Informativa sul trattamento dei dati personali di diritto.io
(artt. 13 e 14 del Regolamento (UE) 2016/679, "GDPR", e d.lgs. 30 giugno 2003, n. 196, "Codice privacy")
Versione 1.0 del 3 novembre 2026.
Nota per la revisione (da togliere prima della pubblicazione). Il testo descrive diritto.io come sarà con gli account (spec
docs/specs/2026-11-02-accounts-plans-sso.md, revisione 2). Alcune funzioni non sono ancora attive: account, accesso con Google/Microsoft, organizzazioni, pagamenti con Stripe, raccolta facoltativa dei dati di attività. Prima di pubblicare, togliere o segnare "non ancora attivo" ciò che non è in produzione. I segnaposto[[CONFERMARE: …]]indicano scelte o fatti presi dalla spec che vanno confermati sul sistema reale.
1. Chi tratta i tuoi dati
Il titolare del trattamento è Law Engineering Systems S.r.l., sede legale in Via Leonida Cialfi 23, 53100 Siena (SI); sede operativa: Belvedere 83, 53034 Colle di Val d'Elsa (SI); C.F. e P.IVA 01500710528; iscritta al Registro delle Imprese di Siena, REA SI-202984; capitale sociale € 50.000,00 interamente versato; PEC [email protected].
Per qualsiasi domanda sui tuoi dati e per esercitare i tuoi diritti scrivi a [email protected] (per altre questioni: PEC [email protected]).
Non abbiamo designato un responsabile della protezione dei dati (RPD/DPO): l'art. 37 GDPR lo richiede alle autorità pubbliche e a chi, come attività principale, monitora persone su larga scala o tratta su larga scala dati particolari o giudiziari, e non è il nostro caso: non siamo un'autorità pubblica, non monitoriamo le persone e non trattiamo dati particolari o giudiziari come attività principale.
2. In breve
- Puoi cercare e leggere leggi e sentenze senza account e senza darci alcun dato.
- Leggi, decisioni e massime provengono da fonti pubbliche: Normattiva, Corte costituzionale, EUR-Lex e Corte di cassazione (massime del CED e rassegne del Massimario, dal Portale del Massimario, IPZS). Possono contenere nomi di persone, e li riportiamo come li pubblica la fonte.
- Non usiamo strumenti di analisi di terze parti, pixel, cookie di profilazione o pubblicità. Usiamo solo cookie e memorie del browser tecnici (vedi la pagina sui cookie).
- Se crei un account trattiamo il minimo necessario: il tuo indirizzo email e, se accedi con Google o Microsoft, l'identificativo che quel servizio ci comunica. Non usiamo password.
- Non conserviamo il tuo indirizzo IP: lo usiamo solo, in forma cifrata con una chiave segreta, per i limiti di utilizzo, per al massimo 48 ore.
- Solo se lo scegli tu, raccogliamo come usi la ricerca, senza collegarlo a te, per migliorare il servizio (sez. 4.8).
3. Quali dati trattiamo, perché e su quale base giuridica
| # | Attività | Dati | Finalità | Base giuridica |
|---|---|---|---|---|
| 3.1 | Navigazione, ricerca e lettura (anche senza account) | dati tecnici della richiesta: indirizzo IP, pagina richiesta, parametri della ricerca, intestazioni HTTP del browser | fornirti le pagine e i risultati; proteggere il servizio da abusi e sovraccarichi | art. 6.1.b GDPR (servizio che chiedi) e art. 6.1.f (nostro legittimo interesse alla sicurezza e al funzionamento del servizio) |
| 3.2 | Limiti di utilizzo | senza account: un codice ricavato dall'IP con una chiave segreta (HMAC); con account: l'identificativo dell'account; per l'API: la chiave API | contare le richieste per minuto e per giorno e applicare i limiti del piano | art. 6.1.b (limiti del piano) e art. 6.1.f (prevenzione degli abusi) |
| 3.3 | Creazione dell'account e accesso con email | indirizzo email; il link e il codice di accesso (conservati solo come impronta crittografica, per 15 minuti) | creare l'account, verificare che l'indirizzo sia tuo, farti accedere | art. 6.1.b |
| 3.4 | Accesso con Google o Microsoft | identificativo dell'utente presso Google (sub) o Microsoft (oid, tid), indirizzo email e se è verificato, nome [[CONFERMARE: se il nome fornito dal provider viene conservato come nome visualizzato]] |
farti accedere e collegare l'accesso al tuo account | art. 6.1.b |
