Informativa sul trattamento dei dati personali

Resa ai sensi degli artt. 12, 13 e 14 del Regolamento (UE) 2016/679 ("GDPR")

Premessa: due ruoli distinti, e conviene non confonderli#

DoConure (con i prodotti Composer Fly, Signer Fly e Document Fly) è un servizio di SDL Consulting Group S.r.l., che si presenta con il marchio Limepeak. Rispetto ai dati personali facciamo due cose diverse, e questa informativa le tiene separate:

La distinzione non è formale. Decide a chi un interessato chiede l'accesso o la cancellazione, e chi è tenuto a rispondergli. Il Servizio è riservato a imprese e professionisti (§ 12): i nostri clienti non sono consumatori, ma le persone che lavorano per loro, e le persone che firmano, sono persone fisiche e hanno tutti i diritti del GDPR.

Per chi riceve un invito a firmare: l'informativa breve per i firmatari#

Se hai ricevuto un'email o un SMS con un collegamento per firmare un documento, questo è quello che ti serve sapere.

• Chi decide del tuo dato è l'azienda che ti ha inviato il documento (il "mittente"): è il titolare del trattamento. Ti ha scelto, ha deciso di farti firmare e ha deciso quali dati chiederti. Le basi giuridiche e le finalità sono le sue e te le deve indicare nella propria informativa.
• Noi siamo il suo responsabile del trattamento (art. 28 GDPR): eseguiamo la firma per suo conto e solo secondo le sue istruzioni. Non usiamo i tuoi dati per nostre finalità, non ti scriviamo per fare marketing e non li vendiamo.
• Che cosa registriamo quando firmi: il tuo nome e il tuo indirizzo email; il numero di cellulare solo se il mittente ha scelto la verifica con SMS; il metodo di verifica dell'identità effettivamente applicato; data, ora, indirizzo IP e user agent (il programma del tuo browser) di ciascun passaggio; il segno di firma che scegli (nome digitato o tratto grafico); le risposte ai campi del documento; la tua accettazione e, se lo scegli, il rifiuto di firmare. Ogni evento è registrato in un elenco concatenato crittograficamente che non può essere modificato dopo. Il documento firmato porta un certificato di completamento che riporta i dati principali della firma.
• Che firma è: una firma elettronica semplice. Se il mittente ha chiesto il sigillo elettronico qualificato, il documento completo viene inviato anche al prestatore del sigillo (Openapi, con Namirial): il sigillo è del Fornitore e garantisce origine e integrità del file, non trasforma la tua firma in una firma avanzata o qualificata.
• Chi vede i tuoi dati: il mittente e le persone che ha autorizzato; noi, come fornitore tecnico; i fornitori elencati nell'elenco dei sub-responsabili (hosting, invio di email e SMS). Le pagine di firma non contengono strumenti di misurazione né pubblicità e non impostano cookie (§ 10).
• Per quanto tempo: le prove della firma (registro degli eventi, documento firmato, certificato) sono conservate 10 anni dalla chiusura della pratica, poi i tuoi dati personali sono resi anonimi in modo irreversibile; il testo dei messaggi con i collegamenti e i codici è conservato molto meno (§ 2: 7 giorni per i codici, 30 giorni dalla chiusura per gli inviti e i promemoria). La conservazione dei documenti che il mittente ti ha inviato è decisa da lui entro i limiti dell'accordo con noi.
• I tuoi diritti (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) si esercitano nei confronti del mittente, che è il titolare. Se scrivi a noi, a doconure@limepeak.it, inoltriamo la tua richiesta al mittente senza ritardo e comunque entro 5 giorni lavorativi e lo assistiamo nel rispondere: non rispondiamo noi al posto suo. Puoi sempre rivolgerti al Garante per la protezione dei dati personali (garanteprivacy.it).
• Se ritieni che il documento sia fraudolento puoi segnalarlo da /report, senza account: in quel caso, e solo per la segnalazione, siamo titolari (§ 2.j).

