INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI E DEI COOKIE
sito www.complexlab.it
Versione v.1.6 — efficace dal 22 agosto 2026
1. Ambito
Questa informativa descrive i trattamenti di dati personali effettuati da ComplexLab S.r.l. attraverso il sito `https://www.complexlab.it/` (e il corrispondente dominio .com), inclusi la navigazione, la ricerca interna, i contatti (modulo, e-mail, telefono, WhatsApp), la registrazione e l'uso dell'account («Spazio web»), le richieste di servizi e i rapporti con ComplexLab.
Documento unico. Privacy e cookie sono in questo solo testo, all'indirizzo canonico:
`https://www.complexlab.it/privacy-policy`
La sezione cookie e' il § 10, raggiungibile anche come `https://www.complexlab.it/privacy-policy#cookie`. Non esistono informative parallele. Le URL precedenti, se ancora indicizzate, reindirizzano qui:
- `https://www.complexlab.it/perche-complexlab/informativa-sulla-privacy` → `/privacy-policy`
- `https://www.complexlab.it/informativa-cookie-policy` → `/privacy-policy#cookie`
Non si applica ai trattamenti su siti o servizi autonomi raggiungibili mediante link, in particolare `legalaiagent.it`, `app.legalaiagent.it`, `engineeraiagent.it` e `umanot.com`, che hanno o devono avere informative proprie.
Il sito non offre newsletter, non tratta pagamenti con PayPal, carta o bonifico, non usa strumenti di sharing social (AddThis) e non offre un servizio di commenti pubblici. Eventuali testi o script residui su pagine vecchie sono in corso di rimozione e non costituiscono un trattamento voluto.
La registrazione o la navigazione non equivalgono a un consenso. L'informativa non e' un contratto. Ove il consenso sia la base giuridica, viene chiesto in modo specifico, libero e revocabile.
2. Titolare del trattamento e contatti
Il titolare e' ComplexLab S.r.l., societa' a responsabilita' limitata con socio unico, P. IVA / C.F. 08649020966, REA MI-2040713, sede legale in Via Savona 57, 20144 Milano, Italia.
Il titolare e' la societa'. Il legale rappresentante non e', per il solo fatto della carica, «responsabile del trattamento» ne' «responsabile della protezione dei dati». Un DPO/RPD e' indicato solo se formalmente designato; non e' designato.
Contatti privacy
- e-mail: [nicola.antonucci@complexlab.it](mailto:nicola.antonucci@complexlab.it)
- e-mail di redazione: [redazione@complexlab.it](mailto:redazione@complexlab.it)
- PEC: [complexlabsrl@legalmail.it](mailto:complexlabsrl@legalmail.it)
- posta: ComplexLab S.r.l., Via Savona 57, 20144 Milano
- recapito telefonico / WhatsApp indicato sul sito: 348 8558073
Le richieste GDPR sono prese in carico da nicola.antonucci@complexlab.it.
3. Categorie di dati trattati
- dati tecnici di navigazione e sicurezza: indirizzo IP, data e ora, risorsa richiesta, URL di provenienza, esito, identificativi tecnici, browser o dispositivo, log del server Apache/Zope;
- dati dei moduli e delle comunicazioni: nome, cognome, e-mail, telefono, oggetto e contenuto del messaggio; se sceglie WhatsApp o SMS, il numero e il testo inviati;
- dati di registrazione e account: username, e-mail, credenziali in forma protetta, cookie di sessione `__ac`, stato dell'account; CAPTCHA jQuery Real Person (prima parte);
- dati di rapporto professionale eventualmente scambiati via e-mail o in consulenza (non tramite checkout sul sito);
- informazioni lette o scritte tramite cookie e strumenti analoghi (sezione 10).
Non chiediamo, e invitiamo a non inserire, categorie particolari di dati (art. 9 GDPR), dati giudiziari, dati di minori, dati di terzi senza base giuridica, ne' segreti professionali o aziendali.
