Informativa sul trattamento dei dati personali

Versione 2026-10-10 · ultimo aggiornamento: 10 ottobre 2026

Questa informativa spiega quali dati personali tratta BUILDQUOTE AI, perché, per quanto tempo e con quali fornitori, secondo il Regolamento (UE) 2016/679 (GDPR) e il D.Lgs. 196/2003. L'elenco dei fornitori e i tempi di conservazione non sono scritti a mano: vengono dalla configurazione e dalle regole che il servizio applica.

1. Chi tratta i dati

Edoardo Raffaelli, P.IVA 18692901004, sede: [da completare: indirizzo della sede], Roma. Email: Edoardo@edoardoraffaelli.com. PEC: [da completare: PEC]. Per ogni domanda sui dati personali scrivi all'indirizzo email indicato.

2. Due ruoli diversi

Edoardo Raffaelli tratta i dati in due vesti diverse.

Titolare del trattamento per i dati degli account (chi crea l'azienda o viene invitato in un team), per i dati di contatto delle aziende abbonate, per la sicurezza del servizio e per la gestione del contratto.
Responsabile del trattamento (art. 28 GDPR) per i dati che le aziende abbonate inseriscono sui propri clienti: nomi, contatti, indirizzi, richieste, documenti, foto, preventivi e proposte. Per questi dati il titolare è l'azienda che li inserisce: è lei che decide perché e come usarli e che informa i propri clienti. Il rapporto è regolato da un accordo sul trattamento dei dati basato sulle clausole contrattuali tipo della Commissione europea (Decisione di esecuzione (UE) 2021/915), allegato al modulo d'ordine.

Hai ricevuto un preventivo da un'azienda che usa BUILDQUOTE AI? I tuoi dati sono trattati da quell'azienda, che ne è il titolare; Edoardo Raffaelli le fornisce lo strumento. Per esercitare i tuoi diritti rivolgiti all'azienda che ti ha inviato il preventivo: se scrivi a noi, le passiamo la richiesta.

3. Dati trattati

Come titolare

Account: nome, email, password conservata solo come impronta non reversibile, ruolo nel team, data dell'ultimo accesso, tentativi di accesso falliti, data e versione dei termini accettati.
Azienda abbonata: nome, ragione sociale, partita IVA, codice fiscale, contatti, indirizzo, sito, logo, piano e stato dell'abbonamento. Gli stessi dati servono per la fatturazione.
Richiesta di accesso: nome e cognome, email, nome dell'impresa, partita IVA, telefono, settore e l'eventuale messaggio scritti nel modulo; data della richiesta, esito e data della decisione. Servono a esaminare la richiesta; se viene approvata restano tra i dati dell'azienda. Se l'invio delle email è collegato, chi gestisce il servizio riceve la richiesta per email e chi l'ha inviata riceve la conferma e l'esito; il servizio non conserva una copia di queste email. Una richiesta inviata con un indirizzo email che ha già un account non viene registrata.
Sicurezza: data e ora di accessi e operazioni (registro attività), tipo di browser e indirizzo IP. Nel database l'indirizzo IP è conservato solo come impronta non reversibile, non in chiaro.

Come responsabile, per conto delle aziende abbonate

Clienti delle aziende: nome, azienda, email, telefono, indirizzo, note.
Progetti: indirizzo del cantiere o dell'intervento, testo della richiesta, documenti e foto caricati e il testo che il programma ne estrae.
Preventivi e proposte, con i dati del destinatario, e i messaggi inviati dal servizio per conto dell'azienda (destinatario, oggetto, testo).
Chi apre una proposta dal link ricevuto: data e ora dell'apertura e dello scaricamento del PDF, tipo di browser, impronta dell'indirizzo IP, nome scritto al momento dell'accettazione, motivo del rifiuto ed eventuali messaggi. La pagina della proposta non imposta cookie.

Il servizio non chiede dati sulla salute né altre categorie particolari di dati, e non riceve i dati delle carte né degli altri metodi di pagamento. Non usa strumenti di statistica o di tracciamento di terze parti (vedi la pagina Cookie).

