Aggiornata il 12 giugno 2026

Privacy policy

Questa informativa descrive come Gearlab tratta i dati personali raccolti tramite il sito gearlabsite.pages.dev, il modulo di contatto, Gearlab MES, i servizi collegati, gli strumenti di sicurezza, assistenza, fatturazione, diagnostica e AI.

Titolare del trattamento

Il titolare del trattamento è Roveda Mauro, P.IVA 03976290126, operante con il marchio Gearlab, con sede operativa in Via Giuseppe Garibaldi 11, 21050 Gorla Maggiore (VA), Italia. Per richieste privacy, sicurezza o esercizio dei diritti puoi scrivere a info@gearlab3d.com.

Questa informativa è resa ai sensi degli artt. 12, 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e viene mantenuta in forma comprensibile e aggiornata rispetto ai servizi effettivamente usati.

Il ruolo di Gearlab

Gearlab (ossia il titolare sopra indicato) ha un ruolo misto. È titolare del trattamento per i dati relativi ad account, autenticazione, sicurezza, diagnostica, fatturazione e uso del prodotto. È invece responsabile del trattamento per i dati operativi della facility trattati per conto del cliente nel servizio hosted di Gearlab MES: in questo caso il cliente/facility è titolare e Gearlab opera per suo conto, secondo gli accordi sul trattamento dei dati conclusi con ciascun cliente.

Ambito di applicazione

La policy si applica alla navigazione del sito Gearlab, alle richieste inviate tramite form o email, all'uso di Gearlab MES come applicazione e alle attività correlate: account, autenticazione, gestione facility, documenti, notifiche, abbonamento, supporto, log, diagnostica, funzioni AI e salvataggio di download o artifact nello storage applicativo.

Origine dei dati

I dati possono essere raccolti direttamente dall'interessato quando usa sito, form, email, account o MES; possono essere inseriti da amministratori, clienti, facility, colleghi o fornitori autorizzati nel contesto operativo del cliente; possono inoltre essere generati automaticamente dai sistemi tecnici necessari a sicurezza, autenticazione, log, pagamenti, notifiche, diagnostica, AI, cookie o strumenti equivalenti.

Quando il cliente (titolare del trattamento) carica nel MES dati personali relativi a terzi, ad esempio propri contatti, fornitori, operatori o persone citate in documenti e note, la fonte di tali dati è il cliente stesso e Gearlab li tratta per suo conto. In questi casi l'obbligo di informare gli interessati ai sensi dell'art. 14 GDPR, indicando anche l'origine dei dati, resta in capo al cliente-titolare; Gearlab fornisce assistenza tramite questa informativa e gli accordi applicabili, ma la responsabilità primaria dell'informazione ex art. 14 non spetta a Gearlab. Se i tuoi dati ci sono stati comunicati da un cliente, un amministratore o un'altra organizzazione, ti invitiamo a verificare presso chi te li ha comunicati l'adempimento dei relativi obblighi informativi.

Dati trattati

  • Dati identificativi e di contatto: nome, cognome, email, telefono, azienda, ruolo, sede/facility, utenti invitati e preferenze account.
  • Dati inseriti nei form del sito: servizio di interesse, descrizione del progetto, link a file, consenso privacy, metadati tecnici antispam e tempi minimi di compilazione.
  • Dati operativi Gearlab MES: clienti, fornitori, articoli, distinte base, ordini di produzione, magazzino, posizioni, documenti, allegati, manutenzione, qualità, calendario, notifiche, attività, tempi di lavoro, mappe e audit applicativi.
  • Dati di autenticazione e sicurezza: credenziali, sessioni, token di recupero password, ruoli, permessi, log di accesso, indirizzo IP, user agent, eventi di sicurezza e segnali di verifica antibot.
  • Dati di fatturazione e abbonamento: piano, stato sottoscrizione, quote, uso storage/AI, storico fatture, identificativi cliente e subscription del fornitore di pagamento. Gearlab non conserva il numero completo della carta.
  • Dati AI: messaggi, prompt, contesto operativo strettamente necessario, output, strumenti invocati, metriche di uso, quota, costo stimato e log tecnici. Non devono essere inseriti segreti, dati particolari o informazioni non necessarie.
  • Dati diagnostici: errori, stack trace tecnici, route o azione interessata, versione app, browser, dispositivo, stato offline/online e messaggi sanitizzati; ove possibile email, token e dati sensibili vengono rimossi o mascherati.
  • Dati analytics del solo sito marketing: pagine visitate, eventi di navigazione e click su elementi marketing, solo dopo consenso e senza autocapture generalizzato.
  • Dati locali: preferenze, sessioni, cache offline, download in app e artifact AI possono essere conservati nello storage locale del browser o nello storage della facility secondo le impostazioni scelte dall'utente o dall'amministratore.