1. Titolare del trattamento#

SDL Consulting Group S.r.l. Sede legale: Via Gaetano Nicolosi 13, 95019 Zafferana Etnea (CT), Italia — P.IVA e C.F. 05991350876 — REA CT-454777 — capitale sociale EUR 10.000 i.v. Email: doconure@limepeak.it — PEC: sdlgroup@legalmail.it — Assistenza: doconure@limepeak.it Richieste sui dati personali: doconure@limepeak.it

Responsabile della protezione dei dati (DPO): non nominato

Non abbiamo nominato un DPO perché l'art. 37, par. 1, GDPR non lo impone: non siamo un'autorità pubblica; la nostra attività principale non consiste nel monitoraggio regolare e sistematico degli interessati su larga scala (il Servizio registra gli eventi di una firma per provarla, non osserva il comportamento delle persone, e le misurazioni del sito sono facoltative e minime); e non consiste nel trattamento su larga scala di categorie particolari di dati o di dati relativi a condanne penali (il Servizio non è destinato a tali dati: DPA, Allegato I). Rivediamo questa valutazione quando cambiano i volumi o la natura del servizio. Per qualsiasi questione di protezione dei dati scrivi a doconure@limepeak.it.

2. Quali dati trattiamo, perché, su quale base e per quanto tempo#

La tabella è unica: ogni riga dice chi siamo per quel trattamento (T = titolari, R = responsabili per conto del cliente), la finalità, la base giuridica e il tempo di conservazione. Il criterio generale è al § 9.

Il legittimo interesse invocato per i log, le tracce di audit e le segnalazioni è la sicurezza del servizio e la capacità di ricostruire cosa è successo dopo un incidente. È bilanciato dal fatto che i log non alimentano la profilazione del § 2.b e non sono usati per valutare le persone. Sono due archivi distinti e restano tali. L'analisi del bilanciamento è disponibile su richiesta. In ogni caso, hai il diritto di opporti ai trattamenti fondati sul legittimo interesse (§ 8): lo diciamo qui, in modo separato, perché l'art. 21, par. 4, GDPR chiede che sia portato espressamente all'attenzione dell'interessato.

Fonte dei dati e dati non raccolti presso di te (art. 14). Di norma i dati ci sono forniti dalla persona stessa. Fanno eccezione: i dati di un collega, inseriti dal coordinatore del cliente quando lo invita nell'account (nome, email, ruolo); i dati dei firmatari, che ci sono forniti dal cliente (e in quel caso agiamo come responsabili, come nel blocco per i firmatari); l'esito della verifica della partita IVA, che otteniamo dal servizio VIES della Commissione europea; l'esito e il riferimento di un pagamento, che otteniamo dal fornitore di pagamento. Non otteniamo dati da elenchi o da fonti commerciali. Ti informiamo di questi trattamenti al primo contatto e al più tardi entro un mese; l'informazione è questa pagina.

2.a Comunicazioni commerciali#

Se ci viene dato il consenso, inviamo per email novità sul servizio, nuove funzioni e proposte commerciali. Il consenso è:

• facoltativo: rifiutarlo non impedisce di aprire un account né cambia una sola funzione del Servizio;
• separato da ogni altra casella, e mai preselezionato;
• revocabile in qualsiasi momento, dal proprio profilo nella console o dal link in fondo a ogni messaggio, senza dover spiegare perché e con la stessa facilità con cui è stato dato (art. 7.3 GDPR). La revoca non pregiudica la liceità degli invii già effettuati.

Verso chi è già nostro cliente possiamo inviare comunicazioni su servizi analoghi a quelli acquistati anche senza consenso, in base al legittimo interesse e nei limiti dell'art. 130, comma 4, del D.Lgs. 196/2003 (soft spam): anche in questo caso ogni messaggio porta il link per fermarle.

Non cediamo l'indirizzo email a terzi per le loro finalità di marketing. Non lo abbiamo mai fatto e non compare fra le finalità sopra: se un giorno dovesse comparire, questa informativa sarà aggiornata prima e non dopo.

2.b Profilazione per proposte su misura#

Se ci viene dato il consenso, analizziamo come l'account usa il Servizio — quali funzioni, con che frequenza, con quali volumi e formati — per capire quale piano conviene e quali contenuti sono pertinenti, invece di proporre a tutti la stessa cosa.