4. Perché li trattiamo

Per i dati di cui Edoardo Raffaelli è titolare:

fornire il servizio, gestire account, contratto e assistenza: esecuzione del contratto (art. 6.1.b GDPR);
esaminare le richieste di accesso e rispondere a chi le invia: misure precontrattuali adottate su richiesta dell'interessato (art. 6.1.b GDPR);
registrare l'accettazione dei termini, con data e versione: esecuzione del contratto e legittimo interesse a poterla dimostrare (art. 6.1.b e 6.1.f GDPR);
fatturazione e contabilità: obbligo di legge (art. 6.1.c GDPR);
sicurezza del servizio, prevenzione degli abusi, registro attività e limiti ai tentativi di accesso: legittimo interesse (art. 6.1.f GDPR).

I dati dell'account sono necessari per usare il servizio. Edoardo Raffaelli non vende i dati, non li usa per pubblicità né per profilazione e non usa i contenuti delle aziende per addestrare modelli di intelligenza artificiale. Per i dati trattati come responsabile, finalità e base giuridica sono stabilite dall'azienda titolare.

5. Analisi automatica e intelligenza artificiale

Per impostazione predefinita l'analisi di richieste e documenti usa regole scritte nel programma e avviene sul server del servizio: nessun dato esce. L'analisi con intelligenza artificiale è facoltativa: funziona solo se un fornitore di AI è collegato al servizio e se l'azienda la attiva con una scelta esplicita.

Oggi è collegato: DeepSeek. Riceve dati solo dalle aziende che hanno attivato l'analisi con AI.

Quando è attiva, al fornitore di AI vengono inviati il testo della richiesta, il testo letto dai documenti, le descrizioni dei lavori e delle righe del preventivo e le voci del listino proposte per l'abbinamento; non partono costi, prezzi e margini calcolati dal programma. Prima dell'invio il programma sostituisce con un segnaposto email, numeri di telefono, codici fiscali, partite IVA e IBAN che riconosce, e il nome del cliente quando in anagrafica ha almeno due parole ed è scritto per intero (un nome di una sola parola non viene sostituito); non può riconoscere con certezza nomi e indirizzi scritti dentro un testo libero. Foto e documenti scansionati partono solo se l'azienda sceglie di inviarli. L'elenco completo è nel testo che l'azienda legge e accetta prima di attivare l'AI.

I risultati dell'analisi, con o senza AI, sono suggerimenti: prezzi e totali li calcola il programma dal listino dell'azienda, e quantità, lavori e invio al cliente sono decisi e approvati da una persona. Nessuna decisione che produca effetti giuridici su una persona è presa unicamente con un trattamento automatizzato (art. 22 GDPR).

6. Fornitori che trattano dati per il servizio

Questo elenco è calcolato dalla configurazione del servizio nel momento in cui apri la pagina: compaiono solo i fornitori davvero collegati.

Server dell'applicazione e database: Oracle Cloud Infrastructure, Italia (Torino). Dati: Tutti i dati del servizio: account, dati delle aziende, documenti caricati, preventivi e proposte.
Analisi con intelligenza artificiale, solo per le aziende che l'hanno attivata: DeepSeek, fuori dall'Unione europea (Repubblica Popolare Cinese). Dati: Testo delle richieste e dei documenti da analizzare, descrizioni dei lavori e delle righe dei preventivi, voci del listino proposte per l'abbinamento; prima dell'invio email, telefoni, codici fiscali, partite IVA e IBAN riconosciuti sono sostituiti da un segnaposto.

Oggi non sono collegati: invio delle email, pagamenti online, WhatsApp. Nessun dato parte verso questi servizi. Se verranno attivati compariranno in questo elenco e le aziende abbonate saranno avvisate prima, come prevede l'accordo sul trattamento dei dati.

Possono trattare dati fuori dallo Spazio economico europeo: DeepSeek. Il trasferimento avviene sulla base di clausole contrattuali tipo della Commissione europea e, dove applicabile, decisione di adeguatezza. Per sapere quale strumento vale per un fornitore, o per averne copia, scrivi a Edoardo@edoardoraffaelli.com. I dati possono inoltre essere comunicati alle autorità pubbliche quando la legge lo impone.

7. Per quanto tempo

Questi sono i tempi che il servizio applica davvero. Dove non c'è una scadenza automatica è scritto.

