Informativa sulla privacy di AssinaJá
Versione: 2.0
In vigore dal: 10 ottobre 2026
La presente è una traduzione italiana fornita per comodità. Il testo giuridicamente vincolante è la versione portoghese, che prevale in caso di discrepanze.
La presente Informativa spiega quali dati personali trattiamo quando utilizza il sito assinaja.pt, la piattaforma AssinaJá (applicazione web, API, add-in, estensioni e applicazioni) o quando riceve tramite essa un documento da firmare, per quali finalità, su quale base giuridica, con chi li condividiamo, per quanto tempo li conserviamo e quali diritti Le spettano.
1. Chi è il titolare del trattamento
RMB Sistemas de Informação, Lda. ("RMB"), codice fiscale portoghese (NIF) PT507175794, Rua das Hortas, 434, 4415-650 Vila Nova de Gaia, Portogallo.
- Contatto per questioni di privacy e per l'esercizio dei diritti: [email protected] (oggetto "Proteção de Dados" — Protezione dei dati).
2. Quando siamo titolari del trattamento e quando trattiamo dati per conto di un cliente
- Siamo titolari del trattamento dei dati del Suo account, della fatturazione, della sicurezza e della prevenzione delle frodi, dei dati di utilizzo della piattaforma, delle comunicazioni che Le inviamo e delle evidenze che la legge ci obbliga a conservare.
- Trattiamo dati per conto del nostro cliente (in qualità di "responsabile del trattamento") per quanto riguarda il contenuto dei documenti e i dati dei destinatari che un'organizzazione carica o indica sulla piattaforma. In tal caso, l'organizzazione che Le ha inviato il documento è il titolare del trattamento e deve informarLa; noi seguiamo le sue istruzioni, ai sensi dell'Accordo sul trattamento dei dati (Allegato I dei Termini di utilizzo).
3. Quali dati trattiamo, per quali finalità e su quale base giuridica
3.1 Utenti registrati
| Finalità | Dati | Base giuridica (GDPR, art. 6, par. 1) |
|---|---|---|
| Creare e gestire l'account, autenticazione (compreso l'accesso con Microsoft o Google) | Nome, cognome, email, lingua, password (cifrata), identificativi del fornitore di autenticazione | Esecuzione del contratto — lett. b) |
| Prestare il servizio: caricare, preparare, inviare, firmare e archiviare documenti | Documenti e relativo contenuto, campi, firme autografe memorizzate, dati dei destinatari da Lei indicati | Esecuzione del contratto — lett. b) |
| Firma con Chave Móvel Digital, SCAP o certificato proprio | Nome, numero di identificazione civile o fiscale riportato nel certificato, numero di cellulare, certificato pubblico e attributi professionali | Esecuzione del contratto — lett. b) |
| Fatturazione e pagamenti | Nome, email, codice fiscale (NIF), indirizzo, telefono dell'organizzazione; storico degli acquisti. I dati della carta sono trattati direttamente da Stripe e non arrivano a noi | Obbligo legale — lett. c) ed esecuzione del contratto — lett. b) |
| Verifica del numero di cellulare nel Piano Gratuito e prevenzione degli abusi (compreso Cloudflare Turnstile) | Numero di cellulare, codice di verifica, indirizzo IP | Legittimo interesse a prevenire frodi e abusi — lett. f) |
| Sicurezza, registri di audit e indagine sugli incidenti | Indirizzo IP, user agent, data e ora delle azioni, identificativi tecnici | Legittimo interesse a proteggere la piattaforma — lett. f) |
| Funzionamento e miglioramento della piattaforma sulla base di dati tecnici | Dati di utilizzo (tempi, errori, funzionalità utilizzate, tipo e dimensione dei file) — senza il contenuto dei documenti | Legittimo interesse — lett. f) |
| Comunicazioni di gestione del servizio (sicurezza, fatturazione, modifiche contrattuali, avvisi relativi all'account) | Nome, email, piano | Esecuzione del contratto — lett. b) |
