Informativa sulla privacy

1. Titolare del trattamento

Titolare del trattamento dei dati su questo sito web è: ,
E-mail: info@bidpilot24.com

2. Principi e fonti dei dati

Trattiamo i dati personali esclusivamente per le finalità descritte nella presente informativa, sulla base giuridica di volta in volta indicata e solo per il tempo necessario allo scopo o a un obbligo di conservazione previsto dalla legge. Riceviamo i dati direttamente da Lei e dal Suo utilizzo della piattaforma. I contenuti degli appalti pubblici provengono da avvisi pubblicamente accessibili delle fonti di gara collegate; i dati sulle persone di contatto in essi contenuti possono costituire dati personali — la pubblica disponibilità non esclude il riferimento a una persona.

3. Accessi al server e sicurezza

Quando il sito web viene richiamato, trattiamo i dati di connessione tecnicamente necessari (indirizzo IP, data e ora, indirizzo richiamato, tipo e versione del browser e indirizzo referrer). Lo scopo è la consegna delle pagine, la diagnostica degli errori e la difesa dagli abusi. La base giuridica è l'art. 6, par. 1, lett. f del GDPR (legittimo interesse a un funzionamento sicuro) e, per le funzioni richieste, l'art. 6, par. 1, lett. b del GDPR. La piattaforma è gestita su infrastrutture da noi amministrate presso un provider di hosting in Germania. Proteggiamo i dati da noi trattati mediante misure tecniche e organizzative ai sensi dell'art. 32 GDPR (tra cui trasmissione cifrata, restrizioni di accesso e copie di sicurezza periodiche). Una sicurezza assoluta contro tutti gli attacchi o gli errori non può tuttavia essere garantita. In caso di violazione della protezione dei dati personali adempiamo agli obblighi legali di notifica (art. 33 e 34 GDPR) e informiamo — ove necessario — le persone interessate.

4. Registrazione, account e organizzazioni

Al momento della registrazione trattiamo il Suo indirizzo e-mail, facoltativamente un nome utente, la Sua password (esclusivamente come hash crittografico), l'impostazione della lingua nonché gli orari di accesso e gli indirizzi IP. Per la Sua organizzazione memorizziamo il nome dell'organizzazione, i ruoli dei membri e lo stato della tariffa e dell'abbonamento. Lo scopo è la creazione dell'account, l'accesso, il funzionamento della piattaforma e l'adempimento del contratto. La base giuridica è l'art. 6, par. 1, lett. b del GDPR; per i registri di sicurezza e di prevenzione degli abusi anche l'art. 6, par. 1, lett. f del GDPR.

5. Profili di ricerca e dati delle gare

Memorizziamo i Suoi profili di ricerca (nome del profilo, termini di ricerca e di esclusione, regioni e impostazioni), i contenuti delle gare recuperati, i risultati di corrispondenza e di valutazione nonché i Suoi stati di lavorazione, nella misura in cui utilizza queste funzioni. Nei testi delle gare possono essere contenuti dati personali di terzi (ad esempio nomi e recapiti delle persone di contatto delle stazioni appaltanti); li trattiamo esclusivamente come parte dei contenuti delle gare pubblicamente accessibili. La base giuridica è l'art. 6, par. 1, lett. b del GDPR.

6. Funzioni basate sull'IA

Quando utilizza una funzione di IA (ad esempio l'assistente del profilo, la valutazione delle corrispondenze, le motivazioni del matching), i contenuti necessari vengono trasmessi al provider di IA configurato in ciascun caso: per l'assistente del profilo la descrizione liberamente inserita, negli altri casi i dati del profilo di ricerca nonché titolo, descrizione, committente, scadenze e dettagli strutturati della gara in questione. Questi contenuti possono contenere involontariamente dati personali. I risultati dell'IA sono un supporto automatizzato e non una decisione professionale o giuridica vincolante; verifichi sempre la gara originale e le relative scadenze. Punteggi, matching e valutazioni non sostituiscono un controllo umano né la vostra decisione finale.

Con l'assistente per le offerte basato sull'IA (Premium) vengono trasmessi al provider di IA configurato esclusivamente contenuti della gara — titolo, descrizione, committente, scadenze, criteri di aggiudicazione e i documenti di gara estratti — nonché token segnaposto tecnici. I dati anagrafici della Sua azienda provenienti dal profilo aziendale e i contenuti della Sua libreria di offerte non vengono mai trasmessi al provider di IA; l'IA genera la bozza con segnaposto che vengono sostituiti con i Suoi dati solo sui nostri server al momento della visualizzazione e dell'esportazione. Anche le bozze salvate contengono solo segnaposto. La base giuridica è l'art. 6, par. 1, lett. b del GDPR; il profilo aziendale e i contenuti della libreria vengono cancellati o resi anonimi insieme all'organizzazione.

