Informativa Privacy

Il titolare del trattamento dei dati descritti in questa informativa è Internetbusiness s.r.l., con sede legale in Via Bonifacio VIII n. 22, 00165 Roma (RM), P.IVA 17111271007 («Internetbusiness», «noi»), che gestisce il sito e il servizio Kera Office (il «Servizio»).

Per domande sul trattamento dei dati puoi scrivere a info@kera-office.io; per le comunicazioni formali e le richieste di esercizio dei diritti puoi usare anche la PEC internetbusiness.srl@pec.it (accettiamo le richieste a entrambi gli indirizzi).

Referente privacy / punto di contatto per la protezione dei dati: Fabio Murolo, raggiungibile agli stessi indirizzi.

Questa informativa, resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR»), riguarda i dati che trattiamo come titolari:

• dei visitatori del sito;
• dei clienti che registrano un'attività sul Servizio (professionisti e imprese) e dei loro referenti;
• degli utenti abilitati dai clienti (amministratori, manager, operatori e collaboratori);
• di chi viene invitato tramite il programma «Invita un amico» e di chi ci contatta per assistenza.

I professionisti e le imprese che usano Kera Office inseriscono nel Servizio, anche tramite chat, WhatsApp ed email, dati dei propri clienti e contatti (ad esempio anagrafiche, recapiti, appunti, documenti, messaggi). Per questi dati il titolare del trattamento è il professionista o l'impresa che usa il Servizio; Internetbusiness li tratta solo per suo conto e secondo le sue istruzioni, come responsabile del trattamento ai sensi dell'art. 28 GDPR.

Il rapporto è regolato dai Termini e Condizioni (art. 8, pagina /termini) e dalla Nomina a Responsabile del trattamento ex art. 28 GDPR (pagina /dpa). Se sei cliente di un professionista che usa Kera Office, per informazioni sul trattamento dei tuoi dati e per esercitare i tuoi diritti rivolgiti a lui: è tenuto a fornirti la propria informativa. Se ci contatti direttamente, inoltreremo la richiesta al professionista interessato.

• Dati di registrazione e di account: nome dell'attività e settore, nome e cognome, indirizzo email, password (conservata solo in forma cifrata con algoritmo di hash), numero WhatsApp se indicato, ruolo dell'utente, versione dei Termini accettata e dell'informativa mostrata, con data e ora.
• Dati dei collaboratori inseriti dall'amministratore: nome, email, telefono, ruolo, stato attivo o disattivato.
• Dati di pagamento e fatturazione: identificativi di cliente e abbonamento presso Stripe, stato dell'abbonamento e del periodo di prova, pacchetti di credito acquistati, saldo e movimenti del credito. I dati della carta di pagamento sono raccolti e trattati direttamente da Stripe: noi non li riceviamo né li conserviamo.
• Dati di utilizzo del Servizio: consumi delle funzioni di intelligenza artificiale (quantità elaborate, modello, costo), registri delle operazioni rilevanti (ad esempio creazione, modifica e cancellazione delle schede clienti) con l'utente che le ha eseguite, data e ora.
• Dati del programma «Invita un amico»: codice invito, attività che invita e attività invitata, email e telefono indicati alla registrazione (usati per verificare che non si tratti della stessa persona), stato e importo dei bonus.
• Dati delle notifiche push: se attivi le notifiche su un dispositivo, l'indirizzo (endpoint) e le chiavi crittografiche della sottoscrizione fornite dal browser, collegati al tuo utente.
• Dati tecnici e di sicurezza: i server possono registrare log tecnici (ad esempio indirizzo IP, data e ora, pagina o risorsa richiesta, esito della richiesta) e, per proteggere gli account, il numero di tentativi di accesso non riusciti per indirizzo email.
• Comunicazioni con noi: i messaggi che ci invii per assistenza o altre richieste.

Categorie particolari di dati. Non chiediamo dati relativi alla salute o altre categorie particolari (art. 9 GDPR). I clienti possono però caricare nel Servizio documenti o messaggi dei propri clienti che li contengono: in tal caso li trattiamo come responsabili (sezione 3). Il Servizio contrassegna come sensibili le informazioni sulla salute che riconosce: nelle email in arrivo non le trascrive negli appunti, non le riporta nelle notifiche e crea un avviso «Da gestire» per gli utenti; i documenti che le contengono non vengono messi in automatico sulle schede. Gli IBAN compaiono parzialmente oscurati nelle risposte dell'assistente e nelle email mostrate. Il riconoscimento automatico può non individuare tutti i casi.

