Informativa sulla privacy

Questa informativa spiega quali dati personali trattiamo attraverso il sito xatumia.com e il servizio Xatumia, perché lo facciamo, per quanto tempo li teniamo e quali diritti hai. Riguarda chi visita il sito, chi chiede la prova gratuita, i clienti e le loro persone di riferimento. I documenti che i clienti caricano nel servizio sono un caso a parte, spiegato nella sezione I documenti che i clienti caricano. Anche la chat del sito ha una sezione sua: Chat del sito.

Chi è il titolare del trattamento

Il titolare è KVA di Andreas Zanin, impresa individuale, con sede in Salita al Castello 1, 15019 Strevi (AL), partita IVA 01199720077. Per qualsiasi domanda sui dati scrivi a [email protected] oppure alla PEC [email protected].

Non abbiamo nominato un responsabile della protezione dei dati (RPD): per la nostra attività la legge non lo richiede.

Quali dati trattiamo

Quando visiti il sito

Per mostrarti le pagine, il server registra alcuni dati tecnici: pagina richiesta, data e ora, tipo di browser ed esito. Nei registri del nostro programma l'indirizzo IP è sostituito da un'impronta crittografica, cioè un codice di controllo: non viene salvato in forma leggibile. Il server web del fornitore di hosting conserva anche registri con l'indirizzo IP, per un periodo breve, per proteggere il servizio e risolvere i guasti.

I caratteri e le immagini sono inclusi nel sito. Senza il consenso ai servizi facoltativi, l'unico servizio esterno caricato nelle pagine è Cloudflare, dove c'è un modulo, per il controllo Turnstile descritto più sotto. La chat del sito si collega al suo servizio solo quando la apri: la descrive la sezione Chat del sito. Se accetti «Statistiche» nel banner, carichiamo Google Analytics 4 per raccogliere statistiche sulle visite. Se accetti «Marketing», attiviamo la misurazione delle campagne con Meta, descritta qui sotto. I dettagli sui cookie sono nella pagina Cookie.

Conserviamo sul nostro server le scelte sui servizi facoltativi: categorie accettate o rifiutate, data, versione dell'informativa e modifiche successive. Un codice casuale nel browser permette di ritrovare la scelta e applicare la revoca; nel registro conserviamo solo l'impronta del codice, senza nome, email o indirizzo IP.

Quando accetti la misurazione delle campagne

Usiamo il Pixel e la Conversions API di Meta per collegare le campagne pubblicitarie alle visite su alcune pagine pubbliche, all'invio di una richiesta di prova o del modulo Contatti, all'effettiva attivazione della prova e al primo pagamento dell'abbonamento. Per il pagamento comunichiamo anche importo, valuta e un riferimento casuale. Le richieste di Supporto e i documenti dei clienti sono esclusi.

Dal nostro server inviamo l'email solo dopo averla trasformata con SHA-256, insieme a un identificativo pseudonimo, all'evento e alla sua data. Questa impronta non è un dato anonimo: Meta può confrontarla con un'email già conosciuta. Per gli eventi del browser possono essere presenti il tipo di browser e gli identificativi _fbp e _fbc. Non inviamo alla Conversions API nome, telefono, messaggi o indirizzo IP. Il Pixel, collegandosi direttamente a Meta, comunica anche i dati tecnici della connessione, compreso l'indirizzo IP. Non attiviamo la raccolta automatica dei campi dei moduli.

La base è il tuo consenso «Marketing», separato dalle statistiche e facoltativo. Meta Platforms Ireland Limited tratta i dati secondo la sua informativa sulla privacy e i termini degli strumenti per le aziende, anche per collegare le interazioni ai suoi servizi e misurare o personalizzare le pubblicità. Le rispettive responsabilità sono descritte nell'accordo di contitolarità di Meta.

Quando chiedi la prova

Con il modulo Richiedi la prova raccogliamo: ragione sociale e partita IVA dell'azienda, l'email a cui mandarti i dati di accesso, nome e cognome della persona di riferimento, telefono (facoltativo), settore, gestionale usato, numero di ordini al giorno, come arrivano gli ordini, computer dell'ufficio (Windows o Mac), il messaggio (facoltativo) e la data in cui hai preso visione di questa informativa. Insieme alla richiesta conserviamo l'impronta dell'indirizzo IP da cui l'hai inviata.

