Informativa sulla privacy

Il titolare del trattamento di tutto ciò che è descritto qui è la società che gestisce PraticaAI.

Il trattamento è svolto in conformità del Regolamento (UE) 2016/679 (GDPR), del D.Lgs. 30 giugno 2003 n. 196 come modificato dal D.Lgs. 101/2018 e, per le funzionalità di intelligenza artificiale, del Regolamento (UE) 2024/1689 (AI Act).

Non siamo tenuti a nominare un Responsabile della protezione dei dati e non lo abbiamo nominato. Le domande sulla privacy arrivano all'indirizzo qui sopra e risponde una persona, non una coda di ticket.

Quattro categorie, e nient'altro.

• Dati dell'account — Nome, cognome e indirizzo email, e il ruolo che avete in ciascuna azienda a cui appartenete. Non esiste una password, quindi non c'è una password da perdere: si accede con un link monouso inviato via email, valido 24 ore.
• Documenti e pratiche — I file che caricate — PDF, immagini, fogli di calcolo — i dati che inserite nelle pratiche e tutto ciò che ne deriva: la classificazione, i campi estratti, le entità riconosciute e i collegamenti fra loro nel grafo aziendale.
• Dati di fatturazione — Se sottoscrivete un piano: il piano, lo stato dell'abbonamento, lo storico delle fatture e il paese usato per calcolare l'IVA. I dati della carta sono raccolti e conservati da Stripe sui propri sistemi e non arrivano mai ai nostri.
• Registri operativi — Gli eventi di audit di ogni operazione sulle pratiche, i consumi delle funzionalità AI — quale modello ha lavorato, quanti token, quanto è costato — che servono a contare i crediti, e i normali log del server, che contengono l'indirizzo IP.

Non c'è nessun prodotto di analytics su questo sito, nessuna rete pubblicitaria, nessun registratore di sessione e nessun contenuto incorporato di terze parti. È anche il motivo per cui non c'è un banner dei cookie, come spiega la cookie policy.

È la clausola che conta di più e non dovrebbe avere bisogno di essere decifrata, quindi è scritta come quattro impegni espliciti.

• I vostri documenti non vengono mai usati per addestrare un modello — né da noi, né dai nostri fornitori. Non concediamo ai provider dei modelli alcun diritto di addestramento su ciò che inviamo per vostro conto, e i loro contratti sono configurati per escluderlo.
• I vostri documenti non vengono mai mostrati ad altri clienti. Ogni pratica, ogni documento e ogni entità appartengono a un tenant, e l'isolamento è applicato a livello di database su ogni singola query. Non esiste un archivio condiviso, e i documenti di un'azienda non possono comparire nella ricerca di un'altra.
• Ai modelli inviamo il minimo che serve a rispondere. Quando un documento viene classificato o un campo estratto, al modello arrivano quel documento e l'istruzione relativa a quella operazione. Non l'archivio, non le altre pratiche. Nulla viene inviato mentre state semplicemente consultando il prodotto.
• Il personale non legge i vostri documenti. L'accesso ai dati di produzione è limitato a quanto serve a far funzionare il servizio ed è usato per un guasto specifico quando ce n'è uno, non per curiosità.

Sui dati personali di terzi contenuti nei documenti che caricate — dipendenti, fornitori, clienti — il titolare del trattamento siete voi, e noi agiamo come responsabile ai sensi dell'art. 28 GDPR, sulla base delle vostre istruzioni. Siete voi a dover disporre delle basi giuridiche necessarie per trattarli.

La cancellazione di una pratica, di un'azienda o dell'account cancella i documenti e tutto ciò che ne è stato derivato: i campi estratti, le entità, i collegamenti e gli indici. È definitiva, e l'applicazione ve lo dice prima.

Dove ci basiamo sull'interesse legittimo lo abbiamo bilanciato con i vostri diritti, e riteniamo che il trattamento sia quello che chi usa uno strumento di lavoro a pagamento si aspetta. Potete comunque opporvi: vedi i diritti più sotto.

Soltanto i fornitori necessari a far funzionare il prodotto. Ognuno è vincolato da un accordo sul trattamento dei dati, agisce solo su nostra istruzione e riceve solo ciò che il suo compito richiede. Non vendiamo dati personali e non li abbiamo mai comunicati a fini pubblicitari.

