Privacy e GDPR

Il titolare del trattamento è CoFiP – Associazione Consulenti Finanziari Professionisti, con sede in Via Alfredo Veroni 37/A, 43122 Parma (PR), codice fiscale 92178570344, partita IVA 02721300347, nella persona di Lorenzo Veroli.

Per qualsiasi domanda su questa informativa o per esercitare i tuoi diritti scrivi a segreteria@cofip.pro oppure chiama il +39 351 648 7725.

CoFiP Forecast è un servizio riservato ai soci CoFiP abilitati dalla segreteria. L’account è lo stesso del sito cofip.pro: la scheda anagrafica che vedi qui è la stessa che compili nell’area riservata del sito, e vale anche per te l’informativa per i soci pubblicata su cofip.pro. Questa informativa la integra per quanto riguarda la piattaforma.

Dati del tuo account e del tuo profilo

Indirizzo email e password di accesso (la password è conservata solo in forma cifrata dal servizio di autenticazione), nome, cognome e gli altri campi della scheda profilo che hai compilato sul sito CoFiP (recapiti, professione, ordine di appartenenza, indirizzo professionale, codice fiscale, partita IVA, foto). Dalla piattaforma puoi vederli e modificarli: le modifiche valgono anche sul sito. Quando inserisci un indirizzo email nella scheda, la piattaforma verifica solo che il formato sia corretto e che il dominio possa ricevere posta; non invia nulla e non conserva l’esito.

La foto del profilo è facoltativa: se scegli di caricarla, viene pubblicata su un indirizzo web accessibile a chiunque lo conosca, come sul sito CoFiP. Caricandola accetti che sia visibile al pubblico.

Abilitazione all’uso della piattaforma

Entrano solo gli amministratori del sito CoFiP e i soci abilitati a mano dalla segreteria, piattaforma per piattaforma. L’abilitazione è una riga nel registro degli accessi alle piattaforme del sito CoFiP, che la piattaforma consulta a ogni richiesta; se manca, vedi una pagina che lo spiega e rimanda al sito.

Dati di accesso e di sicurezza

Per ogni sessione registriamo un identificativo casuale del dispositivo, il tipo di browser (user agent) e la data dell’ultimo accesso. Servono ad applicare la regola un account, un solo dispositivo web alla volta: se accedi da un secondo dispositivo, la sessione sul primo viene chiusa e te lo diciamo. L’indirizzo IP non viene salvato dalla piattaforma, ma compare nei registri tecnici dei fornitori di infrastruttura indicati più avanti.

Dati delle imprese che carichi

La piattaforma serve a costruire analisi prospettiche e business plan delle imprese che assisti. Per ciascuna carichi l’anagrafica (ragione sociale, codice fiscale o partita IVA, forma giuridica, settore), i bilanci storici (in formato XBRL, PDF, JSON o inseriti a mano, con i file originali), e costruisci sopra riclassificazioni, indici, scenari, piani di ammortamento, valutazioni di sostenibilità e il testo del business plan, con le immagini che vi inserisci. Puoi esportare i risultati in PDF, in immagine o in altri formati: l’esportazione avviene nel tuo browser o sul server della piattaforma e il file arriva solo a te.

Questi dati riguardano in prevalenza persone giuridiche, ma possono contenere dati personali di terzi: il titolare di una ditta individuale, gli amministratori, i soci, i sindaci citati in un bilancio o nel business plan. Di questi dati resti tu il titolare del trattamento (o il responsabile per conto del tuo cliente): carica solo dati che hai titolo per trattare. CoFiP li tratta esclusivamente per farti funzionare il servizio, per tuo conto e secondo le tue istruzioni, non li legge per altri scopi e non li comunica a nessuno.

Segnalazioni alla segreteria

Quando usi Segnala problema su un bilancio importato, inviamo alla segreteria il testo che scrivi insieme a una copia dei dati di quel bilancio (anagrafica dell’impresa, anno, fonte, dati normalizzati e riferimento al file originale) e al tuo indirizzo email, per poterti rispondere. La segnalazione resta nel registro delle segnalazioni della piattaforma finché la segreteria non la chiude.

