Informativa sulla Privacy

1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali raccolti attraverso la piattaforma edit.legal (di seguito, la “Piattaforma” o il “Servizio”) è:

Per qualsiasi questione relativa al trattamento dei dati personali, è possibile contattare il Titolare tramite il modulo di contatto.

2. Tipologie di Dati Raccolti

La Piattaforma raccoglie diverse categorie di dati personali, sia forniti direttamente dall’Utente sia raccolti automaticamente durante l’utilizzo del Servizio.

2.1 Dati forniti volontariamente dall’Utente

• Dati di registrazione e identificazione: nome, cognome, indirizzo email, numero di telefono cellulare (per la verifica dell’identità tramite SMS).
• Dati professionali: ordine professionale di appartenenza, numero di iscrizione all’albo degli avvocati, specializzazioni, foro di riferimento, denominazione dello studio legale.
• Dati di pagamento: i dati relativi agli strumenti di pagamento (carta di credito, coordinate bancarie) sono raccolti e trattati direttamente dal nostro processore di pagamenti terzo, che agisce in qualità di titolare autonomo del trattamento per la gestione delle transazioni. Ludwig S.r.l.s. non conserva i dati completi degli strumenti di pagamento.
• Contenuti caricati: documenti, atti, contratti e qualsiasi altro file caricato sulla Piattaforma dall’Utente.
• Contenuto delle conversazioni con l’assistente AI: domande, istruzioni e messaggi scambiati con il sistema di intelligenza artificiale integrato nella Piattaforma.
• Comunicazioni al supporto: messaggi, segnalazioni e richieste inviate al servizio di assistenza clienti.

2.2 Dati raccolti automaticamente

• Dati di navigazione: indirizzo IP, tipo e versione del browser, sistema operativo, tipo di dispositivo, risoluzione dello schermo, lingua del browser, pagine visitate, URL di provenienza, data e ora di accesso.
• Dati di utilizzo della Piattaforma: funzionalità utilizzate, frequenza e durata delle sessioni, interazioni con l’interfaccia, ricerche effettuate, documenti consultati.
• Cookie e tecnologie simili: cookie tecnici, cookie analitici e cookie di preferenza. Per maggiori dettagli, si rinvia alla nostra Cookie Policy.
• Dati di log del server: registrazioni automatiche delle richieste effettuate ai nostri server, comprensive di timestamp, metodo HTTP, codice di risposta e tempo di elaborazione.

2.3 Dati non raccolti

La Piattaforma non raccoglie intenzionalmente categorie particolari di dati personali ai sensi dell’art. 9 del GDPR (dati relativi alla salute, all’origine razziale o etnica, alle opinioni politiche, alle convinzioni religiose, all’appartenenza sindacale, ai dati genetici o biometrici, alla vita sessuale o all’orientamento sessuale). Qualora tali dati fossero contenuti nei documenti caricati dall’Utente, il trattamento avverrà esclusivamente per l’erogazione del Servizio e sotto la piena responsabilità dell’Utente.

3. Modalità e Luogo del Trattamento

3.1 Modalità del trattamento

Il trattamento dei dati personali è effettuato mediante strumenti informatici e telematici, con logiche strettamente correlate alle finalità indicate nella presente Informativa e, comunque, in modo da garantire la sicurezza, l’integrità e la riservatezza dei dati, nel rispetto delle misure organizzative, fisiche e tecniche previste dalla normativa vigente.

I dati sono trattati esclusivamente da personale autorizzato dal Titolare, che ha ricevuto adeguate istruzioni operative in materia di protezione dei dati personali, nonché da soggetti terzi nominati Responsabili del trattamento ai sensi dell’art. 28 del GDPR.