| Comunicazioni commerciali su piani e servizi a pagamento e suggerimenti di utilizzo, basati sull'utilizzo dell'account | Nome, email, piano, utilizzo aggregato dell'account | Per chi non ha mai effettuato acquisti: consenso — lett. a). Per i clienti che hanno già effettuato acquisti: legittimo interesse a promuovere servizi analoghi — lett. f). Può opporsi gratuitamente in ogni messaggio |
| Misurazione dell'audience (Google Analytics) e memorizzazione nel browser della campagna da cui è arrivato | Identificativi dei cookie, pagine visitate, origine della visita (parametri della campagna) | Consenso — lett. a), prestato nel banner dei cookie |
| Registrare nell'account la campagna del link con cui si è registrato (ad esempio, "linkedin"), per misurare l'efficacia delle nostre campagne | Origine, mezzo e nome della campagna indicati nel link di registrazione — a tal fine nulla viene memorizzato nel Suo browser | Legittimo interesse — lett. f) |
| Funzionalità di IA che decide di utilizzare (spiegazione dei documenti, editor automatico) | Testo del documento selezionato e la conversazione | Esecuzione del contratto — lett. b), previa accettazione dei termini specifici della funzionalità |
| Ricerca nel contenuto dei documenti (quando la attiva) | Testo estratto dalle pagine e miniature | Esecuzione del contratto — lett. b) |
| Programma di Miglioramento (solo in caso di adesione) | Documenti che sceglie di condividere | Consenso — lett. a), revocabile in qualsiasi momento |
| Prova delle firme e tutela dei diritti | Evidenze di firma e registri di audit | Obbligo legale — lett. c) e legittimo interesse all'accertamento, all'esercizio o alla difesa di un diritto — lett. f) |
3.2 Firmatari e destinatari senza account
Se ha ricevuto un documento da firmare o da consultare, trattiamo il Suo nome, l'email, il numero di cellulare (se indicato), il numero di identificazione (se richiesto dal metodo di firma), l'indirizzo IP, lo user agent, la data e l'ora di ogni azione, il consenso prestato al momento della firma e la Sua firma.
Questi dati ci sono stati comunicati dalla persona o dall'organizzazione che Le ha inviato il documento, che è il titolare del relativo trattamento. Li utilizziamo per inviarLe il documento, autenticarLa, raccogliere la firma e generare le evidenze e il report di completamento che provano la firma. Le evidenze sono conservate secondo quanto previsto dalla sezione 6.
3.3 Visitatori del sito web
Trattiamo i dati tecnici necessari per mostrarLe il sito (indirizzo IP, tipo di dispositivo e di browser) e, solo con il Suo consenso, i dati di misurazione dell'audience e delle campagne. Se ci contatta, trattiamo i dati che ci invia per rispondere alla richiesta (legittimo interesse o misure precontrattuali).
3.4 Dati obbligatori
I dati indicati come obbligatori in fase di registrazione, di acquisto o nel metodo di firma scelto sono necessari per concludere ed eseguire il contratto o per adempiere obblighi di legge; senza di essi non è possibile prestare il servizio richiesto. Gli altri dati sono facoltativi.
3.5 Cosa non facciamo
- Non vendiamo dati personali.
- Non utilizziamo il contenuto dei Suoi documenti per pubblicità né per addestrare modelli di intelligenza artificiale, salvo che Lei aderisca al Programma di Miglioramento.
- Non adottiamo decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici che La riguardano. I limiti automatici di sicurezza (ad esempio, il numero massimo di tentativi di verifica) possono bloccare temporaneamente un'operazione; può sempre contattarci per ottenere una revisione da parte di una persona.
4. Con chi condividiamo i dati
Condividiamo i dati solo con chi ne ha bisogno per prestare il servizio, adempiere la legge o tutelare diritti:
- Destinatari e firmatari di un documento, nella misura stabilita da chi lo ha inviato.