Provider di IA attualmente configurati:

• Opper (EU)

Il trattamento da parte del provider avviene sulla base del rispettivo contratto di trattamento dei dati o di utilizzo; per i provider al di fuori del SEE si applicano le garanzie ivi concordate (ad esempio le clausole contrattuali standard dell'UE). Quando viene utilizzato un modello ospitato sulla nostra infrastruttura, i dati rimangono presso di noi.

7. Elaborazione dei pagamenti

Per le tariffe a pagamento utilizziamo Stripe (Stripe Payments Europe, Ltd., Irlanda, e Stripe, Inc., USA) per l'elaborazione dei pagamenti, la fatturazione e l'emissione delle fatture. Alla creazione iniziale di un cliente Stripe, BidPilot24 trasmette il nome dell'organizzazione, l'indirizzo e-mail del titolare dell'organizzazione e gli identificatori interni dell'organizzazione (ID/slug). Nelle chiamate di checkout e di abbonamento trasmettiamo l'identificativo cliente Stripe, i metadati della tariffa ed eventualmente un codice coupon. L'indirizzo di fatturazione e un'eventuale partita IVA indicata vengono inseriti dalla persona che effettua il pagamento direttamente nel checkout gestito da Stripe; Stripe raccoglie questi dati e aggiorna così il proprio profilo cliente. Stripe invia eventi di checkout, abbonamento e pagamento alla nostra interfaccia webhook. Un evento di checkout completato può contenere una partita IVA inserita; il nostro handler ne elabora stato, identificatori e metadati, ma non memorizza l'indirizzo di fatturazione né la partita IVA nel database di BidPilot24. Gli identificatori di cliente e abbonamento generati da Stripe vengono da noi ricevuti e memorizzati per la gestione del contratto; l'identificativo cliente viene inviato nuovamente a Stripe nelle successive chiamate API per la referenziazione. I dati della carta vengono rilevati direttamente presso Stripe; non memorizziamo numeri di carta completi. La base giuridica è l'art. 6, par. 1, lett. b del GDPR; per gli obblighi fiscali di conservazione l'art. 6, par. 1, lett. c del GDPR. Il trasferimento verso gli USA avviene sulla base delle clausole contrattuali standard dell'UE.

8. Funzione di recesso elettronica

In caso di dichiarazione di recesso elettronica memorizziamo nome, organizzazione associata e numero cliente, gli indirizzi e-mail dei titolari registrati per la conferma di ricezione, il momento di ricezione, il riferimento, il percorso di identificazione e lo stato di verifica. Il modulo elettronico associa il numero cliente o l'e-mail del titolare a un'organizzazione e invia la conferma a tutti gli indirizzi e-mail dei titolari registrati. In caso di ricezione in forma libera via e-mail o posta, il team interno registra il nome del mittente, i dati di contatto e contrattuali disponibili e il momento di ricezione — anche se l'organizzazione non può essere identificata in un primo momento. I dati di contatto del mittente non costituiscono prova della titolarità dell'organizzazione. Una chiave hash derivata dall'indirizzo IP viene utilizzata nella cache per limitare tentativi ripetuti di invio del modulo elettronico e scade dopo un'ora. Lo scopo è la ricezione, la documentazione, la limitazione degli abusi e l'elaborazione delle dichiarazioni. La base giuridica è l'art. 6, par. 1, lett. b del GDPR e, se applicabile, la lett. c; per la difesa legale necessaria può applicarsi la lett. f. Le dichiarazioni verificate o registrate manualmente vengono conservate secondo la regola attuale fino a 6 anni dopo la fine dell'anno civile del ricevimento; gli invii elettronici non verificati vengono cancellati dopo 14 mesi.

In caso di recesso in forma libera via e-mail o posta, il team interno può facoltativamente allegare al record una scansione o una foto della lettera oppure una stampa dell'e-mail (PDF o immagine) come prova. Il file può contenere dati personali presenti nella lettera nonché dati di terzi ivi menzionati. Viene cancellato insieme al record del recesso: le dichiarazioni verificate o registrate manualmente secondo la regola attuale fino a 6 anni dopo la fine dell'anno civile del ricevimento, gli invii elettronici non verificati dopo 14 mesi.

