Privacy PolicyPrivacy Policy

Ultimo aggiornamento: novembre 2026 — ai sensi degli artt. 13, 14 e 26 del Regolamento (UE) 2016/679 (GDPR).Last updated: November 2026 — pursuant to Articles 13, 14 and 26 of Regulation (EU) 2016/679 (GDPR).

1. Titolari del trattamento e contatti1. Data Controllers and contact details

Gli avvocati che esercitano con la denominazione De Santi Capalbo Studio Legale lavorano ciascuno in forma individuale e condividono sedi, archivio e strumenti informatici. Per i trattamenti svolti con questi mezzi comuni sono contitolari del trattamento ai sensi dell’art. 26 del Regolamento (UE) 2016/679 (GDPR):The lawyers practising under the name De Santi Capalbo Studio Legale each practise individually and share offices, archives and IT tools. For processing carried out with these shared means they act as joint controllers under Art. 26 of Regulation (EU) 2016/679 (GDPR):

Contenuto essenziale dell’accordo fra contitolari: l’Avv. Francesco De Santi coordina gli adempimenti comuni (registro dei trattamenti, fornitori, sicurezza, violazioni dei dati); per ogni incarico risponde l’avvocato incaricato; le richieste degli interessati si inviano al punto di contatto indicato sopra, ma possono essere rivolte a ciascun contitolare. Non è stato nominato un responsabile della protezione dei dati, perché l’attività dello Studio non rientra nei casi dell’art. 37 GDPR.Essential content of the joint-controller arrangement: Avv. Francesco De Santi coordinates the shared obligations (record of processing, suppliers, security, data breaches); for each engagement the lawyer in charge is responsible; data subjects may send requests to the contact point above, but may also address any joint controller. No data protection officer has been appointed, as the firm’s activity does not fall within the cases of Art. 37 GDPR.

2. Dati trattati2. Data processed

• Dati di contatto comunicati con i moduli del sito, per e-mail, telefono o WhatsApp: nome, cognome, recapiti e quanto descritto nel messaggio.Contact data provided through the site’s forms, by e-mail, telephone or WhatsApp: name, surname, contact details and whatever is described in the message.
• Dati di navigazione: indirizzo IP, tipo di browser, pagine visitate, data e ora, acquisiti dai sistemi del sito.Browsing data: IP address, browser type, pages visited, date and time, acquired by the site’s systems.
• Dati dei clienti: quelli necessari all’incarico, compresi, solo quando servono alla tutela del cliente, dati relativi alla salute o ad altre categorie particolari (art. 9 GDPR) e dati relativi a reati (art. 10 GDPR). Ai clienti è consegnata un’informativa specifica al conferimento dell’incarico.Client data: what is needed for the engagement, including, only where required to protect the client, health or other special-category data (Art. 9 GDPR) and data relating to offences (Art. 10 GDPR). Clients receive a specific notice when the engagement is conferred.
• Area riservata clienti (MINI ME) e questionari: domande, documenti caricati e risposte, accessibili solo con il codice personale fornito dallo Studio.Client reserved area (MINI ME) and questionnaires: questions, uploaded documents and answers, accessible only with the personal code provided by the firm.

3. Finalità e basi giuridiche3. Purposes and legal bases

• Rispondere alle richieste e valutare un possibile incarico — misure precontrattuali (art. 6.1.b GDPR).Responding to requests and assessing a possible engagement — pre-contractual measures (Art. 6.1.b GDPR).
• Svolgere l’incarico, anche tramite l’area riservata — contratto (art. 6.1.b) e, per le categorie particolari, difesa di un diritto (art. 9.2.f).Performing the engagement, including through the reserved area — contract (Art. 6.1.b) and, for special categories, the defence of legal claims (Art. 9.2.f).
• Adempimenti fiscali, contabili e antiriciclaggio — obbligo di legge (art. 6.1.c).Tax, accounting and anti-money-laundering obligations — legal obligation (Art. 6.1.c).
• Sicurezza del sito e tutela dei diritti dello Studio — legittimo interesse (art. 6.1.f).Site security and protection of the firm’s rights — legitimate interest (Art. 6.1.f).
• Comunicazioni informative sui servizi dello Studio a chi lo ha chiesto tramite i moduli del sito — consenso (art. 6.1.a), revocabile in ogni momento.Informative communications about the firm’s services to those who requested them through the site’s forms — consent (Art. 6.1.a), withdrawable at any time.
• Statistiche di visita e misura delle conversioni pubblicitarie — solo con il consenso espresso nel banner (vedi la Cookie Policy).Visit statistics and advertising conversion measurement — only with the consent given in the banner (see the Cookie Policy).

