Versione 1.3 del 27/09/2026 · Scarica questo testo
Informativa sul trattamento dei dati personali
Sito e Portale www.sapiusportal.it · Sapius · Operion · Operion touch · Operion Client · Scatola di teleassistenza
Versione 1.3 del 27/09/2026, approvata da JIT Engineering S.r.l.s., in vigore dalla pubblicazione sul sito. Resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del d.lgs. 196/2003 («Codice privacy»).
1. Chi tratta i dati
Il titolare del trattamento è JIT Engineering S.r.l.s., Via Alessandro Rossi 151, 36100 Vicenza (VI), C.F. e P.IVA 05065430232, REA VI-411532. Contatti: info@jitengineering.net · +39 0444 1568248 · PEC jitengineering@legalmail.it. Il modulo «Informazioni» del sito scrive a support@sapiusportal.it, casella dello stesso titolare.
Il titolare non ha designato un responsabile della protezione dei dati (RPD). Per ogni domanda sui dati personali si scrive a info@jitengineering.net con l'oggetto «PRIVACY».
2. In breve
- Vendiamo solo ad aziende e professionisti. Trattiamo i dati delle persone che usano il Portale per loro conto, dei tecnici che usano l'assistenza remota e di chi ci scrive.
- I tuoi progetti restano sul tuo PC. Progetti, programmi PLC, conversazioni di Sapius, dati dell'impianto e registri di Operion non arrivano ai nostri server.
- Il modello AI è tuo. Sapius lavora con il tuo abbonamento ChatGPT (o con la tua chiave di un altro fornitore di modelli): quello che Sapius manda al modello va dal tuo PC a quel fornitore, sotto il tuo contratto con lui, e non passa da noi.
- Non usiamo strumenti di statistica, pubblicità o profilazione, né cookie di terzi.
- Non vendiamo i dati e non li cediamo per il marketing di altri.
3. Quali dati trattiamo, perché, su quale base e per quanto tempo
| Dati | Da dove arrivano | Perché | Base giuridica | Per quanto tempo |
|---|---|---|---|---|
| Conto: nome, indirizzo email, password (conservata solo come impronta crittografica, mai in chiaro), ruolo, data di iscrizione e di conferma dell'email | da te, all'iscrizione | creare e gestire il conto, darti accesso all'area riservata | contratto e misure precontrattuali (art. 6.1.b) | finché il conto è attivo o esiste una licenza perpetua collegata; poi 24 mesi dalla chiusura chiesta da te, salvo i dati che servono alle licenze e alle fatture (righe sotto) |
| Dati di fatturazione: ragione sociale, partita IVA o codice fiscale, sede, codice destinatario o PEC; esito della verifica della partita IVA, con la data: per l'Italia il controllo della cifra di controllo, per gli altri Stati dell'Unione la risposta del sistema VIES della Commissione europea (valida, non valida, o nessuna risposta e nuovo tentativo) | da te; dal sistema VIES e, se serve, dall'Agenzia delle Entrate | fatturare, applicare correttamente l'IVA (anche l'inversione contabile), vendere solo a professionisti | obbligo di legge (art. 6.1.c) e contratto (art. 6.1.b) | 10 anni (art. 2220 c.c. e norme fiscali) |
| Ordini e fatture, identificativi dei pagamenti Stripe, esito del pagamento, rinnovi automatici e disdette degli abbonamenti, rimborsi | da te e da Stripe | incassare, emettere le fatture, gestire rinnovi, disdette, rimborsi e contestazioni | obbligo di legge e contratto | 10 anni |
| Prova dell'accettazione delle condizioni: versione e impronta del testo delle condizioni e dell'informativa, elenco e impronta delle clausole approvate una per una, partita IVA dichiarata, data e ora delle caselle e del codice, conto, email, indirizzo IP e programma di navigazione (user agent), codice monouso usato (solo in forma di impronta), numero di tentativi | dal Portale, quando accetti le condizioni e confermi con il codice; per gli ordini su offerta, dall'offerta firmata | provare l'accettazione e l'approvazione specifica delle clausole | legittimo interesse a difendere i propri diritti (art. 6.1.f) e obblighi di legge | 10 anni dalla fine del contratto |
