Privacy policy

Informativa sul trattamento dei dati personali ai sensi del Regolamento UE 2016/679 (GDPR).

Titolare del trattamento

Il titolare del trattamento è Luca Gabella Mandati Internazionali, Via Ravenna 1, 19125 La Spezia, Italia, P.IVA 01549960118. Per ogni richiesta relativa ai dati personali è possibile scrivere dal modulo di contatto, indicando nel messaggio il diritto che si intende esercitare.

Dati raccolti

Attraverso il modulo di contatto vengono raccolti nome e cognome, indirizzo e-mail, eventuale ragione sociale e il contenuto del messaggio inviato.

Il sito ospita inoltre alcuni moduli raggiungibili solo da un collegamento inviato per posta elettronica: qualificazione fornitore, richiesta di fornitura, invio di una quotazione, richiesta della scheda di un'opportunità e prenotazione di un incontro. Chi li compila fornisce i propri dati di contatto e quelli della propria azienda, le informazioni tecniche e commerciali che la richiesta comporta e gli eventuali documenti allegati. Quei dati sono trattati per la stessa finalità per cui vengono forniti e non per altre.

Il sito impiega cookie di statistica (Google Analytics 4) e di marketing (Google Ads, LinkedIn) solo previo consenso, raccolto attraverso il banner che compare alla prima visita. Strumenti, durate e modalità di revoca sono descritti nella cookie policy.

Finalità e base giuridica

I dati sono trattati esclusivamente per rispondere alle richieste ricevute e per l'eventuale svolgimento del rapporto professionale che ne dovesse derivare. La base giuridica è il consenso dell'interessato e l'esecuzione di misure precontrattuali.

Dove sono conservati

I dati raccolti dal sito e dai moduli sono conservati in un archivio gestito direttamente dal titolare, su un solo server collocato nell'Unione Europea. Non vengono trasferiti a piattaforme CRM di terze parti né utilizzati per finalità di marketing, salvo la misurazione delle campagne LinkedIn descritta qui sotto, per chi vi ha acconsentito.

Alcuni fornitori trattano dati per conto del titolare, come responsabili del trattamento ai sensi dell'art. 28 GDPR, ciascuno solo per il proprio servizio:

• Aruba S.p.A. (Italia): server, posta elettronica e PEC del dominio;
• Zoho Corporation B.V. (Paesi Bassi): firma elettronica dei documenti, descritta più avanti;
• Stripe Payments Europe, Limited (Irlanda): pagamenti con carta e portafogli digitali, in parte come titolare autonomo, come descritto più avanti;
• Anthropic PBC (Stati Uniti): strumento di scrittura basato sull'intelligenza artificiale, che riceve solo dati pseudonimizzati, come descritto più avanti;
• Google Ireland Ltd (Irlanda): statistiche e pubblicità, solo con il consenso dato nel banner dei cookie.

Misurazione delle campagne LinkedIn. Se hai acconsentito ai cookie di marketing e arrivi da un annuncio su LinkedIn, il modulo registra con la tua richiesta la campagna di provenienza. Se la richiesta diventa una trattativa, il titolare lo comunica a LinkedIn Ireland Unlimited Company (Irlanda) attraverso la Conversions API, con l'indirizzo e-mail cifrato in SHA-256, nome, cognome, azienda e l'identificativo del clic sull'annuncio, perché LinkedIn possa attribuire il risultato alla campagna. Non viene comunicato il contenuto della richiesta. La base giuridica è il consenso, revocabile in ogni momento dal link «Gestisci cookie»; la revoca non tocca le comunicazioni già avvenute. Dettagli nella cookie policy.

Area riservata

A chi compila uno dei moduli può essere proposto, per posta elettronica, l'accesso a un'area riservata dove trova i documenti che gli vengono condivisi, gli incontri fissati e i propri dati, che può correggere. L'accesso è personale e protetto da password; le correzioni fatte dall'interessato vengono registrate con data e ora.

Ogni documento PDF scaricato da quell'area, o da un collegamento personale ricevuto per posta, viene marcato al momento del download con il nome del destinatario, la data e un codice copia, e il download viene annotato in un registro insieme all'indirizzo IP e al browser usati. Serve a proteggere la riservatezza dei documenti condivisi: la base giuridica è il legittimo interesse del titolare e dei clienti a sapere a chi era intestata una copia. L'informativa completa dell'area riservata è disponibile su crm.mandati-internazionali.eu.

Firma elettronica

Offerte, accordi di riservatezza e altri documenti da sottoscrivere possono essere inviati per la firma elettronica con Zoho Sign. Per la firma vengono trattati nome, indirizzo e-mail, ruolo nell'azienda, l'eventuale numero di cellulare per il codice di verifica via SMS, il documento stesso e i dati tecnici della firma (data e ora delle aperture e della sottoscrizione, indirizzo IP), che confluiscono nel certificato di completamento allegato al documento firmato. I dati restano nei data center europei di Zoho. La base giuridica è l'esecuzione del contratto o di misure precontrattuali.

Fatturazione e pagamenti

Per emettere proforma, fatture elettroniche e note di credito il titolare tratta l'anagrafica fiscale del cliente (ragione sociale o nome e cognome, Partita IVA o codice fiscale, sede, indirizzo PEC, codice destinatario), il contenuto dei documenti, gli importi, le scadenze e i pagamenti ricevuti. L'emissione, la trasmissione e la conservazione delle fatture sono un obbligo di legge (art. 6, par. 1, lett. c GDPR); proforma, promemoria di pagamento e incassi servono all'esecuzione del contratto (art. 6, par. 1, lett. b GDPR).

