Conformità al GDPR
Versione 1.4 · Data di entrata in vigore: 1 ottobre 2026 · Ultimo aggiornamento: 1 ottobre 2026
Traduzione fornita a scopo informativo e di comodità. Solo la versione inglese di questo documento ha valore giuridico; in caso di divergenza, ambiguità o contraddizione, prevale il testo inglese.
Tali impegni si applicano ai sensi del Regolamento generale sulla protezione dei dati dell'UE e, per i clienti nel Regno Unito, ai sensi del UK GDPR e del Data Protection Act 2018.
I nostri impegni
Principi di trattamento dei dati in LiKE
Minimizzazione dei dati
Raccogliamo soltanto i dati necessari al funzionamento della piattaforma. Nessuna raccolta eccessiva di dati.
Limitazione della finalità
I dati sono utilizzati esclusivamente per le finalità definite nell'Informativa sulla privacy e nel DPA (per i clienti business). Nessuna rivendita, nessun uso secondario.
Limitazione della conservazione
I dati non sono conservati più a lungo del necessario. La cancellazione alla cessazione del contratto avviene conformemente alle clausole del DPA.
Le registrazioni che attestano il rispetto dei diritti di legge — decisioni su rimborsi e recessi e dati utilizzati per determinare il vostro status giuridico — sono conservate per i termini indicati nell'Informativa sulla privacy.
Integrità e riservatezza
Cifratura, controllo degli accessi, registrazione di audit. Ci impegniamo a garantire un elevato livello di protezione dei Suoi dati.
Ruoli e responsabilità
Chi è responsabile di cosa
Lynkora — responsabile del trattamento
Trattiamo i dati personali per conto della Sua organizzazione o di Lei in quanto utente individuale, conformemente alle istruzioni e alle clausole stabilite nell'accordo sul trattamento dei dati.
I nostri obblighi comprendono:
- ✓ Garantire la sicurezza dei dati
- ✓ Adempiere ai nostri obblighi applicabili di responsabile del trattamento ai sensi del GDPR (art. 28)
- ✓ Supportare i diritti degli interessati
- ✓ Registrazione delle azioni degli amministratori e controlli di accesso interni
La Sua organizzazione — titolare del trattamento
Lei determina le finalità, i mezzi e le modalità del trattamento dei dati personali all'interno di LiKE. Se utilizza LiKE come privato (spazio di lavoro personale), questi ruoli si applicano a Lei in qualità di cliente; per i Suoi dati di account, Lynkora agisce in qualità di titolare del trattamento (v. Informativa sulla privacy).
I Suoi obblighi comprendono:
- ✓ Definire le finalità del trattamento
- ✓ Informare gli interessati
- ✓ Gestire i consensi
- ✓ Liceità del trattamento
Accordo sul trattamento dei dati (DPA) — il DPA, comprese le clausole contrattuali tipo ove applicabili, costituisce parte del Contratto di utilizzo e si applica alla Sua organizzazione dall'accettazione del Contratto di utilizzo; non è richiesta una firma separata. La versione vigente è pubblicata insieme agli altri documenti legali. Richieste relative al DPA: [email protected].
Sub-responsabili
Ci avvaliamo di sub-responsabili verificati (infrastruttura cloud, fornitori di IA, invio di e-mail, analisi web — con il Suo consenso). L'elenco aggiornato dei sub-responsabili è disponibile nell'Informativa sulla privacy ed è aggiornato ogni volta che si verificano modifiche, con un preavviso di almeno 30 giorni prima dell'aggiunta di un nuovo sub-responsabile. Le condizioni di notifica relative alle modifiche dei sub-responsabili sono definite nel DPA.
Trasferimento dell'attività
Se Lynkora trasferisce in tutto o in parte la propria attività (fusione, acquisizione, riorganizzazione o cessione), l'accordo sul trattamento dei dati è trasferito insieme al contratto e il successore assume gli obblighi di Lynkora quale responsabile del trattamento. La informiamo con almeno 30 giorni di anticipo; se non accetta il successore, può risolvere il contratto e ottenere la cancellazione o la restituzione dei Suoi dati secondo quanto previsto dal DPA.
