La presente informativa descrive le modalità con cui LEXIS Financial Intelligence S.r.l. (di seguito “Titolare” o “LEXIS”) tratta i dati personali degli utenti che visitano il sito www.partnership-lexis.com e che compilano il modulo di contatto per le partnership istituzionali presente su di esso, in conformità al Regolamento (UE) 2016/679 (GDPR) e al Codice Privacy italiano (D.Lgs. 196/2003, come modificato dal D.Lgs. 101/2018).

La presente informativa disciplina esclusivamente i trattamenti effettuati tramite il sito sopra indicato. I trattamenti svolti tramite il sito www.lexisfinancialintelligence.com sono descritti nella relativa informativa. I trattamenti svolti all’interno della piattaforma LEX-IA, compresi quelli effettuati tramite le funzionalità basate su intelligenza artificiale, saranno disciplinati da una separata informativa resa disponibile agli utenti prima dell’utilizzo di tali strumenti. L’informativa non si estende ad altri siti web eventualmente consultati dall’utente tramite link presenti al suo interno.

1. Titolare del trattamento

LEXIS Financial Intelligence S.r.l.
Sede legale: Via Cadibona 14, 20137 Milano (MI)
Sede operativa: Via Spadolini 7, Milano
P.IVA / Codice Fiscale: 14777230963
Email: info@lexisifi.com · PEC: lexis.srl@pec.it

Il Titolare ritiene di non essere soggetto, allo stato attuale, all’obbligo di designazione di un Responsabile della Protezione dei Dati (DPO) ai sensi dell’art. 37 GDPR, in quanto l’attività svolta non comporta, nel perimetro del presente sito, un monitoraggio regolare e sistematico degli interessati su larga scala né il trattamento su larga scala di categorie particolari di dati. Tale valutazione sarà aggiornata in caso di modifiche rilevanti alle attività di trattamento.

Ferma la valutazione sull’assenza dell’obbligo di nomina del DPO, il Titolare ha individuato un referente interno per le questioni attinenti alla protezione dei dati, contattabile all’indirizzo email sopra indicato.

2. Categorie di dati trattati

2.1 Dati forniti dall’utente tramite il modulo Partnership

Attraverso il modulo presente sul sito raccogliamo unicamente i dati personali forniti direttamente e volontariamente dall’utente:

• nome e cognome, ruolo, organizzazione di appartenenza e tipo di organizzazione;
• indirizzo email aziendale;
• paese, aree di interesse e contenuto del messaggio, se indicati.

I dati riguardano di norma persone che agiscono per conto della propria organizzazione. Si invita l’utente a non inserire nel messaggio categorie particolari di dati personali (art. 9 GDPR) o dati relativi a terzi.

2.2 Dati di navigazione e dati tecnici

Durante la normale navigazione il sito può raccogliere automaticamente dati tecnici e di navigazione che, in alcuni casi, possono essere qualificati come dati personali ai sensi del GDPR (ad esempio indirizzi IP e identificatori di sessione). Tali dati sono raccolti per garantire il corretto funzionamento tecnico del sito e la sicurezza dell’infrastruttura.

Il sito non utilizza cookie di profilazione né strumenti di analisi statistica. Nel browser dell’utente vengono memorizzate soltanto la preferenza di lingua e la presa visione dell’avviso sui cookie, tramite la memoria locale del browser (localStorage): si tratta di strumenti tecnici necessari a fornire la funzionalità richiesta, che non richiedono consenso ai sensi delle Linee guida del Garante per la protezione dei dati personali del 10 giugno 2021 (doc. web n. 9677876). L’utente può cancellarle in qualsiasi momento dalle impostazioni del browser.

I caratteri tipografici sono ospitati direttamente sui server del sito: la loro visualizzazione non comporta alcuna trasmissione di dati a terzi. Il dettaglio degli strumenti tecnici utilizzati è riportato nella Cookie policy.

3. Finalità e base giuridica del trattamento

3.1 Gestione delle richieste di partnership

I dati raccolti tramite il modulo Partnership sono trattati per contattare l’utente, rispondere alla sua richiesta, organizzare incontri e sessioni dimostrative e valutare una possibile collaborazione con l’organizzazione di appartenenza. Il trattamento è limitato alle operazioni strettamente necessarie a riscontrare la richiesta.