| 3.5 | Account | nome visualizzato (facoltativo), indirizzi email e data di verifica, metodi di accesso collegati, date di creazione e ultimo accesso, piano e motivo del piano (abbonamento, posto di un'organizzazione, accordo con un ente, concessione dello staff), registro delle operazioni rilevanti sull'account | gestire l'account, i piani e le concessioni; dimostrare chi ha fatto cosa in caso di contestazioni | art. 6.1.b; per il registro delle operazioni art. 6.1.f (sicurezza e tutela dei diritti) |
| 3.6 | Chiavi API e server MCP | nome della chiave, prefisso, impronta crittografica del segreto (mai il segreto in chiaro), numero di chiamate per giorno e per funzione, data dell'ultimo utilizzo; per le chiavi create dallo staff prima degli account, l'email del destinatario | fornire l'API e il server MCP, applicare i limiti, mostrarti l'uso | art. 6.1.b |
| 3.7 | Lavagne | il contenuto che inserisci (titolo, schede, note, collegamenti); l'account o la chiave che la possiede; impronte crittografiche dei link di modifica e di visualizzazione; date di creazione, modifica e ultima lettura | conservare e mostrarti le tue lavagne | art. 6.1.b |
| 3.8 | Organizzazioni | nome dell'organizzazione, email di fatturazione, partita IVA (se data), membri e ruoli, posti assegnati, inviti (email dell'invitato) | gestire l'organizzazione e i posti acquistati | art. 6.1.b verso l'organizzazione e i suoi membri; per gli invitati non ancora iscritti art. 6.1.f (legittimo interesse dell'organizzazione e nostro a recapitare l'invito) |
| 3.9 | Accordi con enti (ad es. università) | dominio dell'indirizzo email verificato (ad es. unisi.it) e data dell'ultima verifica |
riconoscerti il piano previsto dall'accordo con il tuo ente | art. 6.1.b |
| 3.10 | Pagamenti (quando attivi) | dati di fatturazione (nome o ragione sociale, indirizzo, paese, partita IVA o codice fiscale se richiesti), piano, importi, stato dell'abbonamento, fatture. I dati della carta li tratta Stripe: noi non li vediamo | gestire abbonamenti e pagamenti; adempiere agli obblighi fiscali e contabili | art. 6.1.b; art. 6.1.c (obblighi di legge fiscali e contabili) |
| 3.11 | Protezione dei moduli (Cloudflare Turnstile) | segnali tecnici del browser elaborati da Cloudflare per distinguere una persona da un programma automatico | impedire l'invio automatico di email di accesso e altri abusi | art. 6.1.f |
| 3.12 | Commenti del consiglio dei giuristi sulle note di metodo | nome (facoltativo), ruolo (giudice, avvocato, altro), giudizio sulla nota e commento | raccogliere la validazione delle note di metodo da parte di giuristi | art. 6.1.f (nostro legittimo interesse a validare i contenuti con esperti) |
| 3.13 | Richieste di assistenza e comunicazioni | ciò che ci scrivi e il tuo indirizzo | risponderti | art. 6.1.b o 6.1.f a seconda della richiesta |
| 3.14 | Partecipazione al miglioramento del servizio (facoltativa) | vedi sez. 4.8 | migliorare ricerca, ordinamento dei risultati e interfaccia | consenso esplicito, artt. 6.1.a e 9.2.a GDPR |
| 3.15 | Tutela dei nostri diritti | i dati sopra indicati, se servono | difenderci o far valere un diritto in giudizio | art. 6.1.f |
Quando ci basiamo sul legittimo interesse (art. 6.1.f), puoi opporti (sez. 7).
4. Come trattiamo i dati: dettagli che contano
4.1 Indirizzo IP
L'IP arriva al nostro server attraverso Cloudflare. L'applicazione non lo scrive nei propri registri e non lo memorizza: per i limiti di utilizzo lo trasforma con una chiave segreta (HMAC-SHA256) in un codice di 16 caratteri, che resta in memoria solo per la durata della finestra di conteggio (al massimo 48 ore). Per gli indirizzi IPv6 usiamo la rete /64, non l'indirizzo completo. I registri del reverse proxy e di Cloudflare sono descritti nella sez. 6 Il reverse proxy (Caddy) non ha un registro degli accessi. I registri dei container (errori e registro degli accessi del portale, che omette la parte dell'indirizzo dopo il "?") contengono indirizzo IP, ora, metodo, percorso senza parametri e stato della risposta, e restano pochi giorni (sez. 7).
