Informativa privacy

Informativa sul trattamento dei dati personali

LUMIRIA

Versione predisposta il 1° ottobre 2026

La presente informativa descrive il trattamento dei dati personali effettuato da Società Tecnologie Notarili S.r.l. in relazione al sito lumiria.ai, alle richieste di informazioni e di prova, ai rapporti contrattuali e amministrativi e alla gestione degli accessi al servizio LUMIRIA. È resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 («GDPR»).

La sezione 3 distingue questi trattamenti da quelli effettuati per conto degli studi notarili sui contenuti delle pratiche, anche durante la prova gratuita.

1. Titolare del trattamento e contatti

Per i trattamenti descritti in questa informativa nei quali opera per finalità proprie, il titolare è Società Tecnologie Notarili S.r.l., con sede legale in Terza Traversa Mongiardino 11, 07024 La Maddalena, partita IVA 03083140909, di seguito la «Società».

Le richieste relative alla protezione dei dati personali possono essere inviate a privacy&sicurezza@lumiria.ai oppure, mediante posta elettronica certificata, a soc.tecnologienotarili@legalmail.it. È possibile scrivere anche alla sede legale, indicando che la comunicazione riguarda la protezione dei dati personali.

2. Responsabile della protezione dei dati

La Società ha designato un Responsabile della protezione dei dati («RPD» o «DPO»), al quale è possibile rivolgersi direttamente per le questioni relative al trattamento dei dati personali e all'esercizio dei diritti.

DPO designato: Avv. Nicola Barbuzzi

Recapito diretto del DPO: studiolegalebarbuzzi@pec.it (posta elettronica certificata)

Il recapito privacy&sicurezza@lumiria.ai resta il contatto privacy della Società. Il recapito diretto del DPO è quello indicato in questa sezione.

3. Ruoli e ambito di applicazione

L'informativa riguarda i visitatori del sito, le persone che contattano la Società, i notai che richiedono una prova o un abbonamento, nonché i collaboratori e i referenti degli studi per i trattamenti che la Società effettua come titolare.

Per i contenuti affidati dallo studio, il titolare è il notaio. Documenti, informazioni sulle parti, bozze e atti, conversazioni relative alle pratiche e altri contenuti inseriti o recuperati su istruzione dello studio sono trattati dalla Società in qualità di responsabile ai sensi dell'art. 28 GDPR. Lo stesso vale per le attività tecniche, di assistenza e manutenzione che comportano l'accesso a quei contenuti per erogare il servizio allo studio.

Questi trattamenti sono disciplinati dalla Nomina a responsabile del trattamento, accettata dal notaio nella procedura di richiesta di attivazione, prima della creazione dello spazio dello studio e del caricamento dei dati. La Nomina si applica a tutti i piani, compresa ogni modalità di prova gratuita. Il relativo modello è consultabile nella documentazione pubblica di LUMIRIA; l'accordo del singolo studio contiene i dati del notaio e le evidenze dell'accettazione.

Per i dati delle pratiche, l'informativa e le basi giuridiche del trattamento competono al notaio titolare. Le richieste relative a questi dati vanno rivolte al notaio; se ricevute dalla Società, sono inoltrate allo studio competente entro tre giorni lavorativi, senza un autonomo riscontro sul merito, secondo quanto previsto dalla Nomina.

I dati dei collaboratori richiedono la medesima distinzione: la Società opera per conto dello studio quando gestisce i contenuti e le operazioni affidati da quest'ultimo; opera come titolare per le proprie comunicazioni amministrative, la gestione del rapporto commerciale e la tutela dei propri sistemi e diritti, nei limiti descritti di seguito.

Il quadro dei ruoli, in sintesi:

Per l'autenticazione la Società si avvale di Clerk, che opera come suo responsabile per i dati degli utenti e come titolare autonomo per i propri dati di account e di sicurezza, secondo la documentazione del fornitore.

4. Dati trattati e loro provenienza

Richieste e rapporto con lo studio. La Società riceve i dati comunicati nei moduli o nella corrispondenza: nome e cognome, luogo e data di nascita, indirizzo di residenza e codice fiscale del notaio, denominazione e sede dello studio, distretto notarile, indirizzo email e gli ulteriori recapiti forniti per gestire la richiesta. Per l'abbonamento tratta anche i dati fiscali e di fatturazione effettivamente necessari, tra cui partita IVA, codice destinatario o PEC, piano scelto, stato dell'abbonamento e comunicazioni relative al rapporto.

