Informativa privacy

Versione del 16 ottobre 2026

Informativa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR»).

1. Chi tratta i dati

Per i dati dell'account, della sicurezza degli accessi, dell'abbonamento e della fatturazione il titolare del trattamento è Alessandro Richard, ditta individuale — Via Roma 123, 15020 Villadeati (AL) — P.IVA 10689390010 — PEC alessandro.richard@pec.it — e-mail assistenza@controvisto.it.

Per i dati che lo studio inserisce nel registro (pratiche, usi dell'IA, verifiche, persone dello studio) il titolare è lo studio cliente; il Fornitore li tratta come responsabile del trattamento, per conto dello studio, secondo l'accordo ex art. 28 GDPR.

2. Quali dati

• Account: indirizzo e-mail, password (conservata solo in forma cifrata non reversibile), chiave della verifica in due passaggi, nome, qualifica, Ordine e numero di iscrizione all'albo (se indicati), studio di appartenenza, ruolo.
• Sicurezza degli accessi: per ogni dispositivo un identificativo casuale, il tipo di browser e di sistema (es. «Chrome su Windows»), data e ora del primo e dell'ultimo accesso; registro degli accessi e delle disconnessioni.
• Abbonamento e fattura: piano, stato, intestazione, partita IVA o codice fiscale, indirizzo, PEC o codice destinatario; identificativi del cliente e dell'abbonamento presso Stripe. I dati della carta li tratta solo Stripe: il Fornitore non li vede.
• Registro e sigilli: i dati inseriti dallo studio; per ogni sigillo l'impronta SHA-256 del file, il nome e la dimensione del file. Il file non viene mai trasmesso, nemmeno quando il sigillo viene stampato dentro il PDF.
• Storico: chi ha fatto ogni modifica e quando. E-mail di servizio inviate (avvisi di rinnovo e di nuovo accesso).
• Dati tecnici: registri del servizio (indirizzo IP, data e ora delle richieste) conservati dai fornitori dell'infrastruttura per la sicurezza.

3. Per che cosa e su quale base

• Fornire il servizio, gestire l'abbonamento e mandare gli avvisi di rinnovo: esecuzione del contratto (art. 6.1.b).
• Fatturazione e adempimenti fiscali: obbligo di legge (art. 6.1.c).
• Sicurezza degli accessi (verifica in due passaggi, limite di due dispositivi, avviso di nuovo accesso, registro degli accessi), prevenzione degli abusi, verifica dell'iscrizione all'albo dichiarata, tutela dei diritti in giudizio: legittimo interesse del Fornitore, degli studi e di chi riceve i documenti sigillati (art. 6.1.f).
• Pagina pubblica di verifica: mostra a chiunque abbia il codice nome e qualifica di chi ha verificato, l'eventuale iscrizione all'albo verificata, nome dello studio, tipo di documento, strumento di IA, esito, controlli fatti, date, impronta del file ed eventuale revoca con il motivo. È la funzione stessa del sigillo, che l'utente sceglie di emettere: esecuzione del contratto e legittimo interesse dello studio e di chi riceve il documento a verificarne la provenienza. La pagina non mostra il nome del file né il riferimento della pratica e non è indicizzata dai motori di ricerca.
• Data certa giornaliera: ai calendari pubblici OpenTimestamps viene mandata una sola impronta al giorno, calcolata da tutti i sigilli; non contiene né permette di ricavare dati personali.

4. A chi vanno i dati

• Supabase Inc. — database, accessi e funzioni del servizio, con server nell'Unione europea, responsabile del trattamento.
• Cloudflare Inc. — pubblicazione del sito e protezione della rete, responsabile del trattamento.
• Aruba S.p.A. — casella di posta da cui partono le e-mail del servizio, responsabile del trattamento.
• Stripe Payments Europe Ltd. — pagamenti, titolare autonomo per i dati di pagamento.
• Commercialista e servizio di fatturazione elettronica, per gli obblighi fiscali.

Alcuni fornitori hanno sede negli Stati Uniti: i trasferimenti avvengono sulla base del quadro UE-USA per la protezione dei dati (EU-U.S. Data Privacy Framework) o delle clausole contrattuali tipo della Commissione europea.

5. Per quanto tempo

• Dati dell'account, del registro, dei dispositivi e degli accessi: per la durata dell'abbonamento e per 30 giorni dopo la fine dell'ultimo periodo pagato, poi cancellati automaticamente (vedi le condizioni d'uso, punto 8).
• Dati pubblici dei sigilli già emessi e prova della data certa: almeno 10 anni dall'emissione (art. 2946 c.c.), perché altri si affidano a quei sigilli.
• Dati di fatturazione: 10 anni (art. 2220 c.c.). E-mail di servizio inviate: 180 giorni.
• Registri tecnici: secondo le politiche dei fornitori, di norma non oltre 90 giorni. Copie di sicurezza: con il loro ciclo di rotazione.

6. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporti al trattamento basato sul legittimo interesse, scrivendo ad assistenza@controvisto.it o alla PEC alessandro.richard@pec.it. Per i dati del registro il riferimento è lo studio, che ne è titolare: il Fornitore lo aiuta a rispondere. Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

7. Cookie e memoria del browser

Il sito non usa cookie di profilazione né strumenti di statistica di terze parti. Il programma conserva nel browser solo ciò che serve a funzionare: la sessione di accesso, l'identificativo casuale del dispositivo, l'ora dell'ultima attività (per l'uscita automatica) e le preferenze di leggibilità.