4.2 Accesso senza password
Per accedere ricevi un'email con un link e un codice di 6 cifre, validi 15 minuti e utilizzabili una volta sola.
Conserviamo solo la loro impronta crittografica. Aprire il link non basta ad accedere: devi premere un pulsante (così i
programmi antivirus che aprono i link non ti fanno accedere a tua insaputa). Le email di accesso partono da
[email protected] tramite Brevo (collegamento via API); il tracciamento delle aperture e dei clic è disattivato nelle impostazioni
dell'account Brevo [[CONFERMARE: verificare che sia disattivato nell'account Brevo: Anymail non lo controlla per singolo messaggio]].
4.3 Accesso con Google o Microsoft
Se scegli "Continua con Google" o "Continua con Microsoft", Google o Microsoft ti chiedono di autenticarti e ci
comunicano solo: un identificativo, l'indirizzo email, se l'indirizzo è verificato e il nome (ambiti openid email profile). Non chiediamo accesso a posta, documenti o contatti. Non conserviamo i token di accesso del provider: li
scartiamo dopo aver verificato la tua identità. Google e Microsoft trattano i dati del tuo accesso come titolari
autonomi, secondo le loro informative.
4.4 Sessione
Dopo l'accesso il browser riceve un cookie di sessione (sez. 2 della pagina sui cookie). La sessione dura 30 giorni e si rinnova con l'uso. Dalla pagina Account puoi uscire da tutti i dispositivi.
4.5 Lavagne e link di accesso
Una lavagna si apre con un link che contiene una chiave segreta: un link per modificare e uno per vedere. Chiunque abbia il link può aprire la lavagna, perciò chi condivide il link decide chi la vede. Noi conserviamo solo l'impronta delle chiavi e non possiamo sapere chi possiede un link. Non inserire nelle lavagne dati personali di altre persone se non ne hai titolo.
Senza account, l'elenco delle tue lavagne e i loro link restano solo nel tuo browser (memoria locale, vedi la pagina sui cookie). Se cancelli i dati del browser perdi l'elenco, non le lavagne: chi ha il link continua ad aprirle.
4.6 Organizzazioni
Se fai parte di un'organizzazione, i suoi amministratori vedono il tuo nome visualizzato, l'indirizzo email con cui sei membro, il ruolo e se hai un posto [[CONFERMARE: che gli amministratori non vedano il contenuto delle lavagne né l'uso dell'API dei membri]]. Se un'organizzazione ti invita, riceviamo il tuo indirizzo email da chi ti ha invitato (art. 14 GDPR): lo usiamo solo per inviarti l'invito, che scade dopo 14 giorni.
4.7 Pagamenti
I pagamenti avvengono sulle pagine di Stripe. Stripe tratta i dati di pagamento come nostro responsabile per la gestione dei pagamenti e, per alcune finalità proprie (prevenzione delle frodi, obblighi antiriciclaggio e finanziari), come titolare autonomo [[CONFERMARE: ruoli secondo il contratto Stripe accettato]]. Da Stripe riceviamo lo stato dell'abbonamento, le fatture e i dati di fatturazione; mai il numero completo della carta.
4.8 Partecipazione al miglioramento di diritto.io (facoltativa, disattivata se non scegli)
Se lo consenti, registriamo come usi la ricerca durante la sessione: le parole che cerchi, i filtri che scegli, i risultati che apri o fissi, la loro posizione nell'elenco. Il consenso è disattivato finché non lo dai, e rifiutare non cambia nulla del servizio.
- Cosa non registriamo: account, cookie di sessione, chiave API, indirizzo IP (neppure cifrato), browser, pagina di provenienza, ora esatta (solo l'ora arrotondata), piano. Non registriamo le chiamate all'API né al server MCP.
- Come non colleghiamo gli eventi a te: il browser crea un codice casuale, che vive solo nella scheda o nella sessione del browser, cambia dopo 30 minuti di inattività e comunque ogni 24 ore, e non è un cookie. Gli eventi sono legati solo a quel codice.
- Come riduciamo i dati: prima di salvare, il server sostituisce indirizzi email, numeri di telefono, codici fiscali, IBAN, numeri di carta, partite IVA e altri numeri lunghi con segnaposto, e scarta tutto il testo della ricerca quando riconosce un nome di persona. I nomi brevi usati come citazioni ("sentenza Franzese") restano.