| Licenze e attivazioni: codice macchina, nome del computer indicato al momento dell'attivazione, prodotto, edizione e moduli, date di emissione, attivazione, spostamento, annullamento e revoca | dal Portale e dai programmi | emettere e verificare le licenze, permettere gli spostamenti, impedire l'uso su più postazioni di quelle pagate | contratto (art. 6.1.b); legittimo interesse a prevenire abusi (art. 6.1.f) | per le licenze perpetue, finché la licenza esiste e per i 10 anni successivi alla sua revoca o alla chiusura del conto; per le altre, 10 anni dalla scadenza |
| Prova gratuita di Sapius: conto, codice macchina, date di inizio e fine, impronta del progetto legato alla prova (non il nome e non il contenuto), ora firmata richiesta dal programma con un numero casuale | dal Portale e da Sapius | emettere la prova e farla valere una per conto e una per PC | contratto (art. 6.1.b); legittimo interesse a prevenire abusi della prova (art. 6.1.f) | 36 mesi dalla richiesta |
| Registro degli scaricamenti dall'area riservata: conto ed email, file, data e ora, esito (consegnato, interrotto, negato). Non contiene l'indirizzo IP né il contenuto | dal Portale | sapere a chi è stato consegnato quale programma o libreria, verificare i diritti, gestire problemi | contratto; legittimo interesse alla sicurezza (art. 6.1.f) | 24 mesi |
| Assistenza remota — dati del ponte: data e ora, nome della postazione o della scatola e suo identificativo, conto (email) del tecnico, indirizzi IP dei due lati, esito dei tentativi, durata, quantità di dati e numero di messaggi, motivo di chiusura. Mai il contenuto delle sessioni, che è cifrato da capo a capo e che non possiamo leggere, mai i bersagli e mai i codici | dal ponte sul Portale | far funzionare il ponte, limitare gli abusi e gli attacchi, ricostruire che cosa è successo in caso di contestazione o incidente; dare al cliente, se lo chiede, la copia del registro delle sessioni sui suoi impianti (art. 17.10 delle condizioni generali) | contratto; legittimo interesse alla sicurezza del servizio e degli impianti dei clienti (art. 6.1.f) | 12 mesi |
| Dati tecnici di navigazione e di sicurezza: indirizzo IP, data e ora, pagina o risorsa richiesta, esito, tipo di browser; conteggi temporanei per limitare le richieste | dal server, a ogni visita e a ogni contatto dei programmi con il Portale (accesso, licenze, controllo degli aggiornamenti) | far funzionare il sito, proteggerlo da abusi e attacchi, diagnosticare guasti | legittimo interesse alla sicurezza e al funzionamento (art. 6.1.f) | i conteggi dei limitatori restano solo in memoria; i registri del server fino a 90 giorni, salvo quando servono per un incidente o una contestazione |
| Email e richieste di supporto, anche con il modulo «Informazioni» del sito (che apre il tuo programma di posta e ci scrive dal tuo indirizzo), e i dati che ci dai: nome, azienda, email, telefono, messaggio | da te | rispondere, dare supporto, preparare un'offerta | misure precontrattuali e contratto (art. 6.1.b) | 24 mesi dall'ultima risposta; la corrispondenza legata a un contratto 10 anni (art. 2220 c.c.) |
| Email di servizio: conferma dell'indirizzo, codice monouso per l'accettazione delle condizioni e conferma dell'accettazione, avviso 30 giorni prima del rinnovo automatico di un abbonamento annuale, scadenze, fatture, avvisi di sicurezza, modifiche delle condizioni; il registro degli avvisi di rinnovo mandati | dal Portale | eseguire il contratto e rispettare gli obblighi di sicurezza sui prodotti (Reg. UE 2024/2847) | contratto e obbligo di legge | come il conto; il registro degli avvisi di rinnovo 10 anni, con gli ordini |