Finalità e basi giuridiche

  • Rispondere a richieste commerciali, tecniche o di supporto: misure precontrattuali, contratto o legittimo interesse a gestire il contatto.
  • Fornire Gearlab MES, autenticazione, ruoli, salvataggio dati, documenti, notifiche, download controllati, abbonamento e assistenza: esecuzione del contratto o di misure richieste dall'utente.
  • Proteggere sito e applicazione da spam, abuso, accessi non autorizzati, frodi e uso anomalo delle funzioni AI: legittimo interesse alla sicurezza.
  • Gestire fatturazione, contabilità, obblighi fiscali, reclami e richieste delle autorità: obbligo legale o interesse legittimo alla difesa dei diritti.
  • Migliorare stabilità, qualità e affidabilità tramite log e diagnostica proporzionati: legittimo interesse, con impostazioni utente ove disponibili per invio diagnostica o salvataggi automatici.
  • Usare statistiche non essenziali del sito e strumenti marketing: consenso, revocabile in ogni momento dalle preferenze cookie o dalle impostazioni del browser.
  • Erogare funzioni AI e generare output richiesti dall'utente: esecuzione del servizio e legittimo interesse a misurare costi, limiti, sicurezza e abuso.

Conferimento dei dati

I dati richiesti nei form, in fase di account, nei pagamenti o nei flussi MES sono necessari quando servono a gestire la richiesta, erogare il servizio, adempiere a obblighi contrattuali o proteggere la piattaforma. Il mancato conferimento può impedire risposta, registrazione, uso di una funzione, pagamento, recupero password o accesso a specifiche aree. I dati per statistiche non essenziali sono facoltativi e trattati solo previo consenso.

Cloudflare Turnstile invisibile

Il sito e Gearlab MES usano Cloudflare Turnstile in modalità invisibile per distinguere traffico umano e automatizzato senza mostrare un CAPTCHA tradizionale. Turnstile può trattare segnali tecnici del browser, dell'interazione e della rete necessari alla verifica antibot/antispam. Come richiesto da Cloudflare per la modalità invisibile, l'informativa specifica è disponibile nella Turnstile Privacy Policy.

Decisioni automatizzate e AI

Gearlab non usa i dati per decisioni esclusivamente automatizzate che producano effetti giuridici o analoghi effetti significativi sull'interessato ai sensi dell'art. 22 GDPR. Le funzioni AI sono assistive: producono bozze, sintesi o suggerimenti che richiedono verifica umana prima di decisioni operative, economiche, tecniche, legali o di sicurezza. I controlli antispam, sicurezza e abuso possono invece bloccare o limitare richieste anomale per proteggere sito, MES e utenti.

Fornitori di servizi tecnici

Gearlab si avvale di fornitori di servizi tecnici che possono trattare dati personali per suo conto. Gli accordi sul trattamento dei dati (DPA) con i singoli fornitori e le relative garanzie di trasferimento sono in corso di verifica e formalizzazione: lo stato è indicato nella pagina Fornitori e accordi. I contenuti incorporati di terze parti (mappe, social) sono invece gestiti dai rispettivi fornitori come titolari autonomi, che determinano in autonomia finalità e mezzi del trattamento. I principali fornitori sono:

  • Supabase (fornitore tecnico): backend cloud della piattaforma, ovvero database, autenticazione, storage, funzioni server e realtime. Documentazione privacy: Supabase DPA.
  • OpenAI (fornitore tecnico): modelli AI conversazionali del gateway AI per generazione testo, sintesi, suggerimenti assistivi e controlli di abuso del servizio AI. Documentazione privacy: OpenAI Data Processing Addendum.
  • Google (Gemini) (fornitore tecnico): modelli AI alternativi del gateway AI, in alternativa o complemento a OpenAI. Documentazione: termini Gemini API.
  • Firebase Cloud Messaging / Google (fornitore tecnico): notifiche push e identificativi tecnici di messaggistica. Documentazione privacy: Firebase Data Processing Terms.
  • Stripe (fornitore tecnico): pagamenti e abbonamenti, fatture, metodo di pagamento e dati antifrode collegati ai pagamenti. Documentazione privacy: Stripe Data Processing Agreement.
  • Resend (fornitore tecnico): email transazionali e notifiche operative, ad esempio recupero password, inviti e richieste dal sito. Documentazione privacy: Resend DPA.
  • Cloudflare (fornitore tecnico): hosting/CDN del sito, rete, sicurezza, header, cache e funzioni, oltre alla verifica antibot Turnstile. Documentazione privacy: Cloudflare Customer DPA e Turnstile Privacy Policy.
  • PostHog (fornitore tecnico): analytics del solo sito marketing, attivati previo consenso, con endpoint UE ove configurato e senza autocapture generalizzato. Documentazione privacy: PostHog DPA.
  • Google Maps e Instagram/Meta (titolari autonomi): contenuti di terze parti incorporati nel sito, ad esempio mappe e profili social, caricati su richiesta quando l'utente li apre o vi interagisce. Per il contenuto incorporato il rispettivo fornitore determina autonomamente finalità e mezzi e tratta i dati come titolare proprio, secondo i propri termini.