Vale la pena essere precisi su che cosa questo non è:

• non incrocia dati di terzi, non usa fonti esterne e non ricostruisce comportamenti fuori dal Servizio;
• non guarda dentro i documenti dei clienti né i dati dei firmatari. Quei dati sono trattati come responsabili, per conto del cliente, e usarli per una finalità nostra sarebbe una violazione del DPA prima ancora che di questa informativa;
• non produce decisioni automatizzate con effetti giuridici o similmente significativi ai sensi dell'art. 22 GDPR: nessun prezzo, nessun limite e nessuna sospensione dipende da essa;
• non condiziona il Servizio: negarla o revocarla non cambia nulla di quello che si può fare.

Anche questo consenso è facoltativo, separato, mai preselezionato e revocabile in qualsiasi momento dal proprio profilo.

2.c Come sono registrati i consensi#

Ogni risposta — il sì e il no — è scritta in un registro con la data, l'ora, l'indirizzo IP e la versione del testo che era in vigore in quel momento. Ciascuno può vedere il proprio storico dal proprio profilo. Serve a noi per dimostrare il consenso come richiede l'art. 7.1 GDPR, e serve all'interessato per verificare che quanto ricorda corrisponda a quanto risulta. Il consenso a cookie e strumenti di misurazione del sito pubblico (§ 10) è ricordato nel browser. Quando ti registri ne conserviamo una copia con l'organizzazione, come prova: le finalità consentite o rifiutate, la data e la versione del banner, senza indirizzo IP, finché l'account esiste. Solo se hai acconsentito, la copia comprende gli identificativi del browser che servono a collegare la registrazione alla campagna (l'identificativo del cookie _ga, gli identificativi di clic), che sono cancellati dopo 90 giorni.

2.d Provenienza della registrazione (attribuzione)#

Per capire quali campagne portano a una registrazione registriamo, per ciascun account: le etichette della campagna (i parametri UTM del collegamento), il primo e l'ultimo contatto, il percorso della prima pagina visitata, il solo nome del sito di provenienza e l'eventuale identificativo di clic di una piattaforma pubblicitaria. L'identificativo di clic è cancellato dopo 90 giorni (il periodo è un'impostazione della piattaforma e può essere azzerato). Non usiamo alcun cookie per questa misura, non registriamo indirizzo IP né user agent a questo scopo e questo registro non è trasmesso a terzi. È una misura nostra, distinta dagli strumenti di misurazione e pubblicità del § 10, che sono attivi soltanto con il consenso. Si può chiedere l'opposizione in qualsiasi momento (§ 8).

2.e Programma di segnalazione (referral)#

Il programma, attualmente non attivo, premia con crediti chi porta un nuovo cliente. Il premio è in soli crediti, non denaro, ed è limitato a 1.000 crediti per singolo premio e a 10.000 crediti per segnalante. Un premio è accreditato una sola volta e solo dopo un pagamento reale. Per prevenire l'abuso confrontiamo dati che già conserviamo per altri scopi (dominio dell'email, numero di telefono, dati di fatturazione, indirizzi dei recenti accessi) e una impronta del pagamento: un codice ottenuto con una chiave segreta (keyed hash) da brand, ultime cifre e scadenza della carta, come comunicati dal fornitore di incasso; non è un numero di carta, non è leggibile a ritroso, ed è conservata solo per i pagamenti effettuati tramite un fornitore reale. Un segnale sospetto fa soltanto intervenire una persona: nessun rifiuto automatico.

2.f Statistiche d'uso per chiave di accesso#

Per ciascuna chiave API conserviamo contatori giornalieri (numero di richieste ed esiti), cancellati dopo 400 giorni. Non contengono il contenuto delle richieste né dati dei documenti.

2.g Tracce di audit#

Registriamo, in tracce di audit concatenate crittograficamente, le azioni rilevanti sull'account e sul servizio, compresi i tentativi di accesso con il relativo indirizzo IP. Proprio perché sono concatenate, una riga non può essere modificata né cancellata singolarmente senza interrompere la catena: per questo restano anche dopo l'anonimizzazione dell'account (§ 9.1). Non è oggi prevista una cancellazione automatica delle tracce: restano per la durata dell'account e, dopo l'anonimizzazione, senza più un nome associato (gli indirizzi IP restano nelle righe in cui compaiono). Il termine massimo di conservazione sarà fissato e questa informativa aggiornata prima che entri in vigore.