Base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell’interessato (art. 6, par. 1, lett. b GDPR) e, quando l’utente agisce per conto della propria organizzazione, legittimo interesse del Titolare a dare seguito a richieste di collaborazione professionale (art. 6, par. 1, lett. f GDPR).

Qualora il Titolare intendesse utilizzare i medesimi dati per finalità di marketing o comunicazione commerciale ulteriori rispetto a quelle strettamente connesse alla richiesta ricevuta, tale trattamento sarà fondato su autonoma base giuridica e l’utente ne sarà informato preventivamente.

3.2 Adempimento di obblighi legali

I dati potranno essere trattati qualora richiesto da normativa fiscale, civilistica o su richiesta di autorità competenti.

Base giuridica: adempimento di un obbligo legale (art. 6, par. 1, lett. c GDPR).

3.3 Tutela dei diritti del Titolare, sicurezza dei sistemi e prevenzione di abusi

Il Titolare potrà trattare i dati personali degli utenti nella misura strettamente necessaria per tutelare i propri diritti in sede giudiziaria, stragiudiziale o amministrativa, per garantire la sicurezza e l’integrità dei propri sistemi informatici e per prevenire condotte abusive o fraudolente.

Base giuridica: legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR), nel rispetto dei diritti e delle libertà fondamentali degli interessati. Il trattamento è limitato a quanto strettamente necessario per il perseguimento di tale interesse.

Il Titolare ha effettuato una valutazione di bilanciamento tra il proprio legittimo interesse e i diritti degli interessati, dalla quale è emerso che tali interessi non prevalgono sui diritti e le libertà fondamentali degli utenti, considerata la natura limitata dei dati trattati, le garanzie adottate e la ragionevole aspettativa degli interessati.

3.4 Dati tecnici e di navigazione

I dati di cui alla Sezione 2.2 sono trattati sulla base del legittimo interesse del Titolare (art. 6, par. 1, lett. f GDPR) per finalità di funzionamento tecnico del sito e sicurezza dell’infrastruttura, previa ponderazione con i diritti degli interessati.

4. Natura del conferimento e conseguenze del mancato conferimento

Il conferimento dei dati indicati come obbligatori nel modulo (nome e cognome, ruolo, organizzazione, tipo di organizzazione e indirizzo email) è necessario per dar seguito alla richiesta: il mancato conferimento comporta l’impossibilità di processarla. Il conferimento degli altri dati (paese, aree di interesse, messaggio) è facoltativo.

5. Periodo di conservazione

I dati raccolti tramite il modulo Partnership sono conservati per il tempo necessario a gestire la richiesta e le eventuali trattative successive e, se non si instaura un rapporto contrattuale, non oltre 24 mesi dall’ultimo contatto. In caso di instaurazione di un rapporto contrattuale, i dati sono conservati per la durata prevista dalla normativa fiscale e civilistica applicabile (di norma 10 anni dalla cessazione del rapporto).

I dati trattati sulla base del legittimo interesse per la tutela dei diritti del Titolare e la sicurezza dei sistemi sono conservati per il tempo strettamente necessario al perseguimento di tale finalità.

6. Destinatari dei dati

I dati personali non vengono venduti né ceduti a terzi per finalità commerciali proprie di terzi. Possono essere comunicati, nei limiti strettamente necessari, ai seguenti soggetti, che agiscono in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR, previa nomina formale, o in qualità di autonomi titolari del trattamento ove applicabile:

• provider di servizi di hosting e infrastruttura;
• provider del servizio di ricezione e gestione dei moduli e degli strumenti di gestione dei contatti;
• provider di servizi di posta elettronica;
• consulenti tecnici, fiscali e legali del Titolare, nei limiti strettamente necessari;
• autorità pubbliche, giudiziarie o amministrative, ove richiesto dalla legge o da provvedimento autoritativo.

7. Trasferimento dei dati verso Paesi terzi

Alcuni dei fornitori sopra indicati potrebbero avere sede o infrastrutture al di fuori dello Spazio Economico Europeo (SEE), in particolare negli Stati Uniti. In tali casi, il trasferimento avviene esclusivamente:

• verso Paesi per i quali la Commissione Europea ha adottato una decisione di adeguatezza ai sensi dell’art. 45 GDPR; oppure
• sulla base di garanzie adeguate ai sensi dell’art. 46 GDPR, in particolare mediante Clausole Contrattuali Standard adottate dalla Commissione Europea; oppure
• sulla base di altre garanzie equivalenti previste dagli artt. 44 e ss. GDPR.