I moduli del sito e quelli dell'area riservata e del pannello admin per accedere o recuperare la password si difendono dagli invii automatici con un campo nascosto, un controllo del tempo di compilazione, un limite di invii per indirizzo e il controllo Turnstile di Cloudflare, che verifica che a inviare sia una persona: per farlo Cloudflare tratta l'indirizzo IP e dati tecnici del browser e del dispositivo, solo per questa verifica e non per la pubblicità.

Quando diventi cliente

• Dati dell'azienda e dati per la fattura: ragione sociale, partita IVA, codice fiscale, indirizzo, codice destinatario o PEC per la fattura elettronica, email di fatturazione. Ogni pagamento ne conserva una copia, quella con cui emettiamo la fattura elettronica.
• Persone di riferimento: nome, email, telefono e ruolo dell'amministratore dell'account.
• Persone che entrano dal browser: nome ed email di ogni persona invitata dall'amministratore dell'account. All'indirizzo indicato inviamo il link per scegliere la password. Registriamo anche il permesso di modificare le impostazioni comuni, l'eventuale data di fine dell'accesso e la data dell'ultimo accesso. Le password sono conservate solo come impronta crittografica, non in forma leggibile.
• Operatori: nome e nome utente di ogni persona autorizzata dall'azienda a usare il programma. Anche le loro password sono conservate solo come impronta crittografica, non in forma leggibile.
• Pagamenti: esito, importo e data. Carte e conti passano da Stripe: noi non vediamo né conserviamo il numero completo della carta.
• Registro delle attività: chi ha fatto cosa e quando nell'area riservata, nel programma e dal browser (accessi, attivazione dei computer, caricamenti, approvazioni, modifiche alle regole), senza il contenuto dei documenti.
• Accettazione dei contratti: data, ora, indirizzo IP, browser e versione del testo accettato.

Quando ci scrivi

Con i moduli delle pagine Contatti e Supporto raccogliamo nome e cognome, azienda, email, telefono facoltativo e messaggio. Se apri il modulo dal programma, riceviamo anche la versione di Xatumia, il sistema operativo e il nome del computer, per capire meglio il problema. Se ci contatti direttamente per email, trattiamo i dati che ci invii per rispondere alla richiesta. Ti rispondiamo per email; non inviamo risposte automatiche o pubblicità a seguito di questi messaggi.

Se scegli di scriverci su WhatsApp, riceviamo il numero, il nome del profilo e i messaggi che ci invii, per rispondere alla richiesta. Il pulsante sul sito è un semplice collegamento: WhatsApp si apre solo quando lo premi e non viene caricato nelle pagine. Il servizio è fornito da WhatsApp Ireland Limited, che tratta i dati secondo la sua informativa sulla privacy. Puoi sempre usare il modulo o l'email al posto di WhatsApp.

Perché li trattiamo, su quale base e per quanto tempo

Sei obbligato a darci i dati?

I dati richiesti nei campi obbligatori servono a valutare la richiesta e ad attivare la prova. Se non li fornisci, non possiamo procedere. I dati di fatturazione servono per l'abbonamento e per gli obblighi fiscali. Il consenso ai servizi di statistica e marketing disponibili nel banner è facoltativo: se lo neghi, il sito e il servizio funzionano lo stesso.

A chi arrivano i dati

Non vendiamo i dati. Li condividiamo con i fornitori necessari al servizio e, solo con il consenso, con quelli dei servizi facoltativi. Quando agiscono per nostro conto, li vincoliamo con un accordo sul trattamento dei dati (art. 28):