Dati dell'azienda: clienti, progetti, documenti, preventivi, proposte, listino, messaggi inviati, registro attività: Finché l'azienda usa il servizio. Vengono cancellati quando l'azienda viene eliminata, su richiesta del Titolare o alla fine del contratto.
Documenti che l'azienda elimina: Non sono più consultabili da subito; il file e il testo estratto vengono cancellati dal server dopo 30 giorni.
Account degli utenti: Finché la persona fa parte di almeno un'azienda. Quando un'azienda viene eliminata si eliminano anche gli account che non appartengono ad altre aziende; chi è stato tolto da un team può chiedere la cancellazione del proprio account.
Richieste di accesso: Fino alla decisione. Una richiesta approvata resta tra i dati dell'azienda e ne segue i tempi. Dove l'abbonamento si attiva online, un'azienda approvata che non lo attiva non ha una scadenza automatica: resta, con i dati della richiesta, finché il Titolare non ritira la richiesta o chi gestisce il servizio non la elimina. Se la richiesta non viene accolta o viene ritirata, l'azienda nata con la richiesta e i dati della richiesta vengono cancellati in quel momento, insieme all'account di chi l'ha inviata se non fa parte di altre aziende. Una richiesta rimasta in attesa per più di 60 giorni scade e viene cancellata allo stesso modo dalla pulizia periodica. Dopo la cancellazione nel servizio restano solo righe di registro con la data e i conteggi, senza nomi, indirizzi né testi della richiesta. Se l'invio delle email è collegato, l'email con i dati della richiesta arrivata a chi gestisce il servizio resta nella sua casella di posta, fuori dal servizio: lì non ha una scadenza automatica e viene cancellata a mano dopo la decisione.
Sessioni di accesso: L'accesso dura 30 giorni, poi serve un nuovo accesso. Sul server la traccia della sessione resta fino a 30 giorni dopo l'ultimo uso, mai oltre 90 giorni dalla creazione. Eliminata all'uscita, quando reimposti la password e alla scadenza.
Link per reimpostare la password: Valido 60 minuti e utilizzabile una volta; la sua traccia viene eliminata 7 giorni dopo l'uso o la scadenza.
Inviti nel team: Validi 7 giorni; eliminati 90 giorni dopo l'accettazione, l'annullamento o la scadenza.
Contatori contro gli abusi (tentativi di accesso, richieste ripetute): 2 giorni.
Coda delle attività tecniche (lettura dei documenti, analisi, invio delle email di sistema): contiene solo riferimenti interni: 30 giorni se concluse, 90 giorni se fallite.
Copie di sicurezza (database e file): Fino a 14 giorni sul server. Un dato cancellato sparisce dalle copie entro questo termine. Oggi non è configurata una copia esterna.
Log tecnici dei servizi: Ruotano per dimensione, non per tempo: 3 file da 10 MB per servizio, poi i più vecchi vengono sovrascritti.

I dati di fatturazione sono conservati per il tempo previsto dalle norme fiscali e contabili. Tempi e modi dell'uscita dal servizio sono descritti nella pagina Dati e portabilità.

8. Sicurezza

In produzione il servizio si usa solo su connessione cifrata (HTTPS).
Le password sono conservate come impronta non reversibile (argon2id); i codici di sessione, di invito e di recupero della password sono conservati solo come impronta.
I dati di ogni azienda sono separati da quelli delle altre: l'azienda a cui appartiene una richiesta viene verificata dal server a ogni operazione.
Ruoli e permessi limitano che cosa può fare ciascun utente; le operazioni importanti restano nel registro attività.
I tentativi di accesso sono limitati e dopo più errori di seguito l'account si blocca per un periodo.

Se una violazione dei dati riguarda dati inseriti da un'azienda abbonata, Edoardo Raffaelli la avvisa senza ingiustificato ritardo; per i dati di cui è titolare procede con le comunicazioni previste dall'art. 33 GDPR.

9. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento (artt. 15-22 GDPR) scrivendo a Edoardo@edoardoraffaelli.com: rispondiamo entro un mese. Il titolare di un'azienda abbonata può esportare tutti i dati dell'azienda ed eliminarla dalle impostazioni, come descritto in Dati e portabilità. Se sei cliente di un'azienda che usa BUILDQUOTE AI, rivolgiti a quell'azienda. Puoi sempre proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

10. Modifiche a questa informativa

Ogni modifica cambia la versione indicata in alto. Le modifiche che incidono sul rapporto con le aziende abbonate sono comunicate con il preavviso previsto dalla clausola 15 dei Termini di servizio.