Per gli eventuali trasferimenti di dati fuori dallo Spazio Economico Europeo si applicano i meccanismi previsti dalla normativa, ad esempio Clausole contrattuali standard o decisioni di adeguatezza, secondo i termini di ciascun fornitore. La verifica puntuale del meccanismo applicabile a ogni fornitore è in corso nell'ambito della formalizzazione degli accordi: lo stato è indicato nella pagina Fornitori e accordi. PostHog è configurato con endpoint nell'Unione Europea.

Tempi di conservazione

  • Richieste da sito o email: per il tempo necessario alla gestione del contatto e, se nasce un rapporto commerciale, per la durata del rapporto e gli obblighi successivi.
  • Dati contrattuali, contabili e fatturazione: per i termini richiesti dalla normativa fiscale e civilistica, di norma fino a 10 anni dove applicabile.
  • Account e identità: finché l'account resta attivo; alla cessazione, cancellazione o anonimizzazione salvo obblighi di conservazione.
  • Dati operativi MES e documenti caricati: finché l'account o la facility restano attivi, salvo cancellazione richiesta dall'amministratore o obblighi di conservazione; la retention finale segue le istruzioni del cliente titolare.
  • Notifiche e token dispositivo: per un periodo proporzionato alla categoria e severità della notifica; i token dispositivo sono soggetti a scadenza o revoca.
  • Diagnostica ed error report: per periodi limitati e proporzionati a sicurezza, debug e prova delle operazioni, salvo necessità di indagine o difesa legale; i report sono minimizzati e redatti ove possibile.
  • Dati AI e cronologia conversazioni: finché necessari a fornire la funzione, ricostruire il contesto e controllare quote, abuso e costi, con possibilità di cancellazione secondo le funzionalità disponibili; i prompt conservati sono minimizzati e i metadati di spesa separati dal contenuto.
  • Analytics del sito: secondo la configurazione e la scelta cookie; il consenso può essere revocato per le visite successive.
  • Backup ed export: per una finestra di rotazione proporzionata, con cancellazione o sovrascrittura periodica.
  • Storage locale, cache offline, download e artifact: fino a cancellazione da parte dell'utente, logout, pulizia browser o impostazioni applicative.

Sicurezza

Gearlab adotta misure tecniche e organizzative adeguate: HTTPS, Content Security Policy, protezione di rete e antibot, segregazione dei dati per facility, ruoli e permessi, controlli di accesso sul backend cloud, accesso minimo ai dati, gestione dei segreti lato server, log di audit, controlli su funzioni sensibili, sanitizzazione dei report errore e review periodica delle configurazioni. L'obiettivo è ridurre esposizione, abuso e accessi non autorizzati; nessun sistema può però garantire una sicurezza assoluta.

Diritti dell'interessato

Nei limiti previsti dal GDPR puoi chiedere accesso, rettifica, cancellazione, limitazione, opposizione, portabilità dei dati e revoca del consenso. Puoi inoltre chiedere informazioni sui fornitori e sulle garanzie di trasferimento. Per esercitare i diritti scrivi a info@gearlab3d.com. Quando Gearlab agisce come responsabile per i dati operativi della facility, le richieste vengono gestite in coordinamento con il cliente titolare.

Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali. Prima del reclamo puoi contattarci: gestiremo la richiesta e, se serve, coinvolgeremo i fornitori interessati.

Reclamo al Garante

Indipendentemente dalla possibilità di contattare Gearlab, hai sempre il diritto di proporre reclamo all'autorità di controllo (art. 77 GDPR). In Italia l'autorità competente è il Garante per la protezione dei dati personali. Questo diritto è autonomo e ulteriore rispetto al contatto con Gearlab: puoi rivolgerti direttamente al Garante anche senza averci prima contattato.

I recapiti del Garante sono indicati alla data di redazione; in caso di dubbio verifica i recapiti aggiornati sul sito ufficiale.

Cookie e preferenze

Gli strumenti strettamente necessari servono a sicurezza, consegna pagine, sessioni e invio form. Gli strumenti analytics non essenziali vengono attivati solo dopo consenso. I dettagli sono nella Cookie policy.

Documenti collegati

Aggiornamenti

Gearlab può aggiornare questa informativa quando cambiano servizi, fornitori, funzioni MES, trattamenti AI, obblighi legali o assetto societario. La versione pubblicata su questa pagina sostituisce le precedenti dalla data indicata in alto.