Informativa privacy

1. Chi è il titolare del trattamento

Il titolare del trattamento è Nexus Business Partner S.r.l., con sede legale in Via dei Mille 191, 97019 Vittoria (RG), codice fiscale e partita IVA 01897490882, iscritta al Registro delle Imprese del Sud Est Sicilia (REA RG-488772), capitale sociale 10.000,00 € i.v., in persona del legale rappresentante pro tempore.

Per qualunque domanda sulla privacy e per esercitare i tuoi diritti puoi scrivere a assistance.bigbrotherstudio@gmail.com, alla PEC nexusbusinesspartnersrl@pec.it o per posta alla sede legale.

2. Due ruoli diversi: i dati degli utenti e i dati dei clienti degli studi

• Dati delle persone che usano BigBrotherStudio (l'admin che registra lo studio e i collaboratori che invita): per questi dati Nexus Business Partner S.r.l. è titolare del trattamento.
• Dati che uno studio inserisce sui propri clienti (anagrafiche, date di aggiornamento contabile, comunicazioni, riassunti delle email): il titolare è lo studio, che decide quali dati inserire e perché. Nexus Business Partner S.r.l. è responsabile del trattamento (art. 28 GDPR): tratta questi dati solo per fornire il servizio allo studio, secondo le sue istruzioni e l'accordo sul trattamento dei dati che ne fa parte. Se sei cliente di uno studio e vuoi esercitare i tuoi diritti su questi dati, rivolgiti allo studio: noi lo aiutiamo a risponderti.

3. Quali dati trattiamo

Dati dell'account

• nome, cognome, indirizzo email, ruolo nello studio (admin o collaboratore) e nome dello studio;
• la password, che scegli tu: la conserva solo in forma cifrata il servizio di autenticazione, e nessuno (nemmeno noi) può leggerla;
• se entri con «Accedi con Google»: nome, indirizzo email, identificativo dell'account Google ed eventualmente l'immagine del profilo, che Google ci comunica quando lo autorizzi (capitolo 5).

Dati di utilizzo e di sicurezza

• data e ora dell'ultimo accesso;
• il registro delle attività dello studio: chi ha fatto cosa e quando (per esempio inviti, assegnazioni dei clienti, modifiche ai permessi e alle impostazioni), visibile agli admin dello studio;
• i registri tecnici dei server (indirizzo IP, tipo di browser, orari delle richieste), tenuti dai nostri fornitori per il funzionamento e la sicurezza del servizio;
• per le funzioni con intelligenza artificiale, solo numeri: quante richieste, quanto testo e con quale esito, mai il contenuto inviato.

Dati inseriti dallo studio (come responsabile)

• anagrafica dei clienti dello studio: ragione sociale, titolari, codice fiscale, partita IVA, telefono, indirizzi email, note, e dati di lavoro come fatturato, numero di dipendenti, tipo di contabilità e difficoltà di gestione;
• a chi dello studio è assegnato ogni cliente e le date fino a cui IVA e prima nota sono aggiornate;
• le comunicazioni con i clienti: voci scritte a mano, riassunti delle conversazioni incollate (email, chat, SMS, appunti) e, se lo studio la attiva, riassunti delle email lette in sola lettura (capitolo 5);
• i compiti dello studio, con i commenti e i documenti caricati nei compiti (per esempio PDF, Word, Excel e immagini), conservati nello spazio file privato del servizio, nell'Unione europea;
• se l'admin li scrive, i dati dello studio per l'informativa sulla lettura delle email: denominazione, sede, indirizzo per la privacy ed eventuale responsabile della protezione dei dati.

File Excel e CSV importati

Il file si legge nel tuo browser e non viene salvato sui nostri server. Se scegli l'analisi con l'intelligenza artificiale, le righe del file passano dal nostro server all'AI solo per proporre l'importazione (capitolo 6). Si salvano soltanto i clienti che l'admin conferma.