- Perché li trattiamo comunque come dati personali: il filtro non è infallibile. Ciò che scrivi nella ricerca potrebbe contenere dati personali, anche relativi alla salute o a vicende giudiziarie, tuoi o di altri. Per questo chiediamo un consenso esplicito (art. 9.2.a GDPR) e ti chiediamo di non inserire dati personali nelle ricerche. I dati relativi a reati e condanne non possono fondarsi sul consenso (art. 10 GDPR; art. 2-octies Codice privacy): è uno dei motivi per cui le ricerche con nomi di persona vengono scartate.
- Uso: solo dal personale di Law Engineering Systems S.r.l., sui nostri server, per migliorare diritto.io (statistiche aggregate, ricerche senza risultati, valutazione dell'ordinamento con modelli eseguiti in locale). Non li vendiamo, non li cediamo, non li usiamo per profilare nessuno né per prendere decisioni su qualcuno. Pubblichiamo eventuali statistiche solo su ricerche viste in almeno 10 sessioni diverse. Se un giorno volessimo usarli in modo diverso, ti chiederemmo di nuovo il consenso.
- Durata: 12 mesi, poi li cancelliamo automaticamente.
- Revoca: puoi revocare il consenso quando vuoi, con la stessa facilità con cui l'hai dato (dal riquadro sulla pagina di ricerca, dalla pagina Account o dal link "Partecipazione al miglioramento" a piè di pagina). La raccolta si ferma subito. Poiché gli eventi già raccolti non sono collegati a te, non possiamo trovarli né cancellarli per persona: al momento della revoca puoi chiederci di cancellare quelli della sessione in corso (il browser conosce ancora il codice); gli altri vengono cancellati alla scadenza dei 12 mesi. Per lo stesso motivo, per questi dati non possiamo rispondere a richieste di accesso o cancellazione se non ci fornisci il codice della sessione, che esiste solo finché la sessione è aperta (art. 11 GDPR).
4.9 Dati personali contenuti nei documenti giuridici
diritto.io pubblica testi di legge e decisioni giudiziarie provenienti da fonti pubbliche (sez. 9 dei Termini). Le decisioni possono contenere nomi o altri dati delle persone coinvolte. Pubblichiamo i nomi delle parti come li pubblica la fonte, perché la conoscenza della giurisprudenza è di interesse generale (art. 6.1.f GDPR) e perché la legge ammette la diffusione delle sentenze, salvo i casi in cui le generalità vanno omesse (art. 52 Codice privacy: annotazione disposta dal giudice; minori; rapporti di famiglia e stato delle persone). Sulle massime della Cassazione facciamo un controllo automatico dei dati personali e nascondiamo le voci segnalate (non vengono pubblicate). Prima di aggiungere qualsiasi nuova fonte giudiziaria applicheremo una procedura di anonimizzazione. Non possiamo informare singolarmente ogni persona citata in una decisione: sarebbe impossibile o richiederebbe uno sforzo sproporzionato (art. 14.5.b GDPR); questa sezione è l'informativa resa pubblica a tal fine. Se ritieni che un documento pubblicato contenga dati che andavano omessi, scrivici (sez. 1): verifichiamo e, se serve, oscuriamo.
5. A chi comunichiamo i dati
Non vendiamo dati e non li comunichiamo a terzi per loro scopi commerciali. I dati sono trattati dal nostro personale autorizzato e dai seguenti fornitori, che agiscono come responsabili del trattamento con un contratto ai sensi dell'art. 28 GDPR [[CONFERMARE: contratti (DPA) accettati con ciascuno]]:
| Fornitore | Servizio | Dati | Dove |
|---|---|---|---|
| Hetzner Online GmbH (Germania) | server (VPS) che ospita diritto.io e archiviazione di oggetti compatibile S3 | tutti i dati del servizio | Unione europea (Falkenstein, Germania; data center fsn1) |
| Cloudflare, Inc. (Stati Uniti) | rete di distribuzione e proxy davanti al sito (protezione da attacchi, cache), DNS, Turnstile | dati tecnici delle richieste (IP, URL, intestazioni), segnali di Turnstile | rete globale, anche fuori dall'UE (sez. 6) |
| Brevo – Sendinblue SAS (Francia) | invio delle email di accesso e di servizio | indirizzo email destinatario, contenuto dell'email | Unione europea [[CONFERMARE: eventuali sub-responsabili di Brevo fuori dall'UE]] |
| Stripe Payments Europe, Limited (Irlanda) [[CONFERMARE: entità contraente]] | pagamenti e abbonamenti (quando attivi) | dati di fatturazione e di pagamento | UE e Stati Uniti (sez. 6) |
Titolari autonomi: Google e Microsoft per l'accesso con i loro account (sez. 4.3); Stripe per le sue finalità proprie (sez. 4.7); il tuo ente o organizzazione, per quanto riguarda il rapporto con te.