Utenti autorizzati e autenticazione. Sono trattati i dati identificativi e i recapiti degli utenti, il collegamento allo studio, le abilitazioni e le informazioni necessarie alla gestione degli accessi. I dati possono essere forniti dall'utente o comunicati dal notaio e dai soggetti autorizzati dello studio. L'autenticazione è gestita mediante Clerk; le informazioni di autenticazione e di sessione sono trattate nell'ambito di tale servizio. L'informativa è resa disponibile anche ai collaboratori che accedono alla piattaforma.

Accettazioni e documenti contrattuali. La Società conserva le versioni dei documenti presentati e accettati, le relative impronte informatiche, la data e l'ora delle dichiarazioni, l'indirizzo email e i dati dichiarati dal richiedente. Per la Nomina conserva anche il testo integrale con i dati del notaio e l'impronta della versione del modello. Sono registrate separatamente le evidenze dell'approvazione specifica delle clausole contrattuali e le informazioni sulla consultazione dei documenti previste dalla procedura. La Nomina e l'approvazione delle clausole si firmano ciascuna con un codice monouso inviato via email: per ogni firma sono conservati l'indirizzo cui è stato inviato il codice, gli orari di invio e di conferma, il numero dei tentativi, l'indirizzo IP e il browser. Il codice non è conservato in chiaro. La ricevuta con i testi firmati è inviata al notaio e, in copia, all'archivio della Società.

Pagamenti. I pagamenti e gli abbonamenti sono gestiti tramite Stripe. La Società tratta le informazioni necessarie alla gestione amministrativa, come l'esito del pagamento, i riferimenti della transazione e dell'abbonamento e i dati di fatturazione. Non acquisisce i dati completi della carta di pagamento.

Corrispondenza e assistenza. Sono trattati il contenuto delle richieste inviate alla Società, i recapiti del mittente e le informazioni necessarie a rispondere. I dati delle pratiche non sono utilizzati per correggere i guasti. Se compaiono in una segnalazione inviata dallo studio, restano soggetti alla Nomina e non sono trasferiti sui computer utilizzati per lo sviluppo.

Dati tecnici di navigazione e utilizzo. L'erogazione del sito e del servizio comporta il trattamento delle informazioni trasmesse dai dispositivi e dalle richieste di rete, tra cui l'indirizzo IP, le risorse richieste, data e ora, caratteristiche del browser, esito della richiesta ed eventuali errori. Il trattamento tecnico dell'indirizzo IP per la connessione e la sicurezza è distinto dalla raccolta di statistiche sulle visite. I registri sono trattati secondo le finalità e i termini indicati nelle sezioni 5 e 11.

Dettatura vocale. Se l'utente sceglie di dettare invece di scrivere, la voce è trasformata in testo dal servizio vocale del browser utilizzato (per esempio Google per Chrome, Apple per Safari), secondo le condizioni che l'utente ha con il produttore del browser. La Società riceve soltanto il testo risultante e non riceve né conserva la registrazione della voce; il produttore del browser non è un fornitore della Società per questa funzione. Al primo utilizzo l'utente è avvisato e può scegliere di non utilizzare la dettatura. Poiché ciò che viene dettato può contenere dati dei clienti dello studio, spetta al notaio stabilire se e quando consentirne l'uso.

La Società raccoglie quindi i dati direttamente dall'interessato, dallo studio che lo autorizza o lo indica come referente, dai sistemi utilizzati per erogare il servizio e dal prestatore dei pagamenti, limitatamente alle informazioni necessarie alle rispettive attività.

5. Finalità e basi giuridiche

Richieste di informazioni e di prova. I dati sono utilizzati per rispondere, esaminare la richiesta e svolgere le attività necessarie all'eventuale attivazione. Per il notaio che richiede il servizio per sé, la base giuridica è l'esecuzione di misure precontrattuali adottate su sua richiesta, ai sensi dell'art. 6, par. 1, lett. b), GDPR. Quando scrive un collaboratore o un referente, la Società tratta i suoi dati di contatto sulla base del legittimo interesse a gestire l'interlocuzione con lo studio, ai sensi della lett. f).