L’interessato ha diritto di ottenere informazioni sulle garanzie adottate per il trasferimento dei propri dati verso Paesi terzi, inviando una richiesta scritta all’indirizzo email del Titolare indicato nella sezione 1.

8. Processo decisionale automatizzato e intelligenza artificiale

Il modulo di raccolta dati presente sul sito non comporta alcun processo decisionale interamente automatizzato, né attività di profilazione ai sensi dell’art. 22 GDPR.

Le funzionalità basate su intelligenza artificiale descritte nella piattaforma LEX-IA (tra cui LEXORA, MENTOR AI e Mirror) opereranno, una volta rilasciata la piattaforma, secondo un’informativa dedicata che sarà resa disponibile agli utenti registrati prima dell’utilizzo di tali strumenti. Tale informativa descriverà, ove applicabile, la logica sottesa ai sistemi automatizzati, l’eventuale incidenza significativa sugli interessati e le garanzie adottate, compreso il diritto all’intervento umano.

9. Diritti dell’interessato

In qualità di interessato, in qualsiasi momento l’utente ha il diritto di:

• accedere ai propri dati personali (art. 15 GDPR);
• ottenerne la rettifica se inesatti o incompleti (art. 16 GDPR);
• ottenerne la cancellazione, nei limiti previsti dalla legge (art. 17 GDPR);
• ottenere la limitazione del trattamento (art. 18 GDPR);
• riceverli in formato strutturato e leggibile (diritto alla portabilità, art. 20 GDPR);
• opporsi al trattamento per motivi connessi alla propria situazione particolare, oppure in ogni momento se il trattamento avviene per finalità di marketing diretto (art. 21 GDPR);
• revocare il consenso eventualmente prestato in qualsiasi momento, senza pregiudicare la liceità del trattamento svolto prima della revoca;
• proporre reclamo all’Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it), qualora ritenga che il trattamento violi la normativa vigente.

Per esercitare il diritto di opposizione al trattamento fondato sul legittimo interesse, l’interessato dovrà indicare i motivi specifici connessi alla propria situazione particolare. Il Titolare valuterà la richiesta e cesserà il trattamento salvo che sussistano motivi legittimi cogenti che prevalgano sugli interessi, diritti e libertà dell’interessato, ovvero per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria.

Per esercitare uno di questi diritti è sufficiente inviare una richiesta scritta a info@lexisifi.com. Il Titolare risponderà entro un mese dal ricevimento della richiesta, salvo proroga nei casi di particolare complessità nei limiti e con le modalità previste dall’art. 12 GDPR, dandone comunicazione all’interessato entro il medesimo termine.

10. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza commisurato al rischio, ai sensi dell’art. 32 GDPR. Tali misure includono, a titolo esemplificativo e non esaustivo:

• cifratura delle comunicazioni tramite protocollo HTTPS/TLS;
• controllo degli accessi ai sistemi e ai dati, limitato al personale autorizzato e nel rispetto del principio del privilegio minimo;
• procedure di backup e ripristino dei dati in caso di incidente tecnico;
• verifica e aggiornamento periodico delle misure adottate.

Le misure di sicurezza sono riesaminate e aggiornate in relazione all’evoluzione delle attività di trattamento e dello stato dell’arte tecnologico.

In caso di violazione dei dati personali che presenti un rischio per i diritti e le libertà degli interessati, il Titolare provvederà a notificare l’evento all’Autorità Garante ai sensi dell’art. 33 GDPR entro 72 ore dalla scoperta e, ove il rischio sia elevato, a comunicarlo direttamente agli interessati ai sensi dell’art. 34 GDPR.

11. Modifiche alla presente informativa

Il Titolare si riserva il diritto di aggiornare la presente informativa in qualsiasi momento, in particolare in conseguenza di modifiche normative o dell’introduzione di nuovi trattamenti. Le modifiche sostanziali saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento riportata in testa al documento. Ove le modifiche riguardino trattamenti fondati sul consenso, il Titolare provvederà a raccogliere nuovamente il consenso degli interessati ove richiesto dalla normativa applicabile.

Il Titolare conserva il Registro delle Attività di Trattamento ai sensi dell’art. 30 GDPR, disponibile per la consultazione da parte delle Autorità di controllo competenti.

This English translation is provided for convenience. In case of discrepancy, the Italian version prevails.