3.2 Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate per proteggere i dati personali da accessi non autorizzati, perdita, distruzione o alterazione, tra cui:

• Crittografia dei dati in transito (TLS/SSL) e a riposo (AES-256).
• Isolamento logico dei dati per ciascun workspace e account utente.
• Sistemi di controllo degli accessi basati su ruoli (RBAC).
• Monitoraggio continuo e registrazione degli accessi ai sistemi.
• Procedure di backup regolari con crittografia dei supporti.
• Revisione periodica delle policy di sicurezza e aggiornamento delle infrastrutture.
• Pseudonimizzazione mediante funzioni di hash crittografico degli identificatori personali (ad es. indirizzi email) che compaiono in log operativi per finalità di sicurezza o antifrode, ove ciò sia compatibile con la finalità del trattamento.

3.3 Luogo del trattamento

I dati personali sono trattati presso la sede operativa del Titolare e presso i data center dei fornitori di servizi tecnologici utilizzati per l’erogazione del Servizio. L’infrastruttura principale si avvale di data center situati nell’Unione Europea. Per informazioni sui trasferimenti di dati al di fuori dell’UE, si rinvia alla sezione 6 della presente Informativa.

4. Finalità del Trattamento e Base Giuridica

I dati personali dell’Utente sono trattati per le seguenti finalità, ciascuna fondata su una specifica base giuridica ai sensi dell’art. 6 del Regolamento (UE) 2016/679 (GDPR):

4.1 Registrazione e autenticazione

Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) GDPR).
I dati di registrazione (email, nome, cognome, numero di telefono) sono necessari per creare e gestire l’account dell’Utente, per autenticarne l’identità mediante magic link via email e verifica telefonica via SMS, e per consentire l’accesso alla Piattaforma. Il conferimento di tali dati è requisito necessario per la conclusione del contratto; il mancato conferimento impedirà la registrazione e l’utilizzo del Servizio.

4.2 Erogazione del Servizio e funzionalità AI

Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) GDPR).
I dati sono trattati per fornire le funzionalità della Piattaforma, incluse la ricerca giurisprudenziale, la redazione di atti, l’analisi di contratti e l’interazione con l’assistente AI. I contenuti inviati dall’Utente al sistema di intelligenza artificiale vengono elaborati dai modelli AI di terze parti esclusivamente per generare le risposte richieste. I documenti caricati vengono analizzati, indicizzati e archiviati per consentire la ricerca semantica e il recupero delle informazioni.

4.3 Assistenza clienti

Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) GDPR) per il riscontro alle richieste dell’Utente; interesse legittimo del Titolare (art. 6, par. 1, lett. f) GDPR) per l’analisi delle comunicazioni con il supporto al fine di migliorare la qualità dell’assistenza.
I dati delle comunicazioni con il supporto sono trattati per rispondere alle richieste dell’Utente, risolvere problematiche tecniche e — nei limiti dell’interesse legittimo del Titolare — migliorare la qualità dell’assistenza fornita.

4.4 Comunicazioni commerciali e promozionali

Base giuridica: consenso dell’Utente (art. 6, par. 1, lett. a) GDPR).
Previo consenso esplicito e facoltativo dell’Utente, i dati di contatto potranno essere utilizzati per l’invio di comunicazioni commerciali relative a nuove funzionalità, offerte, eventi e contenuti informativi. Il consenso può essere revocato in qualsiasi momento, senza pregiudizio per la liceità del trattamento effettuato prima della revoca, utilizzando il link di disiscrizione presente in ogni comunicazione o scrivendo a il modulo di contatto.

4.5 Analisi statistica e miglioramento del Servizio

Base giuridica: interesse legittimo del Titolare (art. 6, par. 1, lett. f) GDPR).
I dati di utilizzo e navigazione, in forma aggregata e, ove possibile, anonimizzata, sono trattati per analizzare le modalità di utilizzo della Piattaforma, individuare aree di miglioramento, ottimizzare le prestazioni e sviluppare nuove funzionalità. L’interesse legittimo del Titolare risiede nel continuo miglioramento della qualità del Servizio offerto. L’Utente può in ogni caso opporsi a tale trattamento ai sensi dell’art. 21 del GDPR.

4.6 Adempimenti fiscali e contabili

Base giuridica: obbligo legale (art. 6, par. 1, lett. c) GDPR).
I dati relativi alle transazioni economiche e alla fatturazione sono trattati per adempiere agli obblighi previsti dalla normativa fiscale, tributaria e contabile italiana ed europea, ivi inclusa l’emissione di fatture elettroniche e la tenuta delle scritture contabili obbligatorie.