Possiamo inoltre comunicare i dati alle autorità competenti quando siamo obbligati a farlo — un ordine dell'autorità giudiziaria, una richiesta vincolante — e ve lo diremo tutte le volte in cui ci è consentito.

L'applicazione, il database e l'archivio dei documenti sono ospitati nell'Unione Europea, in Germania. Alcuni dei fornitori elencati sopra operano dagli Stati Uniti.

Quei trasferimenti avvengono sulla base delle Clausole Contrattuali Standard della Commissione Europea, con le misure supplementari che esse richiedono, o dell'adesione del fornitore al Data Privacy Framework, ai sensi degli artt. 45 e 46 GDPR. Potete chiederci copia delle clausole applicabili.

• Account, documenti e pratiche — Fino alla cancellazione della pratica, dell'azienda o dell'account. La chiusura dell'account rimuove i documenti e tutto ciò che ne è stato derivato.
• Link di accesso e sessioni — Il link vale 24 ore, poi è consumato o scade. La sessione dura 30 giorni, o fino alla disconnessione.
• Fatture e dati contabili — Dieci anni, perché la legge fiscale italiana lo impone. Sopravvive alla cancellazione dell'account e non è rinunciabile da nessuna delle due parti.
• Eventi di audit — 24 mesi dall'evento. Sono la traccia di chi ha fatto cosa su una pratica, ed è ciò che rende una decisione ricostruibile.
• Consumi AI — 24 mesi, poi aggregati in cifre che non identificano nessuno.
• Log di accesso — 12 mesi.

I backup sono in ritardo sulla cancellazione. Un dato rimosso dai sistemi in produzione può sopravvivere in un backup cifrato fino alla successiva rotazione; nel frattempo non viene ripristinato.

Ai sensi degli artt. 15-22 del GDPR potete esercitare tutti i diritti che seguono, gratuitamente. Scrivete a privacy@praticaai.it e vi rispondiamo entro un mese.

• Accesso — Copia dei dati personali che vi riguardano e conferma di come li trattiamo.
• Rettifica — Correzione di ciò che è inesatto.
• Cancellazione — Cancellazione dell'account e dei dati. Le fatture sono l'eccezione, per il motivo detto sopra.
• Limitazione e opposizione — Blocco o limitazione del trattamento fondato sull'interesse legittimo.
• Portabilità — I vostri dati in un formato strutturato e leggibile da una macchina. Chiedeteceli e ve li mandiamo.
• Reclamo — Al Garante per la protezione dei dati personali (garanteprivacy.it), o all'autorità del vostro paese se siete altrove nell'Unione. Preferiremmo che lo diceste prima a noi, ma è un vostro diritto in ogni caso.

Non esiste alcun processo decisionale automatizzato che produca effetti giuridici su di voi. Il Servizio classifica documenti e propone corrispondenze; ogni decisione con effetti giuridici, finanziari o operativi richiede la conferma di una persona — vedi i termini e condizioni.

Il traffico è cifrato in transito con TLS 1.3 e i dati sono cifrati a riposo. Non ci sono password da violare, perché non ci sono password: si entra con un link monouso valido 24 ore, e una sessione si chiude dal prodotto. I dati di ogni azienda sono isolati da quelli delle altre a livello di database, ogni operazione lascia una traccia di audit e l'accesso ai sistemi di produzione è limitato a chi ne ha bisogno.

Se si verifica una violazione che rischia di compromettere i vostri diritti, la notifichiamo al Garante entro settantadue ore e ve lo comunichiamo direttamente.

PraticaAI è uno strumento di lavoro rivolto a professionisti e aziende. Non è destinato a minori di sedici anni e non trattiamo consapevolmente i loro dati. Se pensate che un minore abbia creato un account, scriveteci e verrà rimosso.

Quando questa informativa cambia, cambia con essa la data in cima. Se una modifica incide in modo sostanziale sul trattamento dei vostri dati — un nuovo fornitore, una nuova finalità — ve lo comunichiamo via email prima che abbia effetto, invece di contare sul fatto che rileggiate la pagina.