This notice describes how LEXIS Financial Intelligence S.r.l. (the “Controller” or “LEXIS”) processes the personal data of users who visit www.partnership-lexis.com and fill in the institutional partnership contact form on it, in accordance with Regulation (EU) 2016/679 (GDPR) and the Italian Privacy Code (Legislative Decree 196/2003, as amended by Legislative Decree 101/2018).

This notice covers only the processing carried out through the website above. Processing carried out through www.lexisfinancialintelligence.com is described in that website’s notice. Processing within the LEX-IA platform, including processing through its artificial-intelligence features, will be governed by a separate notice made available to users before they use those tools. This notice does not extend to other websites the user may visit through links on this site.

1. Data controller

LEXIS Financial Intelligence S.r.l.
Registered office: Via Cadibona 14, 20137 Milan (MI), Italy
Operational office: Via Spadolini 7, Milan, Italy
VAT / Tax code: IT14777230963
Email: info@lexisifi.com · Certified email (PEC): lexis.srl@pec.it

The Controller considers that it is not currently required to appoint a Data Protection Officer (DPO) under Article 37 GDPR, since its activity on this website does not involve regular and systematic monitoring of data subjects on a large scale or large-scale processing of special categories of data. This assessment will be updated in the event of relevant changes to the processing activities.

Notwithstanding the above, the Controller has appointed an internal contact person for data protection matters, who can be reached at the email address above.

2. Categories of data processed

2.1 Data provided by the user through the Partnership form

Through the form on this website we collect only the personal data that the user provides directly and voluntarily:

• full name, role, organisation and organisation type;
• business email address;
• country, areas of interest and message content, if provided.

The data normally relate to individuals acting on behalf of their organisation. Users are asked not to include special categories of personal data (Article 9 GDPR) or data about third parties in their message.

2.2 Browsing and technical data

During normal browsing, the website may automatically collect technical and browsing data that, in some cases, may qualify as personal data under the GDPR (for example IP addresses and session identifiers). These data are collected to ensure the technical operation of the website and the security of the infrastructure.

The website does not use profiling cookies or analytics tools. Only the language preference and the acknowledgement of the cookie notice are stored in the user’s browser, through the browser’s local storage (localStorage). These are technical tools needed to provide the requested functionality and do not require consent under the Italian Data Protection Authority’s Guidelines of 10 June 2021 (web doc. no. 9677876). Users can delete them at any time from their browser settings.

The typefaces are hosted directly on the website’s own servers, so displaying them does not transmit any data to third parties. The technical tools used are detailed in the Cookie policy.

3. Purposes and legal basis of processing

3.1 Handling partnership requests

Data collected through the Partnership form are processed to contact the user, answer the request, arrange meetings and demonstrations, and assess a possible collaboration with the user’s organisation. Processing is limited to what is strictly necessary to respond to the request.

Legal basis: steps taken at the data subject’s request prior to entering into a contract (Article 6(1)(b) GDPR) and, where the user acts on behalf of their organisation, the Controller’s legitimate interest in following up on requests for professional collaboration (Article 6(1)(f) GDPR).

Should the Controller wish to use the same data for marketing or commercial communications beyond those strictly connected with the request received, such processing will rely on a separate legal basis and the user will be informed in advance.

3.2 Compliance with legal obligations

Data may be processed where required by tax or civil law or at the request of competent authorities.

Legal basis: compliance with a legal obligation (Article 6(1)(c) GDPR).

3.3 Protection of the Controller’s rights, system security and abuse prevention

The Controller may process users’ personal data to the extent strictly necessary to protect its rights in judicial, out-of-court or administrative proceedings, to ensure the security and integrity of its IT systems and to prevent abusive or fraudulent conduct.

Legal basis: the Controller’s legitimate interest (Article 6(1)(f) GDPR), with due regard for the fundamental rights and freedoms of data subjects. Processing is limited to what is strictly necessary to pursue that interest.

The Controller has carried out a balancing test between its legitimate interest and the rights of data subjects, which concluded that such interests do not override users’ fundamental rights and freedoms, given the limited nature of the data processed, the safeguards adopted and the reasonable expectations of data subjects.

3.4 Technical and browsing data

The data described in Section 2.2 are processed on the basis of the Controller’s legitimate interest (Article 6(1)(f) GDPR) for the technical operation of the website and infrastructure security, after balancing it against the rights of data subjects.