Gestione del contratto. I dati del notaio contraente sono trattati per attivare e amministrare la prova e l'abbonamento, gestire pagamenti e scadenze, fornire assistenza e inviare le comunicazioni necessarie al funzionamento del servizio. La base giuridica è l'art. 6, par. 1, lett. b), GDPR. Per i referenti che non sono parti del contratto, il trattamento dei recapiti professionali necessario a queste attività si fonda sul legittimo interesse della Società e dello studio a gestire il rapporto. Ciò non modifica il ruolo di responsabile della Società rispetto ai contenuti affidati dallo studio.

Obblighi di legge. L'emissione e la conservazione dei documenti fiscali e contabili, nonché l'adempimento delle altre prescrizioni legalmente applicabili alla Società, si fondano sull'art. 6, par. 1, lett. c), GDPR.

Funzionamento e sicurezza. I dati tecnici strettamente necessari sono utilizzati per rendere accessibili il sito e il servizio, gestire gli accessi, individuare errori e prevenire utilizzi abusivi. Per i trattamenti effettuati come titolare, la base giuridica è il legittimo interesse alla disponibilità, integrità e riservatezza dei sistemi e alla protezione degli utenti, ai sensi dell'art. 6, par. 1, lett. f), GDPR; restano applicabili gli specifici obblighi di sicurezza previsti dalla legge. L'accesso ai dati delle pratiche per diagnosi e manutenzione avviene invece nell'ambito delle istruzioni dello studio e della Nomina.

Prova del rapporto e tutela dei diritti. Le evidenze contrattuali e i dati pertinenti a eventuali contestazioni sono trattati per documentare richieste e accettazioni e per accertare, esercitare o difendere diritti. La base giuridica è il legittimo interesse della Società ai sensi dell'art. 6, par. 1, lett. f), GDPR. La conservazione riguarda soltanto le informazioni necessarie a tali scopi.

Quando si fonda sul legittimo interesse, il trattamento è limitato a quanto necessario alla finalità dichiarata e tiene conto dei diritti e delle ragionevoli aspettative dell'interessato. È possibile esercitare il diritto di opposizione nei termini della sezione 12.

La presa visione di questa informativa non costituisce un consenso generale al trattamento. L'accettazione delle condizioni del servizio e della Nomina ha la distinta funzione di regolare i rapporti contrattuali. Le comunicazioni operative qui descritte non costituiscono un'autorizzazione all'invio di pubblicità.

6. Necessità del conferimento

I dati indicati come necessari nella procedura sono richiesti per esaminare la domanda, identificare lo studio e i soggetti autorizzati, attivare il servizio o adempiere agli obblighi amministrativi e fiscali. In loro assenza può non essere possibile dare seguito alla richiesta o fornire la prestazione interessata.

Gli eventuali campi facoltativi e le informazioni non necessarie non condizionano l'accesso al servizio. Nelle richieste generiche inviate alla Società devono essere comunicati soltanto dati pertinenti; i documenti delle pratiche vanno gestiti attraverso le funzioni destinate allo studio e, quando necessari per l'assistenza, secondo le modalità concordate per la segnalazione.

7. Cookie e memorizzazione nel browser

Il sito non utilizza Google Analytics, il contatore interno delle visite o altri strumenti di analisi statistica o tracciamento pubblicitario. Non vengono generate impronte del dispositivo per contare o collegare le visite.

Per l'autenticazione sono utilizzati i cookie tecnici di Clerk necessari alla gestione dell'accesso e della sessione. Per questi strumenti strettamente necessari non è richiesto il consenso ai sensi dell'art. 122 del d.lgs. 196/2003. Il loro blocco può impedire l'accesso o il corretto funzionamento dell'area riservata.

La sessione di accesso è configurata con una scadenza dopo dodici ore di inattività e una durata massima assoluta di sette giorni. Le operazioni sensibili richiedono una nuova verifica dell'identità quando l'ultima verifica risale a più di dieci minuti prima. Questi termini riguardano la sessione e la verifica dell'accesso e non equivalgono alla durata di ciascun cookie.

