Informativa sul trattamento dei dati personali

1. Titolare del trattamento

Il titolare del trattamento è Emanuele Giordano, con recapito in Genova (di seguito, il «Titolare»). P.IVA: non ancora attribuita (attività in fase di costituzione in forma societaria). Per ogni richiesta relativa al trattamento dei dati personali è possibile scrivere a privacy@varcotrade.com. Il Titolare non ha designato un responsabile della protezione dei dati (DPO), non ricorrendone i presupposti.

2. Dati trattati

Il servizio è una versione di prova (preview) di un sistema di classificazione doganale assistito da intelligenza artificiale, accessibile tramite un conto personale. I dati trattati appartengono a due famiglie, che questa sezione tiene distinte: quelli necessari al conto e all'accesso, e quelli che l'utente conferisce utilizzando il servizio.

Conto e azienda. Per la creazione e la gestione del conto sono trattati: (a) l'indirizzo di posta elettronica, che identifica il conto ed è l'indirizzo a cui il servizio scrive; (b) la password, conservata esclusivamente come impronta crittografica (algoritmo scrypt) e mai in chiaro: il Titolare non è in grado di leggerla né di comunicarla, e può soltanto consentirne la reimpostazione; (c) il nome e cognome, se l'utente sceglie di indicarli; (d) la lingua preferita per l'interfaccia; (e) la denominazione dell'azienda a cui il conto appartiene e, ove l'azienda li compili, i suoi dati di fatturazione (ragione sociale, indirizzo, partita IVA o codice fiscale, codice destinatario o PEC, numero REA), che per un'impresa individuale o un professionista costituiscono anch'essi dati personali.

Registro dei collegamenti. Ogni accesso apre una sessione di collegamento, della quale sono conservati l'indirizzo IP e l'identificativo del browser (user agent). La finalità è duplice e concreta: consentire all'utente di riconoscere i dispositivi collegati al proprio conto e di scollegarli, e consentire al Titolare di rilevare accessi anomali. Si tratta a ogni effetto di log tecnici di accesso: le relative righe sono conservate non oltre 30 giorni dalla scadenza o dalla revoca della sessione e sono destinate alla rimozione entro tale termine, in applicazione del principio di limitazione della conservazione (art. 5, par. 1, lett. e, GDPR).

Posta di servizio. All'indirizzo registrato il servizio invia i soli messaggi necessari al funzionamento del conto: verifica dell'indirizzo, reimpostazione della password, invito rivolto a un collaboratore dall'azienda. Non sono inviate comunicazioni promozionali.

Richiesta di accesso. Chi non dispone di un conto può chiederne l'attivazione scrivendo a info@varcotrade.com. In tal caso sono trattati i dati che il richiedente sceglie di indicare — di regola il nome, l'azienda, l'indirizzo di posta elettronica e il testo libero della richiesta — prima e indipendentemente dall'esistenza di un conto. Le basi giuridiche sono l'esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b, GDPR) e il legittimo interesse del Titolare a dare riscontro a chi lo contatta (art. 6, par. 1, lett. f, GDPR).

Utilizzo del servizio. Nell'utilizzo del servizio sono trattati: (a) le fotografie caricate dall'utente, incluso ogni elemento in esse visibile; (b) i testi liberi inseriti (descrizioni, risposte alle domande di chiarimento, commenti di feedback); (c) quando la tracciatura delle sessioni è attiva, il fascicolo della sessione (fotografia, conversazione, esiti della classificazione), conservato a fini di verifica; (d) i log tecnici di accesso del server (indirizzo IP, orario, risorsa richiesta); (e) il registro delle consultazioni dei fascicoli, che annota quale conto, per quale azienda e in quale momento ha consultato un fascicolo, comprese le consultazioni respinte.

I contenuti caricati non sono destinati a contenere dati personali: l'utente si impegna, con la dichiarazione richiesta prima del primo invio, a non caricare dati personali o informazioni riservate, proprie o di terzi. L'eventuale presenza di dati personali nei contenuti caricati è quindi accidentale e non costituisce una finalità del servizio. I dati del conto descritti sopra sono invece trattati necessariamente, perché senza di essi il conto non potrebbe esistere.

