Privacy

Il Titolare del trattamento dei dati è Francesco Callegaro. Per qualsiasi domanda, richiesta o per esercitare i tuoi diritti, puoi scriverci direttamente a [email protected].

Non abbiamo nominato un Responsabile della Protezione dei Dati (DPO): non ne siamo obbligati, perché non trattiamo dati su scala industriale né categorie particolari di dati. Se un domani la situazione cambiasse, questa informativa lo direbbe.

Lex è oggi in accesso anticipato gratuito e non incassa nulla: per questo non c’è una Partita IVA da dichiarare e non raccogliamo dati di fatturazione né trattiamo pagamenti. Quando ci sarà, la P.IVA comparirà qui e i dati di pagamento avranno la loro informativa.

Raccogliamo il minimo indispensabile per farti usare il servizio. Nelle pagine pubbliche non ti chiediamo nome, cognome o altre informazioni accessorie.

• Indirizzo email: È la chiave dell’account: serve a scriverti, a farti entrare nell’area riservata e a farti da disiscrizione (ciascuna email contiene il link). È anche il modo in cui rispondiamo a una richiesta di accesso.
• Le nicchie che scegli: Le categorie di bandi e adempimenti che vuoi ricevere. Le puoi cambiare quando vuoi dalla pagina del profilo, e sono l’unico dato che decide che cosa ti arriva.
• Dati del profilo aziendale (facoltativi): Se usi il confronto fra il tuo profilo e i bandi, puoi compilare ragione sociale, codice ATECO, regione e numero di dipendenti. Sono facoltativi: il servizio funziona anche senza, e restano tuoi finché non li cancelli.
• I dati che dichiari per i documenti (livello premium): Se usi la preparazione automatica dei documenti, Lex ti chiede i dati che servono a compilarli — ragione sociale, partita IVA, PEC, forma giuridica, numero di dipendenti, fatturato, firma digitale — e li conserva per non richiederti ogni volta le stesse cose. Li dichiari tu, li puoi aggiornare tornando sulla pagina, e sono tuoi finché non li cancelli.

Non raccogliamo nome, cognome, data di nascita, dati di pagamento, né informazioni sulla salute, sulle opinioni politiche o sulla religione. Se un domani ti chiedessimo qualcosa di simile, questa informativa sarebbe sbagliata: scrivici prima di rispondere.

Ogni trattamento ha una finalità precisa e una base giuridica precisa. Non trattiamo nulla «per vedere che succede».

• Farti ricevere il resoconto e farti entrare nell'area riservataDati: email, password (come hash, mai in chiaro), nicchie, dati del profilo aziendale. Base giuridica: esecuzione del contratto (art. 6.1.b) per le funzioni a cui hai accesso, e consenso (art. 6.1.a) per l’iscrizione e la newsletter.
• Rispondere alla tua richiesta di accessoDati: email, nicchie scelte, eventuale settore e note che scrivi tu. Base giuridica: misure precontrattuali (art. 6.1.b) e, per la decisione di attivare l’accesso, legittimo interesse (art. 6.1.f) a far funzionare un servizio su invito.
• Preparare i documenti per un bando o un adempimento (livello premium)Dati: i dati che dichiari per la compilazione (ragione sociale, P.IVA, PEC, dipendenti, fatturato, firma digitale…) e i documenti generati. Base giuridica: esecuzione del contratto (art. 6.1.b): è la funzione che hai scelto di usare. Il testo lo scrive il nostro modello, sulla nostra macchina; dove un dato manca resta un segnaposto — i dati non dichiarati non vengono inventati.
• Tenere il servizio sicuroDati: indirizzo IP, tipo di browser, pagina richiesta, orario della richiesta. Base giuridica: legittimo interesse (art. 6.1.f) alla sicurezza informatica e alla prevenzione di abusi. Sono i log tecnici del server: li raccogliamo comunque, perché servono a frenare accessi abusivi.
• Adempiere agli obblighi di leggeDati: i dati necessari alla richiesta. Base giuridica: obbligo legale (art. 6.1.c)

L’Area Studio è la parte di Lex pensata per commercialisti e consulenti aziendali. Chi la usa può caricare nel sistema i dati delle aziende che segue: ragione sociale, codice ATECO, regione e indirizzo email del contatto.

Qui il ruolo cambia, ed è importante che sia chiaro. Per quei dati tu agisci come Titolare del Trattamento e ci nomini Responsabile del Trattamento (art. 28 GDPR). In pratica: il perché li raccogli e a chi ne hai parlato è una tua responsabilità, non nostra. Per poter usare l’Area Studio ci impegniamo a:

• Usarli solo per quello che serve: Incrociamo i dati della tua rubrica con i bandi e prepariamo per te le bozze dei messaggi. Nessun altro uso.
• Non contattare mai i tuoi clienti: Le bozze le invii tu. Noi non scriviamo ai clienti e non apriamo conversazioni con loro: non abbiamo nessun canale per farlo.
• Non vendere, non cedere, non fare marketing: I dati dei tuoi clienti non entrano in nessuna campagna promozionale e non vengono ceduti a terzi.
• Cancellarli quando te lo chiedi: Se un cliente o un tuo collega ti chiede di toglierlo dalla rubrica, scrivici e lo cancelliamo. Come per ogni dato, senza discussione.