Possiamo comunicare dati alle autorità quando la legge lo impone.
6. Trasferimenti fuori dall'Unione europea
Trasferiamo dati fuori dall'UE solo con le garanzie del capo V del GDPR (artt. 44-49):
- Cloudflare (Stati Uniti) e Stripe (Stati Uniti, per i servizi della capogruppo): sulla base della decisione di adeguatezza della Commissione sul quadro UE-USA per la protezione dei dati personali (decisione di esecuzione (UE) 2023/1795, art. 45 GDPR), per le società che figurano nell'elenco degli aderenti [[CONFERMARE: adesione di Cloudflare, Inc. e Stripe, Inc. nell'elenco del Dipartimento del Commercio USA]], e in ogni caso delle clausole contrattuali tipo adottate dalla Commissione (art. 46.2.c GDPR) incluse nei loro contratti.
- Google e Microsoft, come titolari autonomi, trasferiscono i dati del tuo accesso secondo le loro informative.
- Non ci basiamo sulle deroghe dell'art. 49 GDPR. Se un trasferimento dovesse basarsi su una di esse, te lo diremo prima.
Puoi chiederci copia delle garanzie scrivendo all'indirizzo della sez. 1.
7. Per quanto tempo conserviamo i dati
| Dati | Durata |
|---|---|
| Link e codice di accesso | 15 minuti, o fino al primo uso |
| Stato dell'accesso con Google/Microsoft | 10 minuti |
| Sessione | 30 giorni dall'ultimo utilizzo, o fino all'uscita |
| Codici dei limiti di utilizzo (IP cifrato, contatori) | fino alla fine della finestra di conteggio, al massimo 48 ore |
| Account (email, metodi di accesso, piani) | fino alla cancellazione dell'account. Account inattivi da 24 mesi: ti avvisiamo e, se non accedi, li cancelliamo [[CONFERMARE: regola proposta nella spec, non ancora decisa]] |
| Registro delle operazioni sull'account | 24 mesi; dopo la cancellazione dell'account le voci restano senza email né altri dati che ti identifichino |
| Chiavi API e loro utilizzo | finché la chiave o l'account esistono [[CONFERMARE: durata dei conteggi di utilizzo]] |
| Lavagne di un account | finché le cancelli o cancelli l'account |
| Lavagne senza account | se nessuno le apre né le modifica per 180 giorni ne svuotiamo il contenuto; dopo altri 30 giorni le cancelliamo [[CONFERMARE: che la pulizia sia programmata in produzione e se valga anche per le lavagne di un account]] |
| Inviti a un'organizzazione | 14 giorni se non accettati [[CONFERMARE: cancellazione dopo la scadenza]] |
| Dati di partecipazione al miglioramento | 12 mesi |
| Commenti del consiglio dei giuristi | 5 anni |
| Fatture e documenti contabili | 10 anni (art. 2220 c.c.) e, se più lungo, fino alla definizione degli accertamenti fiscali (art. 22 d.P.R. 600/1973) |
| Email ricevute (inviate a privacy@ e security@) | 2 anni |
| Registri tecnici del server e del reverse proxy | pochi giorni (rotazione per dimensione, al massimo 3 × 10 MB per servizio): indirizzo IP, ora, metodo, percorso senza parametri, stato |
| Copie di sicurezza (backup) | copia giornaliera del database per 7 giorni, copia settimanale per 4 settimane (al massimo circa 5 settimane); i dati cancellati escono dai backup alla loro scadenza |
Possiamo conservare più a lungo i dati necessari per difendere un diritto in una contestazione già sorta, per il tempo necessario.