| Email commerciali su prodotti e servizi analoghi a quelli acquistati | dal tuo acquisto | informarti su aggiornamenti, nuovi prodotti e offerte | art. 130, comma 4, Codice privacy: solo ai clienti che hanno acquistato e che, al momento della vendita (nell'offerta o nella pagina d'acquisto), sono stati informati e hanno potuto rifiutare; diritto di opporsi in ogni messaggio. Chi ha fatto solo la prova gratuita non rientra qui: riceve email commerciali solo con il consenso (riga «Newsletter») | finché non ti opponi |
| Contatti commerciali: ragione sociale, recapiti generici e, se ce li dai, nome e ruolo della persona; esito delle telefonate; consenso o opposizione | elenchi pubblici di partner dei costruttori (la fonte precisa te la diciamo al primo contatto), elenchi telefonici pubblici di abbonati, Registro delle imprese per l'indirizzo della sede, fiere, webinar, telefonate | proporti i prodotti; rispettare la tua opposizione | legittimo interesse (art. 6.1.f) per il primo contatto non elettronico (telefono con operatore a numeri presenti in un elenco telefonico pubblico e posta, dopo il controllo del Registro pubblico delle opposizioni); consenso per le email (art. 130 Codice privacy) | 24 mesi dall'ultimo contatto; la lista di esclusione, con i soli dati che servono a rispettarla (azienda, numero o indirizzo, data), finché facciamo attività commerciale |
| Newsletter e email commerciali a chi non ha acquistato (anche a chi ha fatto solo la prova) | da te | come sopra | consenso (art. 6.1.a e art. 130, comma 1, Codice privacy), facoltativo e separato, con una casella non spuntata | finché non revochi il consenso; il registro del consenso per 5 anni dalla revoca, per poter provare il consenso finché un reclamo o una sanzione sono possibili |
| Accertamenti e difesa: i dati sopra, quando servono | — | far valere o difendere un diritto, rispondere alle autorità | legittimo interesse (art. 6.1.f); obbligo di legge (art. 6.1.c) | per il tempo della controversia o del procedimento |
Dati obbligatori. Senza i dati del conto, di fatturazione, delle licenze e il codice macchina non possiamo darti la prova, vendere né far funzionare le licenze. Gli altri dati sono facoltativi. Il consenso alle comunicazioni commerciali è facoltativo e non condiziona nulla.
Alla fine di ogni periodo i dati si cancellano o si rendono anonimi. Controlliamo le scadenze almeno una volta al mese.
4. I programmi installati: che cosa leggono e che cosa inviano
- Codice macchina. Per legare la licenza a un computer, Sapius, Operion e la Scatola calcolano un codice dal numero di serie della scheda madre o, se non si legge, dall'identificativo di installazione di Windows; sul Raspberry Pi dal suo numero di serie. Al Portale arriva il codice calcolato, non il numero di serie. Leggere questa informazione è strettamente necessario per la licenza per postazione che chiedi (art. 122 Codice privacy). Il codice cambia se cambi la scheda madre e, sui PC senza numero di serie, se reinstalli Windows.
- Che cosa mandano al Portale: accesso al conto, richiesta e attivazione delle licenze (codice macchina e nome del computer), richiesta dell'ora firmata per le licenze con scadenza e per la prova, impronta del progetto della prova, controllo della disponibilità di nuove versioni.
- Archivio della commessa: progetti e sorgenti restano sul PC. Con AI Sapius i contenuti necessari alle singole richieste transitano anche dal gateway del Portale: si applica la distinzione seguente. Non è un caricamento integrale automatico dell'archivio.
- Operion in reparto non manda dati dell'impianto a nessuno. Si collega al Portale solo per le licenze, per gli aggiornamenti e, se il cliente la usa, per l'assistenza remota.
- Operion Client conserva sul PC del tecnico, cifrati con la protezione di Windows, il gettone di sessione, la chiave d'identità del tecnico e l'elenco delle postazioni abbinate. La password non si conserva.
- Account AI personale. I contenuti necessari al lavoro vanno dal PC al fornitore dell'account collegato, secondo il contratto e le impostazioni del cliente. Non passano dal gateway Sapius.
