Privacy policy

1. Titolare del trattamento

Titolare del trattamento è Paride Misuraca, P.IVA 03158020846, ditta individuale con sede in Via Madonnuzza 2, 92019 Sciacca (AG), che gestisce il servizio BandIA raggiungibile su bandia.ai (il “Servizio”). Puoi contattare il titolare per qualunque questione privacy all’indirizzo supporto@bandia.ai. Non è stato nominato un responsabile della protezione dei dati (DPO), perché il trattamento non rientra nei casi in cui la nomina è obbligatoria.

2. Dati trattati

Trattiamo le seguenti categorie di dati, in base a come usi il Servizio:

• Dati account: email, password (solo in forma di hash, mai in chiaro), nome visualizzato. Se accedi con Google riceviamo da Google email, nome e immagine del profilo pubblico; non riceviamo la tua password Google.
• Dati del profilo, che inserisci tu durante l’onboarding e puoi modificare in qualsiasi momento. Per le aziende: ragione sociale, forma giuridica, partita IVA, codice fiscale, numero REA, anno di fondazione, sede (regione, provincia, comune, indirizzo), dimensione, numero di dipendenti, fatturato degli ultimi tre anni, codici ATECO, settori, certificazioni e attestazioni (SOA, ISO, modello 231), data di nascita e situazione lavorativa del titolare, sito web, descrizione dell’attività, preferenze di ricerca e notifica. Per i liberi professionisti: nome, cognome, data di nascita, situazione lavorativa (occupato, disoccupato, inoccupato, inattivo), codice fiscale, partita IVA, regime fiscale, titolo professionale, specializzazioni, anni di esperienza, iscrizione all’albo, polizza RC, regione e regioni operative, settori e tipi di prestazione, sito web e profilo LinkedIn, breve biografia.
• Dati di utilizzo: bandi visualizzati e salvati, ricerche, analisi guidate e i relativi esiti, alert configurati, notifiche ricevute e lette, segnalazioni di bandi che ci invii.
• Dati di fatturazione e pagamento: denominazione, indirizzo, codice fiscale o partita IVA, codice destinatario SdI o PEC per la fattura elettronica, piano scelto, stato dell’abbonamento, storico delle fatture. I dati della carta sono raccolti e conservati esclusivamente da Stripe: noi riceviamo solo riferimenti tecnici (identificativi di cliente, abbonamento e fattura, ultime quattro cifre e scadenza della carta, se Stripe ce le comunica).
• Dati tecnici e di sicurezza: indirizzo IP, user agent del browser e, al momento della registrazione, un’impronta del dispositivo (hash SHA-256 calcolato da caratteristiche del browser come risoluzione dello schermo, fuso orario, lingua, rendering di canvas e WebGL, font disponibili). L’impronta non contiene questi valori in chiaro e non permette di risalire a te a partire dall’hash.
• Canale di provenienza e tappe del percorso: da dove sei arrivato la prima volta (motore di ricerca, sito o campagna, letto dal parametro utm_source o dal referrer) e le tappe principali del tuo percorso (registrazione, onboarding completato, prima analisi, avvio del pagamento, pagamento), associate al tuo account.
• Errori tecnici: quando l’applicazione va in errore nel tuo browser, registriamo messaggio d’errore, pagina, user agent e traccia tecnica. Non vengono registrati cookie, email o contenuti del profilo.
• Programma inviti e codici promo: il tuo codice invito, il codice con cui sei stato invitato, gli inviti convertiti e gli sconti maturati.
• Comunicazioni: i messaggi che ci invii tramite il form contatti, la richiesta di consulenza o via email (nome, email, eventuale azienda e partita IVA, testo del messaggio) e le nostre risposte.
• Statistiche di visita: Vercel Web Analytics, senza cookie e senza identificare la persona (conteggi aggregati di pagine viste, paese, tipo di dispositivo).
• Dati per misurare gli annunci (solo con il tuo consenso): se accetti i cookie di Google, il tag di Google Ads (e Google Analytics, se attivo) raccoglie l’identificativo del clic sull’annuncio, identificativi dei cookie, pagine visitate, indirizzo IP e dati tecnici del browser, e ci segnala quando una visita da un annuncio si conclude con una registrazione, una richiesta di contatto o un acquisto (con l’importo pagato). Non inviamo a Google la tua email né i dati del profilo.

