Informativa sulla Privacy e Protezione dei Dati

La presente Informativa illustra i criteri adottati da RPSIGN nel trattamento dei dati personali connessi al sito istituzionale e all'utilizzo autorizzato della piattaforma. Spiega quali informazioni possono essere trattate, per quali scopi, quali basi giuridiche possono essere considerate, come i dati possono essere condivisi o conservati e quali diritti spettano alle persone.

Il sito pubblico ha finalità istituzionale e informativa. L'accesso operativo è limitato a rapporti e flussi autorizzati. La semplice visita non crea automaticamente un account, non apre un servizio di sottoscrizione pubblica e non invia alcun documento alla firma.

RPSIGN opera in Brasile e utilizza come riferimento principale la Legge brasiliana n. 13.709/2018 — Lei Geral de Proteção de Dados Pessoais (LGPD) — e le altre norme brasiliane applicabili.

Dato personale

Informazione relativa a una persona fisica identificata o identificabile.

Dato personale sensibile

Dato soggetto a protezione rafforzata ai sensi della LGPD, compresi taluni dati biometrici.

Interessato

Persona fisica a cui si riferiscono i dati.

Trattamento

Qualsiasi operazione sui dati, come raccolta, accesso, conservazione, uso, comunicazione o cancellazione.

Titolare del trattamento

Soggetto che determina le finalità e i mezzi essenziali del trattamento.

Operatore

Soggetto che tratta dati per conto e su istruzioni del titolare secondo la LGPD.

Flusso

Insieme di fasi che collega documento, partecipanti, policy, autenticazione, volontà ed evidenze.

Partecipante

Persona collegata al flusso come firmatario, rappresentante, testimone, revisore o destinatario.

RPSIGN è il titolare del trattamento nell'ambito della propria operazione, poiché determina finalità essenziali, regole di accesso e criteri di utilizzo. Durante il completamento della registrazione societaria, l'Informativa identifica il titolare con la denominazione istituzionale RPSIGN; ragione sociale e CNPJ saranno aggiunti quando disponibili.

ADDON — Inteligência, Software e Automação ha sviluppato la soluzione tecnologica. Lo sviluppo del software non rende automaticamente ADDON titolare o operatore. Il suo ruolo dipenderà dalle attività effettivamente svolte e dall'eventuale accesso ai dati per conto di RPSIGN.

Altri fornitori tecnici possono operare per hosting, e-mail, protezione antiabuso, archiviazione, autenticazione o altre funzioni effettivamente contrattualizzate.

La quantità e la natura dei dati dipendono dal rapporto con RPSIGN. Chi invia un semplice messaggio fornisce meno informazioni di un partecipante a un flusso di firma. Il criterio generale è limitare il trattamento a ciò che è ragionevolmente necessario.

Dati forniti direttamente

Nome, e-mail, telefono, contenuto del messaggio, dati identificativi necessari all'accesso autorizzato, informazioni sui partecipanti e dati contenuti nei documenti.

Dati tecnici e di sicurezza

Indirizzo IP, data e ora, browser, identificatori di sessione, eventi di autenticazione, tentativi di accesso e log utilizzati per prevenire abusi e analizzare problemi.

Dati del flusso

Identificatori di busta, versioni, ruoli, sequenza degli eventi, stato, manifestazioni registrate, hash ed evidenze tecniche realmente prodotte.

Verifica rafforzata

Documento di identità, geolocalizzazione, selfie, prova di vita o biometria devono essere trattati solo se il meccanismo è effettivamente abilitato, necessario e supportato da base giuridica e garanzie adeguate.

RPSIGN non utilizza un'unica base giuridica generica. Il fondamento dipende dalla finalità, dal rapporto e dalla natura del dato. La tabella riassume i principali scenari secondo la LGPD brasiliana.

Il consenso viene utilizzato solo quando è appropriato a una finalità specifica. RPSIGN non usa i dati del sito per pubblicità comportamentale, profilazione pubblicitaria o vendita di banche dati personali.

Un documento può contenere dati di persone diverse dal mittente: firmatari, rappresentanti, testimoni, parti, avvocati o altri soggetti citati. Chi crea o gestisce il flusso deve avere un fondamento legittimo per utilizzare tali dati e comunicare il documento ai partecipanti indicati.

L'utilizzo di RPSIGN non rende lecito un trattamento che sarebbe irregolare al di fuori della piattaforma. Se si applicano segreto professionale, riservatezza contrattuale, segreto commerciale o altri obblighi, il mittente deve verificare la compatibilità dell'invio.

Il contenuto dei documenti non viene utilizzato per pubblicità comportamentale, profilazione commerciale o vendita di informazioni. Un accesso tecnico eccezionale deve essere limitato al supporto richiesto, sicurezza, indagine di incidenti, obblighi di legge o esercizio di diritti.

I dati di autenticazione e le evidenze dipendono dal metodo realmente impiegato. In base alla disponibilità e alla policy possono essere utilizzati e-mail, codici monouso, canali mobili, dati tecnici del dispositivo, certificati digitali o altri controlli. La combinazione di più meccanismi non garantisce in modo assoluto l'identità e non determina automaticamente una categoria giuridica.

