1. Ambito e ruoli
ComplexLab S.r.l. tratta come titolare i dati relativi alle richieste di analisi gratuita, ai rapporti commerciali, agli account, alla sicurezza della piattaforma, all'assistenza amministrativa e ai pagamenti.
Quando uno studio o altra organizzazione inserisce informazioni relative a clienti, controparti, procedimenti o pratiche, lo studio determina finalità e mezzi essenziali ed è titolare. ComplexLab tratta tali dati per conto dello studio per erogare le funzioni richieste, la sicurezza e la continuità del servizio, regolato da contratto e istruzioni. Quando è sottoscritto un Data Processing Agreement (DPA) ai sensi dell'art. 28 GDPR, il DPA e le istruzioni documentate costituiscono la base di tale trattamento. Gli interessati devono fare riferimento anche all'informativa dello studio.
2. Titolare per le finalità proprie
ComplexLab S.r.l., P. IVA / C.F. 08649020966, sede via Savona 57, 20144 Milano.
Contatto privacy: Nicola Antonucci, nicola.antonucci@complexlab.it.
3. Richiesta di analisi gratuita
Il modulo pubblico «Richiedi analisi gratuita» raccoglie nome e cognome, email e, se indicato facoltativamente, il cellulare (che deve essere italiano). Per l'analisi del caso raccoglie fatti, provvedimento impugnato, oggetto della domanda, eventuali eccezioni prevedibili e dati esperienziali, oltre a sede e anno di riferimento. Per il riassunto di una sentenza raccoglie solo sede, numero e anno: non inviare il testo della sentenza né link. Registriamo anche indirizzo IP e data della richiesta.
Usiamo i dati per preparare e inviare l'analisi o il riassunto richiesti e per evitare richieste duplicate con la stessa email o lo stesso cellulare. Base: art. 6.1.b GDPR (misure precontrattuali richieste dall'interessato); art. 6.1.f GDPR per il controllo dei duplicati. Non raccogliamo consenso marketing e non inviamo comunicazioni promozionali senza un consenso dedicato.
4. Account e organizzazione
Gli account non sono a registrazione pubblica: sono creati da ComplexLab, dall'amministratore della piattaforma o dallo studio.
Trattiamo identità e recapiti, dati fiscali e di fatturazione, credenziali (non conservate in chiaro), ruoli e autorizzazioni, inviti, stato dell'account, crediti, log di accesso, ultima attività e l'accettazione dell'informativa sull'intelligenza artificiale.
Per le organizzazioni: denominazione, dati di fatturazione, membri e ruoli, inviti, crediti condivisi. I membri invitati forniscono identità e PEC; non è richiesto un profilo di fatturazione personale in tale fattispecie.
Basi: art. 6.1.b GDPR per l'utente contraente e l'erogazione del servizio; art. 6.1.f GDPR per utenti autorizzati, sicurezza e difesa; art. 6.1.c GDPR per obblighi di legge.
5. Pagamenti e crediti
I pagamenti anticipati di crediti sono gestiti da Stripe, con raccolta di indirizzo di fatturazione, identificativo fiscale e fattura. Stripe Checkout si attiva solo su iniziativa dell'utente (ricarica crediti).
ComplexLab conserva i dati di fatturazione, gli identificativi della transazione, importi, imposta, valuta, saldo crediti ed estremi della fattura. Non conserviamo il numero completo della carta né il codice di sicurezza. Non inserire dati di clienti o di pratiche nei campi di pagamento.
Basi: art. 6.1.b GDPR, art. 6.1.c GDPR (contabilità e fiscalità) e, per frodi e difesa, art. 6.1.f GDPR.
6. Assistenza
Trattiamo recapiti, contenuto delle comunicazioni e informazioni diagnostiche per l'assistenza via email. Non inserire dati di pratica se non indispensabili. L'assistenza amministrativa sulle ricerche altrui non include il contenuto del caso, salvo necessità.
7. Dati di pratica
Possono comprendere i testi di fatto, provvedimento, oggetto della domanda, eccezioni prevedibili e dati esperienziali; le ricerche; le fonti; gli output; e, per la ricerca rapida, anno, numero e sede di sentenze pubbliche.
Non è previsto il caricamento di fascicoli. I provvedimenti sono recuperati dal portale pubblico Giustizia-Amministrativa.it, le norme e le leggi dal portale pubblico Normattiva.it, e possono essere conservati per erogare il servizio.
I testi possono includere, quando autorizzati da basi giuridiche (AI Act / GDPR), dati particolari ex art. 9 GDPR o dati relativi a condanne e reati ex art. 10 GDPR. ComplexLab li tratta per erogare le funzioni richieste e per sicurezza e continuità del servizio.