- API propria o endpoint locale. I contenuti vanno dal PC all'endpoint configurato dal cliente. Il browser Sapius salva il nome della variabile d'ambiente della chiave, non il suo valore. Condizioni, trattamento e conservazione dipendono dal fornitore scelto.
- AI Sapius. Quando il cliente sceglie questa modalità, conversazione, estratti dei documenti, nomi di tag, sorgenti e risultati degli strumenti necessari al lavoro passano dal gateway Sapius al fornitore indicato nel catalogo. JIT Engineering tratta questi contenuti per conto del cliente, secondo l'Allegato A delle condizioni generali. Il gateway conserva una copia della risposta cifrata a riposo con AES-256-GCM nella cache operativa per 24 ore, con rimozione nel successivo ciclo di pulizia entro 5 minuti, esclusivamente per recuperarla dopo un'interruzione di rete senza ripetere la chiamata o l'addebito. La copia può contenere estratti della richiesta ripresi nella risposta; non viene usata per addestramento o conoscenza condivisa. Le copie di sicurezza periodiche seguono una rotazione di 30 giorni e un minimo di 24 snapshot; copie necessarie a un ripristino o a un incidente possono restare isolate fino alla conclusione della verifica. La scadenza della cache operativa non cancella subito le copie di sicurezza. L’accesso è limitato al ripristino e al personale autorizzato. Registra separatamente conto, identificativo richiesta, modello, versione tariffaria, token, prenotazioni, importi ed esito per erogazione e contabilizzazione del servizio. Il fornitore del modello può avere propri tempi di conservazione: non si promettono assenza di conservazione o residenza esclusivamente europea. Si applicano i rispettivi accordi sul trattamento dei dati: [OpenAI](https://openai.com/policies/data-processing-addendum/) e [Anthropic](https://www.anthropic.com/legal/data-processing-addendum), secondo il fornitore scelto.
- Saldo e consumi AI. Importi inclusi, scadenze, ricariche, storni e addebiti sono dati contabili, trattati per il contratto e gli obblighi fiscali, conservati 10 anni con i documenti contabili. Non contengono il testo della commessa. Il saldo incluso e quello acquistato sono separati.
- Conoscenza condivisa. La partecipazione facoltativa riguarda soltanto schede tecniche generali ammesse dai controlli, sottoposte a revisione prima della pubblicazione. Non autorizza a pubblicare chat, sorgenti o documenti. È distinta dalla scelta dell'AI gestita: attivare l'una non attiva l'altra.
5. A chi comunichiamo i dati
I dati sono trattati dal personale del titolare autorizzato e istruito. Li comunichiamo solo a:
| Destinatario | Ruolo | Che cosa fa |
|---|---|---|
| Aruba S.p.A., via San Clemente 53, 24036 Ponte San Pietro (BG), Italia | responsabile del trattamento, nominato con le condizioni contrattuali di Aruba (art. 28 GDPR) | ospita il server del Portale in Italia (servizi cloud) e gestisce la posta elettronica in uscita |
| Stripe Payments Europe, Limited (Irlanda) e società del gruppo Stripe | responsabile per l'esecuzione dei pagamenti; titolare autonomo per prevenzione delle frodi, obblighi di legge e altri scopi propri descritti nella sua informativa | gestisce la pagina di pagamento e i dati della carta, che noi non riceviamo |
| OpenAI Ireland Limited e Anthropic Ireland, Limited, secondo il modello selezionato | sub-responsabile per i contenuti inviati mediante AI Sapius, secondo il DPA e l'Allegato A; la scelta di account/API propri resta nel rapporto del cliente con il fornitore | elabora le richieste dei modelli indicati nel catalogo; le condizioni di conservazione e trasferimento sono quelle del servizio API configurato |
| Commercialista e consulenti del titolare | responsabili o titolari autonomi, secondo il caso | tenuta della contabilità, adempimenti fiscali, assistenza legale |
| Agenzia delle Entrate e Sistema di Interscambio | titolare autonomo | ricezione delle fatture elettroniche |
| Commissione europea, sistema VIES | titolare autonomo | riceve il codice del paese e il numero IVA di un cliente con sede in un altro Stato dell'Unione, e risponde se è valido |
| Autorità pubbliche, compresa l'Agenzia per la cybersicurezza nazionale e l'ENISA | titolari autonomi | quando la legge lo impone, per esempio per le segnalazioni previste dal Reg. UE 2024/2847 |
| Chi subentra nell'attività del titolare | titolare autonomo | in caso di cessione dell'azienda o del ramo relativo ai prodotti |
| Il cliente presso cui si collega un tecnico con l'assistenza remota | titolare autonomo | la sua postazione riceve e registra il conto (email) del tecnico; può chiederci la copia del registro del ponte per le proprie sessioni |
Assistenza remota. Quando un tecnico si collega a una postazione, la postazione vede il conto (email) del tecnico e il tecnico vede il nome della postazione. Il nostro personale entra in una postazione solo quando il cliente lo chiede, e in quel caso trattiamo i dati del cliente come responsabile del trattamento (Allegato A delle condizioni generali).
