Informativa sulla Privacy
Informativa sulla Privacy
Ultimo aggiornamento: 28 marzo 2026
La presente informativa descrive le modalità di trattamento dei dati personali degli utenti che utilizzano la piattaforma Theka (di seguito "Piattaforma", "Servizio" o "Sito"), un sistema di gestione documentale (DAM — Digital Asset Management) accessibile in modalità multi-tenant tramite i domini e sottodomini gestiti dal Titolare del trattamento.
L'informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
1. Titolare del trattamento
Il Titolare del trattamento è la società che gestisce la Piattaforma Theka. Per esercitare i diritti previsti dal GDPR o per qualsiasi informazione relativa al trattamento dei dati personali, è possibile contattare il Titolare attraverso la sezione Contatti disponibile sulla Piattaforma.
2. Categorie di dati personali trattati
2.1 Dati forniti volontariamente dall'utente
- Dati di registrazione e account: nome, cognome, indirizzo email, password (conservata in forma crittografata), ruolo nell'organizzazione.
- Dati del profilo: foto profilo, preferenze di lingua, preferenze di notifica, tema visivo.
- Contenuti caricati: documenti, file, immagini e altri asset digitali caricati sulla Piattaforma, inclusi i relativi metadati (titolo, descrizione, tag, campi personalizzati).
- Comunicazioni: messaggi inviati tramite il modulo di contatto (nome, email, oggetto, testo del messaggio), note e commenti associati ai documenti.
- Dati di supporto: ticket di assistenza, richieste di supporto e relative comunicazioni.
2.2 Dati raccolti automaticamente
- Dati di navigazione: indirizzo IP, tipo e versione del browser, sistema operativo, pagine visitate, data e ora di accesso, durata della sessione.
- Dati di autenticazione: token di sessione, timestamp di login e logout, informazioni sul rinnovo della sessione.
- Dati di utilizzo: documenti visualizzati, ricerche effettuate, azioni compiute sulla Piattaforma (upload, download, approvazioni, modifiche).
- Dati tecnici di errore: in caso di malfunzionamenti, vengono raccolti dati diagnostici tramite il servizio Sentry (errori JavaScript, stack trace, breadcrumb di navigazione, log di console, registrazioni di sessione).
- Cookie e tecnologie similari: come descritto nella Cookie Policy della Piattaforma.
2.3 Dati forniti da terzi
- Dati dell'organizzazione: l'amministratore dell'organizzazione (tenant) può fornire i dati degli utenti invitati a utilizzare la Piattaforma, inclusi nome, email e ruolo assegnato.
3. Finalità e base giuridica del trattamento
| Finalità | Descrizione | Base giuridica |
|---|---|---|
| Erogazione del Servizio | Gestione dell'account, autenticazione, accesso alla Piattaforma, gestione multi-tenant, caricamento, organizzazione, ricerca e condivisione dei documenti. | Esecuzione del contratto (art. 6, par. 1, lett. b, GDPR) |
| Gestione dei workflow documentali | Processi di approvazione, versionamento, assegnazione di protocollo, gestione degli stati dei documenti (bozza, revisione, finale, archiviato). | Esecuzione del contratto (art. 6, par. 1, lett. b, GDPR) |
| Funzionalità di intelligenza artificiale | Analisi automatica dei documenti, estrazione di metadati, suggerimento di tag, ricerca semantica tramite embedding, generazione di riepiloghi e risposte basate sui contenuti (RAG — Retrieval-Augmented Generation). | Esecuzione del contratto (art. 6, par. 1, lett. b, GDPR) |
| Sicurezza | Protezione contro accessi non autorizzati, prevenzione CSRF, gestione dei permessi e dei ruoli, audit log delle operazioni. | Legittimo interesse (art. 6, par. 1, lett. f, GDPR) |
| Monitoraggio tecnico | Rilevamento e risoluzione di errori, monitoraggio delle prestazioni, registrazione delle sessioni in caso di errore tramite Sentry. | Consenso dell'utente (art. 6, par. 1, lett. a, GDPR) per i cookie analitici; legittimo interesse per i log server-side |
| Notifiche | Invio di notifiche email e push relative a eventi della Piattaforma (approvazioni, commenti, aggiornamenti), secondo le preferenze configurate dall'utente. | Esecuzione del contratto (art. 6, par. 1, lett. b, GDPR) |
| Comunicazioni di supporto | Gestione delle richieste inviate tramite il modulo di contatto e il sistema di ticket. | Esecuzione del contratto (art. 6, par. 1, lett. b, GDPR) e legittimo interesse (art. 6, par. 1, lett. f, GDPR) |
| Personalizzazione | Memorizzazione delle preferenze dell'utente (tema, documenti recenti, lingua dell'interfaccia). | Consenso dell'utente (art. 6, par. 1, lett. a, GDPR) |
| Obblighi di legge | Adempimento di obblighi fiscali, contabili e normativi applicabili. | Obbligo legale (art. 6, par. 1, lett. c, GDPR) |
4. Trattamenti basati su intelligenza artificiale
La Piattaforma integra funzionalità di intelligenza artificiale per migliorare la gestione documentale. In particolare:
- Analisi automatica dei documenti: i contenuti caricati possono essere analizzati da modelli di AI per estrarre testo, metadati, tag e informazioni strutturate dai campi personalizzati definiti dall'organizzazione.