Sistema di Interscambio. Le fatture elettroniche sono trasmesse al Sistema di Interscambio (SdI) dell'Agenzia delle Entrate, che le tratta come titolare autonomo, attraverso la posta elettronica certificata del titolare gestita da Aruba S.p.A. Una copia del documento può essere inviata per e-mail e resa disponibile nell'area riservata. Fatture e note di credito sono conservate per dieci anni dalla data dell'ultima registrazione (art. 2220 del codice civile e art. 39 del DPR 633/1972), come previsto anche per le fatture elettroniche.

Pagamenti con carta e portafogli digitali. Proforma e fatture possono essere pagate con carta, Apple Pay, Google Pay o gli altri metodi che Stripe mostra, sulla pagina del titolare crm.mandati-internazionali.eu/pay/, in cui è incorporato il modulo di pagamento di Stripe Payments Europe, Limited (Irlanda), oppure sulla pagina di pagamento ospitata da Stripe. I dati della carta si inseriscono direttamente nei campi di Stripe: non transitano dai server del titolare e non vi sono conservati. Il titolare comunica a Stripe importo, valuta e numero del documento e, se ha attivato le ricevute di Stripe, l'indirizzo e-mail del cliente; da Stripe riceve l'esito del pagamento, l'importo, la valuta, la commissione, la data e gli identificativi del pagamento e dei versamenti sul proprio conto (payout).

Stripe esegue il pagamento per conto del titolare, ma tratta una parte dei dati come titolare autonomo: per la prevenzione delle frodi, per gli obblighi antiriciclaggio e gli altri obblighi di legge e per la gestione dei circuiti di pagamento, secondo la propria informativa sulla privacy. I trasferimenti verso Stripe, Inc. negli Stati Uniti si basano sull'EU-US Data Privacy Framework, cui Stripe aderisce, e sulle clausole contrattuali standard della Commissione europea. I cookie tecnici che Stripe usa sulla pagina di pagamento sono descritti nella cookie policy.

Intelligenza artificiale

Nel proprio gestionale il titolare usa Claude, il modello di intelligenza artificiale di Anthropic, come strumento di scrittura: per preparare bozze di messaggi e di documenti commerciali (offerte, accordi di riservatezza, note operative, report) e le righe descrittive di proforma e fatture, per riscriverli o tradurli, per riordinare appunti e per rispondere a domande sui dati del gestionale. L'invio avviene solo quando il titolare lo chiede, mai in automatico, e ogni testo prodotto viene riletto dal titolare prima di essere usato. Il modello non prende decisioni che riguardano l'interessato: non ci sono decisioni automatizzate ai sensi dell'art. 22 GDPR. Nemmeno i prezzi li decide il modello: nelle righe di proforma e fatture compaiono solo se indicati dal titolare.

Pseudonimizzazione. Prima che una richiesta lasci il server del titolare, i dati personali che contiene vengono sostituiti con codici neutri, per esempio [[NOME_3F2A9C]]. Vale per nomi e cognomi, ragione sociale e sito web dell'azienda, indirizzi e-mail, numeri di telefono, indirizzi, Partita IVA, codice fiscale, IBAN e profili LinkedIn. Anthropic riceve solo i codici e il contesto commerciale della richiesta; i dati veri vengono rimessi al loro posto sul server del titolare quando arriva la risposta. La corrispondenza fra codici e dati non viene mai inviata né salvata: esiste solo per la durata della singola richiesta, e i codici sono generati con una chiave segreta che resta sul server del titolare (artt. 4, n. 5, 25 e 32 GDPR).

La sostituzione è automatica: riconosce i dati presenti in archivio e quelli che hanno un formato riconoscibile, come indirizzi e-mail, numeri di telefono, codici fiscali, IBAN e Partite IVA. Un nome citato nel testo di un messaggio e assente dall'archivio, o un dettaglio che da solo non identifica ma unito ad altri potrebbe farlo, può non essere sostituito. Per questo i dati inviati sono pseudonimizzati e non anonimi, e restano dati personali tutelati dal GDPR.

Garanzie del fornitore. Anthropic PBC tratta i dati come responsabile del trattamento, in base all'accordo sul trattamento dei dati incluso nelle sue condizioni commerciali. Il trasferimento verso gli Stati Uniti si basa sulle clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR), contenute in quell'accordo. I contenuti inviati tramite l'API di Anthropic non vengono usati per addestrare i modelli e vengono cancellati dal fornitore entro 30 giorni, salvo i casi previsti dalle sue condizioni, come la verifica di usi illeciti.

Base giuridica e opposizione. Il trattamento si basa sul legittimo interesse del titolare a gestire corrispondenza e documenti commerciali in modo rapido e accurato (art. 6, par. 1, lett. f GDPR), con le tutele descritte sopra. L'interessato può opporsi in qualsiasi momento (art. 21 GDPR) scrivendo dal modulo di contatto: da quel momento i suoi dati e la sua corrispondenza non verranno più elaborati con questo strumento.

Conservazione

I dati sono conservati per il tempo necessario a gestire la richiesta e, in caso di rapporto professionale, per la durata prevista dagli obblighi di legge in materia contabile e fiscale. Il registro dei download dei documenti condivisi è conservato per cinque anni. I documenti firmati e il relativo certificato di completamento sono conservati per la durata del contratto e per i dieci anni successivi. Fatture e note di credito sono conservate per dieci anni dall'ultima registrazione.

Diritti dell'interessato

L'interessato può esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 del GDPR, tra cui accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento. È inoltre possibile proporre reclamo all'Autorità Garante per la protezione dei dati personali.

Ultimo aggiornamento: 5 ottobre 2026.