4. Perché li trattiamo e su quale base

• Fornire il servizio: creare e gestire gli account, far lavorare le persone dello studio sui loro clienti, mandare le email di servizio (conferma dell'indirizzo, inviti, recupero della password, avvisi importanti come l'eliminazione dello studio). Base: esecuzione del contratto con lo studio e delle misure richieste dall'utente (art. 6.1.b GDPR) e, per i collaboratori invitati, il legittimo interesse dello studio e nostro a far funzionare il servizio che lo studio ha scelto (art. 6.1.f).
• Sicurezza e prevenzione degli abusi, compresi i registri delle attività e quelli tecnici. Base: legittimo interesse a proteggere il servizio, gli studi e i loro dati (art. 6.1.f).
• Obblighi di legge, per esempio fiscali o richieste delle autorità. Base: obbligo legale (art. 6.1.c).

Non usiamo i dati per pubblicità, non facciamo profilazione e non vendiamo dati a nessuno. Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici sulle persone (art. 22 GDPR).

5. Accesso con Google e dati ricevuti da Google

Accedi con Google

Se scegli «Accedi con Google», chiediamo a Google solo i permessi di base per l'accesso (il tuo nome, il tuo indirizzo email e l'immagine del profilo). Li usiamo solo per creare il tuo account e riconoscerti quando entri, mai per altri scopi.

Lettura delle email in sola lettura (Gmail)

È una funzione facoltativa: resta spenta finché non viene attivata per lo studio, e ogni persona decide se collegare la propria casella (pagina «La tua email»), dando il permesso nella schermata di Google. Ognuno collega solo la propria casella: l'admin dello studio vede solo se è collegata, mai l'indirizzo o le email. Per la lettura delle email il titolare del trattamento è lo studio, che decide se usarla e perché; Nexus Business Partner S.r.l. la fa funzionare come responsabile del trattamento. Prima di collegare la casella, ognuno legge l'Informativa per chi collega la casella email, che nel gestionale ha i dati dello studio, e conferma con una spunta di averla letta: restano la versione letta e la data. Quando è attiva:

• chiediamo a Google un solo permesso, di sola lettura (gmail.readonly): BigBrotherStudio non può inviare, rispondere, inoltrare, creare bozze, spostare, etichettare o eliminare email. Se Google ci desse un permesso diverso, lo rifiutiamo e lo revochiamo subito;
• il nostro server controlla la casella ogni 10 minuti, dalle 8 alle 21, dal lunedì al sabato, e quando qualcuno dello studio preme «Aggiorna ora». Guarda solo le email arrivate o inviate dopo il collegamento: quelle che c'erano prima non le legge mai;
• di ogni email nuova il server guarda prima solo mittente e destinatari (senza il testo) e li confronta con gli indirizzi email registrati per i clienti dello studio. Le email in cui non compare un cliente vengono ignorate: il testo non viene aperto, l'AI non le vede e non salviamo niente di loro, né il mittente, né l'oggetto, né l'identificativo del messaggio. Teniamo solo il loro numero (per esempio «12 email ignorate»), per 30 giorni;
• delle email dei clienti, il testo viene mandato all'intelligenza artificiale (capitolo 6) per scriverne un riassunto nella scheda del cliente. Conserviamo il riassunto, mittente e destinatari, oggetto, data, i nomi degli allegati e gli identificativi del messaggio e della conversazione (per non scrivere due volte la stessa email e per tenere insieme le risposte). Il testo completo delle email non viene salvato (resta in memoria solo i secondi necessari, mai nei registri tecnici) e gli allegati non vengono mai aperti né scaricati;
• le email restano «non lette» nella tua casella finché non le apri tu;
• i riassunti li vedono solo le persone dello studio che possono vedere quel cliente. Nessuna persona di Nexus Business Partner S.r.l. legge le tue email o i riassunti, salvo che tu o lo studio lo chiediate per assistenza, per motivi di sicurezza o per obbligo di legge;
• il permesso di Google è conservato cifrato sul server e puoi revocarlo quando vuoi, con «Scollega» in BigBrotherStudio oppure dal tuo account Google (myaccount.google.com/permissions). Lo revochiamo noi presso Google anche quando il tuo account nello studio viene disattivato o sospeso e quando lo studio viene eliminato.