3. Finalità e basi giuridiche

I dati sono trattati per: (a) l'erogazione del servizio richiesto, ossia la classificazione doganale degli oggetti fotografati — base giuridica: esecuzione del rapporto contrattuale o di misure precontrattuali (art. 6, par. 1, lett. b, GDPR); (b) la verifica della qualità e l'audit delle classificazioni tramite i fascicoli di sessione — base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR) a controllare e migliorare l'affidabilità del sistema durante il programma di prova. Non sono svolte attività di profilazione né di marketing.

4. Natura del conferimento

Per ottenere una classificazione è necessario conferire almeno uno fra una descrizione testuale dell'oggetto e una sua fotografia; le due possono essere fornite anche insieme. Il caricamento di una fotografia non è quindi obbligatorio: una descrizione scritta è sufficiente. Quanto al conto, sono necessari l'indirizzo di posta elettronica e la password, senza i quali l'accesso non può essere attivato; il nome, la lingua dell'interfaccia e i dati di fatturazione dell'azienda sono facoltativi. Il mancato conferimento non ha altra conseguenza che l'impossibilità di ottenere la classificazione o di accedere al servizio.

5. Destinatari

I contenuti caricati (fotografia e testi) sono trasmessi, per l'elaborazione, al servizio di instradamento OpenRouter, che li inoltra a fornitori terzi di inferenza. Per la fase conclusiva di classificazione il fornitore è selezionato stabilmente dal Titolare; per le fasi di analisi dell'immagine e di individuazione degli oggetti il fornitore è selezionato automaticamente dal servizio di instradamento tra quelli idonei al modello utilizzato. L'infrastruttura del servizio è ospitata presso Hostinger International Ltd (datacenter di Francoforte sul Meno, Germania).

I messaggi di posta di servizio indicati alla sezione 2 sono consegnati tramite Resend, fornitore del servizio di recapito, che agisce quale responsabile del trattamento ai sensi dell'art. 28 del GDPR e riceve a tal fine il solo indirizzo del destinatario e il contenuto del messaggio. I messaggi con cui si chiede l'attivazione di un conto sono ricevuti nella casella info@varcotrade.com, gestita dal Titolare.

Nessun altro soggetto riceve i dati; nessun dato è venduto o condiviso per finalità proprie di terzi.

6. Trasferimenti extra-UE

La catena di elaborazione sopra descritta comporta il trasferimento dei contenuti caricati verso fornitori situati al di fuori dell'Unione europea, in particolare negli Stati Uniti; per le fasi instradate automaticamente, la giurisdizione del fornitore può variare. ⟨DA VERIFICARE — legale: meccanismo di garanzia applicabile (art. 46 GDPR o decisione di adeguatezza) per la catena OpenRouter e formulazione definitiva di questa sezione.⟩ In attesa di tale verifica, l'utente è invitato a non caricare alcun contenuto che non intenda far transitare da tali fornitori.

7. Conservazione

I fascicoli di sessione conservati dal Titolare (inclusa la fotografia) sono mantenuti per la durata del programma di prova, a fini di verifica della qualità, e sono cancellati alla sua conclusione. In qualunque momento è possibile richiederne la cancellazione anticipata scrivendo a privacy@varcotrade.com: la cancellazione è eseguita manualmente e confermata al richiedente. I log tecnici di accesso seguono i tempi di rotazione ordinari del server.