- Ricerca semantica: i documenti vengono indicizzati tramite vettori di embedding per consentire ricerche basate sul significato, oltre che sul testo.
- Chat documentale (RAG): gli utenti possono porre domande sui contenuti dei documenti e ricevere risposte generate dall'AI basate esclusivamente sui documenti presenti nella Piattaforma.
Queste funzionalità sono configurabili dall'amministratore dell'organizzazione e possono essere abilitate o disabilitate. I dati elaborati dall'AI restano all'interno dell'infrastruttura della Piattaforma e non vengono utilizzati per addestrare modelli di terze parti.
Nessuna decisione automatizzata con effetti giuridici o significativi ai sensi dell'art. 22 del GDPR viene adottata sulla base delle analisi AI. L'utente mantiene sempre il controllo finale sui metadati e sulle classificazioni suggerite.
5. Modalità di trattamento
Il trattamento dei dati personali è effettuato con strumenti informatici e telematici, con logiche strettamente correlate alle finalità indicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati.
Sono adottate misure tecniche e organizzative adeguate a prevenire la perdita dei dati, usi illeciti o non corretti e accessi non autorizzati, tra cui:
- Crittografia dei dati in transito (HTTPS/TLS) e delle password (hashing);
- Token di autenticazione con scadenza temporale;
- Protezione CSRF su tutte le operazioni sensibili;
- Content Security Policy (CSP) e intestazioni di sicurezza HTTP (HSTS, X-Frame-Options, X-Content-Type-Options);
- Sistema di ruoli e permessi granulari per il controllo degli accessi;
- Audit log delle operazioni effettuate sulla Piattaforma;
- Isolamento dei dati tra le diverse organizzazioni (multi-tenant).
6. Ambito di comunicazione e destinatari dei dati
I dati personali possono essere comunicati alle seguenti categorie di destinatari:
| Destinatario | Finalità | Sede dei dati |
|---|---|---|
| Personale autorizzato del Titolare | Amministrazione, assistenza tecnica, manutenzione della Piattaforma. | Unione Europea |
| Provider di hosting e infrastruttura | Hosting dell'applicazione, archiviazione dei dati e dei documenti. | Unione Europea |
| Sentry (Functional Software, Inc.) | Monitoraggio errori e prestazioni. I dati diagnostici sono trattati su server situati a Francoforte, Germania (UE). | Unione Europea |
| Google LLC (Google Fonts) | Caricamento dei font tipografici. Il caricamento comporta la trasmissione dell'indirizzo IP ai server di Google. | UE / USA (EU-US Data Privacy Framework) |
| Amministratori dell'organizzazione | Nell'ambito del rapporto multi-tenant, gli amministratori dell'organizzazione possono accedere ai dati degli utenti della propria organizzazione, ai documenti e ai log di attività. | In base alla sede dell'organizzazione |
I dati personali non sono ceduti a terzi per finalità di marketing o profilazione commerciale. Non sono soggetti a diffusione.