4. Uso dell’intelligenza artificiale4. Use of artificial intelligence

Lo Studio si avvale di Claude, sistema di intelligenza artificiale di Anthropic, e di ChatGPT, sistema di intelligenza artificiale di OpenAI, nelle versioni professionali per studi e imprese, come strumenti di supporto: ordinare e sintetizzare la corrispondenza, preparare prime stesure, rispondere nell’area riservata con la validazione di un avvocato. Le condizioni contrattuali di Anthropic e di OpenAI escludono l’uso dei dati per l’addestramento dei modelli. Valutazioni e decisioni restano degli avvocati, che verificano ogni risultato (art. 13 della legge 23 settembre 2025, n. 132); non ci sono decisioni basate unicamente su un trattamento automatizzato (art. 22 GDPR).The firm uses Claude, Anthropic’s artificial intelligence system, and ChatGPT, OpenAI’s artificial intelligence system, in their professional versions for firms and businesses, as support tools: organising and summarising correspondence, preparing first drafts, answering in the reserved area subject to validation by a lawyer. The contractual terms of Anthropic and OpenAI exclude the use of data to train their models. Assessments and decisions remain with the lawyers, who check every output (Art. 13 of Italian Law no. 132 of 23 September 2025); there are no decisions based solely on automated processing (Art. 22 GDPR).

5. Destinatari dei dati5. Recipients of data

Trattano i dati per conto dello Studio, come responsabili (art. 28 GDPR): Hostinger (hosting del sito e dell’area riservata), Google (posta elettronica, archivi, statistiche e misurazione pubblicitaria con consenso), Anthropic e OpenAI (intelligenza artificiale), Namirial (posta certificata) e il consulente contabile dello Studio. Se il cliente sceglie di pagare a rate, Scalapay riceve i dati necessari al pagamento e li tratta come titolare autonomo, secondo la propria informativa. Per lo svolgimento degli incarichi i dati possono essere comunicati ad autorità giudiziarie, consulenti, notai, colleghi e legali di controparte, e alle autorità pubbliche quando lo impone la legge. I dati non sono diffusi.The following process data on the firm’s behalf as processors (Art. 28 GDPR): Hostinger (hosting of the site and reserved area), Google (e-mail, archives, statistics and advertising measurement with consent), Anthropic and OpenAI (artificial intelligence), Namirial (certified e-mail) and the firm’s accounting advisor. If the client chooses to pay in instalments, Scalapay receives the data needed for the payment and processes it as an independent controller under its own privacy notice. For the performance of engagements data may be disclosed to judicial authorities, experts, notaries, colleagues and opposing counsel, and to public authorities where required by law. Data is not disseminated.

6. Trasferimenti fuori dall’Unione europea6. Transfers outside the European Union

Google e Anthropic possono trattare i dati anche negli Stati Uniti. Per ChatGPT lo Studio ha scelto la conservazione dei dati in Europa; il contratto è con OpenAI Ireland Ltd. e alcuni trattamenti tecnici, come i registri di controllo contro gli abusi, possono avvenire fuori dall’Unione. Ogni trasferimento avviene con le clausole contrattuali tipo approvate dalla Commissione europea (decisione 2021/914) e, per i fornitori aderenti, sulla base della decisione di adeguatezza del 10 luglio 2023 (EU-US Data Privacy Framework). Copia delle garanzie può essere richiesta al punto di contatto.Google and Anthropic may also process data in the United States. For ChatGPT the firm has chosen data storage in Europe; the contract is with OpenAI Ireland Ltd., and some technical processing, such as abuse-monitoring logs, may take place outside the Union. All transfers rely on the standard contractual clauses approved by the European Commission (Decision 2021/914) and, for participating providers, on the adequacy decision of 10 July 2023 (EU-US Data Privacy Framework). A copy of the safeguards may be requested from the contact point.

