The Controller of personal data collected through the website www.excellis.vc and the @excellis.vc email accounts is:

Newlogia S.r.l. Unipersonale is the sponsoring company of the fund Excellis Ventures — Fund I (a Luxembourg SCSp managed by a sub-threshold AIFM) and processes the personal data collected through the institutional website and operational contact channels as an autonomous Controller within the meaning of Article 4(7) GDPR.

The Controller has not appointed a Data Protection Officer (DPO) under Article 37 GDPR, as its processing activities do not fall within those that mandatorily require such a figure. All requests relating to personal data processing can be addressed directly to the Controller at the contacts above.

Il Titolare del trattamento dei dati personali raccolti tramite il sito www.excellis.vc e le caselle di posta @excellis.vc è:

Newlogia S.r.l. Unipersonale è la società promotrice del fondo Excellis Ventures — Fund I (SCSp lussemburghese gestita da AIFM sub-threshold) e tratta in qualità di Titolare autonomo, ai sensi dell’art. 4(7) GDPR, i dati personali raccolti attraverso il sito istituzionale e i canali di contatto operativi.

Il Titolare non ha designato un Responsabile della Protezione dei Dati (RPD/DPO) ai sensi dell’art. 37 GDPR, in quanto le proprie attività di trattamento non rientrano tra quelle che richiedono tale figura obbligatoriamente. Tutte le richieste relative al trattamento dei dati personali possono essere indirizzate direttamente al Titolare ai recapiti sopra indicati.

Through the website and contact channels, the following categories of data may be collected:

• Contact data: first and last name, email address, any phone numbers or social profiles voluntarily shared in communications.
• Professional data: role, organization, sector, professional experience and any other information voluntarily provided in messages.
• Data on entrepreneurial projects: startup descriptions, business plans, pitch decks, technical and scientific data, confidential materials that founders choose to share voluntarily when reaching out via the founders channel.
• Browsing data: IP address, browser type, operating system, pages visited, date and time of access. This data is collected automatically by the hosting provider in technical logs for security and service operation purposes.
• Data stored locally on the device (localStorage): the website stores in the user’s browser the language preference (Italian/English) and minor interface settings. This data remains on the user’s device and is not transmitted to the Controller.

The website does not use profiling cookies, advertising trackers or analytics tools of any kind.

Attraverso il sito e i canali di contatto possono essere raccolte le seguenti categorie di dati:

• Dati di contatto: nome e cognome, indirizzo email, eventuali numeri di telefono o profili social condivisi spontaneamente nelle comunicazioni.
• Dati professionali: ruolo, organizzazione, settore di attività, esperienza professionale e qualsiasi altra informazione fornita spontaneamente nei messaggi.
• Dati relativi a progetti imprenditoriali: descrizioni di startup, business plan, pitch deck, dati tecnici e scientifici, materiali confidenziali che i founder decidano spontaneamente di condividere contattando il canale dedicato.
• Dati di navigazione: indirizzo IP, tipo di browser, sistema operativo, pagine visitate, data e ora di accesso. Questi dati sono raccolti automaticamente dal provider di hosting nei propri log tecnici per finalità di sicurezza e funzionamento del servizio.
• Dati salvati localmente sul dispositivo (localStorage): il sito memorizza nel browser dell’utente la preferenza di lingua (italiano/inglese) e piccole impostazioni di interfaccia. Tali dati restano sul dispositivo dell’utente e non sono trasmessi al Titolare.

Il sito non utilizza cookie di profilazione, tracker pubblicitari o strumenti di analytics di alcun tipo.

Personal data are processed for the following purposes, each based on a specific legal ground pursuant to Article 6 GDPR:

• (a) Evaluation of investment opportunities (founders channel, deals@excellis.vc): management of proposals from founders and startups, evaluation of fit with the fund’s investment thesis, preliminary due diligence, archiving of materials received. Legal basis: execution of pre-contractual measures at the data subject’s request (Art. 6.1.b) and legitimate interest of the Controller (Art. 6.1.f) in the assessment of business opportunities.
• (b) Relations with ecosystem partners (network@excellis.vc): management of communications with senior operators, sector experts, industrial partners interested in collaborating with Excellis Ventures and its portfolio companies. Legal basis: legitimate interest of the Controller (Art. 6.1.f) in the development and maintenance of its professional network.
• (c) Relations with institutional investors (lp@excellis.vc): management of communications under a reverse-solicitation regime with professional or well-informed investors within the meaning of Annex II MiFID II. Communications occur exclusively at the investor’s own initiative. Legal basis: execution of pre-contractual measures at the data subject’s request (Art. 6.1.b) and compliance with legal obligations on anti-money laundering and investor suitability (Art. 6.1.c).
• (d) Website security and technical logs: abuse prevention, debugging, operational maintenance of the web infrastructure. Legal basis: legitimate interest of the Controller (Art. 6.1.f) in the IT security of the service.
• (e) Compliance with legal obligations: response to requests from competent authorities, tax and accounting obligations. Legal basis: compliance with a legal obligation (Art. 6.1.c).

