Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Unleaf Advisoring S.R.L.S. — Sede legale: Via Sebino 11, 00199 Roma (RM), C.F./P.IVA 17905611004. PEC: company@pec.unleaf.it — per l’esercizio dei diritti: privacy@unleaf.it.

Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendone i presupposti di obbligatorietà previsti dall’art. 37 GDPR.

2. Tipologie di dati trattati

• Dati delle richieste di accesso: nome e cognome, email, organizzazione, ruolo richiesto, eventuale messaggio libero, la dichiarazione di agire per scopi professionali e non come consumatore, esito della valutazione. L’area riservata non prevede registrazione libera: chi chiede l’accesso compila un modulo che il Titolare valuta. Il conferimento di questi dati è necessario per valutare la richiesta: in mancanza la richiesta non può essere esaminata.
• Dati account: email, password (memorizzata esclusivamente come hash dal provider di autenticazione, Supabase — non la vediamo mai in chiaro), ruolo assegnato.
• Autenticazione a due fattori (MFA): se attivata, un secret TOTP è generato e conservato da Supabase; non vediamo mai il secret né i codici della tua app authenticator.
• Accettazione dei Termini d’uso: identificativo dell’account e impronta crittografica dell’email, data e ora dell’accettazione, versione dei Termini, le dichiarazioni rese (accettazione dei Termini e approvazione specifica delle clausole) e lingua della schermata.
• Log di utilizzo dell’assistente AI (audit log): per ogni domanda posta all’assistente conserviamo l’identificativo del tuo account (email), il testo della domanda, la risposta generata, le fonti citate, il ruolo, il modello AI utilizzato e la data/ora — per tracciabilità, sicurezza, applicazione del limite mensile di utilizzo e revisione periodica della qualità delle risposte.
• Limiti all’uso delle fonti: per ogni risposta registriamo, con l’identificativo del tuo account, quali documenti esterni l’assistente ha usato e quante parole ne ha ripreso alla lettera, senza il testo; servono a limitare l’uso di uno stesso documento nelle risposte delle 24 ore successive.
• Notifiche e preferenze: preferenze di visibilità delle serie editoriali, temi e Paesi che scegli di seguire, notifiche di servizio in-app e relativo stato di lettura. Seguire temi e Paesi è facoltativo: se non scegli nulla, non ricevi le notifiche relative. I Paesi che segui possono far intuire dove viaggi o intendi viaggiare: li usiamo solo per mostrarti le notifiche che hai chiesto, non li comunichiamo a terzi, e li cambi o li togli quando vuoi dalla pagina Account. Per sapere quando cambia l’avviso di viaggio di un Paese, il Portale legge l’elenco pubblico degli avvisi del governo britannico (Foreign, Commonwealth & Development Office), senza trasmettere alcun dato degli utenti.
• Dati tecnici di navigazione: indirizzo IP, tipo di browser, pagine visitate, raccolti automaticamente dall’infrastruttura di hosting per il funzionamento e la sicurezza del sito. Il Titolare non mantiene un proprio archivio di questi log, ad eccezione dell’elenco temporaneo degli indirizzi IP bloccati descritto nel punto seguente.
• Blocco automatico degli scanner: il Portale registra l’indirizzo IP di chi richiede alcuni percorsi usati dagli scanner automatici di vulnerabilità (percorsi che nessun utente legittimo visita e che rispondono come pagine inesistenti), insieme a data del primo e dell’ultimo tentativo, numero di tentativi, ultimo percorso richiesto e user-agent del client, e blocca quell’indirizzo per 7 giorni (rifiuto di accesso a tutto il sito). Non viene registrato né bloccato chi ha una sessione attiva.
• Segnalazioni e reclami: se ci scrivi per segnalare un contenuto, chiederne la rettifica o la rimozione o presentare un reclamo, trattiamo i tuoi dati identificativi e di contatto, l’indirizzo del contenuto contestato, il contenuto della segnalazione e dell’esito e gli scambi con noi.
• Richieste sui diritti: se eserciti uno dei tuoi diritti, registriamo la data e il canale della richiesta, il modo in cui abbiamo verificato la tua identità, il diritto esercitato, le azioni eseguite e la data e l’esito della risposta.

