesso vale per le persone che chiedono di consultare il questionario che condividi. Rispetto a questi dati **tu sei il titolare del trattamento e noi siamo il responsabile**: il rapporto è regolato dall'Atto di nomina a Responsabile del trattamento che accetti insieme ai Termini e Condizioni, non da questa informativa. La traccia delle attività svolte dagli utenti nell'area di lavoro di un'organizzazione è trattata per conto di quell'organizzazione, che la usa per dimostrare chi ha valutato cosa; la conserviamo anche per finalità nostre di sicurezza e di difesa, come indicato ai punti 3 e 5. Non trattiamo categorie particolari di dati (art. 9 GDPR) né dati relativi a condanne penali, e non ti chiediamo di inserirne. 3. Perché li trattiamo, e con quale base giuridica | Finalità | Base giuridica | Note | | Creare e gestire la tua utenza, darti accesso alla piattaforma | Esecuzione del contratto — art. 6(1)(b) | Senza questi dati il servizio non può funzionare | | Erogare le funzioni del servizio (censimento, campagne, scadenzario) | Esecuzione del contratto — art. 6(1)(b) | | | Fatturazione e adempimenti fiscali e contabili | Obbligo legale — art. 6(1)(c) | | | Sicurezza della piattaforma, prevenzione degli abusi, traccia delle attività | Legittimo interesse — art. 6(1)(f) | Interesse a un servizio sicuro e a poter dimostrare chi ha fatto cosa | | Difesa di un diritto in sede giudiziaria | Legittimo interesse — art. 6(1)(f) | | | Invio di comunicazioni su nuove funzionalità e novità del servizio | Consenso — art. 6(1)(a) | Facoltativo. Puoi revocarlo in ogni momento, e il servizio continua a funzionare esattamente come prima | | Riscontro alle richieste di assistenza | Esecuzione del contratto — art. 6(1)(b) | | | Ricontattarti dopo che hai chiesto una dimostrazione dal sito | Misure precontrattuali su tua richiesta — art. 6(1)(b) | Sei tu a chiederci di scriverti. Non serve una casella da spuntare, e non usiamo quell'indirizzo per altro | Sulla richiesta di dimostrazione. L'indirizzo che lasci dal sito serve a risponderti su quella richiesta e a nient'altro: non finisce in una lista di invii, e per riceverli servirebbe comunque il consenso della riga sopra. Se ci chiedi di cancellarlo, lo cancelliamo — non c'è nessuna finalità che ce lo faccia trattenere. Sul consenso alle comunicazioni. È l'unica casella facoltativa dell'iscrizione. Serve ad avvisarti di funzionalità nuove, gratuite o a pagamento. Si revoca dal pannello del profilo utente, o scrivendoci, e la revoca non ha nessun effetto sul contratto. Sul legittimo interesse. Abbiamo valutato che la traccia delle attività e i controlli di sicurezza non prevalgono sui tuoi diritti: registrano solo ciò che fai nella piattaforma, sono quanto ti aspetti da uno strumento usato per documentare adempimenti, e sono accessibili solo a chi ne ha bisogno. Puoi opporti come indicato al punto 7. 4. A chi comunichiamo i dati Non vendiamo i tuoi dati e non li cediamo a terzi per finalità loro. I dati sono trattati dai fornitori che ci permettono di erogare il servizio, nominati responsabili del trattamento ai sensi dell'art. 28 GDPR: | Fornitore | Cosa fa | Dove sono i dati | Note sul trasferimento | | Vercel Inc. | Esecuzione dell'applicativo, certificati TLS | Francoforte, Germania (fra1) | Società statunitense: l'elaborazione avviene in UE, ma l'accesso da parte del fornitore per manutenzione e assistenza può avvenire dagli Stati Uniti. Vercel aderisce all'EU-US Data Privacy Framework | | OVH | Ospita il database MongoDB | Francoforte, Germania | Società con sede nell'Unione: nessun trasferimento extra-UE | | Stripe | Incassi e gestione degli abbonamenti | UE e Stati Uniti | Per i clienti europei la controparte è di norma Stripe Payments Europe, Limited (Irlanda), con Stripe, Inc. (USA) come sub-responsabile. Per alcune finalità — prevenzione delle frodi, obblighi antiriciclaggio — Stripe agisce come titolare autonomo: in quella parte non decidiamo noi. | | Register.it | Dominio, DNS e invio della posta elettronica | Italia | I messaggi che inviamo per tuo conto contengono dati personali (indirizzi, nomi dei fornitori) e transitano da questo servizio | I dati possono inoltre essere comunicati a professionisti che ci assistono (commercialista, legale), vincolati al segreto professionale, e alle autorità, quando la legge lo impone. Trasferimenti fuori dall'Unione europea. L'elaborazione e la conservazione avvengono in Germania. Restano possibili accessi dagli Stati Uniti da parte di Vercel e Stripe per finalità di assistenza e, per Stripe, di prevenzione delle frodi. Questi trasferimenti si fondano sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa all'EU-US Data Privacy Framework, cui entrambe le società aderiscono, e in subordine sulle clausole contrattuali tipo approvate dalla Commissione (art. 46 GDPR). Puoi chiederci copia delle garanzie ai recapiti del punto 1. 