Informativa sulla privacy

1. Titolare del trattamento e contatti

Il titolare del trattamento è Blockchain Italia S.r.l. («noi»).

Titolare

Blockchain Italia S.r.l.

Sede legale

Via Brembo 27, 20139 Milano (MI), Italia

Partita IVA

10441490967

Iscrizione

Registro delle imprese di Milano Monza Brianza Lodi n. 10441490967, REA MI-2532140

Capitale sociale

€ 10.000 i.v., socio unico

Email per la privacy

segreteria@blockchainitalia.io

PEC

blockchainitaliasrl@legalmail.it

Altri contatti

info@proofora.it

Reclami sui dati personali

dpo@blockchainitalia.io

Per esercitare i tuoi diritti o per domande sui dati personali scrivi all’email per la privacy. Per tutto il resto usa gli altri contatti.

2. A chi si rivolge e chi decide

L’informativa riguarda tre gruppi di persone:

• chi richiede l’accesso con il modulo del sito (sezione 3);
• gli utenti delle organizzazioni clienti, cioè le persone invitate a usare l’applicazione (sezione 4);
• chi visita il sito e le pagine pubbliche dei passaporti (sezione 6).

Per questi dati siamo titolari del trattamento. I dati che le organizzazioni inseriscono nei passaporti seguono regole diverse: il titolare è l’organizzazione e noi agiamo per suo conto (sezione 5).

Proofora è un servizio per imprese e professionisti. Non è destinato ai consumatori né ai minori.

3. Richieste di accesso dal sito

Con il modulo «Richiedi accesso» raccogliamo:

• nome e cognome, email e azienda;
• il settore, scelto dall’elenco oppure scritto da te se scegli «Altro»;
• il messaggio, se lo scrivi: è facoltativo;
• la lingua della pagina, la data e l’ora della richiesta;
• la spunta della casella sulla privacy e la versione di questa informativa che hai letto (oggi la 2026-10-28).

Cosa succede ai dati:

• Li salviamo nel nostro database e li inviamo per email alla casella interna del nostro team, che può risponderti direttamente.
• Ti inviamo un’email di conferma con un testo fisso, che non ripete nulla di quello che hai scritto. Al massimo una al giorno per lo stesso indirizzo.
• Il nostro team valuta la richiesta in una console interna. La chiude come gestita o rifiutata, oppure crea la tua organizzazione e ti invia l’invito. Registriamo chi l’ha gestita e quando.
• Scriviamo l’evento nel registro delle attività: tipo di richiesta, settore, data e ora, un identificativo tecnico della richiesta e un’impronta crittografica del tuo indirizzo IP, calcolata con una chiave segreta (HMAC). L’indirizzo IP in chiaro non viene salvato.
• Per fermare gli abusi contiamo le richieste di ogni indirizzo IP (in IPv6, di ogni rete /64) nella memoria del server, in finestre di un minuto. Il conteggio non viene salvato e si azzera al riavvio.

• Valutare la richiesta, ricontattarti e, se la accettiamo, invitarti

  Base giuridica

  Il tuo consenso, dato con la casella del modulo (art. 6, par. 1, lett. a GDPR). Puoi revocarlo in ogni momento: smettiamo di contattarti e cancelliamo la richiesta.

  Conservazione

  12 mesi dalla richiesta, poi la cancelliamo. Vale anche per le email di notifica nella casella del team.

• Proteggere il modulo dagli abusi e ricostruire cosa è successo

  Base giuridica

  Il nostro legittimo interesse alla sicurezza del servizio (art. 6, par. 1, lett. f GDPR).

  Conservazione

  Registro delle attività: 12 mesi dall’evento. Conteggio per indirizzo IP: solo in memoria.

4. Utenti delle organizzazioni clienti

L’accesso all’applicazione è solo su invito. Il nostro team invita il titolare di ogni organizzazione; il titolare e gli amministratori possono invitare altre persone.