8. Training e riuso
ComplexLab non utilizza dati di pratica, prompt o output per profilazione commerciale, pubblicità o sviluppo di prodotti per finalità proprie di marketing. I prompt e gli output sono trasmessi al fornitore del modello di intelligenza artificiale (OpenAI) esclusivamente per eseguire le funzioni richieste. La configurazione del fornitore in uso esclude il training sui dati del Cliente (zero data retention).
9. Obblighi dello studio
Lo studio deve disporre di una base giuridica, informare gli interessati quando necessario e limitare i dati a quanto pertinente. L'art. 9.2.f GDPR non autorizza indiscriminatamente dati particolari: vale quando necessari per accertare, esercitare o difendere un diritto. I dati ex art. 10 GDPR richiedono anche le condizioni del diritto nazionale. Usare nomi convenzionali e oscurare identificativi non necessari.
10. Utenti invitati o creati
Se l'account è creato su invito dello studio, ComplexLab riceve identità, email professionale, organizzazione e ruolo per l'invito, l'accesso e la sicurezza. In accettazione sono raccolti nome, cognome, email e PEC. Lo stesso vale, in quanto applicabile, quando lo studio o l'amministratore crea direttamente un account.
11. Destinatari
I dati sono accessibili a personale autorizzato di ComplexLab e a fornitori necessari:
- DigitalOcean — hosting dell'applicazione e dei dati in Germania (Francoforte);
- OpenAI — modello di intelligenza artificiale per le funzioni richieste;
- Resend — invio delle notifiche email interne sulle richieste di analisi gratuita, senza testo del caso (USA, con le garanzie dell'art. 46 GDPR);
- Stripe — pagamenti e fatture (DPF e, in fallback, Clausole Contrattuali Standard);
- GitHub — codice, CI e immagini, senza dati di pratica;
- casella email Gmail — ticket e incidenti, fuori dal backup dell'applicazione;
- portale Giustizia.Amministrativa.it — provvedimenti pubblici (non l'anagrafica clienti dello studio);
- portale Normattiva.it — norme e leggi pubblici (non l'anagrafica clienti dello studio).
L'elenco aggiornato dei responsabili e subresponsabili, con luogo e strumento di trasferimento, è disponibile su richiesta a nicola.antonucci@complexlab.it.
12. Trasferimenti
I dati dell'applicazione sono ospitati in Germania (DigitalOcean, Francoforte). OpenAI, Stripe e Resend possono trattare dati anche negli Stati Uniti o in altri Paesi extra-UE/SEE. I trasferimenti avvengono con le garanzie del GDPR (decisione di adeguatezza ove applicabile, Clausole Contrattuali Standard 2021/914 e/o altri strumenti dell'art. 46). Copia delle garanzie su richiesta.
13. Conservazione
Salvo obblighi di legge o tutela in sede contenziosa:
- sessione di autenticazione: 24 ore, rinnovata durante l'uso;
- copie di sicurezza DigitalOcean: giornaliere, 7 giorni;
- copie applicative cifrate: 60 giorni;
- fatture e scritture contabili: 10 anni (art. 2220 c.c.);
- log di accesso e log applicativi: 91 giorni (lo username può restare nei log tecnici fino a 91 giorni);
- log di funzioni admin: 6 mesi;
- account, organizzazioni, ricerche e output: per la durata del rapporto e fino a cancellazione o istruzione dello studio; i dati live sono rimossi al trattamento della richiesta; un residuo può restare nelle copie DigitalOcean fino a 7 giorni e nelle copie applicative cifrate fino a 60 giorni; gli identificativi fiscali/Stripe restano 10 anni;
- richieste di analisi gratuita (contatti, cellulare, testo del caso e estremi della sentenza): non oltre 91 giorni dalla richiesta;
- ticket e incidenti sulla casella di assistenza: 1 anno.
Le richieste di cancellazione e gli altri diritti si esercitano come al § 14.
14. Diritti
Per i trattamenti di cui ComplexLab è titolare: accesso, rettifica, cancellazione, limitazione, portabilità ove applicabile, opposizione. Richieste a nicola.antonucci@complexlab.it. Reclamo al Garante per la protezione dei dati personali.
Per i dati di pratica, l'interessato si rivolge allo studio. ComplexLab inoltra e assiste senza rispondere autonomamente sul merito, salvo istruzioni o obblighi di legge.