Il sito non utilizza strumenti di analisi statistica (es. Google Analytics), cookie pubblicitari, pixel di tracciamento o plugin social.

Contiamo, in forma aggregata, quante volte si apre il riquadro «Prossimi passi» e quante volte da lì si sceglie di scrivere a Unleaf. Sono numeri per giorno e per tema, senza identificativo dell’account, indirizzo IP o pagina letta, e non li usiamo per risalire a singole persone né per profilare nessuno. Se scrivi a Unleaf dal riquadro, il messaggio lo invii tu dal tuo programma di posta a info@unleaf.it, e lo trattiamo come ogni richiesta di informazioni, secondo l’informativa del sito www.unleaf.it.

Dati di terzi nei contenuti. I contenuti editoriali e le fonti pubbliche indicizzate nella base di conoscenza dell’assistente possono contenere dati personali di terzi (ad esempio nomi di autori, revisori o persone citate in documenti istituzionali). Sono trattati solo come parte del contenuto informativo, sulla base del legittimo interesse del Titolare alla diffusione di informazione sulla sicurezza (art. 6.1.f); provengono da fonti pubbliche e non dagli interessati. Informare individualmente questi soggetti sarebbe impossibile o richiederebbe uno sforzo sproporzionato (art. 14, par. 5, lett. b, GDPR): questa informativa ne tiene luogo. Per esercitare i diritti o chiedere la rimozione di un dato scrivi a privacy@unleaf.it.

3. Finalità e basi giuridiche

• Valutare le richieste di accesso all’area riservata — misure precontrattuali adottate su richiesta dell’interessato (art. 6.1.b).
• Erogare il servizio autenticato (login, dashboard con storico delle tue interazioni, assistente AI, notifiche, preferenze, export) — esecuzione del contratto con l’utente registrato (art. 6.1.b).
• Conservare la prova dell’accettazione dei Termini e difendere i diritti del Titolare — legittimo interesse del Titolare (art. 6.1.f).
• Sicurezza, tracciabilità, prevenzione degli abusi e applicazione del limite mensile di utilizzo (audit log, rate limiting) — legittimo interesse del Titolare (art. 6.1.f); la valutazione di legittimo interesse è documentata internamente.
• Limitare l’uso di uno stesso documento esterno nelle risposte dell’assistente, a tutela dei diritti dei titolari delle fonti (contatori dei limiti per fonte) — legittimo interesse del Titolare (art. 6.1.f).
• Revisione periodica della qualità delle risposte dell’assistente su campioni di interazioni registrate: un modello di OpenAI ne fa una pre-valutazione automatica, senza ricevere l’email né l’identificativo dell’utente, e il giudizio finale è di personale autorizzato del Titolare — legittimo interesse al miglioramento e alla sicurezza del servizio (art. 6.1.f).
• Erogazione tecnica, sicurezza e diagnostica dell’infrastruttura (log tecnici di hosting) — legittimo interesse del Titolare all’operatività e alla sicurezza del servizio (art. 6.1.f).
• Protezione del Portale dalle scansioni automatiche di vulnerabilità (registrazione e blocco temporaneo degli indirizzi IP che richiedono i percorsi-trappola) — legittimo interesse del Titolare alla sicurezza della rete e delle informazioni (art. 6.1.f; considerando 49 GDPR).
• Gestire segnalazioni, richieste di rettifica e reclami ricevuti da terzi e difendere i diritti del Titolare — legittimo interesse del Titolare (art. 6.1.f).
• Gestire le richieste di esercizio dei diritti e rispondere — obbligo di legge (art. 6.1.c, in relazione agli artt. 12 e 24 GDPR); conservare il registro delle richieste, per poter dimostrare di averle gestite correttamente — legittimo interesse del Titolare (art. 6.1.f).