Trattiamo questi dati:

• Invito: email della persona invitata, organizzazione, ruolo, chi ha invitato, stato e scadenza (7 giorni). L’indirizzo ce lo fornisce chi ti invita: un amministratore della tua organizzazione oppure il nostro team, che usa l’indirizzo della richiesta di accesso o quello indicato dalla tua organizzazione. L’email di invito contiene un link personale con un codice di verifica e il link a questa informativa.
• Account: nome e cognome, email (verificata dal link di invito), password, data e versione dei termini del servizio accettati. La password non viene mai salvata in chiaro: conserviamo solo un’impronta calcolata con l’algoritmo scrypt e un sale casuale.
• Organizzazione e ruolo: l’organizzazione a cui appartieni e il tuo ruolo (titolare, amministratore, editor, sola lettura). Al primo accesso il titolare conferma nome dell’organizzazione, Paese, partita IVA (facoltativa) e settore principale; nelle impostazioni il titolare e gli amministratori possono aggiungere ragione sociale e indirizzo della sede. Per una ditta individuale questi possono essere dati personali.
• Sessioni: quando accedi creiamo una sessione. L’accesso dura 7 giorni dal login, poi accedi di nuovo; se nel frattempo cambi nome o password, i 7 giorni ripartono da lì. Per ogni sessione salviamo, per sicurezza, il browser (user agent) e un’impronta crittografica dell’indirizzo IP, calcolata con una chiave segreta (HMAC): l’indirizzo IP in chiaro non viene salvato. Quando esci la sessione viene cancellata; quando reimposti la password chiudiamo tutte le sessioni.
• Link via email: link di accesso senza password (valido 10 minuti) e link per reimpostare la password (valido 1 ora). Cancelliamo ogni link quando lo usi; quelli scaduti al primo controllo successivo.
• Registro delle attività: per le azioni importanti (per esempio creazione e salvataggio di un passaporto, caricamento di una foto, inviti, primo accesso) registriamo chi ha agito, l’organizzazione, l’azione, data e ora, un identificativo tecnico della richiesta e l’impronta HMAC dell’indirizzo IP. Il registro non contiene il contenuto dei passaporti.
• Autore: nei passaporti registriamo quale utente ha emesso una versione o caricato una foto.
• Richieste di nuovi settori: se chiedi un settore che non c’è, salviamo la richiesta (organizzazione, tuo nome ed email, settore, messaggio) e la inviamo per email al nostro team.
• Preferenze: lingua e tema dell’applicazione, se li scegli (sezione 9).

Se l’account viene chiuso cancelliamo o rendiamo anonimi nome, email e password, anche negli inviti e nelle richieste di nuovi settori. Nelle versioni emesse e nel registro delle attività resta un identificativo tecnico, senza nome né email. La prova dell’accettazione dei termini (nome, email, data e versione) la conserviamo a parte, per il tempo indicato sotto.

• Creare e gestire account, accessi e ruoli, fornire il servizio all’organizzazione e gestire le richieste di nuovi settori

  Base giuridica

  Il contratto con la tua organizzazione (art. 6, par. 1, lett. b GDPR). Se non sei tu la parte del contratto, il legittimo interesse nostro e della tua organizzazione a far funzionare il servizio che ha chiesto (art. 6, par. 1, lett. f GDPR).

  Conservazione

  Per tutta la durata del rapporto. Dopo la rimozione dell’utente o la fine del contratto: 90 giorni. Vale anche per le email di notifica delle richieste di nuovi settori nella casella del team.

• Proteggere account e dati: sessioni, limiti ai tentativi di accesso, registro delle attività

  Base giuridica

  Il nostro legittimo interesse alla sicurezza del servizio e a ricostruire chi ha fatto cosa (art. 6, par. 1, lett. f GDPR).

  Conservazione

  Sessioni: fino a 7 giorni dall’ultimo uso o fino all’uscita. Inviti e sessioni scaduti: le sessioni fino alla chiusura dell’account, gli inviti fino alla fine del contratto con l’organizzazione. Link via email: fino all’uso o alla scadenza. Registro delle attività: 10 anni da ogni evento. Conteggio per indirizzo IP: solo in memoria.

• Dimostrare l’accettazione dei termini del servizio

  Base giuridica

  Il nostro legittimo interesse a provare il contratto e a difenderci in giudizio (art. 6, par. 1, lett. f GDPR).

  Conservazione

  Con l’account e, dopo la sua chiusura, per 10 anni dalla fine del contratto.