4.7 Sicurezza e prevenzione delle frodi

Base giuridica: interesse legittimo del Titolare (art. 6, par. 1, lett. f) GDPR).
I dati di log, gli indirizzi IP e i dati di accesso sono trattati per garantire la sicurezza della Piattaforma, prevenire e individuare attività fraudolente, abusi, accessi non autorizzati e violazioni dei Termini e Condizioni. L’interesse legittimo del Titolare risiede nella protezione dell’infrastruttura tecnologica e dei dati degli Utenti.

5. Destinatari dei Dati

I dati personali dell’Utente possono essere comunicati alle seguenti categorie di destinatari, che agiscono in qualità di Responsabili del trattamento ai sensi dell’art. 28 del GDPR (salvo ove diversamente indicato), sulla base di specifici accordi per il trattamento dei dati (DPA):

• Provider di servizi di infrastruttura cloud e CDN: per l’hosting della Piattaforma, la distribuzione dei contenuti e la protezione dagli attacchi informatici, con data center principali situati nell’Unione Europea.
• Provider di servizi di intelligenza artificiale: per l’elaborazione delle richieste inviate all’assistente AI. I dati sono trasmessi in forma pseudonimizzata e utilizzati esclusivamente per generare le risposte; non vengono impiegati per l’addestramento dei modelli AI.
• Provider di servizi di analisi statistica e product analytics: per la misurazione aggregata dell’utilizzo della Piattaforma e l’individuazione di problematiche di usabilità. Tali strumenti (in particolare Microsoft Clarity per il session recording comportamentale e Cloudflare Web Analytics per le statistiche first-party cookieless) sono descritti in dettaglio nella Cookie Policy. Il session recording di Clarity avviene previo consenso dell’Utente; Cloudflare Web Analytics non installa cookie e raccoglie esclusivamente dati aggregati e anonimizzati.
• Processore di pagamenti: per la gestione delle transazioni economiche e degli abbonamenti. Il processore di pagamenti opera come titolare autonomo del trattamento per quanto riguarda i dati degli strumenti di pagamento.
• Provider di servizi di comunicazione email: per l’invio di email transazionali (conferme di registrazione, magic link di autenticazione, notifiche relative al Servizio) e, ove autorizzato, comunicazioni commerciali.
• Provider di servizi di verifica telefonica: per l’invio di codici di verifica via SMS nell’ambito del processo di autenticazione.
• Provider di servizi di archiviazione (object storage): per la conservazione sicura dei documenti caricati dagli Utenti, con infrastruttura situata nell’Unione Europea.
• Consulenti professionali: commercialisti, consulenti legali e revisori contabili, nei limiti strettamente necessari per l’adempimento di obblighi legali e contabili.
• Autorità pubbliche: autorità giudiziarie, fiscali o di vigilanza, esclusivamente nei casi previsti dalla legge e su legittima richiesta.

Il Titolare non vende, cede né condivide i dati personali degli Utenti con terze parti per finalità di marketing diretto da parte di tali terze parti. L’elenco aggiornato dei Responsabili del trattamento è disponibile su richiesta scrivendo a il modulo di contatto.

6. Trasferimento dei Dati al di Fuori dell’Unione Europea

Il Titolare si avvale prevalentemente di fornitori che trattano i dati personali all’interno dell’Unione Europea o dello Spazio Economico Europeo (SEE). Tuttavia, alcuni fornitori di servizi tecnologici potrebbero trattare dati personali, o accedervi, da Paesi al di fuori dell’UE/SEE.