4. Modalità del trattamento — assenza di profilazione

I dati sono trattati con strumenti informatici e misure tecniche e organizzative adeguate (v. §9). Il limite mensile di utilizzo dell’assistente è un conteggio automatico a soglia, non un’attività di profilazione: non produce effetti giuridici o analogamente significativi e non costituisce processo decisionale automatizzato ai sensi dell’art. 22 GDPR. La modulazione delle risposte in base al ruolo dell’account è una preferenza di ordinamento dei contenuti, non una valutazione della persona. Le notifiche su temi e Paesi dipendono solo dalle scelte che fai nella pagina Account: il Portale non ricava i tuoi interessi da ciò che leggi o chiedi all’assistente. Anche il blocco temporaneo degli indirizzi IP che richiedono percorsi-trappola è una misura tecnica automatica, che si ritira da sola alla scadenza e non produce effetti giuridici o analogamente significativi sulla persona.

5. Uso dell’intelligenza artificiale

L’assistente del Portale è un sistema di AI generativa (Regolamento UE 2024/1689 — "AI Act"): l’utente ne è informato nell’interfaccia e in una pagina di trasparenza dedicata ("Trasparenza AI") che descrive funzionamento, limiti e responsabilità.

Ai fini privacy rilevano in particolare:

• il testo della domanda, i passaggi di contesto recuperati dal corpus e i messaggi precedenti della stessa conversazione vengono inviati a OpenAI per generare la risposta; per i clienti API OpenAI dichiara ritenzione massima di 30 giorni (salvo obblighi di legge o eccezioni per endpoint specifici documentate da OpenAI) e nessun uso per l’addestramento dei modelli di default;
• domanda e risposta sono registrate nell’audit log (v. §2 e §10); campioni di interazioni possono essere esaminati da personale autorizzato del Titolare per la revisione della qualità (v. §3);
• le risposte sono generate automaticamente e possono contenere errori: non costituiscono consulenza professionale e vanno verificate sulle fonti citate.

Raccomandazione: non inserire nelle domande dati personali (propri o di terzi) non necessari, né informazioni riservate o classificate: il testo libero della domanda viene conservato nell’audit log e trasmesso al fornitore AI nei termini sopra descritti.

6. Cookie

Vengono utilizzati solo cookie tecnici di sessione, impostati dal provider di autenticazione (Supabase) esclusivamente per gli utenti che hanno effettuato il login. La sessione termina dopo 48 ore di inattività e comunque entro 14 giorni dal login. Nessun cookie è impostato per i visitatori anonimi; non è richiesto un banner di consenso, trattandosi di cookie strettamente necessari secondo le Linee guida del Garante (10/06/2021). La lingua dell’interfaccia (italiano/inglese) è determinata dal percorso URL, non da un cookie. Dettagli nella cookie notice (pagina dedicata del Portale).

7. Destinatari e responsabili del trattamento

• Supabase — autenticazione, database, audit log, notifiche, richieste di accesso. Dati ospitati in region UE.
• Vercel — hosting e distribuzione dell’applicazione (fornitore USA). Per i dati generati dal servizio, come i log, l’indirizzo IP e la località ricavata dall’indirizzo, che Vercel usa anche per gestire e migliorare i propri servizi, Vercel agisce come titolare autonomo del trattamento, secondo la propria informativa (vercel.com/legal/privacy-notice).
• OpenAI — riceve il testo delle domande (e i passaggi recuperati) per generare embedding e risposte dell’assistente e, per la revisione della qualità, campioni di domande e risposte registrate, senza email né identificativo dell’utente (contraente per i clienti SEE: OpenAI Ireland Ltd; elaborazione su infrastruttura USA).
• Aruba (fornitore UE) — caselle di posta del Portale e invio delle email transazionali (inviti, reset password, avvisi).
• Microsoft — archiviazione del registro delle segnalazioni e dei reclami (OneDrive di Unleaf, accesso ristretto).
• Anthropic — fornisce lo strumento di intelligenza artificiale con cui leggiamo e smistiamo le email ricevute agli indirizzi del Portale, comprese le segnalazioni e i reclami, e con cui amministriamo e sviluppiamo il Portale; in questo caso riceve i risultati dei controlli sul database, che di regola limitiamo a conteggi e riscontri, senza estrarre i dati degli utenti, sulla base dei propri termini commerciali, che comprendono l’accordo sul trattamento dei dati (contraente per i clienti SEE: Anthropic Ireland, Limited). Anthropic non usa questi dati per addestrare i propri modelli; ogni risposta e ogni decisione restano di una persona.