Diritti degli interessati
Supporto dei diritti degli interessati ai sensi del GDPR
Diritto di accesso (articolo 15)
Gli interessati possono richiedere e ottenere tutte le informazioni che conserviamo sul loro conto.
Diritto di rettifica (articolo 16)
Gli interessati possono rettificare dati personali inesatti o incompleti.
Diritto alla cancellazione (articolo 17)
«Diritto all'oblio» — cancellazione di tutti i dati personali, fatte salve le condizioni di legge.
Diritto di limitazione (articolo 18)
Sospensione del trattamento dei dati in attesa della risoluzione di una controversia, senza cancellazione dei dati.
Diritto alla portabilità dei dati (articolo 20)
Ottenere i dati in un formato strutturato e trasferirli a un altro servizio.
Diritto di opposizione (articolo 21)
Opporsi al trattamento dei dati, compresi il marketing e la profilazione.
Diritti relativi al processo decisionale automatizzato (Article 22)
Quando una decisione è adottata con mezzi automatizzati, l'interessato può ottenere l'intervento umano, esprimere la propria opinione e contestare il risultato. Si veda «Determinazione del vostro status giuridico» di seguito.
Limitazioni dopo i rimborsi
Il numero dei rimborsi computati e la limitazione ai nuovi acquisti che ne deriva sono calcolati automaticamente in base a un criterio obiettivo: quanti rimborsi di pagamenti dell'abbonamento, di un passaggio a un piano superiore o di postazioni aggiuntive sono stati effettuati per quella organizzazione su richiesta del cliente. Il calcolo non valuta la persona e non utilizza profilazione. La limitazione riguarda soltanto nuovi acquisti: l'accesso al Servizio, il periodo già pagato, l'esportazione dei dati e i diritti riconosciuti dalla legge, incluso il diritto di recesso, non sono interessati. Qualsiasi limitazione di questo tipo è esaminata da una persona su richiesta all'assistenza e può essere revocata prima della scadenza del termine; la decisione dell'operatore è registrata con la relativa motivazione. Per tali ragioni il calcolo non costituisce una decisione basata unicamente su un trattamento automatizzato ai sensi dell'art. 22 GDPR.
Determinazione del vostro status giuridico
Come stabiliamo quale regime giuridico si applica al vostro acquisto
Che cosa stabiliamo
All'acquisto di un abbonamento stabiliamo se contrattate in qualità di consumatore o nel quadro di un'attività commerciale, industriale, artigianale o professionale. Da ciò dipendono le condizioni applicabili nei vostri confronti e il trattamento di una richiesta di rimborso o di recesso.
Che cosa utilizziamo
La vostra dichiarazione sulla finalità dell'acquisto resa al momento del pagamento; i dati aziendali che fornite (denominazione, numero di partita IVA e l'esito della sua verifica nel registro VIES dell'UE); il paese del mezzo di pagamento secondo quanto comunicato dal Merchant of Record; e i segnali raccolti in fase di registrazione descritti nell'Informativa sulla privacy. La vostra dichiarazione prevale: gli altri segnali hanno valore soltanto indicativo.
Perché non si tratta di una decisione ai sensi dell'Article 22
La parte automatizzata di questo processo sceglie unicamente tra il trattamento automatico di una richiesta e il suo rinvio a una persona. Non può respingere una richiesta, non può privare di un diritto e non può bloccare un acquisto. Se i segnali sono contraddittori o l'esito è incerto, si applica il regime consumeristico finché una persona non abbia esaminato il caso. Il trattamento non produce quindi effetti giuridici né incide in modo analogamente significativo sulla vostra persona ai sensi dell'Article 22(1) GDPR.