• Rispettare gli obblighi di legge e le richieste delle autorità

  Base giuridica

  Obbligo legale (art. 6, par. 1, lett. c GDPR).

  Conservazione

  Per il tempo previsto dalla legge.

5. Dati inseriti nei passaporti

Le organizzazioni usano Proofora per creare i passaporti digitali dei loro prodotti. Inseriscono i dati del prodotto secondo il modello del loro settore: per esempio descrizione, materiali, origine, produttore e suoi contatti, certificazioni, istruzioni, foto. Sono soprattutto dati aziendali, ma possono contenere dati personali: per esempio i dati di un produttore che è una ditta individuale o il nome di una persona di contatto.

Chi decide e chi tratta

Per questi dati il titolare del trattamento è l’organizzazione. Noi li trattiamo per suo conto, come responsabili del trattamento (art. 28 GDPR), secondo l’accordo sul trattamento dei dati: un contratto separato, concluso con ogni organizzazione cliente prima che inserisca dati personali nei passaporti. Per esercitare i tuoi diritti su questi dati rivolgiti all’organizzazione. Se scrivi a noi, inoltriamo la richiesta e la aiutiamo a rispondere.

Cosa diventa pubblico

Finché un passaporto è in bozza i suoi dati li vedono solo gli utenti dell’organizzazione; la foto fa eccezione (vedi «Foto» qui sotto). Quando l’organizzazione emette una versione:

• i campi che il modello di settore indica come pubblici, il nome del prodotto e la foto sono visibili a chiunque sulla pagina pubblica raggiunta dal codice QR, anche come documento tecnico scaricabile e nei metadati del token;
• gli altri campi non vengono mostrati: nel documento della versione compaiono solo come impegni crittografici con sale (salted commitment), che non rivelano il valore;
• su una blockchain pubblica scriviamo solo impronte crittografiche (hash) e dati tecnici: l’impronta dell’identificativo del prodotto, l’impronta del documento della versione, il numero di versione, lo stato, il tipo di passaporto (modello, lotto o singolo articolo), il codice del settore e, per un lotto, l’impronta dell’elenco dei suoi articoli. Per ogni organizzazione creiamo una collezione con un nome e un simbolo tecnici, senza il nome dell’organizzazione, e con l’indirizzo dei metadati sul dominio della nostra applicazione. Durante la fase pilota usiamo la rete di test pubblica Ethereum Sepolia.

Le organizzazioni non devono inserire dati personali nei campi pubblici. Fanno eccezione i dati che la normativa sul prodotto chiede di pubblicare, come quelli del fabbricante: in quel caso la pubblicazione è un obbligo dell’organizzazione.

Cosa si può cancellare e cosa no

• Le scritture sulla blockchain sono permanenti: nessuno, nemmeno noi, può modificarle o cancellarle. Per questo non contengono in chiaro dati personali né i valori dei campi del passaporto.
• I dati restano nei nostri sistemi, fuori dalla blockchain, e si possono cancellare. I valori dei campi non pubblici e i loro sali sono conservati a parte: cancellati quelli, l’impronta sulla blockchain resta ma non permette più di risalire al dato.
• Per garantire la verifica, le versioni emesse sono conservate in un archivio che l’applicazione non modifica: campi pubblici, foto, impegni dei campi non pubblici, firma, impronte e un identificativo tecnico dell’autore. Dopo la fine del contratto lo conserviamo per 10 anni, su istruzione dell’organizzazione data con i termini del servizio (art. 10). Se un dato personale finisce in un campo pubblico, lo rimuoviamo su richiesta con una procedura straordinaria; la versione resta sulla blockchain solo come impronta.
• Dopo la fine del contratto, sempre su istruzione dell’organizzazione, anche le pagine pubbliche delle versioni emesse, con le loro foto e i metadati dei token, restano consultabili in sola lettura per 10 anni, così che i codici QR stampati sui prodotti continuino a funzionare. Poi cancelliamo pagine, foto, metadati, documenti delle versioni e archivio. L’organizzazione può chiederci per iscritto di disattivare prima pagine, foto e metadati: lo facciamo entro 90 giorni dalla richiesta o, se successiva, dalla fine del contratto.
• Chi ha letto i dati pubblici, per esempio un motore di ricerca o un explorer della blockchain, può averne conservato una copia, che non controlliamo.

