Informativa privacy

Ultimo aggiornamento: 29 ottobre 2026

Questa informativa (art. 13 del Regolamento UE 2016/679, GDPR) spiega come trattiamo i dati di chi visita okeh.app e di chi si iscrive a Okeh. Per chi apre o firma un documento ricevuto da un nostro Abbonato c'è una nota dedicata: informazioni per chi apre e firma.

1. Titolare e contatti

Titolare del trattamento è Davide Conte, ditta individuale, partita IVA 05388160755, Via Dante Alighieri 51, 73040 Melissano (LE), Italia. Per qualsiasi domanda sui dati scrivi a me@davideconte.me.

Non è stato nominato un responsabile della protezione dei dati (DPO): per questo servizio non è obbligatorio.

2. A chi si rivolge

A chi visita il sito okeh.app.
Agli Abbonati, cioè professionisti e imprese che usano Okeh, e alle persone che usano l'account per conto loro (titolare, colleghi aggiunti come amministratori, referenti per la fatturazione).

3. Dati, finalità e basi giuridiche

3.1 Visita del sito

Dati: indirizzo IP e dati tecnici della richiesta (browser, pagina richiesta), che ogni sito riceve per funzionare. Non teniamo un registro delle pagine visitate. Il server web può registrare gli errori insieme all'indirizzo IP.
Finalità: mostrare il sito e proteggerlo da abusi e attacchi.
Base giuridica: legittimo interesse a far funzionare il sito in sicurezza (art. 6.1.f).
Conservazione: registri di errore fino a 30 giorni.
Cookie: cookie tecnici e, solo con il tuo consenso, il pixel di Meta (punto 3.12). Dettagli nella cookie policy.

3.2 Demo

Nella demo l'email che inserisci resta in un cookie tecnico nel tuo browser per un'ora: non la salviamo e non ti mandiamo email. L'indirizzo IP serve solo a limitare le prove ripetute e resta nella memoria del server per 10 minuti. Base giuridica: legittimo interesse a offrire una prova del servizio senza abusi (art. 6.1.f).

3.3 Iscrizione e account

Dati: nome dell'attività, email, password (salvata solo come impronta crittografica), indirizzo scelto (nome.okeh.app), prova dell'accettazione dei termini (versione dei testi, data e ora, approvazione specifica delle clausole, dichiarazione di agire per la tua attività, impronta dell'indirizzo IP da cui ti iscrivi), origine dell'iscrizione (campagna e annuncio dai parametri utm del link, prima pagina vista, nome del sito di provenienza). Poi le impostazioni che inserisci: marchio e loghi, testo legale per le email, dominio proprio, casella email (SMTP) con le sue credenziali, email e password degli altri amministratori.
Finalità: verificare l'email con un codice, creare e gestire l'account.
Base giuridica: misure precontrattuali ed esecuzione del contratto (art. 6.1.b); per l'origine dell'iscrizione, legittimo interesse a sapere quali canali portano iscritti (art. 6.1.f), senza invio a terzi.
Conservazione: le richieste di iscrizione si cancellano dopo 30 giorni, completate o no (i dati che servono passano sull'account). Dati dell'account per tutta la durata dell'account (anche sul piano Gratis) e per 12 mesi dopo la richiesta di cancellazione o la sospensione, poi cancellati in automatico. Restano solo i dati di fatturazione e la prova dell'accettazione dei termini, per 10 anni dalla fine del contratto.

3.4 Approvazione degli account e prevenzione degli abusi

Cosa facciamo: ogni iscrizione viene controllata a mano prima dell'attivazione. Guardiamo nome, indirizzo scelto ed email; possiamo cercare informazioni pubbliche sull'attività (sito, partita IVA) e chiederti chiarimenti. Nessuna decisione è presa in modo automatico. Le richieste ripetute al sito (iscrizione, accesso) sono limitate con un contatore basato sull'impronta dell'IP o dell'email.
Base giuridica: legittimo interesse a impedire che il servizio venga usato per pagine truffa, phishing o spam (art. 6.1.f).
Conservazione: esito della verifica con l'account; contatori 2 giorni.

3.5 Accesso al pannello

Dati: cookie di sessione; link di accesso via email e link per reimpostare la password, salvati solo come impronta insieme all'impronta dell'IP che li ha chiesti. I link valgono una volta sola, per 15 minuti (accesso) o un'ora (password).
Base giuridica: contratto (art. 6.1.b) e legittimo interesse alla sicurezza (art. 6.1.f).
Conservazione: finché esiste l'utente.

3.6 Fatturazione e pagamenti

Dati: ragione sociale, partita IVA, codice fiscale, indirizzo, codice destinatario o PEC; piano, importi, date ed esito dei pagamenti. I dati della carta li inserisci direttamente su Stripe: noi non li vediamo e non li conserviamo.
Finalità: incassare l'abbonamento, emettere la fattura elettronica, tenere la contabilità.
Base giuridica: contratto (art. 6.1.b) e obblighi di legge fiscali e contabili (art. 6.1.c).
Conservazione: 10 anni (art. 2220 del Codice civile e norme fiscali), anche dopo la cancellazione dell'account.