In tali casi, i trasferimenti di dati sono effettuati nel rispetto del Capo V del GDPR e garantiti da uno o più dei seguenti meccanismi:

• Decisioni di adeguatezza della Commissione Europea ai sensi dell’art. 45 del GDPR, che attestano un livello di protezione dei dati adeguato nel Paese terzo di destinazione.
• Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea ai sensi dell’art. 46, par. 2, lett. c) del GDPR, integrate, ove necessario, da misure supplementari tecniche e organizzative conformi alle raccomandazioni dell’EDPB.
• Data Privacy Framework (DPF) UE-USA, per i trasferimenti verso gli Stati Uniti d’America nei confronti di organizzazioni certificate, in conformità alla decisione di adeguatezza della Commissione Europea del 10 luglio 2023.

L’Utente può richiedere informazioni sulle garanzie specifiche applicate ai trasferimenti di dati scrivendo a il modulo di contatto.

7. Periodo di Conservazione dei Dati

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità per le quali sono stati raccolti, nel rispetto dei principi di minimizzazione e limitazione della conservazione di cui all’art. 5 del GDPR. Di seguito i periodi di conservazione per ciascuna categoria:

• Dati dell’account e dati contrattuali: per tutta la durata del rapporto contrattuale e per un periodo di 10 (dieci) anni successivi alla cessazione del rapporto, in adempimento degli obblighi di conservazione fiscale e contabile previsti dalla normativa italiana (art. 2220 c.c., D.P.R. 600/1973).
• Contenuti generati dall’Utente (documenti, conversazioni AI): fino alla cancellazione dell’account da parte dell’Utente. A seguito della cancellazione, i contenuti saranno eliminati entro 30 (trenta) giorni, fatta salva la conservazione dei backup per un massimo di 90 (novanta) giorni.
• Dati trattati sulla base del consenso(comunicazioni commerciali): fino alla revoca del consenso da parte dell’Utente.
• Dati analitici e di navigazione: per un periodo massimo di 26 (ventisei) mesi dalla raccolta.
• Log di sicurezza e dati antifrode: per un periodo massimo di 12 (dodici) mesi dalla registrazione dell’evento.
• Dati relativi al supporto clienti: per tutta la durata del rapporto contrattuale e per un periodo di 2 (due) anni successivi alla cessazione, al fine di gestire eventuali contenziosi.

Al termine dei periodi di conservazione indicati, i dati personali saranno cancellati in modo sicuro o anonimizzati in forma irreversibile.

8. Diritti dell’Interessato

In conformità agli articoli da 15 a 22 del Regolamento (UE) 2016/679 (GDPR), l’Utente, in qualità di interessato al trattamento, può esercitare in qualsiasi momento i seguenti diritti:

Per esercitare i diritti sopra indicati, l’Utente può inviare una richiesta scritta a il modulo di contatto. Il Titolare fornirà riscontro alla richiesta entro 30 (trenta) giorni dal ricevimento, termine prorogabile di ulteriori 60 (sessanta) giorni in caso di richieste particolarmente complesse, previa comunicazione all’Utente dei motivi della proroga.

L’Utente ha inoltre il diritto di proporre reclamo all’Autorità Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) qualora ritenga che il trattamento dei propri dati personali avvenga in violazione del GDPR.

9. Trattamento dei Dati Relativi all’Attività Professionale

La Piattaforma è destinata a professionisti legali e, pertanto, raccoglie e tratta dati relativi alla qualifica professionale dell’Utente, quali:

• L’ordine professionale di appartenenza (Ordine degli Avvocati).
• Il numero di iscrizione all’albo.
• Le eventuali specializzazioni riconosciute.
• Il foro di riferimento.
• La denominazione dello studio legale di appartenenza.

Tali dati sono trattati ai fini della verifica dell’identità professionale dell’Utente, della personalizzazione del Servizio in funzione dell’ambito di pratica e della conformità alle condizioni di utilizzo della Piattaforma, che è riservata ai professionisti del settore legale e ai soggetti da questi autorizzati. La base giuridica per tale trattamento è l’esecuzione del contratto (art. 6, par. 1, lett. b) GDPR) e l’interesse legittimo del Titolare (art. 6, par. 1, lett. f) GDPR) a garantire che il Servizio sia utilizzato da utenti legittimati.