• il nostro fornitore di hosting, con server in Francia, che ospita sito, database e documenti, e il fornitore del server della chat, anch'esso in Francia;
• un servizio di invio email, per le email di servizio;
• Stripe Payments Europe, Limited (Irlanda), per i pagamenti con carta e con addebito SEPA; per gli obblighi antiriciclaggio e antifrode Stripe agisce come titolare autonomo, secondo la sua informativa;
• Anthropic e OpenAI, per leggere i documenti che i clienti caricano (vedi la sezione I documenti che i clienti caricano), e Anthropic anche per scrivere le risposte della chat (vedi la sezione Chat del sito);
• Cloudflare, Inc. (Stati Uniti), per il controllo Turnstile dei moduli, secondo l'informativa di Cloudflare su Turnstile, e come rete da cui passano le pagine della chat quando la apri;
• Google Ireland Limited (Irlanda), per le statistiche di Google Analytics, solo con il tuo consenso;
• Meta Platforms Ireland Limited (Irlanda), per la misurazione delle campagne, solo con il consenso Marketing e secondo le responsabilità descritte sopra;
• i fornitori dei gestionali collegati dalla tua azienda, limitatamente ai dati scambiati su sua istruzione, come descritto nella sezione Collegamenti al gestionale;
• il nostro commercialista e i consulenti legali, per gli adempimenti e per difendere i nostri diritti.

Comunichiamo i dati alle autorità solo quando la legge lo chiede.

Collegamenti al gestionale scelti dalla tua azienda

Se la tua azienda configura un collegamento diretto, Xatumia scambia dati con il conto del gestionale che hai scelto. I collegamenti a Microsoft Dynamics 365 Business Central, Fatture in Cloud e Odoo si usano solo dopo la configurazione e l’autorizzazione richieste. Non si attivano semplicemente visitando il sito o richiedendo la prova.

• Per importare gli elenchi dal gestionale, Xatumia legge i dati di clienti e articoli necessari al lavoro: codici, descrizioni, unità, prezzi, dati fiscali e recapiti disponibili.
• Per l’invio diretto a Business Central o Fatture in Cloud, dopo l’approvazione trasmette i dati dell’ordine e del cliente, le righe con quantità e prezzi, gli indirizzi di consegna e gli altri campi previsti dal formato scelto.
• Legge inoltre gli identificativi e le impostazioni necessari al collegamento, per esempio l'azienda selezionata, le unità e le aliquote IVA, e registra l'esito delle operazioni.
• Le chiavi e le autorizzazioni necessarie a usare i collegamenti sono conservate cifrate. Non sono mostrate agli operatori né incluse nei file per il gestionale.

Lo scambio avviene per eseguire le istruzioni della tua azienda nell'ambito del contratto e dell'accordo sul trattamento dei dati. I fornitori dei gestionali trattano i dati secondo i contratti e le impostazioni del conto della tua azienda, comprese le condizioni sulla conservazione e sugli eventuali trasferimenti internazionali. Scollegare il gestionale non cancella gli ordini già inviati né gli elenchi già importati in Xatumia.

Trasferimenti fuori dall'Unione europea

Database e documenti stanno su server in Unione europea. Per i servizi gestiti da noi, i trasferimenti fuori dall'Unione europea riguardano:

• i contenuti dei documenti inviati per la lettura ad Anthropic (Anthropic PBC) e a OpenAI, che hanno sede negli Stati Uniti, con le clausole contrattuali standard approvate dalla Commissione europea (decisione di esecuzione (UE) 2021/914);
• il testo delle conversazioni della chat, che Anthropic riceve negli Stati Uniti per scrivere le risposte, con le clausole contrattuali standard;
• i dati tecnici del controllo Turnstile e quelli della connessione quando apri la chat, che Cloudflare, Inc. può trattare negli Stati Uniti con le garanzie del suo accordo sul trattamento dei dati (Data Privacy Framework fra Unione europea e Stati Uniti o clausole contrattuali standard);
• i dati di Google Analytics, che Google può trattare anche negli Stati Uniti con le garanzie del Data Privacy Framework fra Unione europea e Stati Uniti e delle clausole contrattuali standard;
• i dati della misurazione delle campagne, che Meta può trattare fuori dall'Unione europea con le garanzie descritte nella sua informativa sui trasferimenti internazionali;
• i dati trattati da altri fornitori, se hanno server fuori dall'Unione europea: solo in paesi con una decisione di adeguatezza della Commissione europea o con le clausole contrattuali standard.

Puoi chiederci una copia delle garanzie scrivendo a [email protected].