Foto

Prima di salvarla ridimensioniamo ogni foto e togliamo tutti i metadati: posizione GPS, modello della fotocamera, date, autore. La foto è pubblica dal caricamento: la salviamo in un’area pubblica dello storage e chiunque abbia il suo indirizzo, lungo e non indovinabile, può aprirla, anche se il passaporto è ancora in bozza. I browser e le reti di distribuzione possono conservarne una copia fino a un anno. Una foto sostituita resta salvata e raggiungibile, anche se nessuna versione emessa l’ha mostrata. Dopo la fine del contratto conserviamo solo le foto delle versioni emesse, con le pagine pubbliche e l’archivio; le altre le cancelliamo entro 90 giorni. Le organizzazioni non devono caricare foto in cui si riconoscono persone senza una base giuridica.

• Per conto dell’organizzazione: bozze, emissione, pagina pubblica e registrazione sulla blockchain

  Base giuridica

  Quella scelta dall’organizzazione, titolare del trattamento: seguiamo le sue istruzioni (art. 28 GDPR).

  Conservazione

  Per la durata del contratto; dopo, 90 giorni. Archivio di verifica delle versioni emesse: 10 anni dalla fine del contratto. Pagine pubbliche delle versioni emesse, con le loro foto e i metadati dei token: consultabili per lo stesso periodo, salvo che l’organizzazione chieda di disattivarle prima. Le impronte sulla blockchain non si cancellano.

6. Navigazione del sito e delle pagine pubbliche

Quando visiti il sito o la pagina pubblica di un passaporto, il tuo browser invia ai server dati tecnici: indirizzo IP, data e ora, pagina richiesta, browser e sistema operativo. Li usiamo per mostrarti le pagine e per proteggerle.

• Il fornitore di hosting del sito registra queste richieste nei suoi log di accesso. Il server dell’applicazione non registra le richieste, ma i suoi log tecnici di errori ed eventi possono contenerne alcuni dati.
• Su alcune interfacce pubbliche, come l’invio del modulo, contiamo le richieste di ogni indirizzo IP nella memoria del server, per fermare gli abusi. Il conteggio non viene salvato.
• Le foto dei prodotti arrivano al tuo browser direttamente dal servizio di archiviazione (Amazon S3 di Amazon Web Services EMEA SARL, Lussemburgo, nella regione AWS eu-west-1, in Irlanda), che vede quindi il tuo indirizzo IP.
• La verifica sulla blockchain la fa il nostro server: il fornitore di accesso alla blockchain non riceve il tuo indirizzo IP.
• La pagina pubblica può contenere link a un explorer della blockchain, per esempio Etherscan. Se li apri, vale l’informativa di quel sito.

Non usiamo strumenti di analisi né di profilazione e non creiamo profili dei visitatori.

• Mostrare le pagine e proteggerle da abusi e attacchi

  Base giuridica

  Il nostro legittimo interesse a offrire pagine funzionanti e sicure (art. 6, par. 1, lett. f GDPR).

  Conservazione

  Log tecnici: 30 giorni per i log del server dell’applicazione; i log di accesso del sito, con l’indirizzo IP, li conserva AWS Amplify finché non cancelliamo l’app che lo pubblica. Conteggio per indirizzo IP: solo in memoria.

7. Chi riceve i dati

I dati sono trattati dal nostro personale autorizzato, tenuto alla riservatezza, e dai fornitori che ci aiutano a erogare il servizio. I fornitori trattano i dati per nostro conto come responsabili del trattamento (art. 28 GDPR), con un contratto che li vincola:

• invio delle email (inviti, link di accesso, conferme, notifiche al team): Amazon Simple Email Service (SES) di Amazon Web Services EMEA SARL, Lussemburgo, dalla regione AWS eu-west-1, in Irlanda. Se un messaggio non si può recapitare o viene segnalato come spam, il fornitore tiene l’indirizzo in una lista che blocca gli invii successivi: lo togliamo entro 12 mesi;
• hosting dell’applicazione, del database e del sito: Amazon Web Services EMEA SARL, Lussemburgo, con Amazon EC2 per l’applicazione e il database e Amazon S3 per i backup del database, nella regione AWS eu-west-1, in Irlanda, e con AWS Amplify Hosting per il sito, distribuito dalla rete CloudFront di AWS con punti di presenza in tutto il mondo;
• archiviazione di foto e documenti: Amazon S3 di Amazon Web Services EMEA SARL, Lussemburgo, nella regione AWS eu-west-1, in Irlanda;
• accesso alla blockchain (nodo RPC), che riceve solo transazioni e interrogazioni con impronte e dati tecnici: Alchemy Insights, Inc., Stati Uniti;
• caselle email del team, che ricevono le notifiche delle richieste, gli avvisi tecnici e le richieste sulla privacy: Google Workspace di Google Ireland Limited, Irlanda.

Possono ricevere dati anche i nostri consulenti, per esempio legali e commercialisti, tenuti al segreto professionale, e le autorità pubbliche quando la legge lo richiede. Per i dati dei passaporti, gli stessi fornitori sono nostri sub-responsabili verso le organizzazioni clienti.

I campi pubblici dei passaporti emessi sono visibili a chiunque; le impronte scritte sulla blockchain sono leggibili da chiunque. Non vendiamo i dati personali e non li usiamo per pubblicità.

8. Trasferimenti fuori dallo Spazio economico europeo

Alcuni fornitori possono trattare dati fuori dallo Spazio economico europeo (SEE). Oggi: Amazon Web Services EMEA SARL conserva i dati dell’applicazione, del database, delle foto e delle email nella regione AWS eu-west-1, in Irlanda, e li sposta fuori da quella regione solo se serve a fornire il servizio o per obbligo di legge; se li fa trattare fuori dal SEE da altre società del gruppo Amazon, per esempio negli Stati Uniti, valgono le garanzie del suo accordo sul trattamento dei dati: le clausole contrattuali standard o, per Amazon Web Services, Inc., il Data Privacy Framework UE–USA, a cui aderisce; il sito è distribuito dalla rete CloudFront di AWS, quindi ogni visita, con il tuo indirizzo IP, passa dal punto di presenza più vicino a te, che può essere fuori dal SEE; Google può trattare anche fuori dal SEE le email delle caselle del team, con le clausole contrattuali standard dei suoi termini per il trattamento dei dati e, per Google LLC negli Stati Uniti, il Data Privacy Framework UE–USA; Alchemy Insights, Inc., negli Stati Uniti, riceve solo transazioni e interrogazioni con impronte crittografiche e dati tecnici, che non contengono dati personali in chiaro, e le tratta con le clausole contrattuali standard del suo accordo sul trattamento dei dati.

In questi casi il trasferimento avviene solo con le garanzie degli articoli 44–49 del GDPR: una decisione di adeguatezza della Commissione europea (per gli Stati Uniti il Data Privacy Framework UE–USA, per le società aderenti) oppure le clausole contrattuali standard approvate dalla Commissione. Puoi chiederne copia all’email per la privacy.

Le impronte scritte sulla blockchain pubblica sono copiate sui nodi della rete, in tutto il mondo. Non contengono dati personali in chiaro.

9. Cookie e memoria del browser

Non usiamo cookie di profilazione né strumenti di analisi o di pubblicità, e non carichiamo script di terze parti. Anche i caratteri tipografici sono serviti dai nostri server.

Usiamo solo cookie tecnici, necessari a funzioni che chiedi tu. Per questi non serve il consenso (art. 122 del Codice privacy, d.lgs. 196/2003, e linee guida del Garante sui cookie del 10 giugno 2021): per questo non mostriamo un banner.

• NEXT_LOCALE

  Dove

  Sito

  A cosa serve

  Ricorda la lingua che hai scelto con i link IT · EN.

  Durata

  Fino alla chiusura del browser.

• proofora.session_token

  Dove

  Applicazione

  A cosa serve

  Mantiene l’accesso dopo il login. Contiene un codice firmato e gli script della pagina non possono leggerlo (HttpOnly). Sulle connessioni sicure il nome inizia con __Secure-.