• Registrazione, gestione dell'account e degli utenti, erogazione del Servizio e assistenza: esecuzione del contratto (Termini e Condizioni) e di misure precontrattuali richieste da te (art. 6.1.b GDPR). Per gli utenti abilitati da un cliente la base è il legittimo interesse del cliente e nostro a consentire l'accesso ai collaboratori autorizzati (art. 6.1.f).
• Pagamenti, fatturazione e adempimenti fiscali e contabili: esecuzione del contratto (art. 6.1.b) e obblighi di legge (art. 6.1.c).
• Programma «Invita un amico»: esecuzione delle condizioni del programma accettate aderendovi (art. 6.1.b) e legittimo interesse a prevenire abusi (art. 6.1.f).
• Notifiche push: la tua scelta di attivarle sul dispositivo, che puoi revocare in ogni momento dal browser o dall'app; le notifiche sono parte del Servizio richiesto (art. 6.1.b).
• Sicurezza del Servizio, prevenzione di frodi e accessi non autorizzati, registri delle operazioni: legittimo interesse (art. 6.1.f) e obblighi di sicurezza (art. 32 GDPR).
• Comunicazioni di servizio (ad esempio modifiche dei Termini, problemi di pagamento): esecuzione del contratto (art. 6.1.b).
• Tutela dei nostri diritti in sede giudiziale o stragiudiziale: legittimo interesse (art. 6.1.f).

La registrazione si basa sul contratto e non richiede un consenso al trattamento: questa informativa ti viene mostrata, non ti chiediamo di accettarla. Non usiamo i dati per marketing, profilazione o pubblicità.

Il conferimento dei dati di registrazione e di pagamento è necessario per usare il Servizio: senza, non è possibile creare l'attività. Gli altri dati (ad esempio il numero WhatsApp o le notifiche push) sono facoltativi e servono solo per le relative funzioni.

Il sito non usa cookie di profilazione né strumenti di analisi statistica o pubblicità di terze parti. Usa solo strumenti tecnici, necessari al funzionamento, per i quali non serve il consenso:

• memoria locale del browser (localStorage, voce «kera-office-auth»): conserva il token di accesso e i dati essenziali della sessione (utente, ruolo, attività) finché non esci o il token non scade;
• memoria di sessione del browser (sessionStorage): ricorda se hai chiuso l'invito a installare l'app e gestisce gli aggiornamenti dell'applicazione; si cancella alla chiusura della scheda;
• service worker dell'app installabile (PWA), che consente di ricevere le notifiche push e di caricare la versione aggiornata dell'applicazione.

Le pagine di pagamento sono servite da Stripe, che può usare propri cookie tecnici e antifrode secondo la propria informativa.

I dati sono trattati da personale e collaboratori di Internetbusiness autorizzati e istruiti, e dai seguenti fornitori, nominati responsabili del trattamento (o sub-responsabili per i dati dei clienti finali):

• OpenAI (Stati Uniti): elaborazione con intelligenza artificiale di testi, documenti, immagini e audio inviati all'assistente;
• Meta Platforms (WhatsApp Business Platform – Cloud API): ricezione e invio dei messaggi sul canale WhatsApp; la piattaforma di collegamento è gestita direttamente da Internetbusiness e si connette alle API di Meta;
• Stripe: pagamenti di abbonamento e credito, gestione dell'abbonamento e antifrode;
• Google Cloud (Google Cloud EMEA Ltd / Google LLC): hosting di server, database, file e copie di backup, nell'Unione europea (Paesi Bassi, Google Cloud regione europe-west4);
• servizi push dei browser e dei sistemi operativi (ad esempio Google, Mozilla, Apple, Microsoft, secondo il browser che usi): ricevono le notifiche cifrate da recapitare al tuo dispositivo.

La casella email dell'assistente (server di posta basato su Modoboa) e il servizio che smista le email in arrivo verso Kera Office (AI Ops Hub) sono gestiti direttamente da Internetbusiness, sull'infrastruttura indicata sopra.

I dati possono inoltre essere comunicati a consulenti (ad esempio fiscali e legali) e ad autorità pubbliche quando previsto dalla legge. I dati non sono diffusi né venduti a terzi.

L'elenco aggiornato dei responsabili è disponibile su richiesta ai contatti della sezione 1.

I server, il database, i file e le copie di backup del Servizio si trovano nell'Unione europea (Paesi Bassi, Google Cloud regione europe-west4): l'hosting non comporta trasferimenti fuori dall'UE. Alcuni fornitori (in particolare OpenAI, Meta, Stripe e i servizi push dei browser) hanno sede o possono trattare dati negli Stati Uniti o in altri paesi fuori dallo Spazio economico europeo; lo stesso può avvenire per Google in casi limitati, ad esempio per l'assistenza tecnica da remoto o tramite propri sub-responsabili.