L'esercizio di un diritto di recesso volontario nell'area abbonamento viene memorizzato come evento contrattuale con data e account utente che lo ha attivato ed è soggetto alle stesse regole di conservazione contrattuali e documentali. Lo stato di consumo memorizzato viene inoltre utilizzato per garantire l'unicità delle finestre temporali gratuite — dopo l'esercizio del diritto di recesso, all'organizzazione non viene concesso alcun ulteriore periodo di prova gratuito.

9. Modulo di contatto

Quando ci scrive tramite il modulo di contatto, trattiamo il Suo nome, il Suo indirizzo email, la categoria scelta, l'oggetto facoltativo e il testo del messaggio, nonché la lingua, l'orario di ricezione e un checksum IP pseudonimizzato per la protezione dagli abusi. Se ha effettuato l'accesso, la richiesta viene associata al Suo account. Se la notifica amministratore è attiva, il nostro team riceve inoltre una conferma di ricezione priva di contenuti tramite Telegram (FZ-LLC) — contiene solo categoria, orario di ricezione, ID del record e un link interno, nessun dato personale né contenuto. Lo scopo è rispondere alla Sua richiesta; la base giuridica è l'art. 6, par. 1, lett. b del GDPR e l'art. 6, par. 1, lett. f del GDPR (legittimo interesse a rispondere alle richieste e a prevenire abusi). Le richieste di contatto vengono attualmente conservate fino a 12 mesi dalla ricezione.

10. Comunicazione via e-mail

Per le conferme dell'account, il ripristino della password, gli inviti al team, i riepiloghi delle corrispondenze e gli avvisi relativi all'abbonamento inviamo e-mail tramite il nostro server di posta; non avviene alcuna trasmissione a un fornitore esterno di servizi di invio. Vengono trattati rispettivamente l'indirizzo del destinatario e il contenuto necessario per il messaggio. La base giuridica è l'art. 6, par. 1, lett. b del GDPR.

11. Cookie e gestione del consenso

Tecnicamente necessario è il cookie di sessione (autenticazione e stato della sessione), che viene eliminato alla chiusura del browser, nonché — solo con l'opzione attivata «Rimani connesso» — un cookie di accesso con durata di due settimane. Inoltre l'applicazione utilizza l'archiviazione del browser (localStorage/sessionStorage) esclusivamente per stati tecnicamente necessari: la gestione del consenso (chiave «cookie_consent»), le impostazioni dell'interfaccia (schema di colori «theme», larghezze di barra laterale e drawer), gli stati dell'interfaccia utente (pannelli di filtri e schede aperti, marcatori di tour già visti) nonché le bozze di sessione nel processo di registrazione (bozza del modulo, tariffa selezionata, codice promozionale inserito — sessionStorage, eliminato alla chiusura della scheda). La base giuridica è il § 25, par. 2, n. 2 TDDDG in combinazione con l'art. 6, par. 1, lett. b del GDPR.

Per la misurazione della portata utilizziamo un'istanza Matomo self-hosted sulla nostra infrastruttura; non avviene alcuna trasmissione a terzi. Lo script di analisi viene caricato solo dopo che Lei ha acconsentito alla categoria analisi nel banner dei cookie. Dopo il consenso, Matomo imposta cookie propri per il riconoscimento (ID visitatore, sessione e stato del consenso; durata fino a 13 mesi). La posizione del visitatore viene determinata in modo approssimativo dall'indirizzo IP; viene memorizzato esclusivamente l'indirizzo anonimizzato. Il Suo consenso viene protocollato in un record di consenso e la Sua selezione viene inoltre memorizzata nell'archiviazione del browser (localStorage, chiave «cookie_consent»); può modificarla o revocarla in qualsiasi momento tramite le impostazioni dei cookie nel piè di pagina. La base giuridica è il § 25, par. 1 TDDDG in combinazione con l'art. 6, par. 1, lett. a del GDPR.

Per l'analisi delle campagne pubblicitarie utilizziamo — solo previo Suo consenso alla categoria marketing nel banner dei cookie — il Meta Pixel di Meta Platforms Ireland Ltd. Lo script viene caricato solo dopo il consenso; in tale occasione vengono stabilite connessioni ai server di Meta e vengono impostati cookie propri («_fbp», «_fbc») tramite i quali Meta può riconoscere il Suo browser. Non è escluso un trasferimento verso paesi terzi (in particolare gli USA). La base giuridica è il § 25, par. 1 TDDDG in combinazione con l'art. 6, par. 1, lett. a del GDPR; può revocare il consenso in qualsiasi momento tramite le impostazioni dei cookie nel piè di pagina.