Uso limitato dei dati ricevuti da Google

L'uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di BigBrotherStudio rispettano le Norme sui dati utente dei servizi API di Google (Google API Services User Data Policy), compresi i requisiti di Uso limitato (Limited Use). BigBrotherStudio's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

In particolare, i dati ricevuti da Google servono solo alle funzioni descritte qui sopra e visibili a chi usa il servizio; non vengono usati per pubblicità, non vengono venduti, non vengono usati per addestrare modelli di intelligenza artificiale (né da noi né dal fornitore dell'AI) e vengono comunicati ad altri solo come scritto nel capitolo 7, per fornire il servizio.

6. Intelligenza artificiale

Alcune funzioni usano Claude, il modello di intelligenza artificiale di Anthropic PBC (Stati Uniti), tramite il suo servizio per aziende:

• «Importa da Excel», se l'admin sceglie l'analisi con l'AI: le righe del file;
• «Incolla una conversazione»: il testo incollato (un'email, una chat, SMS, gli appunti di una telefonata o di un incontro), per proporre data, canale e riassunto;
• la lettura delle email, se attiva: il testo delle email dei clienti e, per capire il filo del discorso, i riassunti precedenti della stessa conversazione.

All'AI mandiamo solo questo, mai password o permessi di accesso, e mai le email che non riguardano un cliente. Secondo le condizioni commerciali di Anthropic, i dati non vengono usati per addestrare i modelli e, con il modello usato da BigBrotherStudio, di norma Anthropic non li conserva dopo aver risposto: li conserva solo se la legge lo impone o se i suoi controlli di sicurezza segnalano un contenuto (in questo caso fino a 2 anni). L'importazione e i riassunti delle conversazioni incollate si salvano solo dopo la conferma di una persona (il testo incollato non si salva nel servizio); i riassunti delle email lette in automatico entrano da soli nella scheda del cliente, segnati come «Riassunto automatico». L'AI può sbagliare: lo studio verifica le informazioni importanti.

7. Dove sono i dati e chi li tratta per noi

Database, account e file di BigBrotherStudio sono ospitati nell'Unione europea. Per fornire il servizio ci appoggiamo a questi fornitori, che trattano i dati per nostro conto come responsabili o sub-responsabili del trattamento, con accordi che li obbligano alla riservatezza e alla sicurezza:

• Supabase Inc.: database, autenticazione e archivio dei file, con i dati in un centro dati dell'Unione europea (Francoforte, Germania);
• Vercel Inc. (Stati Uniti): pubblicazione del sito, con le funzioni del server nella regione di Francoforte;
• Sendinblue SAS (Brevo) (Francia): invio delle email di servizio;
• Anthropic PBC (Stati Uniti): intelligenza artificiale (capitolo 6);
• Google: accesso con Google e, se attivata, lettura delle email in sola lettura (capitolo 5).

Alcuni di questi fornitori hanno sede negli Stati Uniti o possono trattare dati fuori dall'Unione europea: in questi casi il trasferimento avviene con le garanzie previste dal GDPR, cioè le clausole contrattuali standard approvate dalla Commissione europea e, dove il fornitore vi aderisce, il quadro EU-USA per la protezione dei dati (EU-U.S. Data Privacy Framework). Oltre a questi fornitori, comunichiamo dati solo alle autorità quando la legge lo impone.