Garanzie che offriamo in ogni caso
Potete chiedere il riesame umano del regime applicato, esprimere la vostra posizione e contestare l'esito scrivendo a [email protected]. Registriamo ogni determinazione con la versione della regola applicata e l'ora della decisione e, su richiesta, vi indicheremo quali segnali sono stati utilizzati.
Conservazione
I dati sulla parte contrattuale e le decisioni di instradamento sono conservati per la durata del contratto più tre anni; le registrazioni delle decisioni su rimborsi e recessi, tre anni dalla decisione. Entrambi servono a dimostrare che è stato applicato il regime giuridico corretto e che i diritti di legge sono stati rispettati (Article 17(3)(e) GDPR). La tabella completa dei termini è nell'Informativa sulla privacy.
Misure tecniche di sicurezza
GDPR articolo 32 — Cifratura, isolamento, controlli
Cifratura
A riposo: backup cifrati; hosting sull'infrastruttura sicura OVHcloud UE; misure descritte nelle MTO.
In transito: TLS 1.2+ per tutte le trasmissioni (TLS 1.3 per i client moderni); il collegamento interno applicazione↔banca dati utilizza TLS 1.3.
Isolamento dei tenant (isolamento per tenant)
Isolamento logico dei dati di ciascun tenant a livello applicativo: un filtro dello spazio di lavoro (tenant) obbligatorio in ogni query di dati, applicato mediante test automatizzati nella CI.
I dati di ciascun tenant sono isolati logicamente a livello applicativo: filtraggio obbligatorio di tutte le query in base al tenant, con test di isolamento tra tenant nella CI.
Controllo degli accessi
RBAC (controllo degli accessi basato sui ruoli) per autorizzazioni granulari.
Accesso con e-mail e password oppure con Google (OAuth); SSO (OIDC) sui piani che lo supportano. Codici e-mail monouso per la verifica dell'indirizzo e il reimpostamento della password.
Registrazione di audit
Le azioni chiave riguardanti i dati personali sono registrate con una marca temporale e un identificativo dell'utente.
L'accesso ai log è limitato; i log di audit non possono essere modificati tramite le interfacce dell'applicazione.
Esportazione dei dati
Esportazione integrata in Markdown, HTML, PDF, DOCX e JSON per agevolare il diritto alla portabilità dei dati.
Copie dei dati di account e personali sono fornite su richiesta.
Cancellazione dei dati
Cancellazione completa dei dati del tenant alla cessazione del contratto o su richiesta.
Comprende la cancellazione automatica dei backup dopo la scadenza del periodo di conservazione.
Ricerca IA e GDPR
Come utilizziamo i dati per le funzioni di IA
Principi di trattamento dei dati per l'IA
Trattamento solo nell'ambito del tenant: la ricerca IA opera esclusivamente con i dati della Sua organizzazione, o con i Suoi dati qualora utilizzi il Servizio come privato. Non vi è alcun accesso ai dati di altri clienti.
NON utilizzati per l'addestramento dei modelli: Lynkora non consente ai fornitori di IA terzi di utilizzare i dati dei clienti per addestrare i loro modelli, salvo ove separatamente comunicato al cliente o concordato con esso; si applicano gli accordi di trattamento dei dati business dei fornitori (ad es. l'OpenAI Business DPA). Per i dettagli, v. le Condizioni supplementari relative all'IA.
Limitazione delle funzioni di IA: gli amministratori possono limitare le funzioni di IA per ruolo (autorizzazioni IA granulari); la ricerca full-text classica resta disponibile.
Registrazione delle query: le query IA sono registrate con metadati (utente, marca temporale, tipo di query) a fini di audit; i dati personali presenti nei log sono anonimizzati dopo 90 giorni.
Valutazione d'impatto sulla protezione dei dati (DPIA): possiamo assisterLa nello svolgimento di una DPIA per valutare i rischi connessi all'uso dell'IA. Disponibile nel piano Enterprise.