I dati non sono ceduti a terzi per finalità di marketing né diffusi. Supabase, Vercel, OpenAI, Aruba, Microsoft e Anthropic trattano i dati in qualità di responsabili del trattamento (art. 28 GDPR). I dati sono trattati inoltre dalle persone autorizzate dal Titolare (personale e collaboratori), che operano secondo le sue istruzioni.

8. Trasferimenti extra-UE

• OpenAI: il contraente per i clienti SEE è OpenAI Ireland Ltd; i trasferimenti successivi verso gli USA avvengono sulla base di clausole contrattuali standard (SCC) approvate dalla Commissione europea, richiamate nel relativo Data Processing Addendum.
• Vercel (USA): certificata al EU-U.S. Data Privacy Framework (inclusa la UK Extension) e allo Swiss-U.S. DPF; il DPA incorpora inoltre le SCC.
• Supabase: i dati del Portale risiedono in region UE; il DPA copre con SCC i trasferimenti di dati di account/supporto verso l’entità contrattuale di Singapore.
• Anthropic: il contraente per i clienti SEE è Anthropic Ireland, Limited; Anthropic può trattare i dati anche fuori dallo Spazio economico europeo, compresi gli Stati Uniti, e per questi trasferimenti il suo accordo sul trattamento dei dati richiama le clausole contrattuali standard (SCC) approvate dalla Commissione europea.

Puoi ottenere una copia delle garanzie adottate per i trasferimenti (SCC e relativi DPA) scrivendo a privacy@unleaf.it.

9. Misure di sicurezza (sintesi)

Accesso su approvazione con ruoli (RBAC); password con protezione contro credenziali compromesse note; MFA TOTP disponibile; isolamento dei dati a livello di database (Row Level Security: ogni utente accede solo ai propri dati); cifratura del traffico (HTTPS/TLS); tracciabilità delle interazioni con l’assistente; limitazione automatica degli abusi (limite mensile di utilizzo e blocco temporaneo degli indirizzi IP degli scanner automatici).

10. Periodo di conservazione

11. Diritti dell’interessato

Puoi esercitare in ogni momento i diritti di cui agli artt. 15-22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) scrivendo a privacy@unleaf.it. Rispondiamo senza ritardo e comunque entro un mese dalla richiesta; il termine può essere prorogato di ulteriori due mesi se necessario, tenuto conto della complessità e del numero delle richieste, con comunicazione motivata entro il primo mese. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Diritto di opposizione. Per i trattamenti fondati sul legittimo interesse del Titolare (art. 6.1.f: sicurezza e audit log, revisione della qualità, contatori dei limiti per fonte, log tecnici, blocco degli scanner, gestione delle segnalazioni, dati di terzi nei contenuti, prova dell’accettazione dei Termini, registro delle richieste sui diritti) puoi opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, scrivendo a privacy@unleaf.it (art. 21 GDPR). Il Titolare cessa il trattamento, salvo che dimostri motivi legittimi cogenti che prevalgono sui tuoi interessi o per accertare, esercitare o difendere un diritto in sede giudiziaria.