I dati personali sono trattati per le seguenti finalità, ciascuna fondata su una specifica base giuridica ai sensi dell’art. 6 GDPR:

• (a) Valutazione di opportunità di investimento (canale founder, deals@excellis.vc): gestione delle proposte di founder e startup, valutazione del fit con la tesi di investimento del fondo, due diligence preliminare, archiviazione dei materiali ricevuti. Base giuridica: esecuzione di misure precontrattuali su richiesta dell’interessato (art. 6.1.b) e legittimo interesse del Titolare (art. 6.1.f) nella valutazione di opportunità di business.
• (b) Relazioni con i partner dell’ecosistema (network@excellis.vc): gestione delle comunicazioni con operatori senior, esperti di settore, partner industriali interessati a collaborare con Excellis Ventures e con le partecipate del portafoglio. Base giuridica: legittimo interesse del Titolare (art. 6.1.f) nello sviluppo e mantenimento della propria rete professionale.
• (c) Relazioni con investitori istituzionali (lp@excellis.vc): gestione delle comunicazioni in regime di reverse solicitation con investitori professionali o ben informati ai sensi dell’Allegato II MiFID II. Le comunicazioni avvengono esclusivamente su iniziativa dell’investitore. Base giuridica: esecuzione di misure precontrattuali su richiesta dell’interessato (art. 6.1.b) e adempimento di obblighi di legge in materia di antiriciclaggio e idoneità dell’investitore (art. 6.1.c).
• (d) Sicurezza del sito e log tecnici: prevenzione abusi, debug, mantenimento operativo dell’infrastruttura web. Base giuridica: legittimo interesse del Titolare (art. 6.1.f) nella sicurezza informatica del servizio.
• (e) Adempimento di obblighi di legge: risposta a richieste di autorità competenti, adempimenti fiscali e contabili. Base giuridica: adempimento di un obbligo legale (art. 6.1.c).

The provision of data is voluntary. However, failure to provide the minimum contact details (name and email address) will make it impossible for the Controller to respond to requests or initiate any form of dialogue. For data relating to entrepreneurial projects or confidential materials submitted via the founders channel, the Controller’s evaluation of the opportunity necessarily requires the availability of such information.

For communications under the institutional-investors channel, the additional data required for legally mandated checks (e.g. anti-money laundering, investor classification under MiFID II) must be provided in order to proceed beyond the initial contact.

Il conferimento dei dati è facoltativo. Tuttavia, il mancato conferimento dei dati di contatto minimi (nome e indirizzo email) renderà impossibile per il Titolare rispondere alle richieste o avviare qualsiasi forma di dialogo. Per i dati relativi a progetti imprenditoriali o materiali confidenziali inviati tramite il canale founder, la valutazione dell’opportunità da parte del Titolare richiede necessariamente la disponibilità di tali informazioni.

Per le comunicazioni del canale investitori istituzionali, i dati aggiuntivi richiesti per le verifiche imposte dalla normativa applicabile (es. antiriciclaggio, classificazione dell’investitore ai sensi della MiFID II) devono essere forniti per procedere oltre il primo contatto.

Personal data are processed using electronic, manual and paper tools, adopting technical and organisational measures appropriate to ensure a level of security commensurate with the risk, in accordance with Article 32 GDPR.

Data may be communicated to the following categories of recipients, appointed as Data Processors pursuant to Article 28 GDPR where applicable:

• Hostinger International Ltd. (Vilnius, Lithuania, EU) — provider of web hosting services and management of the @excellis.vc email mailboxes. Data are hosted on data centres selected by the provider, ordinarily within the European Union.
• Professional service providers (chartered accountants, legal counsel, auditors) acting for the Controller, strictly within the limits required to perform the assigned engagements and the related legal obligations.
• Members of the Excellis Ventures operating team and of the fund’s Advisory Board who take part in the evaluation of investment opportunities or in the management of ecosystem relations, as persons authorised to process data under Article 29 GDPR.
• Public and supervisory authorities in compliance with legal obligations.