4. Finalita', basi giuridiche e conservazione
|
Finalita' |
Base giuridica |
Dati |
Conservazione |
|
Erogazione del sito Plone/Zope, ricerca interna, diagnosi, sicurezza e difesa |
Art. 6, par. 1, lett. f) GDPR; lett. c) se imposta dalla legge |
Log e dati tecnici |
12 mesi, salvo accertamento di illeciti |
|
Contatti, consulenza (anche su AI-Agent / AI-Alter Ego) e misure precontrattuali |
Lett. b) se la richiesta e' dell'interessato in vista di un contratto; lett. f) per referenti di societa', enti o studi e per la corrispondenza |
Modulo Contatti, e-mail, telefono, WhatsApp/SMS |
24 mesi dalla chiusura della richiesta, salvo diverso obbligo |
|
Registrazione, account e Spazio web |
Lett. b) per le funzionalita' richieste; lett. f) per sicurezza e abusi; lett. c) per obblighi di legge |
Username, e-mail, credenziali, sessione |
Durata dell'account e 12 mesi dopo la chiusura, salvo obblighi di legge |
|
Rapporti professionali e fatturazione, **fuori dal checkout del sito** |
Lett. b), c) e f) |
Dati identificativi, fiscali, servizio |
10 anni per fatture e scritture |
|
Cookie e strumenti **tecnici** (sessione, sicurezza, memorizzazione della scelta, CAPTCHA di prima parte, font self-hosted) |
Art. 122 Codice |
Identificatori tecnici |
Vedi sezione 10 |
|
GA4 e Google Fonts remoti in **Regime A** |
Consenso, art. 122 Codice e art. 6, par. 1, lett. a) GDPR, **prima** dell'attivazione |
Identificatori e dati di utilizzo / richiesta font |
Vedi sezione 10 |
|
GA4 e Google Fonts in **Regime B** (solo se le condizioni del § 10.4 sono attuate e documentate) |
Art. 122 Codice (assimilazione ai tecnici / funzione strettamente necessaria) |
Dati minimizzati secondo il § 10.4 |
Vedi sezione 10 |
|
Contestazioni, autorita' e abusi |
Lett. c) e f) |
Dati pertinenti |
Durata del procedimento e termini prescrizionali |
Non figurano finalita' di newsletter, marketing automatizzato via Mailchimp/Brevo, sharing AddThis, commenti pubblici o pagamento online sul sito.
Il legittimo interesse, dove indicato, e' quello di ComplexLab S.r.l. a erogare e rendere sicuro il sito, a gestire la corrispondenza e a tutelare i propri diritti. E' sempre possibile opporsi scrivendo ai contatti del § 2.
5. Navigazione, sicurezza e ricerca interna
Il sito e' erogato con CMS Plone su Zope (ZServer) e reverse proxy Apache, sul droplet DigitalOcean WIN_Ser, region AMS3 (Amsterdam, Paesi Bassi), nel SEE. Indirizzo IP pubblico: `188.166.40.245`. I log del server restano su questa infrastruttura europea.
La ricerca interna tratta i termini immessi e i dati tecnici della richiesta. Non inserire nel campo di ricerca dati personali non necessari.
6. Contatti e richieste precontrattuali
- modulo su `https://www.complexlab.it/contattaci` (nome, cognome, e-mail, telefono, oggetto — inclusa la consulenza su AI-Agent / AI-Alter Ego — messaggio);
- e-mail `redazione@complexlab.it`;
- SMS o WhatsApp al 348 8558073, con il testo indicato in pagina.
Finalita': rispondere, organizzare un contatto o una consulenza, adottare misure precontrattuali.
7. Registrazione, account e Spazio web
La pagina `https://www.complexlab.it/registrazione` consente di creare uno Spazio web personalizzato. Campi: username, e-mail, CAPTCHA jQuery Real Person (senza reCAPTCHA Google). Il login usa username, password e cookie tecnico Plone `__ac`.
Finalita': creare e amministrare l'account, autenticare, fornire lo Spazio web, prevenire abusi, assistenza e sicurezza. In registrazione va aggiunto il link a questa informativa.
8. Servizi non offerti (o in dismissione)
Newsletter. Il servizio di newsletter e' stato eliminato. Non si usano Mailchimp, Brevo/Sendinblue, VoxMail ne' analoghe piattaforme di mailing. Eventuali record DNS (`include:spf.sendinblue.com`, `sendinblue-code`) e pagine `/ricevi-la-newsletter` sono residui da rimuovere.
Pagamenti sul sito. `www.complexlab.it` non raccoglie pagamenti con PayPal, carta o bonifico. Non c'e' un checkout attivo da descrivere in questa informativa. I rapporti economici, se ci sono, si gestiscono fuori da queste pagine (e-mail / contratto). I pagamenti di LegalAIAgent, se esistenti, restano sull'informativa di quel servizio.
