Informativa privacy · artt. 13-14 GDPR

Come Capofila tratta i dati personali

Versione 1 · luglio 2026 — per chi usa la piattaforma: le persone dell'impresa nel pannello e le figure invitate (CSE, direttore lavori, committente, subappaltatori).

1. Chi è responsabile di cosa

Capofila è una piattaforma che le imprese usano per i propri documenti di cantiere. Per questo i ruoli sono due:

Per i documenti di cantiere e i dati che contengono (anche riferiti a lavoratori e figure del cantiere): titolare del trattamento è l'impresa che li carica e li gestisce. Il gestore di Capofila li tratta per suo conto, come responsabile ex art. 28 GDPR, sulla base di un atto di nomina.
Per i dati necessari a far funzionare la piattaforma (account, log tecnici e di sicurezza): titolare è il gestore di Capofila: Leonardo Silvestri, P. IVA 02571950977, Via Moise Cecconi, 59100 Prato (PO) — contatto: studiojoem@gmail.com.

2. Quali dati e perché

Dati	A cosa servono	Base giuridica
Account: nome, email, password (conservata cifrata), ruolo e perimetro di accesso	Farti entrare e mostrarti solo ciò che ti compete	Esecuzione del servizio richiesto (art. 6.1.b)
Documenti caricati e dati estratti (es. tipo documento, ditta, date di scadenza)	Archivio ordinato, scadenzario e avvisi dell'impresa titolare	Trattati per conto dell'impresa titolare; per i dati dei lavoratori, i suoi obblighi di legge in materia di lavoro e sicurezza (artt. 6.1.c e 9.2.b)
Log di sicurezza: indirizzo IP, dispositivo, azioni svolte (registro attività), accettazione delle condizioni	Sicurezza, tracciabilità delle azioni sui documenti, prevenzione abusi	Legittimo interesse alla sicurezza (art. 6.1.f); obblighi di legge
Email di servizio: inviti, avvisi di scadenza, notifiche operative	Il funzionamento del servizio — niente marketing	Esecuzione del servizio (art. 6.1.b)

Documenti sanitari. Alcuni documenti di cantiere (es. giudizi di idoneità sanitaria) contengono dati relativi alla salute dei lavoratori: l'impresa titolare li tratta per i propri obblighi di salute e sicurezza sul lavoro, e Capofila li custodisce per suo conto con le misure descritte al punto 5.

3. L'analisi automatica dei documenti (AI)

Quando un documento viene caricato, Capofila lo analizza con un sistema di intelligenza artificiale (Claude, di Anthropic) per proporre la categoria e le scadenze. Al fornitore AI viene inviato solo il documento in lavorazione — il testo estratto oppure, per i documenti scansionati, le immagini delle prime pagine — mai l'intero archivio. Le proposte dell'AI diventano definitive solo dopo la conferma di una persona dell'impresa: nessuna decisione con effetti giuridici viene presa in automatico. Anthropic tratta i dati negli USA con le garanzie del punto 4 e non usa questi dati per addestrare i propri modelli.

4. Chi vede i dati e dove stanno

I dati non vengono venduti né ceduti. Li trattano, per conto della piattaforma, solo questi fornitori:

Fornitore	Attività	Dove, con quali garanzie
Netsons S.r.l.	Hosting del server e dei dati	Italia (UE)
Brevo (Sendinblue SAS)	Invio delle email di servizio	Francia (UE)
Anthropic PBC	Analisi AI dei documenti (punto 3)	USA — Clausole Contrattuali Standard incorporate nel suo Data Processing Addendum

Vedono inoltre i dati le persone che l'impresa stessa autorizza: i suoi utenti interni e le figure che invita, ciascuna limitata al proprio perimetro (un subappaltatore non vede i documenti delle altre ditte, il CSE non vede gli importi, e così via).

5. Come sono protetti

connessione sempre cifrata (HTTPS); server in datacenter nell'Unione Europea;
ogni consultazione e ogni scaricamento passano da un cancello di autorizzazione basato su ruolo e perimetro; nessun documento è raggiungibile da un indirizzo pubblico;
password cifrate, limiti anti-abuso, registro delle attività;
copie di sicurezza giornaliere (conservate 14 giorni).

6. Per quanto tempo

Documenti: finché l'impresa titolare li conserva; se eliminati, restano nel cestino 30 giorni e poi i file sono cancellati davvero. I file caricati dagli esterni e non archiviati si cancellano dopo 30 giorni.
Account: per la durata del servizio; un accesso revocato smette subito di funzionare.
Log di sicurezza e registro attività: per la durata del servizio, a fini di sicurezza e tracciabilità.
Copie di sicurezza: si esauriscono col ciclo di 14 giorni; esportazioni ZIP: eliminate dopo 24 ore.

7. Cookie

Capofila usa solo cookie tecnici: la sessione di accesso, la protezione dei moduli (anti-CSRF) e, se lo scegli, il «ricordami». Nessun cookie di profilazione o pubblicitario, nessuno strumento di tracciamento di terze parti: per questo non serve il banner dei cookie.

8. I tuoi diritti

Hai i diritti degli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Per i dati dei documenti di cantiere, il riferimento è l'impresa titolare (che Capofila assiste); per i dati di funzionamento della piattaforma, il gestore ai contatti del punto 1. Puoi sempre proporre reclamo al Garante per la protezione dei dati personali (gpdp.it).