Anche i dati dei tuoi clienti sono dati personali, e per esercitare i diritti su di essi (accesso, rettifica, cancellazione) il primo referente sei tu, in qualità di Titolare. Se riceviamo direttamente una richiesta su un dato di terzi, te la trasmettiamo e non rispondiamo al posto tuo. Il trattamento dura finché l’account resta attivo o finché non ci chiedi di cancellare (sezione 10).

Nessuna cessione a terzi, in nessuna forma, gratuita o a pagamento. Nessuno compra, rivende o affitta i tuoi dati. Gli unici soggetti che li toccano sono i fornitori tecnici sotto, che agiscono per nostro conto e non possono usarli per nulla di loro.

I fornitori sono due, e sono elencati per intero:

• Cloudflare (Cloudflare Inc., Stati Uniti): Serve il sito, protegge il traffico e filtra gli attacchi. È l’unico fornitore che vede le richieste che arrivano a Lex da Internet.
• Il server e l'hardware (in proprio): Il sito gira su un’installazione nostra e il motore che legge gli atti gira su un computer che abbiamo acquistato. Nessuno ci affitta un database.

Non usiamo Google Analytics, Facebook Pixel, nessun servizio di advertising e nessun sistema di pagamento.

Siamo onesti su questo punto, perché la risposta più comoda sarebbe falsa. I dati non restano tutti in Europa. Il sito passa da Cloudflare, che ha la sede negli Stati Uniti: le richieste che arrivano a Lex transitano quindi da un’infrastruttura negli Stati Uniti prima di arrivare a noi.

Il trasferimento è coperto da garanzie che la legge europea considera adeguate: Cloudflare ha certificato la propria conformità al EU-U.S. Data Privacy Framework e usa inoltre le Clausole Contrattuali Standard approvate dalla Commissione UE.

Cosa significa in pratica: nessun documento lascia l’Europa per andare a un fornitore di intelligenza artificiale, perché l’intelligenza artificiale di Lex gira sulla nostra macchina (sezione 07). A transatlantico viaggiano le richieste web e i log tecnici, sotto il controllo di un fornitore che ha accettato contrattualmente di rispettare la normativa europea.

Lex legge atti e bandi pubblicati su fonti istituzionali pubbliche e ne estrae dati quali budget, scadenze, beneficiari e requisiti mediante un processo automatizzato.

Questo avviene sulla nostra macchina, non su un servizio esterno. Il modello è un programma che gira su un computer acquistato e tenuto in casa nostra: nessun documento viene spedito a OpenAI, Anthropic, Google o a qualsiasi altra azienda esterna. È il motivo per cui nella sezione 05 non c’è alcun fornitore di intelligenza artificiale da elencare, e la ragione per cui i dati che leggi non escono mai dai nostri server.

Le estrazioni sono potenzialmente inesatte: il servizio è in fase di test e non è soggetto a revisione professionale individuale. Ogni documento riporta il link alla fonte ufficiale perché l’utente possa verificare i dati prima di utilizzarli. Lex non sostituisce la verifica professionale né il parere di un consulente.

La stessa macchina, con lo stesso modello, prepara i documenti del livello premium: domanda di partecipazione, dichiarazione dei requisiti, elenco degli allegati e guida all’invio per un bando; nota di adeguamento e checklist per una norma. Il modello parte da una bozza costruita con i dati che hai dichiarato tu e la migliora; i dati mancanti restano segnaposti, non vengono mai riempiti con invenzioni. Anche questa scrittura avviene solo da noi: nessun dato, nessuna scheda e nessun documento esce dai nostri server.

Un documento preparato così va verificato prima dell’invio: ogni documento lo dichiara in chiaro e riporta se il testo l’ha scritto il modello o la compilazione automatica dai dati. La responsabilità della verifica e dell’invio resta di chi firma.

Lex non utilizza cookie di profilazione pubblicitaria e non integra Google Analytics, Pixel di Meta o altri strumenti di terze parti.

Usiamo un solo cookie, tecnico: vale sette giorni, contiene la tua email, le nicchie che hai scelto e una firma digitale, e serve a farti entrare nell’area riservata. Non contiene la password, che resta sotto forma di hash sul server e non nel browser. Non puoi disattivarlo senza perdere l’accesso all’area riservata, e la sua base giuridica è quindi la fornitura del servizio che hai chiesto (art. 6.1.b), non un consenso.

Un dato che non ha una scadenza è un dato che non è stato cancellato: siamo tenuti a dirti quando sparisce, e in che modo. Queste sono le scadenze, per categoria.