4. Whether providing data is mandatory

Providing the data marked as required in the form (full name, role, organisation, organisation type and email address) is necessary to follow up on the request: without them, the request cannot be processed. Providing the other data (country, areas of interest, message) is optional.

5. Retention period

Data collected through the Partnership form are kept for as long as needed to handle the request and any subsequent negotiations and, if no contractual relationship is established, for no longer than 24 months from the last contact. If a contractual relationship is established, data are kept for the period required by applicable tax and civil law (normally 10 years from the end of the relationship).

Data processed on the basis of legitimate interest to protect the Controller’s rights and system security are kept only for as long as strictly necessary for that purpose.

6. Recipients of the data

Personal data are not sold or transferred to third parties for their own commercial purposes. They may be disclosed, to the extent strictly necessary, to the following parties, acting as processors under Article 28 GDPR following formal appointment, or as independent controllers where applicable:

• hosting and infrastructure providers;
• providers of the form-handling service and contact-management tools;
• email service providers;
• the Controller’s technical, tax and legal advisers, to the extent strictly necessary;
• public, judicial or administrative authorities, where required by law or by order.

7. Transfers to third countries

Some of the providers listed above may be based in, or have infrastructure, outside the European Economic Area (EEA), particularly in the United States. In such cases, transfers take place only:

• to countries for which the European Commission has adopted an adequacy decision under Article 45 GDPR; or
• on the basis of appropriate safeguards under Article 46 GDPR, in particular the Standard Contractual Clauses adopted by the European Commission; or
• on the basis of other equivalent safeguards under Articles 44 et seq. GDPR.

Data subjects may obtain information on the safeguards adopted for transfers of their data to third countries by writing to the Controller’s email address given in Section 1.

8. Automated decision-making and artificial intelligence

The data collection form on this website does not involve any solely automated decision-making or profiling within the meaning of Article 22 GDPR.

The artificial-intelligence features described for the LEX-IA platform (including LEXORA, MENTOR AI and Mirror) will, once the platform is released, operate under a dedicated notice made available to registered users before they use those tools. That notice will describe, where applicable, the logic of the automated systems, any significant effects on data subjects and the safeguards adopted, including the right to human intervention.

9. Data subject rights

As a data subject, the user has the right at any time to:

• access their personal data (Article 15 GDPR);
• have inaccurate or incomplete data corrected (Article 16 GDPR);
• have their data erased, within the limits set by law (Article 17 GDPR);
• obtain restriction of processing (Article 18 GDPR);
• receive their data in a structured, machine-readable format (data portability, Article 20 GDPR);
• object to processing on grounds relating to their particular situation, or at any time where processing is for direct marketing (Article 21 GDPR);
• withdraw any consent given at any time, without affecting the lawfulness of processing carried out before withdrawal;
• lodge a complaint with the Italian Data Protection Authority (www.garanteprivacy.it) if they believe the processing infringes applicable law.

To object to processing based on legitimate interest, the data subject must state the specific grounds relating to their particular situation. The Controller will assess the request and stop processing unless there are compelling legitimate grounds that override the data subject’s interests, rights and freedoms, or for the establishment, exercise or defence of legal claims.

To exercise any of these rights, simply write to info@lexisifi.com. The Controller will reply within one month of receiving the request, extendable in particularly complex cases within the limits and in the manner set out in Article 12 GDPR, informing the data subject within the same period.

10. Security measures

The Controller adopts appropriate technical and organisational measures to ensure a level of security appropriate to the risk, in accordance with Article 32 GDPR. These include, by way of example:

• encryption of communications via HTTPS/TLS;
• access control to systems and data, limited to authorised personnel on a least-privilege basis;
• backup and recovery procedures in case of technical incidents;
• periodic review and updating of the measures adopted.

Security measures are reviewed and updated as processing activities and the state of the art evolve.

In the event of a personal data breach that poses a risk to the rights and freedoms of data subjects, the Controller will notify the Italian Data Protection Authority under Article 33 GDPR within 72 hours of becoming aware of it and, where the risk is high, will inform the data subjects directly under Article 34 GDPR.

11. Changes to this notice

The Controller may update this notice at any time, in particular following changes in the law or the introduction of new processing. Substantial changes will be published on this page, with the date of the last update shown at the top of the document. Where changes concern processing based on consent, the Controller will collect consent again where required by applicable law.

The Controller keeps a Record of Processing Activities under Article 30 GDPR, available for inspection by the competent supervisory authorities.