L'architettura di integrità può collegare eventi a hash SHA-256 e al ledger dell'organizzazione. La catena consente di rilevare incongruenze rispetto ai registri e checkpoint HMAC-SHA-256 rafforzano la verifica interna. Tali controlli non sono, da soli, una firma digitale ICP-Brasil, una marca temporale qualificata o una protezione assoluta contro una compromissione totale.

Eventuali futuri certificati di conclusione o rapporti di audit dovranno riflettere solo le evidenze effettivamente generate e non essere presentati come autenticazione notarile, certificato digitale o perizia indipendente.

Il sito usa attualmente soltanto meccanismi tecnici necessari al funzionamento, lingua, accessibilità, sicurezza del modulo e, quando disponibile un'area autenticata, gestione della sessione. Non utilizza cookie di marketing, pubblicità o tracciamento comportamentale.

• L'avviso memorizza la conferma in sessionStorage solo per la scheda corrente.
• Un'area autenticata può utilizzare un cookie di sessione strettamente necessario.
• Il modulo utilizza Cloudflare Turnstile come meccanismo antiabuso con validazione server-side del token.
• Il server può conservare temporaneamente un identificatore derivato dall'IP per limitare tentativi abusivi.

Il pulsante di conferma registra la presa visione e non il consenso a pubblicità. Se in futuro verranno aggiunti cookie non essenziali, i controlli di scelta dovranno essere aggiornati prima dell'attivazione.

RPSIGN cerca di evitare comunicazioni non necessarie. I dati possono essere messi a disposizione di fornitori solo quando una funzione tecnica lo richiede, come hosting, e-mail, antiabuso, archiviazione, supporto, autenticazione o componenti di firma realmente contrattualizzati.

La comunicazione può inoltre avvenire per legge, ordine giudiziario valido, richiesta di autorità competente, tutela di diritti o indagine su frodi e incidenti. L'ambito deve essere limitato alla finalità concreta.

RPSIGN non vende dati personali ad inserzionisti e non autorizza riutilizzi incompatibili da parte dei fornitori.

Alcuni fornitori possono disporre di infrastrutture o supporto fuori dal Brasile. In caso di trasferimento internazionale, RPSIGN dovrà considerare i requisiti della LGPD, la finalità, le garanzie del fornitore e il meccanismo giuridico appropriato.

L'utilizzo di un fornitore straniero non autorizza trattamenti illimitati. Il trasferimento resta collegato alla funzione tecnica contrattualizzata e a controlli proporzionati di accesso e sicurezza.

Non esiste un periodo unico per tutte le categorie. Contatti, log di sicurezza, documenti ed evidenze hanno finalità diverse. La conservazione considera necessità operative, obblighi legali, esercizio di diritti, prevenzione frodi e termini giuridicamente rilevanti.

I messaggi di contatto devono essere conservati per il tempo ragionevolmente necessario; i registri antiabuso possono avere durata breve; documenti ed evidenze possono richiedere maggiore conservazione per dimostrare esistenza, integrità o sequenza del flusso.

Quando la finalità termina e non esiste base per conservare, i dati devono essere cancellati, anonimizzati o trattati secondo la LGPD. Una richiesta di cancellazione non prevale automaticamente su un obbligo legittimo di conservazione.

RPSIGN adotta un approccio di sicurezza a più livelli. L'architettura amministrativa incorpora MFA TOTP, sessioni sicure, controllo accessi per ruoli con negazione predefinita, isolamento tra organizzazioni, archiviazione privata, policy versionate e meccanismi di integrità. Questi controlli riducono i rischi ma non giustificano promesse di invulnerabilità.

La sicurezza amministrativa e l'identificazione del firmatario hanno scopi diversi. Una forte autenticazione dell'amministratore non prova da sola l'identità del firmatario di uno specifico documento.

Sospetti di accesso non autorizzato, divulgazione, alterazione incompatibile o indisponibilità significativa devono essere valutati per contenere l'evento, preservare evidenze, comprenderne l'impatto e adottare misure correttive. Quando richiesto dal diritto brasiliano, saranno valutate le comunicazioni agli interessati e all'ANPD.

Ai sensi della LGPD, ove applicabile, gli interessati possono chiedere conferma del trattamento, accesso, correzione, anonimizzazione, blocco o cancellazione di dati non necessari o irregolari, portabilità nei limiti regolamentari, informazioni sulle condivisioni, revoca del consenso quando pertinente e revisione di determinate decisioni automatizzate.

RPSIGN può richiedere una ragionevole verifica dell'identità prima di comunicare, modificare o cancellare dati, per evitare richieste fraudolente. Se una richiesta non può essere accolta a causa di un fondamento legale di conservazione, la ragione dovrà essere spiegata.

Le richieste possono essere inviate tramite il modulo istituzionale. Documenti sensibili non devono essere inviati nel primo contatto senza istruzioni specifiche.

L'Informativa può essere aggiornata per modifiche legali, regolamentari, tecniche o operative. La data di revisione resterà indicata all'inizio e le modifiche sostanziali potranno essere segnalate con modalità adeguate.

RPSIGN è un'operazione brasiliana e la presente Informativa è interpretata principalmente secondo il diritto brasiliano e la LGPD. Questa traduzione è fornita per agevolare la comprensione; in caso di divergenza, la versione in portoghese brasiliano costituisce il riferimento, fatte salve norme imperative applicabili.

Le domande possono essere inviate tramite il canale di contatto RPSIGN.