12. Marketing e misurazione del successo con Meta

Sul nostro sito web utilizziamo, previo Suo consenso, tecnologie di Meta Platforms Ireland Limited, Merrion Road, Dublin 4, D04 X2K5, Irlanda (di seguito «Meta»). Ciò include in particolare il Meta Pixel, con il quale possiamo misurare l'efficacia dei nostri annunci pubblicitari su Facebook e Instagram, analizzare l'utilizzo del nostro sito web dopo la visualizzazione di un annuncio e ottimizzare le nostre campagne pubblicitarie.

Nella misura in cui vengono utilizzate le relative funzioni, le informazioni raccolte possono essere utilizzate anche per formare gruppi target per pubblicità personalizzata (retargeting).

Con l'utilizzo di queste tecnologie possono essere trattati e trasmessi a Meta in particolare il Suo indirizzo IP, informazioni su browser e dispositivo, pagine visitate, URL referrer, orari delle visite, identificatori di cookie e informazioni su determinate azioni sul nostro sito web; tra queste rientrano le visite alle pagine (PageView), i clic sui pulsanti delle offerte (Lead, Contact), l'avvio di un processo di ordine (InitiateCheckout), le registrazioni completate (CompleteRegistration), l'avvio di un periodo di prova (StartTrial) e gli ordini di abbonamento completati (Subscribe). Meta può eventualmente collegare queste informazioni ad account Facebook o Instagram esistenti.

Il trattamento avviene esclusivamente sulla base del Suo previo consenso ai sensi dell'art. 6, par. 1, lett. a del GDPR e, se applicabile, del § 25, par. 1 TDDDG. Senza il Suo consenso non attiviamo tecnologie di marketing soggette a consenso; lo script del Meta Pixel viene caricato solo dopo che ha acconsentito alla categoria marketing nel banner dei cookie. Può revocare o modificare il Suo consenso in qualsiasi momento con effetto per il futuro tramite le impostazioni dei cookie nel piè di pagina.

Nella misura in cui decidiamo congiuntamente con Meta sulle finalità e sui mezzi della raccolta e della trasmissione di dati personali, sussiste una contitolarità ai sensi dell'art. 26 del GDPR. I dettagli risultano dal relativo accordo con Meta:

https://www.facebook.com/legal/controller_addendum

Nell'ambito del trattamento dei dati, i dati personali possono essere trasmessi anche a destinatari al di fuori dello Spazio economico europeo, in particolare negli USA. Tali trasmissioni avvengono sulla base dei requisiti applicabili del capo V del GDPR, in particolare di una decisione di adeguatezza ai sensi dell'art. 45 del GDPR o di garanzie appropriate ai sensi dell'art. 46 del GDPR. Quali garanzie Meta utilizzi concretamente risulta dalle condizioni contrattuali di Meta di volta in volta vigenti.

Dopo il consenso, Meta imposta cookie propri per il riconoscimento del Suo browser, in particolare «_fbp» (identificativo del browser) e «_fbc» (identificativo del clic su un annuncio); la loro durata è, secondo le indicazioni di Meta, rispettivamente fino a 90 giorni. In caso di revoca del Suo consenso, questi cookie vengono eliminati dal nostro sito web.

Ulteriori informazioni sul trattamento dei dati personali da parte di Meta sono disponibili nelle informative sulla privacy di Meta:

https://www.facebook.com/privacy/policy/

13. Input vocale

In caso di utilizzo volontario dell'input vocale, l'ingresso audio viene elaborato tramite il riconoscimento vocale integrato nel Suo browser. A seconda del browser può essere stabilita una connessione al fornitore del browser (ad esempio Google, Apple, Microsoft). I dati audio non vengono da noi memorizzati né ulteriormente elaborati.

14. Monitoraggio degli errori

Per la diagnostica degli errori utilizziamo Sentry (Functional Software, Inc., USA). In caso di errore vengono trasmessi dati tecnici sull'evento; l'indirizzo IP, le intestazioni della richiesta, i cookie e l'identità dell'utente vengono filtrati prima della trasmissione. I dati degli eventi vengono inviati esclusivamente in caso di errore — la trasmissione avviene solo in presenza di errori effettivamente verificatisi. Lo scopo è l'analisi degli errori e il funzionamento stabile; la base giuridica è l'art. 6, par. 1, lett. f del GDPR (legittimo interesse). Il trasferimento verso gli USA avviene sulla base delle clausole contrattuali standard dell'UE.