Sharing social. AddThis e' dismesso e va rimosso dal codice (ancora presente su diverse pagine).
Commenti. I form di commento ancora visibili su alcune pagine saranno disattivati. Non costituiscono un servizio offerto. Non pubblicare dati di terzi su eventuali form residui.
9. Intelligenza artificiale e link esterni
Le pagine presentano servizi di AI-Agent / AI-Alter Ego e raccolgono richieste di consulenza tramite Contatti. Nel sito non e' prevista una funzione che riceva prompt o generi output AI. L'uso di LegalAIAgent o di altri agenti avviene su domini distinti.
Aprendo un collegamento esterno (YouTube, LinkedIn, `legalaiagent.it`, ecc.) si applica l'informativa del destinatario. Gli iframe YouTube (`youtube.com/embed/...`) sulle pagine articolo caricano cookie di terzi: restano in Regime A (blocco fino al consenso, o `youtube-nocookie.com` dopo la scelta).
Per i trattamenti di questa informativa ComplexLab non adotta decisioni basate unicamente su trattamenti automatizzati con effetti giuridici o analogamente significativi (art. 22 GDPR).
10. Cookie e altri strumenti di tracciamento
<a id="cookie"></a>
10.1 Regola generale
Art. 122 Codice Privacy e Linee guida Garante 10 giugno 2021 (doc. web 9677876).
La prosecuzione della navigazione, lo scroll o la chiusura del banner non costituiscono consenso. Il legittimo interesse non e' una base per cookie o tracciatori non tecnici.
By default, al primo accesso non viene posizionato alcun cookie o strumento diverso da quelli tecnici.
10.2 Classificazione
|
Codice |
Categoria |
Consenso |
|
T |
Tecnici: sessione, autenticazione, sicurezza, memorizzazione della scelta, CAPTCHA di prima parte, font erogati dal dominio ComplexLab |
No |
|
A-tech |
Analytics **assimilati ai tecnici** (Regime B, § 10.4) |
No, solo se tutte le condizioni del § 10.4 sono attuate e documentate |
|
A |
Analytics di terzi non assimilati, incluso GA4 ordinario; embed YouTube |
**Si'**, blocco preventivo |
|
F-tech |
Font self-hosted sul dominio ComplexLab |
No |
|
F |
Font da Google, in assenza di F-tech |
**Si'**, blocco preventivo |
|
P |
Profilazione / sharing di terzi (AddThis) |
**Si'**. In dismissione: da rimuovere, non da «regolarizzare» |
10.3 Inventario (21 agosto 2026, con destinazione)
|
Nome / strumento |
Fornitore |
Codice |
Destinazione |
|
`cookie-alert` |
ComplexLab / script MediaTria sul sito |
T |
Cookie CMP di sola scelta (accetto / rifiuto), non «navigazione = consenso» |
|
`__ac` |
ComplexLab / Plone |
T |
Resta (login) |
|
CAPTCHA Real Person (`rp`) |
ComplexLab |
T |
Resta |
|
GA4 `G-MKBLWXY7KE` via `gtag.js` |
|
A oppure A-tech |
**Regime A** finche' il § 10.4 non e' documentato. Lo snippet attuale non ha `anonymize_ip` ne' Consent Mode: **non** e' Regime B |
|
Google Fonts `fonts.googleapis.com` (Montserrat, Lato, Roboto Slab) |
|
F oppure F-tech |
**Regime A**, oppure self-hosting (F-tech) |
|
Iframe YouTube embed |
Google / YouTube |
A / P |
Blocco fino al consenso, o `youtube-nocookie` dopo scelta |
|
AddThis (`s7.addthis.com`, pubid `ra-53e1d3e41fdb31ba` e `ra-552f91fa389479f4`) |
AddThis / Oracle |
P |
DISMESSO |
|
Link Facebook / LinkedIn / YouTube |
— |
— |
Solo link: ok, non sono pixel |
|
html5shiv `oss.maxcdn.com` |
MaxCDN |
T |
Tecnico per IE obsoleti; valutabile la rimozione |
|
Webchat `92.223.168.114` |
— |
— |
Gia' commentato: lasciato rimosso |
|
Mailchimp / Brevo / VoxMail |
— |
— |
**Non in uso.** Rimuovere DNS e testi di policy vecchi |
10.4 Regime A e Regime B per GA4 e Google Fonts
ComplexLab puo' usare sia Google Analytics 4 sia Google Fonts. In mancanza di documentazione del Regime B, si applica il Regime A.