10. Intelligenza Artificiale e Trattamento Automatizzato

10.1 Funzionamento del sistema AI

La Piattaforma integra modelli di intelligenza artificiale generativa forniti da provider terzi di comprovata affidabilità. Tali modelli sono utilizzati per offrire funzionalità di assistenza alla ricerca giurisprudenziale, redazione di atti, analisi di documenti e risposte a quesiti giuridici.

10.2 Dati trasmessi ai modelli AI

Le richieste dell’Utente (prompt, testi di documenti, quesiti) vengono trasmesse ai provider dei modelli AI esclusivamente per generare le risposte. I dati trasmessi:

• Non sono utilizzati per l’addestramento dei modelli AI. I contratti con i provider terzi vietano espressamente l’utilizzo dei dati degli Utenti per il training o il fine-tuning dei modelli.
• Non sono conservati dai provider AI oltre il tempo strettamente necessario per generare la risposta, salvo obblighi di legge applicabili al provider stesso.
• Sono trasmessi in forma pseudonimizzata, senza associazione diretta all’identità dell’Utente.

10.3 Disclaimer sull’output AI

I contenuti generati dall’intelligenza artificiale hanno natura esclusivamente informativa e strumentale. L’AI assiste il professionista legale ma non sostituisce in alcun modo il giudizio professionale dell’avvocato. I risultati generati possono contenere imprecisioni, errori o informazioni non aggiornate. L’Utente è tenuto a verificare in modo autonomo e indipendente ogni informazione generata dal sistema prima di utilizzarla nell’ambito della propria attività professionale.

10.4 Profilazione

La Piattaforma non effettua profilazione ai sensi dell’art. 22 del GDPR (decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o incidano significativamente sulla persona dell’interessato). L’eventuale personalizzazione del Servizio (ad esempio, suggerimenti di ricerche pertinenti all’ambito di pratica dell’Utente) si basa su preferenze espresse dall’Utente e sull’analisi aggregata delle modalità di utilizzo, senza produrre effetti giuridici né incidere significativamente sull’Utente.

11. Cookie

La Piattaforma utilizza cookie tecnici, analitici e di preferenza. Per informazioni dettagliate sulle tipologie di cookie utilizzati, sulle relative finalità e durate, sulle modalità di gestione delle preferenze e sulle basi giuridiche applicabili, si rinvia alla nostra Cookie Policy.

12. Modifiche alla Presente Informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente Informativa in qualsiasi momento, dandone adeguata pubblicità agli Utenti. Le modifiche sostanziali saranno comunicate tramite notifica all’interno della Piattaforma e/o via email all’indirizzo di posta elettronica associato all’account dell’Utente, con un preavviso di almeno 15 (quindici) giorni rispetto alla data di entrata in vigore delle modifiche.

L’utilizzo continuato della Piattaforma dopo l’entrata in vigore delle modifiche costituisce accettazione della versione aggiornata dell’Informativa. Qualora l’Utente non intenda accettare le modifiche, potrà esercitare i propri diritti ai sensi della sezione 8 o cessare l’utilizzo del Servizio.

13. Definizioni e Riferimenti Legali

• Dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile (art. 4, n. 1, GDPR).
• Trattamento: qualsiasi operazione o insieme di operazioni compiute su dati personali (art. 4, n. 2, GDPR).
• Titolare del trattamento: la persona fisica o giuridica che determina le finalità e i mezzi del trattamento (art. 4, n. 7, GDPR).
• Responsabile del trattamento: la persona fisica o giuridica che tratta dati personali per conto del Titolare (art. 4, n. 8, GDPR).
• Interessato: la persona fisica a cui si riferiscono i dati personali (art. 4, n. 1, GDPR).
• GDPR: Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
• Codice Privacy: Decreto Legislativo 30 giugno 2003, n. 196, come modificato dal Decreto Legislativo 10 agosto 2018, n. 101.
• Garante: l’Autorità Garante per la Protezione dei Dati Personali, autorità di controllo italiana ai sensi dell’art. 51 del GDPR.