15. Destinatari e trasferimenti verso paesi terzi

I responsabili del trattamento ricevono dati personali solo sulla base di contratti idonei e delle nostre istruzioni. Alle categorie di destinatari appartengono provider di hosting in Germania, l'elaborazione dei pagamenti (Stripe), i provider di IA (vedi sezione 6), il monitoraggio degli errori (Sentry) e, se attivo, Telegram (FZ-LLC) per notifiche prive di contenuto sulle richieste di contatto in arrivo. L'archivio dei file è un'istanza Garage da noi gestita in Germania; i backup Kopia vengono archiviati tramite il backend rclone presso un fornitore di storage in Germania. L'invio di e-mail e la misurazione della portata avvengono sulla nostra infrastruttura. Per i trasferimenti verso paesi terzi (attualmente gli USA per Stripe e Sentry) ci basiamo sulle clausole contrattuali standard dell'UE.

Se il Meta Pixel è attivato e Lei ha acconsentito alla categoria marketing, si aggiunge Meta Platforms Ireland Ltd. (Irlanda) come destinatario dei dati di tracciamento; non è escluso un trasferimento verso gli USA. Ulteriori informazioni sono disponibili nella sezione «Marketing e misurazione del successo con Meta».

16. Durata di conservazione

Cancelliamo o anonimizziamo i dati personali non appena viene meno la rispettiva finalità e non vi si oppongono obblighi di conservazione previsti dalla legge o la necessaria difesa legale. In caso di cancellazione, i dati dell'account vengono inizialmente bloccati e dopo un termine di 30 giorni resi anonimi in modo irrevocabile; i contributi da Lei creati restano conservati sotto uno pseudonimo anonimo. Per documentare le cancellazioni e i consensi memorizziamo prove pseudonimizzate degli eventi (senza indirizzi e-mail o IP in chiaro) sul nostro archivio di oggetti in Germania. I dati dell'organizzazione in caso di cancellazione non vengono rimossi fisicamente, ma contrassegnati come cancellati; restano memorizzati a dimostrazione dei rapporti contrattuali e di fatturazione esistenti, ma non sono più accessibili per l'uso regolare. Le dichiarazioni di recesso vengono conservate fino a sei anni dopo la fine dell'anno civile del ricevimento; gli invii non verificati vengono cancellati automaticamente già dopo 14 mesi. I dati di fatturazione e di fattura sono soggetti ai termini di conservazione fiscali e commerciali (§ 147 AO, § 257 HGB). Le copie di backup Kopia del database e dell'archivio file vengono conservate presso un fornitore di storage in Germania per un massimo di 1.095 punti di ripristino giornalieri (circa tre anni) a scopo di ripristino. I dati già eliminati dai sistemi attivi possono continuare a esistere nelle copie fino alla scadenza di questa rotazione. Prima della ripresa dell'attività regolare dopo un ripristino, le cancellazioni maturate dall'istantanea devono essere nuovamente applicate.

17. I Suoi diritti

Ai sensi del GDPR Lei ha diritto di accesso, rettifica, cancellazione, limitazione del trattamento e portabilità dei dati, nonché — in caso di trattamento basato su interessi legittimi — diritto di opposizione. Un consenso prestato può essere revocato in qualsiasi momento con effetto per il futuro. Ha inoltre il diritto di presentare reclamo all'autorità di controllo per la protezione dei dati competente.

Le richieste in materia di protezione dei dati vanno indirizzate a: info@bidpilot24.com

18. Decisioni automatizzate

BidPilot24 crea valutazioni di corrispondenza e rilevanza basate sull'IA come supporto decisionale. Se seguire ulteriormente una gara e presentare un'offerta lo decide esclusivamente Lei; non avviene alcuna decisione automatizzata con effetto giuridico o analogamente significativo per una persona fisica ai sensi dell'art. 22 del GDPR.

19. Modifiche della presente informativa

La versione vigente della presente informativa sulla privacy viene pubblicata su questa pagina con la data di aggiornamento. Sulle modifiche sostanziali informiamo, nella misura richiesta dalla legge, prima della loro entrata in vigore.