Regime A (default). Fino a quando il Regime B non e' tutto attuato e annotato nel registro:
- `gtag.js` / `G-MKBLWXY7KE` non viene eseguito;
- la richiesta a `fonts.googleapis.com` / `fonts.gstatic.com` non viene effettuata;
- l'attivazione avviene solo dopo consenso libero, specifico, informato, inequivocabile e documentabile, con rifiuto altrettanto agevole;
- revoca da «Rivedi le tue scelte sui cookie».
Regime B — GA4 assimilato ai tecnici (Garante 10 giugno 2021, § 7.2), tutte vere insieme:
- statistiche aggregate sul solo `www.complexlab.it`;
- mascheramento almeno della quarta componente IP (e equivalente IPv6);
- niente *single out* / identificativo univoco;
- Google non combina i dati con altre elaborazioni e non li trasmette a ulteriori terzi;
- disattivati Signals, Ads, funzioni pubblicitarie, User-ID cross-device;
- niente decisioni commerciali individuali;
- trasferimenti extra-SEE con art. 45 o 46 GDPR (DPF e/o SCC). L'art. 122 non fa venire meno il Capo V;
- evidenza agli atti (account GA4, DPA, registro).
Se manca anche una sola condizione: Regime A.
Regime B — Google Fonts come funzione strettamente necessaria (art. 122): i file sono self-hosted sul dominio ComplexLab (o configurazione equivalente documentata, senza accesso di terzi al terminale). Il caricamento da `fonts.googleapis.com` senza queste condizioni non e' una funzione tecnica necessaria.
10.5 Banner
Al primo accesso (e di nuovo se cambiano le terze parti, si cancellano i cookie, o passano almeno sei mesi): X = solo tecnici; Accetta tutti; Rifiuta i non necessari / preferenze; in Regime A non parte GA4 ne' Fonts Google ne' YouTube embed. Il link «Informativa cookie» del banner punta a `https://www.complexlab.it/privacy-policy#cookie`, non a una pagina separata.
11. Destinatari
- personale autorizzato di ComplexLab;
- DigitalOcean, LLC, hosting VPS droplet WIN_Ser in AMS3 (Amsterdam, Paesi Bassi), SEE, art. 28, server e backup di macchina;
- Google per GA4 e Fonts remoti, secondo il regime del § 10.4, e Google Workspace per la posta del dominio (MX);
- WhatsApp (Meta), solo se l'interessato sceglie quel canale;
- Manutentori Plone, per lo script cookie di prima parte e il CMS;
- Aruba.it (oppure Register.it / Widhost), DNS;
- consulenti amministrativi, fiscali, legali;
- autorita' pubbliche se imposto dalla legge.
Non vendiamo dati. Non sono destinatari di questo sito: Mailchimp, Brevo/Sendinblue, VoxMail, PayPal, Stripe, AddThis (dismesso), OpenAI.
12. Trasferimenti extra-SEE
L'hosting DigitalOcean (droplet WIN_Ser, AMS3, Amsterdam) e' nel SEE: non e' un trasferimento extra-SEE.
Google (GA4, Fonts remoti, Workspace) e, se scelto dall'utente, WhatsApp possono comportare accessi extra-SEE, in particolare verso gli Stati Uniti, con strumento degli artt. 45 o 46 GDPR. Copia delle garanzie: contatti del § 2. Anche in Regime B, se i dati GA4 o delle richieste font escono dal SEE, il Capo V resta applicabile.
13. Diritti
Accesso, rettifica, cancellazione, limitazione, portabilita', opposizione, revoca del consenso.
Richieste: nicola.antonucci@complexlab.it o PEC `complexlabsrl@legalmail.it`. Risposta di regola entro un mese (art. 12 GDPR).
Reclamo: Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, [www.garanteprivacy.it](https://www.garanteprivacy.it).
14. Minori, sicurezza, modifiche
Il sito e i servizi professionali non sono destinati a minori di 18 anni.
Misure: HTTPS, account riservato, VPS europea, backup presso l'hoster. Le credenziali sono sotto la custodia dell'utente.
Data e versione in testa. Passaggio A↔B, nuovi trasferimenti o nuovi tracciatori: avviso adeguato. L'uso successivo del sito non vale da solo come consenso.