7. Trasferimento dei dati verso paesi terzi
I dati personali sono trattati prevalentemente all'interno dell'Unione Europea. Nei casi in cui si renda necessario un trasferimento verso paesi terzi (ad esempio per l'utilizzo di Google Fonts), il trasferimento avviene:
- Verso paesi riconosciuti dalla Commissione Europea come dotati di un livello di protezione adeguato (decisione di adeguatezza); oppure
- Sulla base di garanzie adeguate ai sensi dell'art. 46 del GDPR, come le Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea; oppure
- Nell'ambito del EU-US Data Privacy Framework per i trasferimenti verso gli Stati Uniti, ove il destinatario sia certificato.
8. Periodo di conservazione dei dati
| Categoria di dati | Periodo di conservazione |
|---|---|
| Dati dell'account | Per tutta la durata del rapporto contrattuale e per i successivi 10 anni per adempiere ad obblighi di legge. |
| Documenti e asset digitali | Per tutta la durata del rapporto contrattuale. Alla cessazione, i dati sono cancellati entro 90 giorni, salvo obblighi di legge. |
| Documenti nel cestino | I documenti spostati nel cestino dall'utente sono conservati per 30 giorni e poi eliminati definitivamente. |
| Log di audit | Conservati per la durata prevista dalla normativa applicabile e comunque per un massimo di 24 mesi. |
| Dati diagnostici (Sentry) | Massimo 90 giorni dalla raccolta. |
| Dati del modulo di contatto | Per il tempo necessario a gestire la richiesta e per i successivi 12 mesi. |
| Ticket di supporto | Per tutta la durata del rapporto contrattuale e per i successivi 24 mesi. |
| Cookie e dati di navigazione | Secondo le durate indicate nella Cookie Policy. |
Al termine dei periodi indicati, i dati sono cancellati o resi anonimi in modo irreversibile.
9. Diritti dell'interessato
Ai sensi degli artt. 15-22 del GDPR, l'utente ha diritto di:
- Accesso (art. 15): ottenere conferma dell'esistenza di un trattamento dei propri dati e accedere al loro contenuto;
- Rettifica (art. 16): ottenere la correzione di dati personali inesatti o l'integrazione di dati incompleti;
- Cancellazione (art. 17): ottenere la cancellazione dei propri dati personali, nei casi previsti dal GDPR;
- Limitazione (art. 18): ottenere la limitazione del trattamento nei casi previsti dal GDPR;
- Portabilità (art. 20): ricevere i dati personali forniti in formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare;
- Opposizione (art. 21): opporsi in qualsiasi momento al trattamento dei dati basato sul legittimo interesse;
- Revoca del consenso (art. 7, par. 3): revocare il consenso prestato in qualsiasi momento, senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca.
Per esercitare i propri diritti, l'utente può contattare il Titolare attraverso la sezione Contatti della Piattaforma. Il Titolare risponderà alla richiesta entro 30 giorni dal ricevimento, prorogabili di ulteriori 60 giorni in casi di particolare complessità, dandone comunicazione all'interessato.
L'utente ha inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).
10. Conferimento dei dati e conseguenze del mancato conferimento
Il conferimento dei dati contrassegnati come obbligatori (nome, email, password) è necessario per la creazione dell'account e l'utilizzo della Piattaforma. Il mancato conferimento di tali dati rende impossibile l'erogazione del Servizio.
Il conferimento dei dati facoltativi (foto profilo, preferenze, dati aggiuntivi del profilo) è libero e il mancato conferimento non pregiudica l'accesso alle funzionalità principali della Piattaforma.
11. Minori
La Piattaforma non è destinata a soggetti di età inferiore a 16 anni. Il Titolare non raccoglie consapevolmente dati personali di minori. Qualora il Titolare venga a conoscenza di aver raccolto dati di un minore senza il consenso del genitore o tutore, provvederà alla cancellazione tempestiva dei dati.
12. Modifiche alla presente informativa
Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento. La versione aggiornata sarà pubblicata sulla Piattaforma con indicazione della data dell'ultimo aggiornamento. In caso di modifiche sostanziali che incidano sulle modalità di trattamento dei dati, l'utente sarà informato tramite comunicazione sulla Piattaforma o via email.
Si consiglia di consultare periodicamente la presente pagina per verificare eventuali aggiornamenti.
13. Cookie
Per informazioni dettagliate sull'utilizzo dei cookie e di altre tecnologie di tracciamento, si rinvia alla Cookie Policy della Piattaforma, disponibile in apposita sezione del Sito.