I documenti che i clienti caricano

Gli ordini, i cataloghi, le anagrafiche e le regole che un cliente carica in Xatumia possono contenere dati personali: per esempio il nome e l'email di chi ha scritto l'ordine, o l'indirizzo di consegna. Per questi dati il titolare è il cliente. Noi siamo responsabili del trattamento (art. 28) e li trattiamo solo secondo le istruzioni del cliente, come prevede l'accordo sul trattamento dei dati allegato al contratto di licenza.

Cosa ne facciamo

• Li conserviamo sui nostri server in Unione europea, separati da quelli di ogni altra azienda.
• Per leggere un documento lo mandiamo ad Anthropic oppure a OpenAI: il testo o l'immagine del documento, le righe del catalogo che possono corrispondere, le istruzioni del cliente e alcuni ordini di esempio dello stesso cliente. Mai il catalogo intero e mai dati di altre aziende.
• Il trasferimento verso questi fornitori, negli Stati Uniti, avviene con le clausole contrattuali standard. Per contratto non usano i dati ricevuti per addestrare i loro modelli, e nemmeno noi lo facciamo.
• I nostri registri tecnici non contengono il contenuto dei documenti.

Per quanto tempo

• I file originali (PDF, immagini, fogli di calcolo, email) si cancellano 90 giorni dopo il caricamento.
• I file preparati per il gestionale si cancellano dopo 90 giorni.
• Gli ordini approvati e le righe lette restano per la durata del contratto: servono allo storico e alla memoria delle correzioni.
• I dati di lavoro si cancellano entro 90 giorni dalla fine del servizio, anche quando la prova scade senza abbonamento. Prima puoi scaricarli dall’area riservata. Restano soltanto i dati da conservare per legge.
• Le copie di sicurezza del server, che contengono anche questi dati, sono conservate al massimo 30 giorni, poi sovrascritte: anche i dati cancellati escono dalle copie entro 30 giorni.

Se il tuo nome è in un ordine

Se sei una persona citata in un ordine, per esempio il referente di un cliente del nostro cliente, per esercitare i tuoi diritti rivolgiti all'azienda a cui hai mandato l'ordine. Se scrivi a noi, giriamo la richiesta a quell'azienda.

Chat del sito

Nel sito e nell'area riservata puoi aprire l'Assistente Xatumia, una chat che risponde in automatico alle domande su Xatumia. La chat si carica solo quando premi il pulsante per aprirla: prima, la pagina non si collega al suo servizio.

Quali dati raccogliamo

• Prima di iniziare, un modulo ti chiede nome, email, la tua domanda e, se vuoi indicarla, l'azienda.
• I messaggi che scrivi nella chat e le risposte che ricevi.
• Se scegli «Scrivi al team», l'email e il messaggio che lasci, con una parte della conversazione. Se chiedi la trascrizione, l'indirizzo email a cui mandarla.
• Alcuni dati tecnici: un'impronta dell'indirizzo IP, che non viene salvato in chiaro, il paese, la lingua, il tipo di browser e la pagina da cui hai aperto la chat. Del nostro sito il servizio riceve solo l'indirizzo principale, non la pagina che stavi guardando.
• Nella memoria del browser, un codice casuale della conversazione e il nome che hai scritto nel modulo. Ti permettono di riprendere la conversazione entro 24 ore dall'ultimo messaggio; dopo, la chat ne apre una nuova.

Non scrivere nella chat password, codici di attivazione, dati bancari o dati dei tuoi clienti: non servono per rispondere.

A cosa servono

Servono a rispondere alle tue domande. Il modulo iniziale ci arriva anche per email, con i tuoi contatti e la domanda, così possiamo risponderti noi. Con «Scrivi al team» ci mandi una richiesta e ti rispondiamo per email. Se chiedi la trascrizione, la ricevi all'indirizzo che indichi e noi ne riceviamo una copia. Le risposte automatiche non decidono nulla che abbia effetti giuridici su di te.

Chi li tratta

• La chat funziona con Get Simple Chat, un servizio di KVA di Andreas Zanin, il titolare di questa informativa. Gira su un server in Francia, da cui partono anche le email della chat.
• Le risposte le scrive un modello linguistico di Anthropic, che ha sede negli Stati Uniti: per scriverle riceve il testo della conversazione.
• Le pagine della chat passano dalla rete di Cloudflare, che protegge il servizio: quando apri la chat, l'indirizzo IP e i dati tecnici della connessione transitano da lì.