3.7 Email di servizio

Cosa ricevi: codice di iscrizione, benvenuto, promemoria durante i 14 giorni di prova (per esempio se non hai ancora mandato un documento, o quando la prova sta per finire), fine della prova e passaggio al piano Gratis, pagamenti non riusciti, avvisi di apertura e di firma dei tuoi documenti, modifiche ai termini. Gli avvisi di apertura si spengono dalle Impostazioni.
Base giuridica: contratto (art. 6.1.b).
Non mandiamo newsletter né pubblicità. Se lo faremo, sarà solo nei limiti dell'art. 130 del Codice privacy e con la possibilità di opporti in ogni email.

3.8 Funzioni AI

Quando: solo con i piani Base e Pro e in prova, quando chiedi all'AI di scrivere, modificare o rivedere un documento o di preparare la memoria dello studio. Le uniche operazioni che partono da sole sono legate a una che hai chiesto o che si spengono dalle Impostazioni: la revisione automatica alla fine di una bozza scritta con l'AI e la memoria che impara da un documento firmato.
Revisione dei preventivi: il contenuto del documento va a Google (Gemini) solo quando chiedi la revisione, oppure con la revisione automatica alla fine di una bozza scritta con l'AI, che è già un'operazione AI. Per confrontare i prezzi con il mercato la ricerca web riceve solo descrizioni generiche delle voci (per esempio "sito vetrina 5 pagine"), da cui togliamo nomi del cliente e del fornitore, email, link, numeri di telefono e partite IVA. Le ricerche fatte restano salvate nella revisione, che vedi nel pannello.
Cosa inviamo: a Google (Gemini API) il brief, le istruzioni, la memoria, il nome del marchio e il testo dei documenti che scegli come riferimento o da modificare. Non inviamo visite, firme né indirizzi IP.
Base giuridica: contratto (art. 6.1.b). Google tratta i dati come nostro fornitore e, sul servizio a pagamento che usiamo, non li usa per addestrare i modelli; li tiene per un periodo limitato solo per controllare gli abusi.
Conservazione: la cronologia delle richieste resta nel pannello durante l'abbonamento e si cancella insieme ai documenti, 30 giorni dopo la richiesta di cancellazione dell'account o la sospensione.

3.9 Assistenza

Se ci scrivi trattiamo i dati che ci mandi per risponderti (art. 6.1.b o, se non sei ancora Abbonato, art. 6.1.f). Conserviamo la corrispondenza fino a 24 mesi dalla chiusura della richiesta.

3.10 Difesa dei diritti

In caso di contestazioni possiamo usare i dati necessari per far valere o difendere un diritto, anche in giudizio (art. 6.1.f), per il tempo necessario a chiudere la questione.

3.11 Lista d'attesa per chi è fuori dall'Italia

Dati: email, Paese, mestiere, lingua della pagina e data di iscrizione alla lista. Le richieste ripetute sono limitate con un contatore basato sull'impronta dell'IP (2 giorni).
Finalità: scriverti quando Okeh apre nel tuo Paese. Quando qualcuno si iscrive alla lista, Davide Conte riceve un avviso via email con gli stessi dati.
Base giuridica: consenso (art. 6.1.a), che puoi revocare in qualsiasi momento.
Conservazione: fino all'apertura nel tuo Paese e comunque non oltre 24 mesi dall'iscrizione alla lista, poi i dati si cancellano in automatico. Per uscire prima scrivi a me@davideconte.me: cancelliamo l'iscrizione entro pochi giorni.

3.12 Misura delle pubblicità su Meta (solo con consenso)

Dati: sul sito okeh.app il pixel di Meta registra pagine visitate e azioni (visita di prezzi, demo e modelli, invio del modulo di iscrizione, conferma dell'email) con i cookie _fbp e _fbc, l'indirizzo IP e il tipo di browser. Per invio del modulo, conferma dell'email e attivazione della prova mandiamo l'evento anche dal nostro server (Conversions API), con email e identificativo dell'account solo come impronta SHA-256, e salviamo con l'iscrizione l'identificativo del clic sull'annuncio (fbclid).
Finalità: sapere quante iscrizioni portano le nostre pubblicità su Facebook e Instagram e mostrarle a persone simili a chi si è iscritto.
Base giuridica: consenso (art. 6.1.a GDPR e art. 122 del Codice privacy), dato con il banner e revocabile in ogni momento da "Preferenze cookie" nel piè di pagina. Senza consenso il pixel non si carica e dal server non parte nessun evento.
Ruoli: per raccolta e invio siamo contitolari con Meta Platforms Ireland Ltd. (art. 26 GDPR, accordo di contitolarità di Meta); per i trattamenti successivi Meta è titolare autonomo con la sua informativa.
Conservazione: la scelta sui cookie 6 mesi; _fbp e _fbc 90 giorni; l'identificativo del clic e i cookie di Meta copiati sull'account si cancellano dopo l'invio dell'attivazione della prova, e comunque con la richiesta d'iscrizione dopo 30 giorni se l'account non viene attivato.