Statistiche d’uso (solo con il tuo consenso)

Se acconsenti, rileviamo come usi la piattaforma: pagine aperte, percorsi di navigazione, elementi cliccati, moduli inviati, tipo di dispositivo e di browser, durata della visita e area geografica approssimativa (paese e città) ricavata dall’indirizzo IP al momento della ricezione. Queste informazioni sono collegate al tuo account tramite il suo codice identificativo, mai al tuo nome o alla tua email. Non registriamo il contenuto dei campi che compili, i testi delle pagine, i dati delle imprese né video della navigazione. I dettagli sono nella sezione «Statistiche d’uso».

Presa visione di questa informativa e scelta sulle statistiche

Al primo accesso ti chiediamo di confermare di aver letto questa informativa e, subito dopo, se acconsenti alle statistiche d’uso. Registriamo la conferma e la scelta con data e ora, versione del testo, indirizzo IP e tipo di browser, come prova di aver adempiuto all’obbligo di informarti e del consenso dato o negato.

• Farti usare la piattaforma: autenticazione, verifica dell’abilitazione, conservazione delle aziende, dei bilanci, delle analisi e dei business plan, produzione delle esportazioni. Base giuridica: esecuzione del rapporto associativo di cui sei parte (art. 6, par. 1, lett. b del Regolamento).
• Sicurezza del servizio: regola del dispositivo unico, prevenzione degli accessi abusivi, registri tecnici. Base giuridica: legittimo interesse del titolare a proteggere il servizio e i dati dei soci (art. 6, par. 1, lett. f).
• Assistenza: gestione delle segnalazioni che invii alla segreteria. Base giuridica: esecuzione del rapporto associativo (art. 6, par. 1, lett. b).
• Prova della presa visione dell’informativa e adempimento degli obblighi di legge. Base giuridica: obbligo legale e legittimo interesse (art. 6, par. 1, lett. c ed f).
• Rilevazione degli errori tecnici: quando una pagina o un’operazione non va a buon fine, registriamo il tipo di errore, la pagina, il tipo di browser e di dispositivo e il codice identificativo del tuo account, per correggere il problema e assisterti. Non registriamo l’indirizzo IP, i cookie, il contenuto dei campi né i dati delle aziende. Base giuridica: legittimo interesse del titolare al funzionamento e alla sicurezza del servizio (art. 6, par. 1, lett. f); puoi opporti scrivendo alla segreteria.
• Statistiche d’uso: capire come la piattaforma viene usata, quali funzioni servono di più e dove i soci si bloccano, per migliorarla e correggere gli errori. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a), che puoi negare o revocare in ogni momento senza alcuna conseguenza sull’uso della piattaforma.

Il conferimento dei dati dell’account è necessario: senza non è possibile accedere alla piattaforma. Il consenso alle statistiche è invece libero. Nessun dato viene usato per pubblicità né per prendere decisioni automatizzate che ti riguardano. Le analisi e le proiezioni riguardano le imprese, non te.

La piattaforma usa cookie tecnici di prima parte, cioè impostati dal dominio della piattaforma e indispensabili per farla funzionare, e due voci tecniche nella memoria locale del browser (local storage): per questi, ai sensi dell’articolo 122 del Codice privacy e delle Linee guida del Garante del 10 giugno 2021, la legge non richiede consenso, ma vanno descritti. Non ci sono cookie di profilazione pubblicitaria.

Solo se hai dato il consenso alle statistiche d’uso, la piattaforma imposta anche un cookie statistico di prima parte (ph_…) e una voce nel local storage, che permettono di riconoscere il tuo browser tra una visita e l’altra; senza consenso, o dopo la revoca, non vengono impostati e quelli esistenti smettono di essere usati. Ecco l’elenco completo.

I cookie tecnici sono marcati come sicuri (viaggiano solo su connessione cifrata), non sono leggibili da script e non sono inviati a siti di terzi. Il cookie delle statistiche è leggibile dallo script di PostHog che gira nella piattaforma ed è inviato solo al nostro dominio, che inoltra i dati a PostHog. Puoi cancellarli o bloccarli dalle impostazioni del tuo browser, ma senza il cookie di sessione non è possibile restare collegati alla piattaforma.

