Informativa sulla privacy

Ultimo aggiornamento: 7 ottobre 2026

Questa traduzione è fornita per facilitare la lettura. In caso di discrepanza, prevale la versione spagnola.

La presente Informativa descrive il trattamento dei dati personali effettuato tramite il servizio AIM CODEX. BIOMAG, S.L.U. rispetta il regolamento (UE) 2016/679 (GDPR), la legge organica spagnola 3/2018 (LOPDGDD) e la LSSI, garantendo trasparenza e sicurezza nell’uso dei dati.

1. Titolare del trattamento

2. Due ruoli: titolare e responsabile del trattamento

Per la natura del Servizio convivono due ruoli che è importante distinguere:

• BIOMAG, S.L.U. agisce come TITOLARE per i dati dell’account e del rapporto contrattuale: quelli di chi sottoscrive o usa il Servizio (nome, e-mail, azienda, dati di fatturazione) e i dati d’uso necessari per fornirlo e proteggerlo.
• BIOMAG, S.L.U. agisce come RESPONSABILE DEL TRATTAMENTO per i dati personali che l’utente decide di includere nei documenti che sigilla, condivide o invia tramite il Servizio, e per i dati dei destinatari. In quest’ambito il titolare è l’utente e BIOMAG tratta i dati per suo conto e secondo le sue istruzioni, in base all’Accordo sul trattamento dei dati.
• Pagina di provenienza della registrazione: se crei l’account premendo un pulsante di una delle nostre pagine (ad esempio, il modello di preventivo), salviamo il nome di quella pagina insieme alla registrazione, per sapere quali pagine sono utili. Solo il nome della pagina: nulla viene salvato nel tuo browser e non ti seguiamo tra una visita e l’altra. Base: legittimo interesse.

3. Quali dati trattiamo?

• Dati identificativi e di contatto: nome, indirizzo e-mail, organizzazione.
• Dati di fatturazione: quelli necessari per emettere fattura e gestire il pagamento dell’abbonamento.
• Dati d’uso e di sicurezza: indirizzo IP, dati di navigazione e registri (log) delle azioni compiute nel Servizio (creazione, sigillatura, verifica, accettazione), per il funzionamento, la prova e la prevenzione delle frodi.
• Contenuto dei documenti e dati dei destinatari (nome ed e-mail di chi riceve, apre, verifica o accetta un documento): trattati come responsabile del trattamento, per conto dell’utente titolare.
• Testo inviato alle funzioni di intelligenza artificiale (redigere, rivedere o spiegare un documento), solo quando l’utente le usa. Può includere dati personali di terzi se il documento li contiene; è trattato come responsabile del trattamento, per conto dell’utente. Non usare queste funzioni con categorie particolari di dati (salute, convinzioni, appartenenza sindacale, origine etnica, vita sessuale, biometria, dati giudiziari).
• Registrazioni audio delle riunioni, solo quando l’utente usa la funzione dei verbali: l’audio viene inviato al fornitore di intelligenza artificiale (tramite OpenRouter) per trascriverlo e redigere la bozza del verbale. CODEX non conserva la registrazione: ne tiene solo l’impronta SHA-256 e la dimensione. Contiene la voce e ciò che dicono i partecipanti; è trattata come responsabile del trattamento, per conto dell’utente, che deve informare i partecipanti prima di registrare.
• Misurazione anonima del funzionamento del sito: uscendo da ogni pagina, il browser invia tre tempi di caricamento, la pagina e se lo schermo è di un dispositivo mobile. Nessun cookie, nessun identificativo, e l’indirizzo IP non viene conservato.
• Rapporti tecnici del browser quando la politica di sicurezza del sito blocca qualcosa: la pagina (senza parametri), la regola e l’origine bloccata. Nessun dato sulla persona.
• Risposte a sondaggi volontari per migliorare il sito: anonime; non chiediamo nome né e-mail.

L’ancoraggio della prova nella blockchain pubblica pubblica solo un’impronta crittografica (hash SHA-256) del documento: né il contenuto del documento né alcun dato personale vengono pubblicati nella catena.

4. Finalità e base giuridica

5. Destinatari e responsabili del trattamento (sub-responsabili)

I dati non sono comunicati a terzi salvo obbligo di legge o necessità per fornire il Servizio. Per fornirlo, trattano dati come responsabili di BIOMAG, S.L.U., sulla base di un accordo sul trattamento dei dati, i seguenti fornitori (l’elenco aggiornato, con i dati trattati da ciascuno e dove, è su aim-codex.ai/subencargados):