4. Dati obbligatori

I dati di iscrizione sono necessari per creare l'account; quelli di fatturazione per pagare e ricevere la fattura. Senza, non possiamo fornire il servizio.

5. A chi comunichiamo i dati

Solo a chi ci serve per fornire il servizio e, se lo accetti, a Meta per misurare le nostre pubblicità. Non vendiamo dati. I dati dei clienti degli Abbonati non vanno mai a Meta.

LowHosting Services di Davide Gennari (Taglio di Po, Italia): server dove girano sito, applicazione, database, archivio dei documenti e posta in uscita, in un data center a Francoforte (Germania). Responsabile del trattamento.
Google LLC (Stati Uniti): solo per le funzioni AI, come descritto al punto 3.8. Responsabile del trattamento.
Stripe Payments Europe, Ltd. (Irlanda): pagamenti con carta, quando saranno attivi. Per i controlli antifrode e antiriciclaggio Stripe agisce come titolare autonomo, con una sua informativa.
Commercialista e servizio di fatturazione elettronica, per la contabilità; l'Agenzia delle Entrate riceve le fatture tramite il Sistema di Interscambio, per legge.
Fornitori che non vedono i tuoi dati: Cloudflare gestisce solo il DNS di okeh.app (il traffico non passa dai suoi server); Let's Encrypt rilascia i certificati HTTPS e riceve solo i nomi di dominio.
Meta Platforms Ireland Ltd. (Irlanda): solo con il tuo consenso, per la misura delle pubblicità descritta al punto 3.12. Contitolare per raccolta e invio, poi titolare autonomo.
Autorità pubbliche, solo se lo chiede la legge.

6. Trasferimenti fuori dall'UE

Server, database e archivio dei documenti sono nell'Unione europea. Possono andare fuori dall'UE solo i dati inviati a Google per le funzioni AI, quelli del pixel di Meta se lo accetti (Meta Platforms, Inc., Stati Uniti) e, quando attivi, alcuni dati di pagamento verso Stripe, Inc. (Stati Uniti). In tutti i casi il trasferimento si basa sulla decisione di adeguatezza della Commissione europea per l'EU-U.S. Data Privacy Framework (10 luglio 2023) e sulle clausole contrattuali standard. Puoi chiederci copia delle garanzie a me@davideconte.me.

7. Sicurezza

Connessioni cifrate (HTTPS), password e codici salvati solo come impronta, separazione tra account, accesso ai server solo con chiave. L'elenco completo delle misure è nell'accordo sul trattamento dei dati.

8. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti ai trattamenti basati sul legittimo interesse (artt. 15-22 GDPR), scrivendo a me@davideconte.me. Rispondiamo entro un mese. Puoi anche presentare reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma (garanteprivacy.it), o rivolgerti all'autorità giudiziaria.

9. Dati dei clienti degli Abbonati

Quando un Abbonato pubblica un documento, i suoi clienti lo aprono, lo ricevono via email o lo firmano. Per questi dati il titolare è l'Abbonato; Davide Conte è responsabile del trattamento (art. 28 GDPR) secondo l'accordo sul trattamento dei dati, che fa parte dei termini.

Indirizzo IP di chi apre: resta completo per 30 giorni, poi ne teniamo solo la parte di rete (ultimo blocco azzerato per IPv4, primi 48 bit per IPv6) e un'impronta che serve a contare i visitatori unici e a escludere gli indirizzi dell'Abbonato.
Luogo approssimativo: città, regione e Paese li ricaviamo sul nostro server da un database scaricato (DB-IP Lite “City”): l'indirizzo IP non viene mandato a nessun servizio esterno.
Aperture: il dettaglio di ogni apertura si cancella dopo 12 mesi; resta solo il numero di aperture per documento.
Fine dell'abbonamento: dopo la prova o la disdetta l'account passa al piano Gratis e i documenti restano online. Se chiedi di cancellare l'account, o se lo sospendiamo, documenti e dati dei clienti restano disponibili per 30 giorni, poi vengono cancellati in automatico, file compresi.

Chi ha ricevuto un documento trova le informazioni che lo riguardano nella pagina per chi apre e firma; per esercitare i suoi diritti si rivolge all'Abbonato che gli ha mandato il documento.

IP geolocation by DB-IP: database DB-IP Lite “City”, licenza CC BY 4.0. Altri crediti nella pagina crediti e licenze.

10. Modifiche

Se cambiamo questa informativa pubblichiamo qui la nuova versione con la data di aggiornamento. Le modifiche importanti le comunichiamo via email agli Abbonati.