Privacy Policy

1. Titolare del trattamento

Il titolare del trattamento dei dati relativi agli account, al sito e alla fatturazione è Overview. Per qualsiasi richiesta sulla privacy scrivi a info@iamcarla.it.

2. Chi decide su quali dati

• Dati dei nostri Clienti e dei visitatori del sito: siamo titolari del trattamento.
• Dati degli Utenti Finali (i clienti e i contatti delle attività che usano Carla, es. chi scrive su WhatsApp a un centro estetico): il titolare è l'attività che usa il Servizio; noi agiamo come responsabile del trattamento (art. 28 GDPR) e trattiamo i dati solo secondo le sue istruzioni. Per esercitare i tuoi diritti su questi dati rivolgiti prima all'attività; ti aiuteremo noi se necessario.

3. Dati che raccogliamo

• Dati di account: nome, email, password (conservata solo in forma di hash), ruolo, lingua. Con "Accedi con Google" riceviamo nome ed email del profilo Google.
• Dati dell'attività: ragione sociale, servizi, orari, listini, tono di voce e altre impostazioni che inserisci.
• Dati di fatturazione: piano, fatture, dati fiscali. I dati della carta sono trattati direttamente da Stripe e non passano dai nostri server.
• Contenuti operativi: lead, clienti, appuntamenti, messaggi (es. WhatsApp, email), post social, conversazioni con l'assistente e Contenuti Generati.
• Dati da integrazioni: dati ricevuti dai servizi che colleghi (Google Calendar, Gmail se abilitato, Meta, Shopify, Zapier, webhook), limitati a quanto necessario per la funzionalità.
• Dati tecnici: indirizzo IP, tipo di browser e dispositivo, log di accesso e di sicurezza, preferenze cookie.

4. Finalità e basi giuridiche

Non vendiamo né affittiamo dati personali.

5. Intelligenza artificiale

Quando usi una funzionalità AI (es. risposta a un messaggio, riepilogo, generazione di un post), inviamo al Fornitore AI solo i dati necessari a quella richiesta e riceviamo il risultato. I Fornitori AI agiscono come nostri sub-responsabili, sulla base di accordi sul trattamento dei dati.

• Nessun addestramento: i dati non sono usati da noi né dai Fornitori AI per addestrare modelli.
• Conservazione presso i Fornitori AI: solo temporanea, per sicurezza e prevenzione abusi, per il periodo previsto dalle loro condizioni (tipicamente fino a 30 giorni).
• Nessuna decisione automatizzata: non adottiamo decisioni basate unicamente su trattamento automatizzato che producano effetti giuridici o analogamente significativi su di te (art. 22 GDPR).
• Dati particolari: il Servizio non è progettato per elaborare con l'AI dati sanitari o altre categorie particolari (art. 9 GDPR).

Le regole complete sono nella sezione "Uso dell'Intelligenza Artificiale" dei Termini di Servizio.

5.1 Integrazione Google Workspace (OAuth) e uso limitato dei dati

Quando colleghi il tuo account Google, Carla accede ai dati autorizzati tramite le API Google Workspace (es. Google Calendar e, se abilitato, Gmail) esclusivamente per fornirti le funzionalità del Servizio. Questi dati possono essere elaborati da Fornitori AI solo in modalità di inferenza per funzionalità rivolte a te; non sono usati per creare, addestrare o migliorare modelli di intelligenza artificiale o machine learning generalizzati, né venduti o trasferiti a tale scopo.

Dichiarazione (Google Limited Use, testo ufficiale in inglese):

The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

6. Destinatari, sub-responsabili e trasferimenti

I dati sono accessibili solo al personale autorizzato e ai fornitori che ci aiutano a erogare il Servizio, vincolati da accordi sul trattamento dei dati. Alcuni fornitori sono attivi solo se colleghi la relativa integrazione.

I trasferimenti fuori dallo Spazio Economico Europeo avvengono solo sulla base di una decisione di adeguatezza (incluso l'EU-US Data Privacy Framework) o di clausole contrattuali standard approvate dalla Commissione europea. Possiamo comunicare dati alle autorità quando richiesto dalla legge.

7. Conservazione

• Account e contenuti operativi: per la durata del contratto; dopo la cessazione hai 30 giorni per esportarli, poi vengono cancellati.
• Conversazioni con l'assistente AI: conservate in forma cifrata; quelle archiviate sono cancellate automaticamente dopo 365 giorni.
• Dati presso i Fornitori AI: tipicamente fino a 30 giorni, solo per sicurezza e prevenzione abusi.
• Dati di fatturazione: 10 anni, come previsto dalla normativa fiscale.
• Log tecnici e di sicurezza: per il tempo strettamente necessario, di norma non oltre 12 mesi.
• Preferenze cookie: 6 mesi, poi ti chiederemo di nuovo.

8. Sicurezza

Adottiamo misure tecniche e organizzative adeguate: cifratura in transito (TLS), cifratura dei token di accesso e delle conversazioni con l'assistente, controllo degli accessi per ruolo, autenticazione a più fattori per gli amministratori, backup e monitoraggio. Nessun sistema è sicuro al 100%: usa password robuste e non condividere le credenziali. In caso di violazione dei dati che ti riguarda ti informeremo come previsto dagli artt. 33 e 34 GDPR.

9. I tuoi diritti

In qualsiasi momento puoi chiedere: accesso ai dati e copia; rettifica; cancellazione; limitazione del trattamento; portabilità in formato strutturato; opposizione al trattamento basato su legittimo interesse e al marketing; revoca del consenso, senza pregiudicare la liceità del trattamento precedente; di non essere sottoposto a decisioni basate unicamente su trattamento automatizzato.

10. Cookie

Usiamo cookie tecnici necessari e, solo con il tuo consenso, cookie di statistica e di marketing. Tutti i dettagli sono nella Cookie Policy. Gestisci le tue preferenze cookie.