2.h Accesso protetto da secondo fattore#

Ogni utente della console accede con password e un secondo fattore obbligatorio: un codice monouso inviato per email oppure un'applicazione TOTP a scelta dell'utente. I codici di recupero sono conservati come hash.

2.i Modulo di contatto#

Chi ci scrive dal modulo di contatto del sito (/contatti) ci comunica nome e cognome, un indirizzo email, l'argomento e il messaggio e, se vuole, telefono e azienda; registriamo anche l'indirizzo IP e lo user agent da cui il messaggio è arrivato, per proteggere il modulo dagli invii automatici. Usiamo questi dati solo per rispondere: la richiesta arriva via email alla nostra casella e rispondiamo da lì. Non inviamo alcuna email di conferma all'indirizzo indicato, non usiamo questi dati per comunicazioni commerciali e non li colleghiamo a un account. La base giuridica è l'esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6.1.b) quando chi scrive valuta il Servizio, e altrimenti il nostro legittimo interesse a rispondere a chi ci contatta (art. 6.1.f). La richiesta e la notifica che la riguarda sono cancellate 24 mesi dopo l'invio; una richiesta di esercizio dei diritti è conservata, come ogni altra richiesta, per lo stesso termine, anche come prova della risposta data.

2.j Segnalazioni di abuso#

Chiunque riceva tramite il Servizio un documento che ritiene fraudolento può segnalarlo da /report, senza account. Conserviamo il messaggio, il riferimento indicato, l'email del segnalante solo se fornita (è facoltativa), l'indirizzo IP e lo user agent. Servono a individuare e fermare l'uso fraudolento del Servizio, sulla base del nostro legittimo interesse e di quello dei destinatari a non essere ingannati (art. 6.1.f). La segnalazione è letta da una persona e da sola non sospende né blocca nulla. La segnalazione e la notifica che la riguarda sono cancellate 24 mesi dopo la chiusura (quando è archiviata come gestita o come infondata); finché è aperta, cioè ancora da esaminare, non è cancellata. Se ha portato a un provvedimento che può servire in un contenzioso, il dato necessario resta nel fascicolo dell'account interessato secondo le regole di quest'ultimo.

3. Conferimento#

I dati dell'account sono necessari: senza di essi il servizio non può essere erogato, e quelli di fatturazione sono richiesti anche da obblighi di legge. Nel modulo di contatto nome, email e messaggio sono necessari per poter rispondere; telefono e azienda sono facoltativi. I consensi dei §§ 2.a e 2.b e quello a cookie e strumenti di misurazione sono facoltativi e il loro rifiuto non ha alcuna conseguenza sul Servizio.

4. Destinatari e sub-responsabili#

All'interno: le sole persone autorizzate e istruite dal titolare, secondo il principio del minimo privilegio.

All'esterno, i soggetti elencati in subresponsabili.md, dove si trovano anche i servizi, il luogo e le garanzie di ciascuno. In sintesi:

5. Trasferimenti di dati verso Paesi terzi#

Non trasferiamo dati personali fuori dallo Spazio Economico Europeo per erogare il Servizio, con le due precisazioni che seguono, che diciamo espressamente.

• Sigillo qualificato (solo se richiesto): uno dei sub-responsabili di Openapi, Mcloud Ltd, è stabilito nel Regno Unito. Il trasferimento si fonda sulla decisione di adeguatezza della Commissione europea per il Regno Unito (art. 45 GDPR), che al momento di questa informativa è in vigore (rinnovata nel dicembre 2025, con scadenza al 27 dicembre 2031); se venisse meno, si applicherebbero le clausole contrattuali tipo (art. 46 GDPR) o il sigillo non sarebbe offerto. Anche un altro sub-responsabile di Openapi, Google Ireland Ltd, appartiene a un gruppo con capogruppo extra-UE: i dati restano in Belgio (regione europe-west1).
• Strumenti di misurazione e pubblicità (solo con il consenso): le società irlandesi del § 4 possono trasferire dati verso gli Stati Uniti. Per Google il trasferimento si fonda sul EU-US Data Privacy Framework (decisione di adeguatezza del 10 luglio 2023); per gli altri fornitori ci basiamo sulle garanzie che ciascuno dichiara (decisione di adeguatezza per le società certificate o clausole contrattuali tipo), indicate nella rispettiva informativa. Se non dai il consenso, nessun dato è inviato a questi soggetti.