Personal data are in no case disseminated or communicated to third parties for marketing purposes.

I dati personali sono trattati con strumenti elettronici, manuali e cartacei, adottando misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, in conformità con l’art. 32 GDPR.

I dati possono essere comunicati alle seguenti categorie di destinatari, nominati Responsabili del Trattamento ai sensi dell’art. 28 GDPR ove ricorrano i presupposti:

• Hostinger International Ltd. (Vilnius, Lituania, UE) — fornitore di servizi di hosting web e di gestione delle caselle di posta @excellis.vc. I dati sono ospitati su data center selezionati dal provider, di norma all’interno dell’Unione Europea.
• Soggetti che svolgono attività professionali in favore del Titolare (commercialisti, consulenti legali, revisori), nei limiti strettamente necessari all’esecuzione degli incarichi affidati e ai relativi obblighi di legge.
• Membri del team operativo di Excellis Ventures e dell’Advisory Board del fondo che partecipano alla valutazione delle opportunità di investimento o alla gestione delle relazioni con i partner dell’ecosistema, in qualità di soggetti autorizzati al trattamento ai sensi dell’art. 29 GDPR.
• Autorità pubbliche e di vigilanza in adempimento di obblighi di legge.

I dati non sono in alcun caso oggetto di diffusione o di comunicazione a soggetti terzi per finalità di marketing.

The Controller does not intentionally transfer personal data outside the European Economic Area.

The website loads certain technical resources (the typefaces DM Serif Text and Inter) from the Google Fonts service, provided by Google LLC based in the United States. Loading these resources entails the automatic transmission of the user’s IP address to Google servers, solely for the time required to download the files. Such transfer takes place on the basis of the European Commission’s adequacy decision concerning the EU-U.S. Data Privacy Framework (Implementing Decision (EU) 2023/1795 of 10 July 2023), to which Google LLC has subscribed. No further categories of identifying data are transmitted.

Should the user wish to prevent this transfer, browser extensions are available that block external font loading or replace it with local fonts.

Il Titolare non trasferisce intenzionalmente dati personali al di fuori dello Spazio Economico Europeo.

Il sito carica alcune risorse tecniche (i font tipografici DM Serif Text e Inter) dal servizio Google Fonts, fornito da Google LLC con sede negli Stati Uniti. Il caricamento di tali risorse comporta la trasmissione automatica del solo indirizzo IP dell’utente ai server di Google, esclusivamente per il tempo necessario al download dei file. Tale trasferimento avviene sulla base della decisione di adeguatezza della Commissione Europea relativa al EU-U.S. Data Privacy Framework (Decisione di esecuzione UE 2023/1795 del 10 luglio 2023), cui Google LLC ha aderito. Non vengono trasmesse altre categorie di dati identificativi.

L’utente che desideri impedire tale trasferimento può ricorrere a estensioni del browser che bloccano il caricamento di font esterni o lo sostituiscono con font locali.

Personal data are retained for the time strictly necessary to pursue the purposes for which they were collected:

• Contact data and email communications relating to evaluations of investment opportunities or ecosystem relations: for the duration of the relationship and for a maximum of 36 months from the last useful contact, unless a subsequent consent is given or a contractual relationship is established.
• Data relating to investors (lp@ channel): for the duration of the relationship and for the following 10 years, in compliance with anti-money-laundering (Italian Legislative Decree 231/2007 as amended) and tax obligations.
• Technical browsing logs: for the time necessary for IT security purposes, in any case no longer than 12 months, consistent with the guidance of the Italian Data Protection Authority.
• Data relating to legal obligations: for the time provided by the applicable legislation (ordinarily 10 years for tax and accounting documents).

At the end of the above periods, data are deleted or anonymised irreversibly.

I dati personali sono conservati per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti:

• Dati di contatto e comunicazioni email legate a valutazioni di opportunità di investimento o relazioni con l’ecosistema: per la durata della relazione e per un periodo massimo di 36 mesi dall’ultimo contatto utile, salvo successivo consenso o instaurazione di un rapporto contrattuale.
• Dati relativi a investitori (canale lp@): per la durata del rapporto e per i 10 anni successivi, in adempimento degli obblighi di legge in materia di antiriciclaggio (D.Lgs. 231/2007 e s.m.i.) e fiscali.
• Log tecnici di navigazione: per il tempo necessario alle finalità di sicurezza informatica, comunque non oltre 12 mesi, in coerenza con le indicazioni del Garante per la protezione dei dati personali.
• Dati relativi a obblighi di legge: per il tempo previsto dalla normativa applicabile (di norma 10 anni per documenti fiscali e contabili).