Le garanzie per i dati che vanno negli Stati Uniti sono nella sezione Trasferimenti fuori dall'Unione europea.

Per quanto tempo li teniamo

• Conversazioni, dati del modulo e richieste al team: 12 mesi dall'ultimo messaggio, poi li cancelliamo.
• Le email che riceviamo dalla chat: il tempo necessario a chiudere la richiesta, poi al massimo 24 mesi, come le altre richieste.
• I registri tecnici del servizio: le chiamate al modello per 90 giorni, senza il testo dei messaggi; gli invii delle email per un anno, con destinatario e oggetto.
• Le copie di sicurezza del server della chat contengono anche questi dati, finché non vengono sostituite da copie nuove.
• Anthropic conserva il testo che riceve per il tempo previsto dai suoi termini per i servizi API.
• Il codice e il nome nella memoria del browser restano finché non li cancelli: lo spiega la pagina Cookie.

Su quale base

Ti rispondiamo per le misure precontrattuali che ci chiedi, o per il contratto se sei già cliente (art. 6, par. 1, lett. b). Negli altri casi, per il nostro legittimo interesse a rispondere a chi ci scrive (art. 6, par. 1, lett. f). La casella del modulo iniziale conferma che hai letto questa informativa: il trattamento non si basa sul consenso.

Diritti e cancellazione

Valgono i diritti descritti nella sezione I tuoi diritti. Per far cancellare la conversazione e i dati che hai inviato con la chat, scrivi a [email protected] indicando l'email che hai usato. Se preferisci non usare la chat, scrivici dalle pagine Contatti o Supporto.

I tuoi diritti

Sui dati che trattiamo come titolare puoi chiederci in qualsiasi momento:

• di sapere quali dati abbiamo e di averne una copia (art. 15);
• di correggerli o completarli (art. 16);
• di cancellarli, quando non servono più o non c'è più una base per trattarli (art. 17);
• di limitarne l'uso, per esempio mentre verifichiamo una tua contestazione (art. 18);
• di riceverli in un formato leggibile da un computer, per portarli altrove (art. 20);
• di opporti ai trattamenti basati sul nostro legittimo interesse (art. 21).

Puoi togliere il consenso ai servizi facoltativi quando vuoi dal pulsante Preferenze cookie. La revoca ferma i nuovi invii e annulla quelli in attesa quando il server la conferma; non modifica la liceità dei trattamenti precedenti. La pagina Cookie spiega anche cosa succede se la connessione non risponde.

Per esercitare i diritti scrivi a [email protected] o alla PEC [email protected]. Rispondiamo entro un mese, che può diventare tre per le richieste complesse (art. 12), dopo aver verificato chi fa la richiesta.

Puoi anche presentare un reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) oppure all'autorità del paese europeo in cui vivi o lavori.

Decisioni automatiche

Non prendiamo decisioni basate solo su un trattamento automatico che abbiano effetti giuridici su di te (art. 22). La prova gratuita si attiva in automatico quando la partita IVA è valida, l'email non è di un servizio di posta temporanea e l'azienda non ha già avuto una prova; se ritieni che un trattamento non sia corretto, la richiesta la controlla una persona, e nessun rifiuto è deciso solo in automatico. Anche nel servizio, ogni ordine va al gestionale solo dopo l'approvazione di una persona.

Come proteggiamo i dati

• Connessioni cifrate fra il programma, il sito e i server.
• Per verificare password e codici di accesso conserviamo impronte crittografiche, non i valori in forma leggibile.
• I dati dei messaggi in attesa di invio o con invio fallito sono conservati cifrati. Dopo l’invio rimuoviamo subito dalla coda password provvisorie, codici e link di accesso. Le copie delle email usate per le verifiche in locale vengono eliminate entro 30 giorni.
• Dati di ogni azienda separati da quelli delle altre, con controlli automatici che lo verificano.
• Registro di chi fa cosa e quando.
• Accesso del nostro personale ai dati di un cliente solo per l'assistenza che ci chiede.

Modifiche a questa informativa

La versione in vigore è questa, con il numero di versione e la data indicati in alto. Se cambiamo qualcosa di importante per i clienti, lo scriviamo nell'area riservata o per email.