• Railway (USA): hosting dell’applicazione e del database, su server nei Paesi Bassi.
• Resend (USA): invio delle e-mail del servizio, dalla sua regione europea (Irlanda).
• Migadu-Mail GmbH (Svizzera): la casella di contatto e l’invio di posta di riserva.
• OpenRouter, Inc. (USA): accesso ai modelli di intelligenza artificiale, solo quando si usano quelle funzioni: riceve il testo e, se si usano i verbali delle riunioni, la registrazione audio. Ogni richiesta impone al fornitore che esegue il modello di non conservare i dati e di non usarli per l’addestramento.
• Paddle.com Market Limited (Regno Unito): incasso degli abbonamenti come rivenditore; tratta i dati di pagamento come titolare, non per nostro conto.
• Calendari di marcatura temporale della blockchain pubblica (OpenTimestamps) e autorità di marcatura temporale (DigiCert, Sectigo e FreeTSA): ricevono solo l’impronta SHA-256, nessun dato personale.
• Esploratori pubblici di Bitcoin (blockstream.info e mempool.space): quando verifichi un documento, il tuo browser chiede loro direttamente i dati pubblici del blocco in cui è ancorato; come qualsiasi sito, ricevono il tuo indirizzo IP e il numero del blocco, mai il documento né la sua impronta. Anche il nostro server li consulta, solo con il numero del blocco.
• Consulenti fiscali e contabili, revisori e servizi legali, se del caso, e autorità e pubbliche amministrazioni, quando lo impone la legge.

Dove sono i tuoi dati. I dati del tuo account e i tuoi documenti sono conservati nell’Unione europea. Il testo e l’audio che invii alle funzioni di intelligenza artificiale sono elaborati negli Stati Uniti o in altri paesi in cui si trovano i fornitori dei modelli.

Trasferimenti internazionali: Railway, Resend e OpenRouter sono aziende statunitensi. Ogni trasferimento o accesso dall’esterno dello Spazio economico europeo è coperto dalle clausole contrattuali tipo della Commissione europea incluse nei loro accordi sul trattamento dei dati e, nel caso di Resend, anche dal quadro UE-USA per la protezione dei dati. La Svizzera e il Regno Unito dispongono di una decisione di adeguatezza della Commissione europea.

6. Tempi di conservazione

• Dati dell’account e dei documenti: finché l’account è attivo e, dopo la chiusura, per il periodo stabilito dall’utente o quello necessario per far fronte a responsabilità legali.
• Fatturazione: i termini previsti dalla normativa fiscale e commerciale.
• Richieste/assistenza: fino alla risoluzione e, se del caso, per la tracciabilità.
• Sicurezza/frodi: per il tempo necessario; poi bloccati per far fronte a responsabilità.
• Aperture dei link e codici: l’indirizzo IP e il browser di ogni apertura vengono cancellati dopo 12 mesi (resta solo la data); i codici di verifica e i link per reimpostare la password, il giorno dopo la scadenza; le iscrizioni agli avvisi mai confermate, dopo 30 giorni.
• Dopo la cancellazione dell’account: i suoi documenti e dati vengono cancellati. Di ogni documento sigillato si conservano solo l’impronta crittografica, la versione, la data del sigillo e se era revocato o in scadenza, senza titolo né dati personali, affinché chi lo ha ricevuto possa continuare a verificarne l’autenticità.

Cancellazione dei dati di chi firma o conferma la ricezione. Su richiesta della persona, l’emittente cancella i suoi dati dalla console: nome, e-mail, IP e browser spariscono dagli elenchi, dal registro attività e dalle esportazioni, e il suo link smette di funzionare. Le ricevute e i dossier già sigillati non vengono modificati, perché la loro impronta cambierebbe e non proverebbero più nulla: sono conservati senza link pubblico, solo l’emittente può scaricarli e solo per accertare, esercitare o difendere un diritto in sede giudiziaria (art. 17.3.e GDPR), e vengono cancellati con l’account. Nei dossier condivisi tramite link, le e-mail sono mascherate.

7. I tuoi diritti

Puoi esercitare i diritti di accesso, rettifica, cancellazione, opposizione, limitazione, portabilità e revoca del consenso rivolgendoti a:

• Posta: c/ Barrachi, 39 – Pab. 3, 01013 Vitoria-Gasteiz (Álava, Spagna).
• E-mail: hola@aim-codex.ai.

Potremo chiedere una prova d’identità. Termine di risposta: massimo 1 mese (prorogabile di 2 mesi). Quando i dati sono trattati come responsabile del trattamento (quelli contenuti nei documenti di un cliente), le richieste degli interessati saranno trasmesse al cliente titolare perché vi risponda. Puoi presentare reclamo all’Agenzia spagnola per la protezione dei dati: www.aepd.es.

8. Minori

Il Servizio non è rivolto ai minori di 14 anni e i loro dati non sono trattati consapevolmente. Se rilevati, saranno cancellati.

9. Sicurezza e violazioni

Applichiamo misure tecniche e organizzative adeguate (controllo degli accessi, cifratura in transito, sigillatura e integrità della prova, registro degli incidenti e copie di sicurezza). In caso di violazione della sicurezza che comporti un rischio, la notificheremo all’AEPD entro 72 ore al massimo e, se del caso, agli interessati.

10. Cookie

Le informazioni sui cookie si trovano nella Cookie policy.