Informativa sulla Privacy
Ultimo aggiornamento: 30 aprile 2026
La presente Informativa descrive come Ombra (di seguito, "Titolare") raccoglie, utilizza e protegge i dati personali degli utenti del servizio, in conformità al Regolamento (UE) 2016/679 ("GDPR") e al Codice della Privacy italiano (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).
1. Titolare del trattamento
Il Titolare del trattamento è MB Sistemi SRLS, società a socio unico di diritto italiano, con sede legale in Via Archelao di Mileto 30, 00124 Roma (RM), Italia — P.IVA e Codice Fiscale 18517061000, iscritta al Registro Imprese di Roma, REA RM-1789680, capitale sociale € 3.000,00 interamente versato, PEC mbsistemi@legalmail.it (di seguito anche "Ombra", dal nome del servizio erogato).
Per ogni richiesta relativa ai tuoi dati puoi scrivere a privacy@ombrachat.it o hello@ombrachat.it.
Stai usando Ombra durante la fase beta pubblica: il servizio è gratuito (trial 14 giorni). Se hai esigenze contrattuali B2B specifiche, contattaci e proseguiamo via PEC/email firmata.
2. Tipologie di dati trattati
Il Titolare tratta le seguenti categorie di dati:
- Dati di registrazione: email, nome, cognome, password (memorizzata in forma hashata).
- Dati di fatturazione: ragione sociale, P.IVA, indirizzo, dati pagamento (gestiti tramite Stripe — non memorizziamo numeri di carta).
- Dati di utilizzo: log di accesso, indirizzo IP, user agent, pagine visitate.
- Dati delle conversazioni del bot: messaggi scambiati tra il bot e gli utenti finali del cliente, metadati estratti (intent, sentiment, dati lead).
- Dati della knowledge base: contenuti caricati dal cliente (PDF, URL scansionati, FAQ manuali).
3. Finalità e basi giuridiche
| Finalità | Base giuridica | Conservazione |
|---|---|---|
| Erogazione del servizio | Esecuzione contratto (art. 6.1.b GDPR) | Durata abbonamento + 30gg |
| Fatturazione e adempimenti fiscali | Obbligo legale (art. 6.1.c GDPR) | 10 anni (D.Lgs. 471/97) |
| Sicurezza e prevenzione frodi | Legittimo interesse (art. 6.1.f GDPR) | 12 mesi |
| Comunicazioni di servizio (transazionali) | Esecuzione contratto | Durata abbonamento |
| Marketing diretto (opzionale) | Consenso esplicito | Fino a revoca |
4. Conservazione dei dati
I dati vengono conservati per il tempo strettamente necessario alle finalità sopra indicate. In particolare:
- Conversazioni e lead: 30 giorni dopo la cancellazione dell'account, salvo richiesta esplicita di esportazione o cancellazione anticipata.
- Backup di sicurezza: 30 giorni con cancellazione automatica successiva.
- Audit log: 12 mesi per finalità di sicurezza e analisi forense.
5. Soggetti destinatari (responsabili esterni / sub-processor)
Per erogare il servizio, il Titolare si avvale dei seguenti responsabili esterni che trattano i dati per suo conto, tutti coperti da DPA conforme art. 28 GDPR:
| Fornitore | Finalità | Localizzazione |
|---|---|---|
| Vercel Inc. | Hosting frontend (CDN Edge) | USA (SCC 2021/914) |
| Fly.io Inc. | Hosting backend (server Frankfurt) | USA HQ, server UE (SCC) |
| Supabase Inc. | Database PostgreSQL | USA HQ, DB UE Frankfurt (SCC) |
| Clerk Inc. | Autenticazione + gestione utenti | USA (SCC) |
| Stripe Payments Europe Ltd. | Pagamenti (PCI-DSS) | Irlanda (UE) |
| Sendinblue SA (Brevo) | Email transazionali | Francia (UE) |
| Anthropic PBC | Modello AI Claude (chat principale, estrazione lead e sentiment) | USA (SCC, zero data retention API) |
| OpenAI Inc. | Modello AI GPT-4o (opzionale) | USA (SCC, zero data retention API) |
| Sentry | Error tracking (no dati personali) | USA (SCC) |
| Google Ireland Limited / Google LLC | Google Calendar API e YouTube Data API, solo per i clienti che collegano volontariamente il proprio calendario o canale | Irlanda (UE) / USA (SCC) |
La lista versionata con changelog è pubblicata e mantenuta a ombrachat.it/sub-processors. Notifichiamo via email almeno 30 giorni prima di ogni modifica rilevante.