5. Per quanto tempo li conserviamo | Dato | Conservazione | | Utenza e dati dell'organizzazione | Per tutta la durata del contratto, poi 30 giorni per consentire l'esportazione, quindi cancellazione. I dati dell'utenza che compaiono nella traccia delle attività seguono la riga dedicata | | Documenti fiscali e contabili | 10 anni, come impone l'art. 2220 del codice civile | | Traccia delle attività | 24 mesi, salvo contenziosi in corso. Serve a dimostrare chi ha fatto cosa: è la ragione per cui esiste, ed è anche il motivo per cui non si può cancellare a richiesta finché la finalità dura | | Messaggi di posta in coda | 30 giorni dall'invio riuscito. I messaggi non consegnati restano finché non vengono esaminati | | Consenso alle comunicazioni commerciali | Fino a revoca, e comunque 24 mesi dall'ultimo contatto | | Richiesta di dimostrazione: indirizzo e risposte al questionario | 24 mesi dall'ultima richiesta, o prima se ci chiedi di cancellarla | Alla cessazione del contratto i dati caricati da te come titolare seguono quanto previsto dall'Atto di nomina. 6. Cookie Il sito e la piattaforma usano solo cookie tecnici, necessari a farli funzionare. Per questi la legge non richiede il consenso, e per questo non compare alcun banner. Non usiamo cookie di profilazione, né strumenti di analisi statistica o di tracciamento di terze parti. | Cookie | A cosa serve | Durata | | authjs.session-token (o __Secure-authjs.session-token) | Mantiene l'utente autenticato fra una pagina e l'altra | 30 giorni, o fino all'uscita | | authjs.csrf-token, authjs.callback-url e, negli accessi con Google o LinkedIn, authjs.state e authjs.pkce.code_verifier | Proteggono la procedura di accesso e riportano alla pagina richiesta | Sessione del browser; 15 minuti quelli dell'accesso con Google o LinkedIn | | tela_2fa | Ricorda che la sessione corrente ha superato la verifica in due passaggi | Durata della sessione del browser | | tela_azienda | Ricorda su quale azienda stai lavorando, nei profili che ne gestiscono più di una | 12 mesi | | Cookie di accesso al questionario | Consente al fornitore, dopo la verifica del codice, di compilare senza reinserirlo | 4 ore | | Cookie di consultazione del questionario condiviso | Ricordano l'indirizzo che ha chiesto il codice e, dopo la verifica, consentono la lettura senza reinserirlo | 5 minuti l'indirizzo, 4 ore la lettura | Puoi cancellare o bloccare i cookie dalle impostazioni del browser; senza cookie tecnici, però, l'accesso alla piattaforma non funziona. ⚖️ Se in futuro verranno introdotti strumenti di analisi o marketing, questa sezione sarà aggiornata e comparirà un banner di consenso preventivo. 7. I tuoi diritti Puoi esercitare in ogni momento i diritti previsti dagli articoli 15-22 GDPR: • accesso ai tuoi dati e copia degli stessi; • rettifica di dati inesatti; • cancellazione, nei limiti dell'art. 17 — non si applica a ciò che dobbiamo conservare per legge o per difendere un diritto; • limitazione del trattamento; • portabilità dei dati trattati sulla base del contratto o del consenso; • opposizione ai trattamenti fondati sul legittimo interesse; • revoca del consenso alle comunicazioni commerciali, senza che questo pregiudichi la liceità di quanto già inviato. Scrivi a info@certifie.me. Rispondiamo entro un mese, prorogabile di due in casi complessi. Puoi proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — [garanteprivacy.it](https://www.garanteprivacy.it)), o rivolgerti all'autorità giudiziaria. 8. Decisioni automatizzate Il triage di rilevanza è un calcolo automatico basato sulle risposte a sei domande, ma riguarda aziende fornitrici, non persone fisiche, e non produce effetti giuridici su di te. Lo stesso vale per la verifica del perimetro NIS2 sul sito: è un calcolo sulle risposte che dai sulla tua azienda, è orientativo e non decide niente su di te — chi individua i soggetti NIS in Italia è ACN. Non effettuiamo profilazione degli utenti né decisioni automatizzate ai sensi dell'art. 22 GDPR. 9. Come proteggiamo i dati Le misure tecniche sono descritte in dettaglio nell'Allegato B dell'Atto di nomina. In sintesi: cifratura in transito (HTTPS), separazione rigorosa dei dati fra aziende diverse, verifica in due passaggi, codici di accesso conservati come impronta e mai in chiaro, chiavi API cifrate, sessioni a scadenza, tracciamento degli accessi. 10. Conferimento dei dati Il conferimento dei dati indicati come necessari è obbligatorio per usare la piattaforma: senza, non possiamo creare l'utenza. Il conferimento del numero di telefono e il consenso alle comunicazioni commerciali sono facoltativi. 11. Modifiche Se questa informativa cambia in modo sostanziale te lo comunichiamo e, quando serve, ti chiediamo di prenderne atto al primo accesso successivo. La versione in vigore e la sua data sono sempre indicate in testa al documento. ---