Il criterio di preferire fornitori con soggetto contraente europeo guida la nostra scelta dei fornitori (in particolare quello di posta, nel 2026, per ridurre l'esposizione al CLOUD Act). Se un altro trasferimento diventasse necessario, questa informativa sarà aggiornata prima che avvenga. Copia delle garanzie è disponibile su richiesta a doconure@limepeak.it.

6. Processi decisionali automatizzati#

Non effettuiamo processi decisionali automatizzati che producano effetti giuridici sugli interessati, o che incidano su di essi in modo analogamente significativo, ai sensi dell'art. 22 GDPR.

La profilazione descritta al § 2.b — che esiste solo per chi l'ha espressamente consentita — non rientra nell'art. 22: non decide nulla, non determina prezzi, limiti o sospensioni, e produce soltanto quali contenuti e quali proposte vengono mostrati. Resta comunque il diritto di opporvisi e di revocare il consenso in qualsiasi momento. Le misure di sicurezza che bloccano un accesso sospetto o limitano le richieste in eccesso agiscono sull'indirizzo e sulla chiave di accesso, non valutano le persone, e sono riesaminate da un operatore su richiesta.

7. Misure di sicurezza#

Le misure in atto sono descritte nell'Allegato II del DPA: cifratura dei file a riposo e dei dati in transito, secondo fattore obbligatorio, isolamento fra clienti, copie di sicurezza cifrate, registri a prova di manomissione. Non è un elenco di intenzioni: è verificato contro il sistema in esercizio. Una violazione dei dati personali è gestita secondo l'art. 33 GDPR: la notifichiamo al Garante entro 72 ore quando siamo titolari e, quando siamo responsabili, al cliente titolare entro i termini del DPA, con comunicazione agli interessati ove l'art. 34 lo richieda.

8. I diritti dell'interessato#

Ai sensi degli artt. 15-22 GDPR si può chiedere: accesso, rettifica, cancellazione, limitazione, portabilità, e opposizione al trattamento fondato sul legittimo interesse — sempre, e senza motivazione, per il marketing diretto — e si può revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento già avvenuto.

Per i trattamenti fondati sul consenso (§§ 2.a e 2.b) la via più rapida non è scriverci: la revoca è un interruttore nel proprio profilo, ha effetto immediato e resta registrata. Per il consenso a cookie e strumenti di misurazione del sito vale il collegamento «Gestisci cookie» in fondo a ogni pagina pubblica (§ 10). L'art. 7.3 GDPR chiede che revocare sia facile quanto acconsentire, e un modulo da compilare non lo è.

Le richieste si inviano a doconure@limepeak.it. Non c'è alcun costo. Rispondiamo entro un mese dalla richiesta, prorogabile di due in casi complessi, dandone comunicazione entro il primo mese (art. 12 GDPR). Se abbiamo dubbi ragionevoli sull'identità di chi scrive, possiamo chiedere informazioni per confermarla. Se i dati sono trattati da noi come responsabili (blocco per i firmatari sopra), inoltriamo la richiesta al titolare entro 5 giorni lavorativi.

Reclamo: è sempre possibile rivolgersi al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it), o all'autorità dello Stato di residenza o in cui è avvenuta la presunta violazione (art. 77 GDPR), fermo ogni altro ricorso amministrativo o giurisdizionale.

9. Conservazione: il criterio, non solo i numeri#

Conserviamo i dati per il tempo necessario alla finalità per cui sono raccolti, e per il periodo ulteriore imposto dalla legge o necessario a far valere un diritto in giudizio (art. 5.1.e GDPR). La tabella al § 2 indica i termini per ciascuna categoria; i periodi sono applicati da procedure automatiche giornaliere. Alla scadenza i dati sono cancellati o resi anonimi.

9.1 Account inattivo: archiviazione e anonimizzazione#

Conta come attività solo l'ultima operazione di produzione andata a buon fine e addebitata in crediti. In assenza di attività scriviamo agli utenti dopo 12, 18 e 23 mesi, e di nuovo 7 giorni prima dell'archiviazione.