In questi casi il trasferimento avviene sulla base della decisione di adeguatezza della Commissione europea relativa al Data Privacy Framework UE-USA, per i fornitori certificati, e/o delle Clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR), con le eventuali misure supplementari. Puoi chiedere informazioni sulle garanzie adottate ai contatti della sezione 1.

• Dati di account, utenti e contenuti del Servizio: per la durata del contratto e per 30 giorni dalla sua cessazione, per consentire l'esportazione; poi sono cancellati o resi anonimi (Termini e Condizioni, art. 18), salvo le copie di backup, da cui scompaiono entro al massimo ulteriori 7 giorni.
• Copie di backup: copia giornaliera; sull'istanza è conservata solo l'ultima copia, mentre nel bucket le copie sono conservate per un massimo di 7 giorni, dopodiché vengono cancellate automaticamente.
• Dati di fatturazione e documenti contabili: 10 anni, come previsto dalla legge (art. 2220 c.c.).
• Prova dell'accettazione dei Termini e dati necessari alla tutela dei nostri diritti: per la durata del contratto e fino a 10 anni dalla cessazione, termine ordinario di prescrizione.
• Dati del programma «Invita un amico»: per la durata del contratto dell'attività invitata e di quella che invita, con i limiti indicati sopra.
• Sottoscrizioni alle notifiche push: fino a quando le disattivi, esci dal dispositivo o la sottoscrizione non è più valida, e comunque non oltre la cessazione dell'account.
• Tentativi di accesso non riusciti: 15 minuti. Identificativi delle email ricevute, usati per non elaborarle due volte: 90 giorni.
• Log tecnici dei server e log degli accessi degli amministratori di sistema: 1 anno (per questi ultimi il provvedimento del Garante del 27 novembre 2008 richiede almeno 6 mesi). Richieste di assistenza: 1 anno dalla chiusura.

Adottiamo misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), tra cui:

• connessioni al sito e al Servizio cifrate tramite HTTPS;
• separazione logica dei dati di ogni attività: ogni richiesta è limitata ai dati dell'attività dell'utente;
• accesso con credenziali personali e ruoli (amministratore, manager, operatore); password conservate solo come hash bcrypt; token di accesso firmati con scadenza;
• blocco temporaneo dell'accesso dopo ripetuti tentativi non riusciti;
• chiavi e segreti dei servizi collegati conservati cifrati;
• verifica della firma dei messaggi in arrivo da WhatsApp, dalla posta elettronica e da Stripe;
• IBAN parzialmente oscurati nelle risposte; informazioni sulla salute segnalate come sensibili e tenute fuori da appunti e notifiche delle email; file eseguibili e archivi compressi ricevuti via email non salvati;
• l'assistente non scrive ai clienti finali e chiede conferma prima di modificare le schede;
• registro delle operazioni rilevanti sulle schede clienti.

Il Servizio usa modelli di intelligenza artificiale per leggere messaggi, documenti e audio e per proporre appunti, promemoria e aggiornamenti delle schede. L'assistente supporta il professionista, che resta responsabile delle decisioni: non vengono prese decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sulle persone (art. 22 GDPR).

Non usiamo i dati per addestrare modelli di intelligenza artificiale. I dati inviati a OpenAI sono trattati tramite i servizi API secondo le condizioni contrattuali del fornitore.

Nei limiti previsti dal GDPR hai diritto di chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità dei dati che ci hai fornito e di opporti ai trattamenti basati sul legittimo interesse (artt. 15–22 GDPR). Se un trattamento si basa sul consenso, puoi revocarlo in ogni momento senza pregiudicare la liceità del trattamento precedente.

Per esercitare i diritti scrivi alla PEC internetbusiness.srl@pec.it o a info@kera-office.io, indicando la richiesta e i dati che consentono di identificarti. Rispondiamo entro un mese dalla ricezione, prorogabile di due mesi nei casi complessi, dandotene comunicazione. Molti dati dell'account si possono anche correggere direttamente dal Profilo nell'area riservata.

Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del paese in cui risiedi o lavori.

Il Servizio è destinato a professionisti e imprese e non è rivolto a minori di 18 anni. Non raccogliamo consapevolmente dati di minori come utenti; se ritieni che sia successo, scrivici e li cancelleremo. I dati di minori eventualmente inseriti dai clienti come dati dei propri clienti sono trattati per conto del cliente (sezione 3).

Possiamo aggiornare questa informativa, ad esempio per cambi normativi o del Servizio. Ogni versione riporta la data di aggiornamento; le modifiche rilevanti vengono comunicate agli utenti registrati via email o nell'area riservata. Alla registrazione conserviamo la versione dell'informativa che ti è stata mostrata.