- Fornitori di servizi (responsabili del trattamento), vincolati contrattualmente alla riservatezza e alla sicurezza:
| Fornitore | Servizio | Ubicazione dei dati |
|---|---|---|
| Microsoft Azure | Hosting, database, archiviazione dei file, code, monitoraggio, gestione delle chiavi | Unione europea (Paesi Bassi e Francia) |
| Cloudflare | Rete di distribuzione dei contenuti, protezione dagli attacchi, verifica anti-abuso (Turnstile) | Rete globale; sede negli USA |
| Agência para a Modernização Administrativa (AMA) | Chave Móvel Digital e SCAP | Portogallo |
| Prestatori qualificati di marcatura temporale: Sectigo (Europe) S.L., IZENPE, BOSA e BalTstamp | Validazioni temporali qualificate (ricevono solo l'impronta crittografica del documento, mai il documento né dati personali) | Unione europea (Spagna, Belgio e Lituania) |
| ZeptoMail (Zoho) | Invio di email | Data center nell'Unione europea |
| Clickatell | Invio di SMS | Unione europea (Irlanda, infrastruttura Amazon Web Services); sede negli USA |
| Stripe | Pagamenti | UE e USA |
| InvoiceXpress | Emissione delle fatture | Unione europea (Irlanda) |
| Misurazione dell'audience (solo con consenso) e autenticazione Google | USA | |
| Microsoft | Autenticazione Microsoft | UE e USA |
| Anthropic | Funzionalità di IA, solo quando le utilizza (non usa i contenuti per addestrare modelli) | USA (archiviazione); il trattamento può avvenire in altre regioni |
- Autorità pubbliche, tribunali e autorità di regolamentazione, quando richiesto dalla legge o per la tutela di diritti.
- Acquirente o successore dell'attività, in caso di fusione o cessione, con le stesse garanzie.
I registri tecnici dell'applicazione (log) sono conservati anche su server propri di RMB, con accesso limitato.
5. Trasferimenti al di fuori dello Spazio economico europeo
Alcuni fornitori hanno sede o infrastrutture al di fuori dello Spazio economico europeo, in particolare negli USA. In tali casi, il trasferimento si basa su una decisione di adeguatezza della Commissione europea (compreso il quadro UE-USA per la protezione dei dati personali — EU-U.S. Data Privacy Framework — per le società certificate) o su clausole contrattuali tipo approvate dalla Commissione, con misure supplementari ove necessario. Può chiederci copia delle garanzie applicabili.
6. Per quanto tempo conserviamo i dati
| Dati | Periodo |
|---|---|
| Dati dell'account | Finché l'account esiste. Alla cancellazione dell'account, nome, cognome, email, numero di cellulare, numero di identificazione e firme memorizzate vengono cancellati o anonimizzati immediatamente, salvo quanto indicato di seguito |
| Documenti | Finché restano nell'account. I documenti eliminati sono recuperabili per 15 giorni; trascorso tale periodo vengono archiviati e, 30 giorni dopo, cancellati definitivamente (il documento e i relativi file). Restano soltanto l'audit trail e il report di completamento, come prova della firma |
| Evidenze di firma, report di completamento e registri di audit | Finché il documento esiste e, successivamente, per il periodo di prescrizione dei diritti che possono provare |
| Dati di fatturazione | Per il periodo di conservazione dei documenti fiscali previsto dalla legge |
| Codici di verifica via SMS o email | Da pochi minuti a 24 ore dopo la scadenza |
| Sessioni di firma (IP, user agent) | 30 giorni |
| Registri tecnici e di monitoraggio | Fino a 90 giorni |
| Conversazioni con le funzionalità di IA | Non vengono conservate da AssinaJá: restano solo nel Suo browser finché la scheda è aperta e scompaiono quando la chiude. Il fornitore di IA può conservarle temporaneamente, secondo la propria policy, senza utilizzarle per addestrare modelli |
| Attribuzione della campagna | Nel browser, 30 giorni e solo con consenso; nell'account, finché questo esiste |
| Consensi accettati | Finché l'account esiste e per il periodo di prescrizione applicabile, per provare l'accettazione |
| Documenti condivisi nel Programma di Miglioramento | Fino all'uscita dal Programma e per un massimo di 24 mesi |
7. I Suoi diritti
Può, in qualsiasi momento e gratuitamente:
- accedere ai Suoi dati e ottenerne una copia;
- rettificare i dati inesatti;
- cancellare i Suoi dati, quando non siano necessari per le finalità indicate o per adempiere la legge;
- limitare il trattamento;
- ricevere i Suoi dati in un formato strutturato (portabilità), quando il trattamento si basa su un contratto o sul consenso;
- opporsi ai trattamenti basati sul legittimo interesse, comprese le comunicazioni di follow-up;
- revocare il consenso (cookie di misurazione, Programma di Miglioramento), senza pregiudicare il trattamento già effettuato.