Il conferimento di email e password (o dell’accesso Google) è necessario per creare l’account. Nel profilo sono obbligatori solo i campi contrassegnati come tali: senza gli altri il Servizio funziona, ma il matching e le analisi saranno meno precisi. I dati di fatturazione sono necessari per acquistare un piano a pagamento.

3. Finalità e basi giuridiche

Trattiamo i dati per queste finalità, ciascuna con la propria base giuridica:

• Erogare il Servizio: account, profilo, ricerca dei bandi, calcolo della compatibilità col tuo profilo, analisi guidate, bandi salvati, alert e notifiche via email che hai attivato (esecuzione del contratto, art. 6.1 lett. b GDPR).
• Fatturazione e adempimenti fiscali, inclusa la fattura elettronica via Sistema di Interscambio (obbligo di legge, art. 6.1 lett. c).
• Comunicazioni di servizio: conferma registrazione, reimpostazione password, attivazione o disattivazione dell’abbonamento, fatture, avvisi su modifiche rilevanti ai termini o a questa informativa (esecuzione del contratto e obbligo di legge).
• Sicurezza e prevenzione degli abusi: limitare le richieste per indirizzo IP, prevenire accessi non autorizzati e impedire che la prova gratuita venga ottenuta più volte dallo stesso dispositivo tramite l’impronta del dispositivo, l’IP e un cookie tecnico (legittimo interesse, art. 6.1 lett. f: tutela dell’integrità del Servizio e contrasto alle frodi; abbiamo valutato che l’impatto sui tuoi diritti è limitato, perché l’impronta è un hash non reversibile e viene confrontata solo con altre registrazioni).
• Affidabilità tecnica: registrare gli errori dell’applicazione per correggerli (legittimo interesse).
• Misurare i canali di acquisizione: capire da quali canali arrivano gli utenti che si registrano e si abbonano. I dati vengono analizzati solo in forma aggregata e non sono usati per pubblicità o profilazione commerciale (legittimo interesse). Il cookie che ricorda il canale non contiene il codice del clic sull’annuncio.
• Misurare i risultati degli annunci: sapere quali annunci su Google portano registrazioni, contatti e abbonamenti, con i cookie di Google Ads (e di Google Analytics, se attivo). Solo con il tuo consenso (art. 6.1 lett. a GDPR e art. 122 del Codice privacy), che puoi negare o revocare in ogni momento da “Preferenze cookie” senza conseguenze sull’uso del Servizio. Non usiamo questi dati per mostrarti pubblicità personalizzata (remarketing).
• Programma inviti e codici promo: applicare gli sconti a chi invita e a chi viene invitato (esecuzione del contratto).
• Rispondere alle tue richieste inviate via form, email o richiesta di consulenza (esecuzione di misure precontrattuali e legittimo interesse).
• Difesa dei diritti del titolare in caso di contestazioni o richieste delle autorità (legittimo interesse e obbligo di legge).
• Comunicazioni commerciali: oggi non inviamo newsletter né email promozionali. Se in futuro lo faremo, ti chiederemo prima un consenso esplicito, sempre revocabile (art. 6.1 lett. a).

Quando la base giuridica è il legittimo interesse, puoi opporti in qualsiasi momento scrivendo a supporto@bandia.ai: valuteremo la richiesta e, salvo motivi legittimi prevalenti, interromperemo il trattamento.