Per capire come la piattaforma viene usata e migliorarla usiamo PostHog, uno strumento di analisi che gira nel browser e raccoglie: le pagine che apri e in che ordine, gli elementi su cui clicchi (tipo di elemento, non il suo testo), i moduli che invii (il fatto che li hai inviati, non il contenuto), il tipo di dispositivo, browser e sistema operativo, la durata della visita e l’area geografica approssimativa (paese e città) ricavata dall’indirizzo IP, che non viene conservato con le statistiche.

Le statistiche sono collegate al tuo account tramite il suo codice identificativo (una sequenza casuale di lettere e numeri) e al tuo ruolo nella piattaforma: chi le legge vede «un socio ha fatto questo», non chi sei. Il tuo nome, la tua email e i dati delle imprese che carichi non vengono mai inviati a PostHog. Non registriamo video della navigazione, non usiamo le statistiche per pubblicità né per prendere decisioni che ti riguardano.

Le statistiche partono solo dopo il tuo consenso, che ti chiediamo con una striscia a piè di pagina al primo accesso dopo questa versione dell’informativa; se non scegli, restano spente. Puoi revocare il consenso in ogni momento dal riquadro qui sotto: da quel momento la raccolta si interrompe e il tuo browser viene dimenticato. I dati inviati a PostHog passano prima dal dominio della piattaforma e vengono conservati nel centro dati europeo di PostHog per dodici mesi.

I dati sono trattati dalle persone autorizzate da CoFiP: il Consiglio direttivo, la segreteria e chi sviluppa e mantiene la piattaforma. Ogni socio vede solo le proprie aziende, i propri bilanci, le proprie analisi e i propri business plan: la separazione è imposta a livello di banca dati e di archivio dei file, non solo dall’interfaccia. Gli amministratori della piattaforma vedono le segnalazioni che i soci inviano e i dati che vi sono allegati.

Per far funzionare il servizio ci avvaliamo di fornitori che trattano i dati per conto di CoFiP, nominati responsabili del trattamento:

• Supabase (Supabase Pte. Ltd, Singapore, con supporto di Supabase Inc., USA) per la banca dati, l’autenticazione e l’archivio dei file (i file dei bilanci e le immagini dei business plan stanno in un archivio privato, raggiungibile solo con collegamenti firmati a scadenza). Banca dati, utenti e file risiedono nel centro dati di Francoforte (Germania, regione AWS eu-central-1), quindi nell’Unione europea; il personale di supporto può accedervi da fuori UE. Il contratto di trattamento dati (DPA) è parte dei termini di servizio e incorpora le clausole contrattuali standard.
• Vercel Inc. (USA) per l’hosting e l’esecuzione dell’applicazione web. Le pagine vengono elaborate nella regione di Francoforte; i registri tecnici delle richieste (indirizzo IP, pagina richiesta, tipo di browser) sono conservati da Vercel per poche ore. Vercel aderisce all’EU-US Data Privacy Framework e il suo DPA, parte dei termini di servizio, incorpora le clausole contrattuali standard.
• Resend (Plus Five Five, Inc., USA) per l’invio delle email di segnalazione alla segreteria, da noreply@cofip.pro. L’email, con il tuo indirizzo e il contenuto della segnalazione, transita sui suoi sistemi negli Stati Uniti, dove il contenuto resta registrato per 30 giorni. Resend aderisce all’EU-US Data Privacy Framework e il suo DPA, parte dei termini di servizio, incorpora le clausole contrattuali standard.
• PostHog (PostHog Inc., USA) per le statistiche d’uso, solo con il tuo consenso. Usiamo la sua istanza europea: i dati sono conservati nel centro dati di Francoforte (regione AWS eu-central-1) e non lasciano l’Unione europea, salvo l’accesso del personale di supporto; il DPA è parte dei termini di servizio e incorpora le clausole contrattuali standard. Informativa: posthog.com/privacy.
• Sentry (Functional Software, Inc., USA) per la rilevazione degli errori tecnici. Usiamo la sua regione europea: i dati sono conservati nel centro dati di Francoforte e non lasciano l’Unione europea, salvo l’accesso del personale di supporto; il DPA è parte dei termini di servizio e incorpora le clausole contrattuali standard. Informativa: sentry.io/privacy.