• Account, nicchie e profilo: Finché l’accesso è attivo. Appena ci chiedi la cancellazione, spariscono subito dal database.
• Dati dichiarati e documenti preparati (premium): Finché l’account è attivo: la memoria dei dati esiste per non richiederti le stesse cose a ogni bando, e i documenti preparati restano finché servono. Se ci chiedi la cancellazione, spariscono insieme al resto.
• Dati dei clienti nell'Area Studio: Finché l’account è attivo, oppure da subito se ci chiedi di toglierne uno. Non li usiamo per il nostro marketing, quindi non esiste un secondo uso che li manterrebbe vivi.
• Richieste di accesso non ancora attivate: Fino a dodici mesi. Servono a capire chi chiede l’accesso e a non far perdere tempo a chi si è iscritto per sbaglio. Scadono e vengono eliminate.
• Log tecnici del server: Non oltre trenta giorni. Servono a frenare accessi abusivi e a diagnosticare un guasto, non a costruire un profilo.
• Email che ricevi: Restano nel tuo indirizzo di posta, che è tuo e non nostro. Da noi resta la prova dell’iscrizione: la data e l’indirizzo a cui hai scritto, conservata per due anni, perché serve a dimostrare che il consenso l’hai dato davvero.
• Copie di sicurezza (backup): Se facciamo un backup, non lo consultiamo per nulla: le copie girano e vengono sovrascritte entro trenta giorni. Un dato cancellato dal database principale può quindi riapparire in una copia per al massimo un mese.

In qualsiasi momento puoi chiederci, scrivendo una email, di:

• Accedere ai tuoi dati (art. 15): Sapere quali dati trattiamo, da dove arrivano e a chi li abbiamo passati.
• Rettificarli (art. 16): Se un dato è sbagliato, lo correggiamo.
• Cancellarli (art. 17): Il diritto all’oblio: spariscono account, nicchie, profilo e dati dei clienti.
• Limitarne l'uso (art. 18): Sospendere i trattamenti mentre contesti la correttezza dei dati.
• Portarli (art. 20): Riceverli in un formato leggibile da macchina.
• Opponerti (art. 21): Non opporti a un trattamento basato sul legittimo interesse (per esempio ai log di sicurezza) per motivi connessi alla tua situazione particolare.
• Revocare il consenso (art. 7.3): In qualsiasi momento e senza dovere spiegare perché.

Rispondiamo entro un mese dalla ricezione della richiesta. Se il mese non basta, te lo diciamo e ti spieghiamo perché. Non chiediamo mai dati per verificare che sia proprio tu a scrivere: l’indirizzo email a cui rispondiamo è già la prova sufficiente.

Se ritieni che stiamo trattando i tuoi dati in modo illegittimo, puoi proporre reclamo al Garante per la protezione dei dati personali. Il reclamo è gratuito e non serve passare da noi. Prima, però: quasi tutte le nostre decisioni le prendiamo in un giorno, e per l’oblio non chiediamo il motivo. Scrivici e vediamo di risolverla.

Ci sono due gesti distinti, e conviene non confonderli.

• Smettere di ricevere le email (revoca): Ogni email che ricevi contiene il link per non ricevere più il resoconto, in fondo. Un clic e sei a posto: non ricevi più nulla, ma il tuo account resta attivo e puoi tornare quando vuoi.
• Chiudere l'account (cancellazione): Vuoi che sparisca tutto: email, nicchie, profilo aziendale, i dati che hai dichiarato per i documenti (insieme ai documenti preparati) e i dati dei clienti che hai caricato. Ti basta scriverci dall’indirizzo con cui ti sei iscritto. Cancelliamo tutto senza domande: non chiediamo il motivo, non chiediamo conferma, non tratteniamo copia.

La cancellazione dell’account elimina prima i dati dei terzi (i clienti del commercialista), che sono l’unico luogo dove finiscono dati personali di persone che non si sono iscritte.

Le connessioni sono cifrate (HTTPS, con certificato valido), le password sono conservate come hash con sale, mai in chiaro, e i link che diamo per impostare la password o disiscriverti sono firmati, valgono per un solo indirizzo e quello della password scade dopo sette giorni: intercettarne uno non permette di agire su un account qualsiasi.

Il cookie di sessione è firmato con una chiave che sta solo sul server. Un cookie manipolato non passa la verifica, quindi non esiste un modo di aprire l’area di un altro cucendo un indirizzo dentro un cookie.

L’accesso all’area riservata risponde nello stesso modo a un indirizzo inesistente e a una password sbagliata, così nessuno può scoprire chi è iscritto provando indirizzi.

Lex è un servizio per attività, professionisti e consulenti: chi cerca bandi, incentivi o adempimenti. Non ci rivolgiamo ai minori e non raccogliamo consapevolmente i loro dati. Se ritieni che un minore ci abbia scritto, scrivici e cancelliamo quello che ci ha mandato, senza chiederti nulla.

Chi si iscrive per un’uso professionale agisce come professionista e non come consumatore: questo vale per i dati contrattuali e per la prova del consenso, che conserviamo per due anni come documentazione contabile. Chi usa Lex per scelta personale, e non professionale, ha gli stessi diritti elencati sopra.

Se cambiamo qualcosa di sostanziale (per esempio se aggiungiamo un fornitore o una finalità) te lo diciamo. Non ti avvisiamo con un banner sopra la pagina quando cambiamo una virgola, ma per un cambiamento che riguarda i tuoi dati ricevi un’email. La versione valida è sempre quella pubblicata su questa pagina, con la data in alto.