• Dopo 24 mesi: archiviazione, reversibile. Accesso, chiavi API, notifiche automatiche ed elaborazioni sono sospesi; i dati e i crediti restano. Può essere riattivato su richiesta verificata.
• Dopo 5 anni di archiviazione (circa 7 anni di inattività complessiva), previo un preavviso 30 giorni prima, oppure su richiesta dell'interessato: anonimizzazione, irreversibile. L'identità operativa (nomi, email, telefono, chiavi, modelli, documenti non soggetti a obbligo) è rimossa e i crediti residui sono persi. È il nostro strumento per dare seguito alla richiesta di cancellazione (art. 17).
• Se l'organizzazione ha un saldo negativo (un debito verso di noi, ad esempio dopo una rettifica IVA), l'anonimizzazione automatica non avviene: una persona del nostro team valuta se procedere, rinunciando al credito, oppure conservare l'account archiviato per tutelare il nostro diritto al pagamento (legittimo interesse, art. 6.1.f, e difesa in giudizio).

Dopo l'anonimizzazione restano, ciascuno con il proprio termine:

L'indirizzo email di chi viene anonimizzato è rimosso con l'atto: l'ultimo messaggio che l'account riceve è il preavviso.

9.2 Documenti caricati per la firma#

I file PDF che il cliente carica perché siano firmati sono suoi contenuti: li trattiamo come responsabili (DPA). Sono conservati cifrati, per 30 giorni dal caricamento (fino a 365 su richiesta del cliente) e, se sottoscritti in un processo di firma, finché servono alle evidenze di quel processo (10 anni): il periodo decennale riguarda dati trattati come responsabili e non come titolari, ed è disciplinato dal DPA; risponde alla necessità di dimostrare la validità di una firma finché essa può essere contestata.

10. Cookie e tecnologie simili#

Il dettaglio, con i nomi, le durate e le finalità di ciascun cookie e di ciascuno strumento, è nella cookie policy. In sintesi:

• Senza consenso, solo ciò che serve a erogare il servizio richiesto: il cookie di sessione (per l'accesso e per proteggere i moduli), la preferenza sulla barra di navigazione della console e, sul sito pubblico, il cookie che ricorda la tua scelta sui cookie. Le pagine di firma, l'app, la console e l'area amministrativa non contengono strumenti di misurazione né pubblicità.
• Con il tuo consenso, e solo sul sito pubblico (non nelle pagine di firma né nella console): misurazione delle visite e delle campagne e misurazione delle conversioni pubblicitarie (Google Analytics 4 e Google Ads; il pixel e l'interfaccia per le conversioni di OpenAI; il Tag Insight e l'interfaccia per le conversioni di LinkedIn; il pixel di Meta). Nessuna richiesta a questi soggetti parte prima della tua scelta, e fino ad allora i segnali di consenso di Google (Consent Mode) sono tutti negati. Gli eventi che inviamo dal nostro server (a Google Analytics, OpenAI e LinkedIn; a Meta nessuno) e le conversioni che carichiamo in Google Ads con un file riguardano solo chi ha acconsentito.
• Puoi rifiutare tutto con la stessa facilità con cui accetti, scegliere per finalità, e cambiare idea quando vuoi dal collegamento «Gestisci cookie» in fondo a ogni pagina. La scelta è ricordata 6 mesi; poi te la chiediamo di nuovo (Linee guida del Garante del 10 giugno 2021).

11. Minori#

Il Servizio è rivolto a imprese e professionisti e non è destinato a persone minori di 18 anni. Non raccogliamo consapevolmente dati di minori: se ne veniamo a conoscenza, li cancelliamo. Un cliente che fa firmare un minore lo fa sotto la propria responsabilità di titolare.

12. Ambito: solo imprese e professionisti#

Il Servizio è venduto soltanto a chi agisce nell'esercizio di un'attività imprenditoriale, commerciale, artigianale o professionale e viene fatturato a una partita IVA. Questa informativa si rivolge quindi alle persone fisiche che agiscono per conto del cliente e a chi visita il sito, e ai firmatari come sopra.

13. Modifiche#

Ogni modifica sostanziale è comunicata ai titolari di account con 30 giorni di preavviso e pubblicata con l'indicazione della data di efficacia e della versione. Le versioni precedenti sono disponibili su richiesta.