7. Periodo di conservazione7. Retention period

• Richieste che non diventano un incarico: ventiquattro mesi.Requests that do not lead to an engagement: twenty-four months.
• Dati trattati con il consenso: fino alla revoca.Data processed on the basis of consent: until withdrawal.
• Dati degli incarichi e antiriciclaggio: dieci anni dalla conclusione dell’incarico.Engagement and anti-money-laundering data: ten years from the end of the engagement.
• Dati di navigazione: il tempo tecnico necessario; cookie: come indicato nella Cookie Policy.Browsing data: the technically necessary time; cookies: as stated in the Cookie Policy.

8. Dati di controparti e di terzi8. Data of opposing parties and third parties

Nello svolgimento degli incarichi lo Studio tratta dati di controparti, testimoni e terzi per difendere i diritti dei propri clienti. Questa pagina vale come informativa per loro; un’informativa individuale non è dovuta quando pregiudicherebbe la difesa o si scontrerebbe con il segreto professionale (art. 14.5, lett. b e d, GDPR).In performing engagements the firm processes data of opposing parties, witnesses and third parties in order to defend its clients’ rights. This page serves as their notice; an individual notice is not due where it would prejudice the defence or conflict with professional secrecy (Art. 14.5(b) and (d) GDPR).

9. Diritti dell’interessato9. Rights of the data subject

È possibile chiedere l’accesso ai dati, la rettifica, la cancellazione, la limitazione, la portabilità, opporsi al trattamento e revocare il consenso (artt. 15-22 GDPR), scrivendo al punto di contatto; la risposta arriva entro un mese. Alcuni diritti possono incontrare i limiti dell’art. 2-undecies del d.lgs. 196/2003 quando il loro esercizio pregiudicherebbe la difesa di un diritto in giudizio. Resta il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).Data subjects may request access, rectification, erasure, restriction, portability, object to processing and withdraw consent (Arts. 15-22 GDPR) by writing to the contact point; a reply is given within one month. Some rights may be limited under Art. 2-undecies of Legislative Decree 196/2003 where their exercise would prejudice the defence of legal claims. The right to lodge a complaint with the Italian Data Protection Authority (www.garanteprivacy.it) is unaffected.

10. Cookie10. Cookies

Per informazioni sull’utilizzo dei cookie si rinvia alla For information on the use of cookies please refer to the Cookie PolicyCookie Policy.

11. Newsletter11. Newsletter

• Finalità: invio di aggiornamenti informativi sul settore scelto al momento dell’iscrizione dalla pagina della newsletter.Purpose: sending informative updates on the sector chosen when subscribing on the newsletter page.
• Base giuridica: consenso (art. 6, par. 1, lett. a), GDPR), espresso con la casella del modulo e confermato con il link inviato per e-mail.Legal basis: consent (Art. 6(1)(a) GDPR), given through the form’s checkbox and confirmed through the link sent by e-mail.
• Dati trattati: nome, azienda, e-mail, settore scelto e dati tecnici del consenso (data, indirizzo IP, browser utilizzato, versione del testo accettato, pagina di provenienza).Data processed: name, company, e-mail, chosen sector and technical data of the consent (date, IP address, browser used, version of the accepted text, page of origin).
• Conservazione: fino alla revoca. Dopo la revoca restano solo l’e-mail e le date, a prova della revoca e per non scrivere più a chi si è cancellato.Retention: until withdrawal. After withdrawal only the e-mail address and the dates are kept, as evidence of the withdrawal and to avoid writing again to those who have unsubscribed.
• Revoca: con il link in fondo a ogni e-mail o scrivendo al punto di contatto indicato al punto 1.Withdrawal: through the link at the bottom of every e-mail or by writing to the contact point indicated in section 1.
• Titolari e destinatari: quelli indicati ai punti 1 e 5. L’iscrizione non comporta cookie aggiuntivi e non passa da servizi esterni di invio: il registro degli iscritti resta sul server dello Studio.Controllers and recipients: those indicated in sections 1 and 5. Subscribing sets no additional cookies and involves no external mailing service: the subscriber register stays on the firm’s server.