4. Fornitori e responsabili del trattamento

Ci avvaliamo di fornitori selezionati che trattano i dati per conto nostro, sulla base dei loro accordi sul trattamento dei dati conformi all’art. 28 GDPR. I principali sono:

• Supabase: database e autenticazione. I dati sono conservati su server nell’Unione Europea (regione AWS eu-west-1, Irlanda).
• Vercel: hosting dell’applicazione, distribuzione dei contenuti e statistiche di visita senza cookie. Le funzioni server vengono eseguite nell’Unione Europea (Dublino); Vercel Inc. ha sede negli Stati Uniti.
• Stripe: elaborazione dei pagamenti e gestione degli abbonamenti. I dati della carta sono raccolti direttamente da Stripe sulla sua pagina di pagamento: noi non li vediamo né conserviamo. Stripe agisce anche come titolare autonomo per i propri obblighi antifrode e normativi.
• Fatture in Cloud (TeamSystem): emissione e trasmissione delle fatture elettroniche al Sistema di Interscambio dell’Agenzia delle Entrate.
• Resend: invio delle email (server nella regione eu-west-1).
• Fornitori di modelli linguistici: Groq e Cloudflare (Workers AI), con sede negli Stati Uniti. Vengono usati tramite le loro API per sviluppatori, esclusivamente quando richiedi un’analisi guidata o la verifica di un PDF che carichi tu. Le loro condizioni escludono l’uso dei dati inviati per addestrare i modelli. Il dettaglio di cosa inviamo è nella sezione 11.
• Upstash: cache tecnica temporanea e contatori per il limite di richieste (indirizzo IP e identificativi interni, per pochi minuti o ore).
• Inngest: orchestrazione dei lavori in background (invio notifiche, alert, fatturazione, aggiornamento dei bandi). Riceve solo identificativi interni, non i contenuti del profilo.
• Hetzner: server nell’Unione Europea usati per raccogliere e aggiornare i bandi dalle fonti pubbliche. Non ospitano dati degli utenti.
• Google: se scegli “Accedi con Google”, Google tratta i tuoi dati come titolare autonomo secondo la propria informativa. Se accetti i cookie di Google, Google Ireland Limited (Google Ads e, se attivo, Google Analytics) riceve i dati descritti nella sezione 2 e li tratta come titolare autonomo secondo i propri termini sulla protezione dei dati e le regole spiegate in policies.google.com/technologies/partner-sites.

I dati possono inoltre essere comunicati, quando necessario, a professionisti che assistono il titolare (per esempio il commercialista, per gli adempimenti fiscali) e alle autorità pubbliche che ne facciano legittima richiesta. Non vendiamo né cediamo i tuoi dati a terzi per finalità di marketing. L’elenco aggiornato dei fornitori è disponibile su richiesta scrivendo al titolare.

5. Cookie

Usiamo cookie tecnici di prima parte: per l’autenticazione, per ricordare che hai un account e le tue scelte sui cookie, per la prevenzione degli abusi della prova gratuita, per collegare un invito e per ricordare il canale di provenienza. Solo se li accetti dal banner, usiamo anche i cookie di Google Ads (e di Google Analytics, se attivo) per misurare i risultati dei nostri annunci; puoi cambiare idea in ogni momento da “Preferenze cookie”, in fondo a ogni pagina. Le statistiche di Vercel non usano cookie. Nomi, durate e funzioni sono nella Cookie Policy.

6. Conservazione

Conserviamo i dati per il tempo necessario alle finalità dichiarate, e in particolare:

• Dati account, profilo e utilizzo: per tutta la durata del rapporto e fino a 12 mesi dopo la chiusura dell’account o l’ultima attività, per permetterti di riattivarlo e per gestire eventuali contestazioni. Se chiedi la cancellazione, eliminiamo o rendiamo anonimi i dati entro 30 giorni, salvo gli obblighi di conservazione indicati sotto.
• Fatture e dati di fatturazione: 10 anni dall’emissione, come richiesto dalla normativa fiscale e civilistica.
• Impronta del dispositivo, IP e user agent raccolti alla registrazione: 24 mesi, il tempo necessario a impedire il riutilizzo della prova gratuita.
• IP, dispositivo e paese di ogni accesso all’area riservata: 6 mesi, per la sicurezza dell’account e per prevenire gli abusi. Li vedono solo gli amministratori.
• Eventi del percorso e canale di provenienza: 24 mesi, poi solo in forma aggregata.
• Errori tecnici: 90 giorni.
• La tua scelta sui cookie: 6 mesi. Cookie di Google Ads sul nostro dominio: 90 giorni (quelli di Google Analytics, se attivo, 2 anni); per i dati che riceve, Google applica i propri tempi di conservazione.
• Log tecnici dei fornitori di hosting e dei limiti di richiesta: al massimo 90 giorni.
• Richieste inviate tramite form contatti o consulenza: 24 mesi dall’ultima comunicazione.
• Contenuti inviati ai fornitori di modelli linguistici: i fornitori li conservano per il tempo tecnico necessario e per il controllo degli abusi previsto dalle loro condizioni API (di norma fino a 30 giorni), poi li eliminano.

Al termine dei periodi indicati i dati vengono cancellati o resi anonimi in modo irreversibile.

7. I tuoi diritti

Ai sensi degli articoli 15-22 GDPR hai diritto di:

• accedere ai tuoi dati e ottenerne copia;
• rettificare dati inesatti o incompleti (la maggior parte dei dati del profilo puoi modificarla direttamente dall’applicazione);
• ottenere la cancellazione dei dati, nei limiti in cui non dobbiamo conservarli per legge;
• limitare il trattamento nei casi previsti dall’art. 18;
• ricevere i dati in formato strutturato e di uso comune (portabilità) per i dati che ci hai fornito e che trattiamo in base al contratto;
• opporti ai trattamenti basati sul legittimo interesse;
• revocare in qualsiasi momento un consenso prestato, senza pregiudicare la liceità del trattamento precedente;
• non essere sottoposto a decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo significativo su di te (vedi la sezione 11).

Per esercitare i diritti scrivi a supporto@bandia.ai, dall’indirizzo email associato al tuo account o allegando un documento che ci permetta di identificarti. Rispondiamo entro un mese dalla richiesta, prorogabile di due mesi nei casi complessi, e senza costi salvo richieste manifestamente infondate o ripetitive. La cancellazione dell’account può essere richiesta allo stesso indirizzo. Il consenso ai cookie di Google si revoca da “Preferenze cookie”, in fondo a ogni pagina.

Se ritieni che il trattamento violi la normativa, hai il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) oppure all’autorità di controllo dello Stato UE in cui risiedi o lavori, oltre a rivolgerti all’autorità giudiziaria.

8. Trasferimenti extra-UE

Il database, l’autenticazione, l’esecuzione dell’applicazione e l’invio delle email avvengono su server nell’Unione Europea. Alcuni fornitori hanno però sede negli Stati Uniti e possono trattare dati da lì: Groq e Cloudflare (solo per le analisi guidate e le verifiche dei PDF che richiedi), Vercel Inc. (hosting), Stripe Inc. (pagamenti), Upstash e Inngest (servizi tecnici) e, solo se accetti i cookie di Google, Google LLC. Questi trasferimenti si basano sulle clausole contrattuali standard adottate dalla Commissione europea (art. 46.2 lett. c GDPR) e, per i fornitori che vi aderiscono, sulla decisione di adeguatezza relativa all’EU-US Data Privacy Framework (art. 45 GDPR), integrate dove necessario da misure supplementari come la cifratura in transito e la minimizzazione dei dati inviati. Puoi chiedere copia delle garanzie applicate scrivendo a supporto@bandia.ai.