I trasferimenti fuori dall’Unione europea che ne derivano avvengono sulla base della decisione di adeguatezza della Commissione europea del 10 luglio 2023 (EU-US Data Privacy Framework) per Vercel e Resend e, per tutti i fornitori, delle clausole contrattuali standard approvate dalla Commissione (art. 46 del Regolamento). I bilanci, le analisi e i business plan non lasciano il centro dati di Francoforte se non per essere mostrati a te.

I dati non vengono diffusi né ceduti a terzi. Potranno essere comunicati ad autorità pubbliche solo se la legge lo impone.

Strumenti di intelligenza artificiale esterni

La piattaforma non usa servizi di intelligenza artificiale e non invia i tuoi dati a nessun assistente. Nella pagina dei bilanci trovi un modello di richiesta da copiare in un assistente di tua scelta per trasformare un bilancio in JSON: se lo usi, sei tu a trasferire il documento a quel servizio, fuori dalla piattaforma e dal controllo di CoFiP. Leggi le condizioni del servizio che scegli prima di caricarvi un bilancio.

• Dati dell’account e del profilo: per tutta la durata del rapporto associativo. La cancellazione dell’account si chiede alla segreteria, perché l’account è condiviso con il sito CoFiP.
• Aziende, bilanci, analisi, business plan e file originali: finché non li archivi ed elimini tu dalla piattaforma, e comunque non oltre la cancellazione dell’account.
• Registri di dispositivo e sessione: 2 anni dall’ultimo accesso.
• Segnalazioni: nel registro delle segnalazioni finché la segreteria non le chiude e, dopo, per documentare gli interventi fatti sulla piattaforma; su richiesta la copia dei dati allegata viene rimossa prima.
• Registrazione della presa visione e della scelta sulle statistiche: per la durata del rapporto associativo e, dopo, per il termine di prescrizione ordinario, a prova dell’adempimento.
• Statistiche d’uso: dodici mesi dalla raccolta, poi cancellate da PostHog; alla cessazione del rapporto associativo il collegamento tra le statistiche e il tuo account viene rimosso.
• Segnalazioni di errori tecnici: trenta giorni, poi cancellate automaticamente da Sentry.
• Registri tecnici dei fornitori: poche ore per i registri delle richieste su Vercel; 30 giorni per le email su Resend; i tempi stabiliti da Supabase per i propri registri e backup.

Tutte le comunicazioni avvengono su connessione cifrata (HTTPS, con HSTS). L’accesso richiede email e password con requisiti minimi di robustezza; il recupero della password passa dal sito CoFiP. La separazione fra i soci è imposta dalle regole di sicurezza della banca dati (row level security) e dell’archivio dei file, che è privato e raggiungibile solo con collegamenti firmati a scadenza. Le scritture su aziende, bilanci, analisi e business plan passano dal server, dopo la verifica di chi sei e di che cosa ti appartiene. La regola del dispositivo unico riduce il rischio di sessioni lasciate aperte altrove. Le impostazioni della piattaforma impediscono che venga incorporata in altri siti.

In qualsiasi momento puoi chiedere a CoFiP l’accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità e puoi opporti ai trattamenti fondati sul legittimo interesse (articoli da 15 a 22 del Regolamento). Il consenso alle statistiche d’uso lo revochi da solo, dalla sezione «Statistiche d’uso» di questa pagina. La scheda profilo e le funzioni di archiviazione ed eliminazione della piattaforma ti permettono di fare da solo gran parte delle altre operazioni; per il resto scrivi alla segreteria.

Per esercitare i diritti scrivi a segreteria@cofip.pro. Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), Piazza Venezia 11, 00187 Roma.

Questa è la versione del 19 ottobre 2026, la prima della piattaforma. Se i trattamenti cambiano (nuovi dati, nuovi fornitori, nuovi cookie) il testo viene aggiornato e al primo accesso successivo ti chiediamo di prenderne visione di nuovo. La versione in vigore è sempre raggiungibile dal menu, dal piè di pagina e dalla pagina di accesso.