Cookie di autenticazione presenti e relative durate:

Il suffisso dei nomi identifica l'istanza di Clerk del sito. Durante l'accesso Clerk crea e cancella immediatamente un cookie di prova (__clerk_test_etld) per individuare il dominio corretto.

La piattaforma utilizza inoltre la memoria del browser per alcune funzioni richieste dall'utente, secondo il quadro seguente. Queste informazioni non sono utilizzate per statistiche delle visite o pubblicità.

La chiusura del browser non garantisce la cancellazione di tutte le informazioni conservate sul dispositivo. L'utente può gestirle attraverso le funzioni del servizio e le impostazioni del browser; la rimozione può richiedere di ripetere l'accesso o le scelte già effettuate. La memorizzazione facoltativa delle credenziali va utilizzata soltanto su dispositivi sotto il controllo dell'utente.

8. Modalità del trattamento e sicurezza

I dati sono trattati mediante strumenti informatici e, per gli adempimenti amministrativi che lo richiedono, mediante documenti e corrispondenza. L'accesso è limitato alle persone autorizzate in relazione alle attività da svolgere, soggette a obblighi di riservatezza, con autenticazione a due fattori. Gli interventi straordinari sulla banca dati di produzione sono eseguiti da persone autorizzate, limitati alla struttura e alla configurazione, e annotati in un registro prima di essere eseguiti.

La Società applica misure tecniche e organizzative commisurate ai trattamenti, tra cui controlli di autenticazione e autorizzazione, separazione degli spazi degli studi attraverso i controlli applicativi, protezione delle comunicazioni e procedure di gestione degli incidenti e delle cancellazioni. Le misure relative ai dati affidati dagli studi, comprese le caratteristiche e i limiti delle copie di sicurezza, sono descritte nella Nomina e nei suoi allegati.

La manutenzione, la correzione dei guasti e l'aggiornamento del servizio si svolgono senza accesso ai contenuti delle pratiche, senza eccezioni. Il personale della Società e gli strumenti di assistenza allo sviluppo, compreso Claude Code, lavorano esclusivamente sul codice, su dati di prova custoditi in un ambiente separato da quello di produzione e su informazioni tecniche prive dei contenuti delle pratiche (errori, identificativi, tempi e consumi), mai su documenti, conversazioni o dati dei clienti del notaio. I computer utilizzati per lo sviluppo non dispongono delle chiavi di accesso alla banca dati di produzione e non conservano dati delle pratiche. Per la diagnosi di un guasto ricevono soltanto codici tecnici e una rappresentazione della struttura della pagina del portale nella quale ogni dato è sostituito da un segnaposto; i guasti che non possono essere compresi in questo modo sono riprodotti su pratiche di prova con dati fittizi. L'assistente di sviluppo opera in base a un contratto distinto da quello utilizzato per il servizio, non coperto dal regime di conservazione zero, e per questa ragione non riceve in alcun caso dati delle pratiche.

La Società non effettua, per le finalità proprie descritte in questa informativa, profilazione né decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sull'interessato. Le bozze e le proposte generate nell'assistenza notarile rimangono soggette alla verifica e alla decisione del notaio, secondo le condizioni del servizio e la Guida all'uso di LUMIRIA.

9. Destinatari e fornitori

I dati possono essere trattati dalle persone autorizzate della Società e dai fornitori necessari all'erogazione del sito, del servizio e delle attività amministrative. Quando operano per conto della Società, i fornitori sono vincolati dagli accordi previsti dall'art. 28 GDPR. Per i dati affidati dal notaio, i fornitori pertinenti operano nella catena dei sub-responsabili disciplinata dalla Nomina.

Per la corrispondenza della Società è utilizzato il servizio di posta elettronica di Aruba S.p.A., con sede in Italia. I dati pertinenti possono inoltre essere comunicati ai professionisti incaricati dell'assistenza contabile, fiscale o legale, nonché alle autorità e agli altri soggetti che abbiano titolo a riceverli in base alla legge.

Il ruolo di ciascun destinatario dipende dall'attività effettivamente svolta. In particolare, il prestatore dei pagamenti può agire anche come autonomo titolare per i propri obblighi di legge e le attività di prevenzione delle frodi, secondo la propria informativa. I fornitori dei pagamenti e della gestione amministrativa non sono, per questo solo fatto, sub-responsabili del notaio per i dati delle pratiche.