14. Componente aggiuntivo per Microsoft Word

L’edit.legal Componente aggiuntivo per Microsoft Word (di seguito, il “Componente aggiuntivo”) consente l’utilizzo della Piattaforma direttamente all’interno di Microsoft Word. La presente sezione integra le disposizioni precedenti per quanto riguarda il trattamento dei dati nell’ambito del Componente aggiuntivo, distribuito tramite Microsoft AppSource.

14.1 Dati raccolti tramite il Componente aggiuntivo

Quando l’Utente utilizza il Componente aggiuntivo, oltre ai dati descritti nella Sezione 2, possono essere trattati i seguenti dati:

• Contenuto del documento: porzioni del testo del documento Word su cui l’Utente esegue azioni di analisi, redazione o assistenza AI. Tali porzioni sono trasmesse temporaneamente ai fornitori di modelli AI (Sezione 10.2) per generare la risposta richiesta dall’Utente. Il contenuto del documento non viene conservato dopo l’elaborazione, salvo quanto strettamente necessario per le funzioni di cronologia conversazionale all’interno del Servizio.
• Identità Microsoft 365: quando l’Utente accede tramite Single Sign-On Microsoft (chiamata Office.auth.getAccessToken), il Componente aggiuntivo riceve un token JWT contenente l’indirizzo email, l’identificativo univoco Entra ID (oid) e l’identificativo del tenant Microsoft (tid) dell’Utente. Tali dati sono utilizzati esclusivamente per autenticare l’Utente nella Piattaforma e collegare l’account Microsoft all’account edit.legal corrispondente. Le autorizzazioni richieste si limitano al profilo base (Microsoft GraphUser.Read); non viene richiesto alcun accesso a OneDrive, SharePoint, Outlook, Calendar o altre risorse Microsoft 365.
• Metadati di utilizzo del Componente aggiuntivo: eventi di interazione (apertura della task pane, invocazione di funzioni AI, esiti di errore). Tali metadati sono raccolti su Cloudflare Analytics Engine per finalità di monitoraggio operativo e miglioramento del Servizio, in conformità con quanto descritto nelle Sezioni 4.5 e 4.7.

14.2 Dati NON raccolti dal Componente aggiuntivo

Il Componente aggiuntivo NON accede e NON trasmette al Titolare:

• L’intero contenuto del documento se l’Utente non lo richiede esplicitamente. Solo le porzioni selezionate dall’Utente o richieste dalla funzione invocata vengono inviate ai fornitori di modelli AI.
• Documenti diversi da quello attualmente aperto da Microsoft Word, file su OneDrive/SharePoint, contenuto della casella email, calendario o altre risorse Microsoft 365.
• Cronologia di navigazione, schermate del sistema operativo, contenuto di altre applicazioni in uso.

14.3 Distribuzione tramite Microsoft AppSource

Il Componente aggiuntivo è distribuito tramite Microsoft AppSource. L’installazione comporta l’accettazione delle condizioni d’uso applicabili a Microsoft AppSource. La distribuzione tramite AppSource non comporta il trasferimento di dati personali a Microsoft eccedente quanto descritto nelle politiche di Microsoft applicabili al servizio AppSource (es. metadati di installazione e telemetria di piattaforma raccolti da Microsoft come responsabile autonomo del trattamento).

14.4 Sottoscrizione e fatturazione

Il Componente aggiuntivo è gratuito da installare. Alcune funzionalità avanzate richiedono una sottoscrizione a pagamento gestita direttamente dal Titolare tramite il fornitore di servizi di pagamento Stripe (Sezione 5). Microsoft non interviene nel processo di pagamento e non riceve dati relativi alla sottoscrizione, eccetto quanto eventualmente esposto pubblicamente nel listino dell’offerta su AppSource.

14.5 Disinstallazione

L’Utente può disinstallare il Componente aggiuntivo in qualsiasi momento tramite le impostazioni di Microsoft Word (Inserisci → I miei componenti aggiuntivi → Rimuovi). La disinstallazione del Componente aggiuntivo non comporta automaticamente la cancellazione dell’account edit.legal o dei dati associati; per eliminare l’account è necessario esercitare il diritto di cancellazione descritto nella Sezione 8.

Ultimo aggiornamento: maggio 2026