9. Sicurezza e violazioni dei dati

Adottiamo misure tecniche e organizzative adeguate al rischio: cifratura in transito (HTTPS) e a riposo presso i fornitori di hosting, accesso ai dati limitato e regolato da permessi per riga (row level security), password conservate solo in forma di hash, chiavi e credenziali dei fornitori custodite fuori dal codice, accesso amministrativo riservato al titolare, limitazione automatica delle richieste sospette. In caso di violazione dei dati che comporti un rischio per i tuoi diritti, notificheremo il Garante entro 72 ore e ti informeremo senza ritardo ingiustificato quando il rischio è elevato (art. 33-34 GDPR).

10. Minori

BandIA è un servizio rivolto a imprese e professionisti e non è destinato ai minori di 18 anni. Non raccogliamo consapevolmente dati di minori: se ritieni che ciò sia avvenuto, contattaci e provvederemo alla cancellazione.

11. Intelligenza artificiale e decisioni automatizzate

Il Servizio usa modelli linguistici di terze parti solo in due punti, e solo quando li richiedi tu. Nell’analisi guidata inviamo il contenuto pubblico del bando e i dati del tuo profilo utili a valutare i requisiti: tipo di profilo, ragione sociale o nome e cognome, età calcolata dalla data di nascita, situazione lavorativa, forma giuridica, dimensione, dipendenti, fatturato, sede e regioni operative, ATECO, settori, certificazioni, SOA, albo, polizza e disponibilità ad ATI o subappalto. Nella verifica di un PDF che carichi tu (“Da un PDF”) inviamo le parti utili del testo del documento, i dati pubblici del bando e gli stessi dati del profilo. Non inviamo email, password, dati di pagamento né dati di fatturazione. Gli esiti vengono salvati nel tuo account così puoi rileggerli.

Tutto il resto funziona senza intelligenza artificiale, con regole nostre: la ricerca dei bandi (anche a parole tue), il calcolo della compatibilità col tuo profilo, i bandi consigliati, le email con le novità e la lettura dei dati dei bandi. Queste funzioni non inviano i tuoi dati a fornitori di modelli linguistici.

I dati sono inviati tramite le API per sviluppatori dei fornitori, che per contratto non li usano per addestrare i propri modelli e li conservano solo per il tempo tecnico e di controllo degli abusi previsto dalle loro condizioni. Se preferisci che i dati del profilo non vengano inviati, puoi semplicemente non usare l’analisi guidata e la verifica dei PDF, o rimuovere dal profilo i campi facoltativi.

Il punteggio di compatibilità e le analisi sono suggerimenti automatici che ti aiutano a scegliere cosa approfondire: non producono effetti giuridici nei tuoi confronti e ogni decisione (partecipare o meno a un bando) resta tua. Non effettuiamo profilazione a fini pubblicitari. Gli esiti dell’IA hanno natura informativa e possono contenere errori: vanno sempre verificati sui documenti ufficiali (vedi Avvertenze sull’IA).

12. Dati di terzi contenuti nei bandi

I bandi che raccogliamo provengono da fonti pubbliche (piattaforme di e-procurement, siti istituzionali, gazzette, banche dati aperte) e possono contenere dati di persone fisiche resi pubblici dagli enti, come il nome del responsabile del procedimento o i recapiti di contatto. Li trattiamo così come pubblicati, per riportare correttamente le informazioni del bando (legittimo interesse), senza arricchirli né usarli per altri scopi. Se sei una di queste persone e ritieni che un dato vada corretto o rimosso, scrivi a supporto@bandia.ai.

13. Modifiche a questa informativa

Possiamo aggiornare questa informativa per adeguarla a modifiche del Servizio, dei fornitori o della normativa. La versione aggiornata è sempre pubblicata su questa pagina con la relativa data; in caso di modifiche sostanziali (nuove finalità, nuovi fornitori che trattano dati del profilo, trasferimenti verso nuovi Paesi) te ne daremo avviso via email o con un messaggio nell’applicazione prima che diventino efficaci.