Al termine dei suddetti periodi, i dati sono cancellati o anonimizzati in modo irreversibile.

At any time, you may exercise the following rights vis-à-vis the Controller, provided by Articles 15-22 GDPR:

• Access (Art. 15): obtain confirmation of whether your data are being processed and receive a copy of them.
• Rectification (Art. 16): obtain correction of inaccurate data or completion of incomplete data.
• Erasure (Art. 17): obtain deletion of your data where the conditions set by law apply.
• Restriction of processing (Art. 18): obtain suspension of processing in specified cases.
• Data portability (Art. 20): receive in a structured format the data you have provided, where technically feasible.
• Objection (Art. 21): object to processing based on the Controller’s legitimate interest.
• Withdrawal of consent: where processing is based on consent, withdraw it at any time, without affecting the lawfulness of processing carried out before withdrawal.

To exercise these rights, simply send a written request to info@newlogia.it. The Controller will reply without undue delay and in any case within one month of receipt of the request.

Right to lodge a complaint: you also have the right to lodge a complaint with the competent supervisory authority — in Italy, the Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

In qualunque momento, l’interessato può esercitare nei confronti del Titolare i seguenti diritti previsti dagli artt. 15-22 GDPR:

• Accesso (art. 15): ottenere conferma dell’esistenza di un trattamento dei propri dati e ricevere copia degli stessi.
• Rettifica (art. 16): ottenere la correzione di dati inesatti o l’integrazione di dati incompleti.
• Cancellazione (art. 17): ottenere la cancellazione dei dati quando ricorrono le condizioni previste dalla legge.
• Limitazione del trattamento (art. 18): ottenere la sospensione del trattamento in casi specifici.
• Portabilità dei dati (art. 20): ricevere in formato strutturato i dati forniti, ove tecnicamente possibile.
• Opposizione (art. 21): opporsi al trattamento fondato sul legittimo interesse del Titolare.
• Revoca del consenso: ove il trattamento sia fondato sul consenso, revocarlo in qualunque momento, fermo restando la liceità del trattamento basato sul consenso prima della revoca.

Per esercitare tali diritti, è sufficiente inviare una richiesta scritta a info@newlogia.it. Il Titolare risponderà senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta.

Diritto di reclamo: l’interessato ha inoltre diritto di proporre reclamo all’Autorità di controllo competente — in Italia, il Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

The Controller adopts technical and organisational measures aimed at preventing unauthorised access, loss, destruction or unlawful processing of data, including in particular:

• Transmission of all website pages exclusively over HTTPS (TLS) protocol.
• Strict access controls to mailboxes and document archives, limited to authorised members of the team and engaged external professionals.
• Periodic review of access permissions and retention of materials.
• Storage of received documents on infrastructure with adequate security standards (encryption at rest, redundant backups managed by the hosting provider).

No automated decision-making, including profiling, is carried out on the data subject within the meaning of Article 22 GDPR.

Il Titolare adotta misure tecniche e organizzative volte a prevenire l’accesso non autorizzato, la perdita, la distruzione o il trattamento illecito dei dati, tra cui in particolare:

• Trasmissione di tutte le pagine del sito esclusivamente tramite protocollo HTTPS (TLS).
• Controlli di accesso rigorosi alle caselle di posta e agli archivi documentali, limitati ai membri autorizzati del team e ai professionisti esterni incaricati.
• Revisione periodica dei permessi di accesso e della conservazione dei materiali.
• Archiviazione dei documenti ricevuti su infrastrutture con standard di sicurezza adeguati (cifratura a riposo, backup ridondati gestiti dal provider di hosting).

Non sono effettuati processi decisionali automatizzati, ivi inclusa la profilazione, nei confronti dell’interessato ai sensi dell’art. 22 GDPR.

The Controller reserves the right to amend, update or supplement this notice, including in light of changes to the applicable legislation or to the structure of processing. Material changes will be notified to the user through a notice on the website. The updated version is always available at the URL /privacy.

Il Titolare si riserva il diritto di modificare, aggiornare o integrare la presente informativa, anche in conseguenza di variazioni della normativa applicabile o della struttura del trattamento. Le modifiche sostanziali saranno portate a conoscenza dell’utente attraverso una notifica sul sito. La versione aggiornata è sempre disponibile alla URL /privacy.