6. Trasferimenti fuori dallo Spazio economico europeo
Il server del Portale e la posta sono in Italia, presso Aruba. Stripe può trasferire dati negli Stati Uniti e in altri Paesi: dichiara di aderire all'EU-U.S. Data Privacy Framework (decisione di adeguatezza della Commissione europea del 10 luglio 2023) e di usare le clausole contrattuali tipo approvate dalla Commissione europea. Le informazioni sono nell'informativa di Stripe (https://stripe.com/it/legal/privacy-center). Non facciamo altri trasferimenti fuori dallo Spazio economico europeo.
7. Decisioni automatizzate
Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo sulla persona. Il Portale rifiuta in automatico una seconda prova sullo stesso conto o sullo stesso PC, verifica in automatico le licenze e la partita IVA (per gli altri Stati dell'Unione con il sistema VIES): se pensi che un rifiuto sia sbagliato, scrivici e una persona lo riesamina.
8. Sicurezza
Password conservate solo come impronta con sale (PBKDF2), sessioni con gettone registrato solo come impronta e cookie di sessione che viaggia solo su HTTPS, codici monouso conservati solo come impronta, validi 15 minuti e con tentativi limitati, blocco dopo tentativi di accesso falliti, connessioni cifrate (HTTPS), canale dell'assistenza remota cifrato da capo a capo, licenze firmate, accesso ai dati limitato al personale che ne ha bisogno, copie di sicurezza.
9. I tuoi diritti
Puoi chiedere in ogni momento, scrivendo a info@jitengineering.net:
- l'accesso ai tuoi dati e una copia (art. 15);
- la rettifica dei dati inesatti (art. 16);
- la cancellazione (art. 17), nei limiti degli obblighi di conservazione indicati sopra;
- la limitazione del trattamento (art. 18);
- la portabilità dei dati che ci hai dato, in un formato leggibile da una macchina (art. 20);
- l'opposizione ai trattamenti basati sul legittimo interesse, per motivi legati alla tua situazione (art. 21), e sempre al marketing, anche con il collegamento presente in ogni email commerciale;
- la revoca del consenso, senza effetti sui trattamenti già fatti (art. 7).
Rispondiamo entro un mese, prorogabile di due mesi nei casi complessi, e ti diciamo il motivo. Possiamo chiederti di confermare la tua identità.
Hai diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato in cui vivi o lavori.
10. Minori
Il sito e i prodotti sono destinati ad aziende e professionisti. Non raccogliamo consapevolmente dati di minori di 18 anni.
11. Cookie
Il sito usa solo strumenti tecnici: il cookie della sessione di accesso e la memoria del browser per ricordare la lingua. Il dettaglio è nella cookie policy.
12. Modifiche
Aggiorniamo questa informativa quando cambiano i trattamenti. La versione in vigore è sempre sul sito, con la data. Se un cambiamento riguarda un nuovo trattamento dei dati già raccolti, te lo comunichiamo prima per email.