6. Trasferimenti extra-UE
Per i piani Standard e Pro, alcuni sub-responsabili (Clerk per l'autenticazione) hanno sede negli USA: i trasferimenti sono basati su Clausole Contrattuali Standard approvate dalla Commissione Europea. Per il piano Business è disponibile un'opzione hosting interamente UE-sovrana che esclude qualsiasi trasferimento extra-UE.
6-bis. Dati provenienti da Google (Google Calendar e YouTube)
Questa sezione si applica solo ai clienti che scelgono di collegare a OMBRA il proprio Google Calendar o il proprio canale YouTube. Il collegamento è sempre volontario, richiede il consenso esplicito nella schermata di autorizzazione Google e può essere revocato in qualsiasi momento.
Cosa riceviamo
- Google Calendar: l'indirizzo email dell'account collegato, gli eventi creati o modificati da OMBRA per gli appuntamenti presi dal bot e le fasce orarie in cui l'utente risulta occupato (free/busy). Non leggiamo il contenuto degli altri eventi presenti nel calendario.
- YouTube: identificativo e nome del canale collegato, i commenti pubblici sotto i video del canale (testo, nome pubblico dell'autore, data) e le risposte pubblicate dal canale stesso.
Perché
Esclusivamente per erogare le funzioni richieste dal cliente: creare e aggiornare gli appuntamenti sul calendario, evitare le sovrapposizioni, e leggere e rispondere ai commenti sotto i video del canale collegato.
Uso limitato
L'uso da parte di OMBRA delle informazioni ricevute dalle API di Google rispetta l'Informativa sui dati utente dei servizi API di Google, comprese le prescrizioni sull'uso limitato («Limited Use»). In particolare: non vendiamo questi dati, non li usiamo per pubblicità, non li usiamo per addestrare modelli di intelligenza artificiale, e nessun essere umano li legge salvo consenso esplicito dell'utente, necessità di sicurezza o obbligo di legge.
Per quanto tempo
I dati ottenuti dalle API di YouTube vengono cancellati automaticamente entro 30 giorni, come richiesto dalle YouTube API Services Developer Policies; restano solo gli identificativi tecnici necessari a non rispondere due volte allo stesso commento. I dati di Google Calendar sono conservati per la durata del collegamento e cancellati alla revoca o alla chiusura dell'account.
Come revocare
In qualsiasi momento, dalla dashboard di OMBRA («Scollega») oppure direttamente dalle impostazioni del proprio account Google alla pagina myaccount.google.com/permissions. Alla revoca cancelliamo i token di accesso e i dati collegati.
Riferimenti
- Informativa sulla privacy di Google
- Termini di servizio di YouTube
- Informativa sui dati utente dei servizi API di Google
7. Diritti dell'utente
Ai sensi degli artt. 15-22 del GDPR, l'utente ha diritto a:
- Accedere ai propri dati personali
- Ottenere la rettifica di dati inesatti
- Ottenere la cancellazione dei dati ("diritto all'oblio")
- Limitare il trattamento
- Ottenere la portabilità dei dati in formato strutturato e leggibile da macchina
- Opporsi al trattamento per finalità di marketing
- Revocare il consenso in qualsiasi momento
- Proporre reclamo al Garante per la Protezione dei Dati Personali (www.gpdp.it)
Per esercitare i diritti è possibile usare gli strumenti self-service in dashboard (sezione Privacy) o scrivere a privacy@ombrachat.it. Risposta entro 30 giorni come previsto dal GDPR.
8. Sicurezza
Adottiamo misure tecniche e organizzative adeguate al rischio: cifratura TLS 1.3 in transito, AES-256 a riposo, audit log, backup giornalieri, accesso limitato per principio del minimo privilegio, formazione periodica del personale, verifiche di sicurezza regolari.
9. Cookie
L'uso dei cookie è disciplinato dalla Cookie Policy dedicata.
10. Modifiche all'informativa
Il Titolare può aggiornare la presente Informativa per riflettere modifiche al servizio o alla normativa. Le versioni precedenti restano archiviate e consultabili su richiesta. In caso di modifiche sostanziali, gli utenti registrati saranno notificati via email almeno 30 giorni prima dell'entrata in vigore.
11. Contatti
Per qualsiasi domanda relativa al trattamento dei dati personali: privacy@ombrachat.it.