Sulla piattaforma, in Impostazioni, può scaricare i Suoi dati personali, consultare i consensi accettati ed eliminare l'account. Per le altre richieste, scriva a [email protected]. Rispondiamo entro un mese, termine prorogabile nei casi previsti dalla legge. Potremmo chiederLe di confermare la Sua identità.
Se ha ricevuto un documento da un'organizzazione, le richieste relative a quel documento vanno rivolte a tale organizzazione; se ci contatta, inoltreremo la richiesta.
Ha inoltre il diritto di proporre reclamo alla Comissão Nacional de Proteção de Dados (CNPD), l'autorità portoghese di controllo per la protezione dei dati — www.cnpd.pt.
8. Cookie e archiviazione nel browser
| Nome | Finalità | Durata | Richiede il consenso |
|---|---|---|---|
| Cookie di sessione dell'applicazione | Mantenere l'accesso attivo, su Sua richiesta | Fino a 150 giorni | No (essenziale) |
aj_sign_session |
Sessione di firma di un documento | Fine della sessione | No (essenziale) |
.AspNetCore.Culture |
Ricordare la lingua | 1 anno | No (funzionale) |
| Archiviazione locale e di sessione dell'applicazione | Autenticazione, preferenze di visualizzazione, carrello | Fino al termine della sessione o alla cancellazione dei dati del browser | No (essenziale/funzionale) |
assinaja-ga-consent |
Memorizzare la Sua scelta sui cookie | Fino alla cancellazione dei dati del browser | No |
aj_campaign (archiviazione locale) |
Ricordare da quale campagna è arrivato | 30 giorni | Sì |
_ga, _ga_* (Google Analytics) |
Misurazione dell'audience | Fino a 2 anni | Sì |
| Cloudflare Turnstile | Distinguere le persone dai bot | Sessione | No (sicurezza) |
Può modificare la Sua scelta in qualsiasi momento tramite il link "Preferenze cookie" nel piè di pagina.
9. Sicurezza
Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui la cifratura delle comunicazioni (in transito), la cifratura dell'archiviazione (a riposo) da parte del fornitore di hosting, il controllo degli accessi per profilo, i registri di audit, le copie di backup e la separazione dei dati tra organizzazioni. Nessun sistema è del tutto invulnerabile; in caso di violazione dei dati personali che comporti un rischio, ne daremo notifica alla CNPD e, quando richiesto, agli interessati coinvolti.
10. Età minima
La piattaforma è destinata a persone maggiori di 18 anni e con capacità di agire. I minori possono utilizzarla solo tramite i loro rappresentanti legali.
11. Modifiche alla presente Informativa
Possiamo aggiornare la presente Informativa. Le modifiche rilevanti sono comunicate via email o sulla piattaforma prima che producano effetti. La versione in vigore è sempre disponibile su assinaja.pt/privacy_policy.