15. Decisioni automatizzate e intelligenza artificiale
Legal AI Agent genera risultati di supporto alla ricerca e alla strategia processuale. Prima dell'uso è richiesta l'accettazione di un'informativa sull'intelligenza artificiale. Ogni output riporta l'avvertenza di verifica professionale. L'avvocato valuta fonti, output e strategia e mantiene la responsabilità professionale.
ComplexLab non adotta, tramite il servizio di ricerca, decisioni unicamente automatizzate con effetti giuridici o analogamente significativi sull'interessato (art. 22 GDPR).
16. Cookie
16.1 Ambito
Questa sezione riguarda cookie e tecnologie analoghe (localStorage e analoghi) usati su legalaiagent.it (sito pubblico / landing) e app.legalaiagent.it (applicazione). La classificazione dipende dalla finalità, non dal nome tecnico.
16.2 Cosa usiamo oggi
Su Legal AI Agent utilizziamo solo strumenti tecnici strettamente necessari all'autenticazione, alla sicurezza e alle funzioni esplicitamente richieste dall'utente. Non utilizziamo cookie di analytics, profilazione o marketing su legalaiagent.it / app.legalaiagent.it. Per questi soli strumenti tecnici non è richiesto un banner di consenso (art. 122 Codice Privacy), fermo l'obbligo di informare.
16.3 Inventario essenziale (app.legalaiagent.it)
| Tecnologia | Finalità e dati | Durata / attributi | Consenso |
|---|---|---|---|
| Cookie al_session (prima parte) | Mantiene la sessione autenticata e abilita le funzioni richieste | 24 ore; Path=/; HttpOnly; SameSite=Lax; Secure | Tecnico strettamente necessario — nessun consenso |
| Cookie al_csrf (prima parte) | Token anti-CSRF inviato nell'header X-CSRF-Token per proteggere le richieste modificative | 24 ore; Path=/; SameSite=Lax; non HttpOnly; Secure | Tecnico di sicurezza — nessun consenso |
| Cookie al_mfa_pending (prima parte) | Sessione temporanea del passo MFA amministratori | 5 minuti; Path=/; HttpOnly; SameSite=Lax; Secure | Tecnico di sicurezza — nessun consenso |
| localStorage user_role | Adatta interfaccia/percorso al ruolo; l'autorizzazione resta server-side | Senza TTL client: fino a logout/cancellazione dati browser | Tecnico se necessario — nessun consenso |
| localStorage username | Mostra/ripristina l'identificativo in interfaccia | Senza TTL client | Tecnico se necessario — nessun consenso |
| localStorage must_change_password | Flag che forza il cambio password | Fino al cambio password / logout | Tecnico di sicurezza — nessun consenso |
| localStorage must_accept_ai_disclaimer | Blocca il percorso finché non è accettato il disclaimer AI; accettazione anche server-side | Fino all'accettazione / logout | Tecnico per funzione richiesta — nessun consenso |
| Stripe Checkout (solo su iniziativa utente) | Nessuno script/iframe Stripe al caricamento; redirect al checkout Stripe | Tecnologie sul dominio Stripe: informativa Stripe | Strettamente necessari al pagamento richiesto — nessun consenso aggiuntivo |
16.4 Sito pubblico (legalaiagent.it)
Sul sito pubblico: nessun cookie di analytics o profilazione; il modulo di analisi gratuita invia i dati all'API dedicata. I font (Fraunces, Saira Semi Condensed) sono self-hosted.
16.5 Cosa non facciamo (su questi domini)
- Nessun cookie di misurazione/analytics o marketing attivato di default su legalaiagent.it / app.legalaiagent.it.
- Nessuna CMP attiva richiesta finché restano soli strumenti tecnici.
- Non trattiamo la prosecuzione della navigazione come «consenso».
16.6 Gestione e aggiornamenti
L'elenco sopra riflette lo stato all'11 settembre 2026. In caso di nuove tecnologie non strettamente necessarie, aggiorneremo questa sezione e, ove richiesto, richiederemo il consenso prima dell'attivazione.
17. Sicurezza
Adottiamo misure tecniche e organizzative adeguate al rischio: TLS, password con hash, cookie Secure/HttpOnly/SameSite, segregazione tenant, MFA per gli amministratori. La cifratura a riposo del database e dei backup è attiva (PostgreSQL gestito DigitalOcean, Francoforte, LUKS del fornitore). Nessuna misura garantisce protezione assoluta. Il dettaglio TOM è un allegato interno, disponibile su richiesta.
18. Modifiche
Ci riserviamo di aggiornare questa informativa per riflettere evoluzioni del servizio o della normativa. La versione vigente è pubblicata su questa pagina con data di aggiornamento.