8. Per quanto tempo conserviamo i dati

• Account e dati dello studio: finché lo studio usa il servizio. Una persona disattivata non entra più, ma il suo nome resta nello storico dello studio.
• Studio eliminato: per 30 giorni resta «in eliminazione» e l'admin può annullare; poi tutti i dati dello studio e gli account delle sue persone si cancellano per sempre (anche prima, su richiesta).
• Clienti eliminati: restano nel cestino dello studio per 30 giorni, poi si cancellano per sempre.
• Documenti dei compiti: restano finché c'è il compito, anche quando è chiuso; si cancellano per sempre, file compresi, quando lo studio elimina per sempre il cliente del compito (anche dal cestino, dopo i 30 giorni) o quando lo studio viene eliminato. Un file caricato a metà e mai confermato si cancella entro due giorni.
• Copie di sicurezza: il database viene copiato ogni giorno e le copie si tengono 7 giorni; i dati cancellati spariscono anche dalle copie entro 7 giorni. I file dei documenti non sono in queste copie.
• Email: il testo non viene mai conservato, e delle email che non riguardano un cliente non si conserva niente; i riassunti restano finché lo studio non li elimina, insieme al cliente o allo studio. I numeri dei controlli delle caselle (quante email nuove, di clienti, ignorate) si tengono 30 giorni. Il permesso di Google si cancella quando la casella viene scollegata, insieme alla conferma dell'informativa, che resta anche nel registro delle attività dello studio.
• Registri tecnici dei fornitori: per i tempi brevi previsti dai loro servizi, per sicurezza.
• Dati di fatturazione, se previsti dal contratto con lo studio: 10 anni, come chiede la legge (art. 2220 del Codice civile).

9. Sicurezza e riservatezza

• tutte le connessioni sono cifrate (HTTPS);
• ogni studio è separato dagli altri direttamente nel database: le regole di accesso impediscono a una persona di vedere i dati di uno studio che non è il suo, e dentro lo studio ognuno vede solo ciò che il suo ruolo consente;
• password gestite dal servizio di autenticazione, permessi di Google conservati cifrati;
• i documenti caricati nei compiti stanno in uno spazio file privato: non hanno un indirizzo pubblico e si aprono solo con un collegamento temporaneo, valido pochi minuti, creato dopo aver controllato che la persona possa vedere il compito;
• registro delle attività delle operazioni importanti e copie di sicurezza giornaliere;
• il personale di Nexus Business Partner S.r.l. non consulta i dati dei clienti degli studi: gli strumenti di gestione della piattaforma mostrano solo impostazioni e numeri, mai i dati dei clienti. Un accesso tecnico ai dati avviene solo per assistenza chiesta dallo studio o per obbligo di legge.

10. Cookie

BigBrotherStudio usa solo cookie tecnici, necessari per farti restare collegato dopo l'accesso e per ricordare la lingua che scegli con il selettore in basso a destra (italiano o inglese, per un anno). Non usa cookie di profilazione, di statistica o di terze parti, e i caratteri tipografici vengono serviti dal nostro sito senza chiamare servizi esterni. Per i cookie tecnici non serve il consenso (Linee guida del Garante privacy del 10 giugno 2021).

11. I tuoi diritti

Puoi chiedere in qualsiasi momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato leggibile da un computer (portabilità) e opporti ai trattamenti basati sul legittimo interesse (artt. 15-22 GDPR). Puoi anche revocare in ogni momento il permesso di lettura delle email, senza conseguenze sul resto del servizio.

Scrivi a assistance.bigbrotherstudio@gmail.com oppure alla PEC nexusbusinesspartnersrl@pec.it: rispondiamo entro un mese. Per i dati che uno studio ha inserito sui suoi clienti, la richiesta va fatta allo studio (capitolo 2). Se ritieni che il trattamento violi la legge, puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

12. Minori e modifiche a questa informativa

BigBrotherStudio è un servizio per studi professionali e non è destinato ai minori di 18 anni.

Se questa informativa cambia, pubblichiamo qui la nuova versione con la data di aggiornamento; dei cambiamenti importanti avvisiamo per email gli admin degli studi. Vedi anche i Termini di servizio.