La pagina pubblica «Fornitori e sub-responsabili», disponibile all'indirizzo https://www.lumiria.ai/sub-responsabili/, raccoglie le informazioni sui fornitori e i collegamenti ai loro accordi, agli elenchi dei sub-fornitori e alla documentazione di sicurezza. La consultazione non comporta un'adesione dell'utente ai contratti stipulati dalla Società.

I dati personali non sono diffusi al pubblico dalla Società per le finalità descritte in questa informativa.

10. Localizzazione e trasferimenti internazionali

La banca dati e l'archivio dei file sono configurati in Irlanda; i server delle automazioni e del ragionamento utilizzati dalla Società si trovano in Germania; le funzioni applicative Vercel sono configurate a Dublino. La sede del soggetto contraente e gli ulteriori trattamenti dei fornitori possono essere diversi dalla regione tecnica scelta.

L'impiego di fornitori internazionali comporta trattamenti anche fuori dallo Spazio economico europeo, tra cui quelli negli Stati Uniti per l'autenticazione tramite Clerk, per le elaborazioni Anthropic e per l'invio delle email tramite Resend. Supabase Pte. Ltd. ha sede a Singapore; Vercel, Clerk e Resend sono fornitori statunitensi. Le localizzazioni europee delle infrastrutture non costituiscono quindi una dichiarazione che ogni trattamento o accesso avvenga esclusivamente in Europa.

I trasferimenti soggetti al Capo V GDPR avvengono sulla base delle garanzie applicabili al singolo destinatario e al trattamento: decisioni di adeguatezza della Commissione europea, quando ne ricorrono i presupposti, oppure clausole contrattuali tipo adottate con decisione (UE) 2021/914, nei moduli pertinenti ai ruoli delle parti, con le verifiche e le eventuali misure supplementari richieste. Il ricorso all'EU-US Data Privacy Framework presuppone che il destinatario e il trattamento rientrino effettivamente nel suo ambito.

Per conoscere il presupposto applicabile a un destinatario e ottenere copia delle garanzie pertinenti è possibile scrivere a privacy&sicurezza@lumiria.ai. Possono essere oscurate le sole informazioni riservate estranee alla verifica delle garanzie.

Per i contenuti delle pratiche elaborati dai modelli è attivo dal 25 settembre 2026, sull'organizzazione Anthropic della Società, il regime di conservazione zero, confermato dal certificato sottoscritto con il fornitore. Questo regime, i suoi limiti, le memorie temporanee e le eccezioni sono descritti nella Nomina e nella Guida all'uso di LUMIRIA. Non equivale all'assenza di trasferimenti internazionali, né alla cancellazione delle copie conservate da LUMIRIA per erogare il servizio.

11. Tempi di conservazione

I termini dipendono dalla finalità del trattamento. La cancellazione dello spazio dello studio e la conservazione di una fattura o della prova del contratto sono operazioni distinte: la necessità di conservare dati amministrativi non autorizza a trattenere per la medesima durata i contenuti delle pratiche.

Dati trattati dalla Società come titolare

Le informazioni strettamente necessarie a gestire un incidente o una contestazione specifica possono essere conservate separatamente per il tempo necessario alla relativa gestione e alla tutela dei diritti, tenendo conto dei termini di prescrizione e degli eventuali obblighi di legge. La conservazione riguarda i soli dati pertinenti, con accesso limitato, e non giustifica la conservazione generalizzata di tutti i registri o di tutte le pratiche.

Alla scadenza dei termini i dati sono cancellati o, quando sia appropriato alla finalità residua, resi effettivamente anonimi. Le copie della banca dati Supabase seguono il ciclo di conservazione di sette giorni; dopo la cancellazione dai sistemi attivi possono pertanto residuare copie fino all'esaurimento di tale ciclo.

Dati affidati dagli studi

I termini completi sono stabiliti dalla Nomina, consultabile nella documentazione pubblica. Alla scadenza della prova o dell'abbonamento non rinnovato, lo studio conserva per trenta giorni dalla scadenza l'accesso in sola lettura e la possibilità di esportazione; se passa all'abbonamento o rinnova entro tale termine, non perde nulla. Lo studio può anche chiedere in qualsiasi momento di passare a un altro fornitore o di cessare il servizio, secondo l'art. 8-bis delle Condizioni del servizio. Al termine sono cancellati automaticamente e definitivamente dai sistemi attivi pratiche, documenti, atti e conversazioni, insieme agli account degli utenti dello studio. Il notaio può chiedere la cancellazione immediata.