Trasferimenti internazionali di dati
GDPR capo V — Flussi di dati transfrontalieri
Data center principali nell'UE
Le risorse di calcolo principali sono situate nell'UE. I dati restano all'interno del SEE per impostazione predefinita. I trasferimenti al di fuori del SEE avvengono solo in presenza di meccanismi giuridici appropriati.
Clausole contrattuali tipo (CCT)
Lynkora DOO Beograd è registrata in Serbia (un Paese candidato all'UE privo di decisione di adeguatezza ai sensi del GDPR). I trasferimenti si basano sulle CCT dell'UE (decisione di esecuzione (UE) 2021/914): modulo 2 (titolare → responsabile) per i trasferimenti cliente dell'UE → Lynkora; modulo 3 (responsabile → responsabile) per i trasferimenti ulteriori verso sub-responsabili negli Stati Uniti (OpenAI, Resend). I dati dei clienti sono fisicamente archiviati nell'UE (OVHcloud). In quanto persona giuridica serba, Lynkora rispetta altresì la legge serba sulla protezione dei dati personali (ZZPL).
EU-US Data Privacy Framework
Per i sub-responsabili stabiliti negli Stati Uniti ci basiamo principalmente sul modulo 3 delle CCT dell'UE. L'EU-US Data Privacy Framework (in vigore da luglio 2023, in sostituzione del Privacy Shield invalidato) si applica come meccanismo supplementare ove un sub-responsabile sia certificato nell'ambito del DPF (ad es. Resend, Cloudflare).
Notifica delle violazioni
GDPR articoli 33, 34 — Procedura di risposta agli incidenti
Rilevamento degli incidenti
Monitoraggio automatizzato dell'infrastruttura e protezione dagli abusi (limitazione della frequenza, rilevamento di schemi di richiesta anomali).
Notifica a Lei (senza ingiustificato ritardo)
Dopo aver confermato un incidente che interessa i Suoi dati, La notifichiamo senza ingiustificato ritardo, precisando la natura della violazione, i dati interessati, le potenziali conseguenze e le misure adottate — affinché Lei possa adempiere al proprio obbligo di 72 ore verso l'autorità di controllo.
La Sua notifica agli interessati (ove richiesto)
In qualità di titolare del trattamento, Lei decide se sia necessario notificare gli interessati. Forniamo supporto e materiali per assisterLa.
Indagine e relazione
Indagine dettagliata, analisi forense, individuazione della causa alla radice e raccomandazioni di prevenzione. Una relazione è fornita entro un termine ragionevole dopo la conclusione dell'indagine.
Notifica all'autorità di controllo (se richiesto)
Se l'incidente richiede la notifica all'autorità di controllo (DPA), assistiamo nella preparazione della documentazione e nell'analisi degli obblighi in questione.
Pronti a collaborare?
L'accordo sul trattamento dei dati (comprese le CCT ove applicabili) costituisce parte del Contratto di utilizzo e si applica dalla sua accettazione; non è richiesta una firma separata. Richieste relative al DPA: [email protected].
Contatto per la protezione dei dati
Contatti per le richieste GDPR
Team protezione dei dati
E-mail: [email protected]
Tempo di risposta: nei giorni lavorativi, di norma entro pochi giorni
Sede legale registrata
Lynkora DOO Beograd
Kneza Miloša 15, 11000 Beograd Serbia (n. reg. impresa MB 22195689, cod. fisc. PIB 115706177)
Rappresentanti nell'UE e nel Regno Unito
I nostri rappresentanti ai sensi dell'articolo 27 del GDPR e dell'articolo 27 del UK GDPR, ove designati, sono indicati nella pagina «Rappresentanti» (/legal/it/representatives).
Procedura di richiesta: può presentare una richiesta di accesso, cancellazione, opposizione o qualsiasi altro diritto GDPR direttamente a [email protected]. Confermiamo la ricezione della Sua richiesta e la trattiamo entro i termini previsti dall'articolo 12 del GDPR.