  Durata

  7 giorni dall’accesso; ripartono se cambi nome o password. Cancellato quando esci.

• proofora_locale

  Dove

  Applicazione e pagine pubbliche dei passaporti

  A cosa serve

  Ricorda la lingua che hai scelto.

  Durata

  1 anno.

• theme (memoria locale del browser)

  Dove

  Applicazione

  A cosa serve

  Ricorda il tema chiaro o scuro, se lo scegli dal menu o nelle impostazioni. Resta nel tuo browser e non arriva ai nostri server.

  Durata

  Finché non lo cancelli dal browser.

Sul sito il tema segue l’impostazione del tuo dispositivo e non viene memorizzato. Puoi cancellare o bloccare i cookie dalle impostazioni del browser: il sito funziona lo stesso, mentre per accedere all’applicazione serve il cookie di sessione.

10. Se fornire i dati è obbligatorio

Nessuna legge ti obbliga a fornirci i dati. Alcuni però sono necessari:

• nel modulo «Richiedi accesso» nome, email, azienda, settore e la casella sulla privacy servono per valutare la richiesta: senza non possiamo risponderti. Il messaggio è facoltativo;
• per creare l’account servono nome, password e accettazione dei termini (l’email è quella dell’invito): senza non puoi usare l’applicazione. Al primo accesso la partita IVA è facoltativa;
• i dati tecnici di navigazione servono a far funzionare le pagine.

11. Decisioni automatizzate e altri usi

Non prendiamo decisioni basate solo su un trattamento automatizzato, compresa la profilazione, che producano effetti giuridici su di te o che ti riguardino in modo analogo (art. 22 e art. 13, par. 2, lett. f GDPR). Le richieste di accesso le valuta una persona del nostro team.

Se vorremo usare i dati per una finalità diversa da quelle indicate, ti informeremo prima (art. 13, par. 3 GDPR).

12. I tuoi diritti

Puoi chiederci in ogni momento di:

• accedere ai tuoi dati e riceverne una copia (art. 15);
• correggerli o completarli (art. 16);
• cancellarli (art. 17);
• limitarne il trattamento (art. 18);
• riceverli in un formato strutturato e leggibile da un computer, o farli trasmettere a un altro titolare (art. 20);
• opporti al trattamento basato sul legittimo interesse (art. 21, qui sotto);
• revocare il consenso, senza effetti sul trattamento svolto prima della revoca (art. 7, par. 3).

Scrivi a segreteria@blockchainitalia.io o alla PEC blockchainitaliasrl@legalmail.it. Rispondiamo entro un mese; nei casi complessi possiamo prorogare di altri due mesi, avvisandoti (art. 12, par. 3). Potremmo chiederti di confermare la tua identità.

Alcuni limiti dipendono da come funziona il servizio. Le impronte sulla blockchain non si possono cancellare, ma non contengono dati personali in chiaro. Il registro delle attività e la prova dell’accettazione dei termini li conserviamo per i tempi indicati sopra, per difenderci in giudizio (art. 17, par. 3, lett. e). I dati cancellati restano nelle copie di backup del database fino alla loro rotazione: 30 giorni. Per i dati dei passaporti rivolgiti all’organizzazione che li ha inseriti (sezione 5).

13. Reclamo all’autorità di controllo

Se ritieni che trattiamo i tuoi dati in violazione del GDPR puoi proporre reclamo al Garante per la protezione dei dati personali oppure all’autorità di controllo del Paese dell’Unione europea in cui vivi, lavori o in cui è avvenuta la violazione (art. 77). Puoi anche rivolgerti al giudice (art. 79).

14. Modifiche e versioni

Questa è la versione 2026-10-28 dell’informativa, in vigore dalla data indicata in alto. Ogni versione ha un codice (anno, mese e giorno). Quando invii il modulo «Richiedi accesso» registriamo il codice della versione che hai letto.

Se cambiamo l’informativa pubblichiamo la nuova versione su questa pagina, con un nuovo codice e una nuova data. Se le modifiche sono importanti avvisiamo prima gli utenti dell’applicazione, per email o nell’applicazione. Le versioni precedenti sono disponibili su richiesta.

Le regole per usare il servizio sono nei termini del servizio.