L'archivio ZIP del lavoro si scarica dal servizio in qualsiasi momento, fino alla cancellazione dello studio; cinque giorni prima della scadenza lo studio riceve un avviso. Ogni download genera un nuovo archivio ZIP del lavoro conservato in quel momento, senza conservarne una copia presso la Società.

Una pratica eliminata durante il servizio attivo è cancellata definitivamente e immediatamente e non è recuperabile.

Le copie della banca dati possono contenere residui per ulteriori sette giorni dopo la cancellazione dai sistemi attivi: nella sequenza ordinaria, fino a trentasette giorni dalla scadenza. Lo stesso vale per le copie notturne cifrate dei file dei documenti, conservate sette giorni su server Hetzner in Germania.

Registri, catture e file di lavoro su Hetzner sono cancellati automaticamente dopo sette giorni; i file di lavoro che contengono documenti sono cancellati al termine dell'operazione. I registri non contengono dati delle pratiche. I computer utilizzati per lo sviluppo non contengono dati delle pratiche, e non ne esistono quindi copie di manutenzione.

Restano le conservazioni imposte dalla legge e le eccezioni del fornitore dei modelli descritte nella Nomina. Il riepilogo non modifica le istruzioni del notaio.

12. Diritti degli interessati

Nei casi e nei limiti previsti dagli articoli 15 e seguenti GDPR, l'interessato può chiedere conferma del trattamento e accesso ai propri dati, ottenerne copia, richiedere la rettifica dei dati inesatti o l'integrazione di quelli incompleti, nonché domandare la cancellazione o la limitazione del trattamento quando ne ricorrono i presupposti.

La portabilità riguarda i dati forniti dall'interessato trattati con mezzi automatizzati sulla base del consenso o di un contratto, nei limiti dell'art. 20 GDPR. Consente di riceverli in un formato strutturato, di uso comune e leggibile da dispositivo automatico e, quando tecnicamente possibile, di chiederne la trasmissione a un altro titolare.

È possibile opporsi, per motivi connessi alla propria situazione particolare, ai trattamenti fondati sul legittimo interesse. In tal caso la Società cessa il trattamento, salvo dimostrare motivi legittimi cogenti prevalenti sui diritti e sulle libertà dell'interessato oppure la necessità di accertare, esercitare o difendere un diritto in sede giudiziaria.

Le richieste possono essere inviate a privacy&sicurezza@lumiria.ai, alla PEC della Società o al DPO ai recapiti della sezione 2. Se sussistono ragionevoli dubbi sull'identità del richiedente, la Società può chiedere le informazioni aggiuntive necessarie a verificarla, evitando raccolte eccedenti.

La Società fornisce riscontro senza ingiustificato ritardo e, di regola, entro un mese dal ricevimento della richiesta. Il termine può essere prorogato di ulteriori due mesi quando necessario per la complessità o il numero delle richieste; la proroga e le sue ragioni sono comunicate entro il primo mese. L'esercizio dei diritti è normalmente gratuito, ferme le eccezioni previste dall'art. 12 GDPR.

Per i dati delle pratiche affidati alla Società come responsabile, le richieste sono gestite secondo la sezione 3 e la Nomina, nell'ambito delle competenze del notaio titolare.

L'interessato può proporre reclamo al Garante per la protezione dei dati personali, secondo le modalità pubblicate su https://www.garanteprivacy.it/, o all'autorità di controllo competente ai sensi dell'art. 77 GDPR. Resta il diritto di rivolgersi all'autorità giudiziaria.

13. Modifiche e aggiornamenti

La Società aggiorna questa informativa quando cambiano i trattamenti o le informazioni da rendere agli interessati. La versione pubblicata riporta la data dell'ultimo aggiornamento; le modifiche rilevanti sono portate a conoscenza degli interessati con modalità appropriate e, quando necessario, prima dell'avvio dei nuovi trattamenti.