Il registro delle consultazioni dei fascicoli (sezione 2) segue una regola propria, e opposta a quella dei fascicoli stessi: documenta chi ha avuto accesso a che cosa, e per questa ragione è conservato anche dopo la cancellazione dei fascicoli a cui si riferisce. Non è una dimenticanza. Cancellare, insieme ai dati, la prova di chi vi aveva avuto accesso distruggerebbe anche la prova che la cancellazione è stata eseguita correttamente: l'obbligo di comprovare il rispetto dei principi del trattamento (art. 5, par. 2, GDPR) opera qui in senso contrario alla cancellazione. Le righe del registro non contengono fotografie, descrizioni delle merci né esiti di classificazione: soltanto l'identificativo di chi ha effettuato l'accesso, l'azienda per la quale opera, l'operazione compiuta, il fascicolo a cui si riferisce e il momento in cui è avvenuta. ⟨DA VERIFICARE — legale: periodo di conservazione del registro delle consultazioni (art. 13, par. 2, lett. a, GDPR).⟩ Tale periodo non è ad oggi determinato; nell'attesa il criterio applicato è la finalità appena descritta, e il registro non è cancellato.

La conservazione dei contenuti presso i fornitori di elaborazione terzi indicati alla sezione 5 è regolata dalle rispettive condizioni di servizio.

8. Diritti dell'interessato

Ai sensi degli articoli 15–22 del GDPR, l'interessato può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità scrivendo a privacy@varcotrade.com. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

In particolare, l'interessato ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento svolto sulla base del legittimo interesse (verifica della qualità tramite i fascicoli di sessione, sezione 3).

9. Cookie e tracciamento

L'applicazione utilizza un solo cookie, che serve a mantenere collegato chi ha effettuato l'accesso: il suo nome predefinito è «varco_session» e, su un'installazione servita tramite connessione protetta (TLS), può essere configurato con il prefisso «__Host-» previsto dagli standard per i cookie vincolati alla sola origine che li ha impostati («__Host-varco_session»). Si tratta in entrambi i casi del medesimo, unico cookie. È un cookie tecnico, indispensabile per erogare il servizio richiesto dall'utente, e ricade pertanto nell'esenzione dall'obbligo di consenso prevista dall'art. 122, comma 1, del d.lgs. 196/2003: per questo il servizio non presenta alcun banner sui cookie. Non è leggibile dagli script della pagina (HttpOnly), ha una durata di quattordici giorni e decade con la disconnessione. Il cambio della password chiude gli altri collegamenti attivi sul conto — è così che se ne riprende il controllo se qualcun altro se ne è impossessato — mentre il dispositivo dal quale l'operazione viene effettuata resta collegato.

Non sono utilizzati cookie di profilazione o di terze parti, né strumenti di analisi statistica o di tracciamento. Il browser conserva localmente una sola preferenza, la lingua dell'interfaccia: non identifica l'utente e non è trasmessa ad alcun terzo.

L'accesso avviene tramite un conto personale (indirizzo di posta elettronica e password) associato a un'azienda, e non più tramite le credenziali condivise del programma di prova. Le sessioni di classificazione e i relativi esiti sono consultabili nell'applicazione dai soli conti dell'azienda che li ha prodotti: a una richiesta proveniente da un'altra azienda il servizio risponde come se la sessione non esistesse, in modo che non ne sia deducibile neppure l'esistenza. L'archivio completo dei fascicoli di sessione — che comprende la fotografia e l'intera catena di ragionamento — non è invece accessibile ad alcun conto cliente: vi accede soltanto il personale tecnico del Titolare, per finalità di verifica della qualità e di assistenza. Ogni accesso di questa natura è annotato nel registro delle consultazioni con l'indicazione che proviene dall'esterno dell'azienda a cui il fascicolo appartiene e, se il registro non può essere scritto, la consultazione è rifiutata anziché eseguita: dall'esterno dell'azienda che lo ha prodotto un fascicolo non viene aperto senza che ne resti traccia. Questa previsione sostituisce quella della versione precedente della presente informativa, secondo la quale i fascicoli non erano segregati per utente ed erano consultabili dagli altri partecipanti al programma di prova.

10. Processo decisionale automatizzato

I risultati di classificazione sono generati da un sistema di intelligenza artificiale. Hanno valore esclusivamente informativo: possono contenere errori, non producono effetti giuridici, non costituiscono consulenza doganale e non sostituiscono un'Informazione Tariffaria Vincolante (ITV). Ogni decisione con rilevanza giuridica o economica resta dell'utente e delle autorità competenti.