8. I tuoi diritti
Hai diritto di:
- accesso (art. 15 GDPR): sapere se trattiamo tuoi dati e averne copia;
- rettifica (art. 16): correggere dati inesatti (nome e indirizzi li modifichi tu dalla pagina Account);
- cancellazione (art. 17): ottenere la cancellazione, salvo i dati che dobbiamo conservare per legge (ad es. le fatture) o per difendere un diritto;
- limitazione (art. 18): chiedere che sospendiamo il trattamento mentre verifichiamo una tua contestazione;
- portabilità (art. 20): ricevere i dati che ci hai fornito in un formato strutturato e leggibile da una macchina;
- opposizione (art. 21): opporti, per motivi legati alla tua situazione, ai trattamenti basati sul legittimo interesse; smettiamo salvo motivi legittimi prevalenti o la difesa di un diritto;
- revocare il consenso in qualsiasi momento (art. 7.3), senza effetti sui trattamenti già fatti.
Quando rettifichiamo, cancelliamo o limitiamo dati che abbiamo comunicato ad altri, lo comunichiamo anche a loro, salvo che sia impossibile o sproporzionato; se lo chiedi, ti diciamo chi sono (art. 19).
Come esercitarli. Dalla pagina Account puoi: scaricare i tuoi dati in un file JSON ("Scarica i miei dati": account, email, metodi di accesso, piani e loro origine, chiavi API e loro uso, lavagne con il loro contenuto, organizzazioni, registro delle operazioni sul tuo account), correggere nome e indirizzi, revocare il consenso, cancellare l'account. Per tutto il resto scrivi all'indirizzo della sez. 1. Rispondiamo senza ingiustificato ritardo e al più tardi entro un mese; in casi complessi il termine può essere prorogato di due mesi, e in tal caso te lo diciamo entro il primo mese (art. 12.3). Il servizio è gratuito; possiamo chiederti informazioni per verificare la tua identità se abbiamo dubbi ragionevoli.
Cancellazione dell'account. La confermi con un link via email (o con un nuovo accesso con Google/Microsoft). Cancelliamo account, email, metodi di accesso, chiavi API (prima revocate) e le lavagne di cui sei proprietario: chi aveva il link di quelle lavagne non potrà più aprirle. Gli abbonamenti attivi vengono disdetti. Non puoi cancellare l'account se sei l'unico proprietario di un'organizzazione: prima nomina un altro proprietario o chiudi l'organizzazione.
Decisioni automatizzate. Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo su di te (art. 22 GDPR). I limiti di utilizzo si applicano automaticamente secondo il piano; la sospensione di un account la decide una persona.
9. Reclamo
Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it; art. 77 GDPR, artt. 141-142 Codice privacy) o all'autorità di controllo dello Stato UE in cui vivi o lavori, oppure rivolgerti al giudice (art. 79 GDPR). Il reclamo al Garante e il ricorso al giudice sono alternativi per lo stesso oggetto tra le stesse parti (art. 140-bis Codice privacy). Ti invitiamo a scriverci prima: spesso risolviamo più in fretta.
10. Obbligo di fornire i dati
Per usare diritto.io senza account non devi fornire alcun dato personale, oltre ai dati tecnici che ogni connessione comporta. L'indirizzo email è necessario per creare un account: senza, non possiamo crearlo. I dati di fatturazione sono necessari per acquistare un piano a pagamento. Il consenso alla partecipazione al miglioramento è facoltativo.
11. Età minima
diritto.io non è rivolto ai minori. Per creare un account devi avere almeno 18 anni (art. 4 dei Termini) (il limite di legge per il consenso ai servizi della società dell'informazione è 14 anni, art. 2-quinquies Codice privacy; abbiamo scelto 18 anni).
12. Sicurezza
Adottiamo misure adeguate al rischio (art. 32 GDPR), tra cui: connessioni cifrate (HTTPS); nessuna password da custodire; chiavi API, chiavi delle lavagne, link e codici di accesso conservati solo come impronte crittografiche; IP mai salvati in chiaro; registri applicativi che non contengono email, token né IP; area di amministrazione separata e protetta da un controllo d'accesso aggiuntivo; accesso ai dati limitato al personale che ne ha bisogno. Nessuna misura elimina ogni rischio: in caso di violazione dei dati notifichiamo il Garante e, quando il rischio per te è elevato, informiamo anche te, nei casi e nei termini previsti (artt. 33-34 GDPR).
13. Modifiche
Se cambiamo questa informativa pubblichiamo la nuova versione con la data. Se le modifiche sono rilevanti, ti avvisiamo via email o al primo accesso. Se cambiano le finalità o i destinatari dei dati raccolti con il consenso, ti chiediamo un nuovo consenso.