Informativa sulla Privacy

La presente informativa sulla privacy descrive le modalità di raccolta, utilizzo e protezione dei dati personali degli utenti che visitano il sito web uretech.it, ai sensi del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 (Codice Privacy), come modificato dal D.Lgs. 101/2018.

1. Titolare del trattamento

Il Titolare del trattamento è responsabile della protezione dei dati personali raccolti attraverso il sito e garantisce che il trattamento sia effettuato in conformità alla normativa vigente.

2. Dati raccolti e finalità del trattamento

Di seguito sono descritte le tipologie di dati personali raccolti, le finalità del trattamento, la base giuridica e i tempi di conservazione per ciascuna attività di trattamento.

a) Chatbot della pagina Contatti (assistente AI)

• Dati raccolti: servizi di interesse e contenuto della conversazione con l’assistente; nome, indirizzo email, azienda, numero di telefono, budget indicativo, tempistiche e messaggio indicati nel riepilogo finale; sintesi del progetto generata dall’assistente; consenso facoltativo alle comunicazioni via WhatsApp (con testo, data e origine del consenso); data e ora dell’invio, indirizzo IP e user agent del browser (a fini di sicurezza e prevenzione degli abusi); pagina di atterraggio e sito di provenienza e, solo se l’utente ha accettato i cookie di marketing, i parametri della campagna pubblicitaria da cui proviene (UTM, gclid) — v. lettera g).
• Finalità: rispondere alla richiesta dell’utente, analizzare il progetto descritto e predisporre un preventivo o una proposta; inviare all’utente un’email di conferma della ricezione; prevenire spam e abusi.
• Base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell’interessato (Art. 6, par. 1, lett. b del GDPR); legittimo interesse del Titolare alla sicurezza del sito e alla prevenzione degli abusi (Art. 6, par. 1, lett. f del GDPR). L’analisi della conversazione con strumenti di intelligenza artificiale avviene solo dopo che l’utente vi ha acconsentito nella schermata iniziale dell’assistente (Art. 6, par. 1, lett. a del GDPR); chi non desidera usare l’assistente può scriverci via email, telefono, WhatsApp o tramite il modulo “Analisi gratuita” (lettera e). Il consenso alle comunicazioni via WhatsApp è facoltativo e revocabile (v. sezione 4).
• Elaborazione con intelligenza artificiale: il contenuto della conversazione e i servizi selezionati sono inviati a un modello linguistico che ne ricava domande di approfondimento e una sintesi del progetto. Di norma il modello è eseguito su un server del Titolare (self-hosted), senza invio dei dati a fornitori di IA esterni. Per garantire la continuità del servizio il Titolare può utilizzare in alternativa, nominandoli Responsabili del trattamento (Art. 28 GDPR), OpenRouter, Inc. (USA), piattaforma che instrada la richiesta al modello scelto, oppure Hugging Face, Inc. (USA). Ai modelli non sono inviati i dati di contatto (email, telefono). L’assistente non prende decisioni automatizzate ai sensi dell’Art. 22 GDPR: le risposte sono indicative e ogni proposta è preparata da una persona.
• Conservazione: i dati sono conservati per un periodo massimo di 24 mesi dalla data della richiesta, trascorso il quale vengono cancellati o anonimizzati; se la richiesta porta a un contratto, i dati necessari sono conservati per la durata del rapporto e per gli obblighi di legge.
• Destinatari: personale autorizzato del Titolare; il fornitore del servizio di posta elettronica con cui sono inviate le email (Microsoft Ireland Operations Ltd, Microsoft 365); la piattaforma CRM (FluentCRM) installata su un server in Germania, in cui la richiesta può essere registrata per darle seguito. I dati inviati tramite il chatbot non vengono iscritti alla newsletter.

b) Newsletter

• Dati raccolti: indirizzo email; data e ora dell’iscrizione, indirizzo IP e user agent del browser, come prova dell’iscrizione e a fini di sicurezza.
• Finalità: invio di comunicazioni commerciali, aggiornamenti sui servizi, novità tecnologiche e contenuti editoriali.
• Base giuridica: consenso esplicito dell’interessato (Art. 6, par. 1, lett. a del GDPR), prestato al momento dell’iscrizione.
• Strumenti: l’indirizzo è registrato sul sito e nella piattaforma di email marketing FluentCRM, installata su un server in Germania; le email sono inviate tramite il servizio di posta del Titolare. Il modulo è protetto da Cloudflare Turnstile (lettera f).
• Conservazione: i dati sono conservati fino alla revoca del consenso da parte dell’interessato.
• Diritto di cancellazione: l’utente può revocare il consenso e cancellarsi dalla newsletter in qualsiasi momento tramite il link di disiscrizione presente in ogni email, oppure contattando il Titolare all’indirizzo [email protected].

c) Lavora con Noi (Candidature)

• Dati raccolti: nome, cognome, indirizzo email, numero di cellulare, zona di lavoro preferita, curriculum vitae (in formato PDF) e gli altri dati che il candidato sceglie di inserirvi.
• Finalità: valutazione delle candidature ricevute per posizioni lavorative aperte o future collaborazioni.
• Base giuridica: adozione di misure precontrattuali su richiesta dell’interessato (Art. 6, par. 1, lett. b del GDPR) e, per la conservazione della candidatura in vista di future posizioni, consenso dell’interessato (Art. 6, par. 1, lett. a del GDPR). Si invita a non inserire nel CV categorie particolari di dati (Art. 9 GDPR) se non strettamente necessarie.
• Conservazione: i dati sono conservati per un periodo massimo di 24 mesi dalla data di ricezione della candidatura, salvo diversa comunicazione da parte del candidato. Trascorso tale periodo, i dati vengono cancellati in modo sicuro.
• Sicurezza: i curriculum vitae sono conservati in un’area del server non accessibile pubblicamente, con permessi restrittivi e accesso limitato al solo personale autorizzato alla valutazione delle candidature. Il modulo è protetto da Cloudflare Turnstile (lettera f).

d) Dati di navigazione

• Dati raccolti: indirizzo IP, user agent del browser, data e ora di accesso, pagina richiesta.
• Finalità: garantire il corretto funzionamento tecnico del sito web, la sicurezza dell’infrastruttura (firewall applicativo, protezione da attacchi e bot) e l’applicazione di meccanismi di rate limiting a protezione dagli abusi.
• Base giuridica: legittimo interesse del Titolare (Art. 6, par. 1, lett. f del GDPR) nel garantire la sicurezza e l’operatività del sito.
• Infrastruttura: il traffico del sito transita attraverso la rete di Cloudflare (Cloudflare, Inc.), che svolge le funzioni di rete di distribuzione dei contenuti (CDN), proxy e firewall applicativo (WAF) per conto del Titolare e tratta a tal fine i dati di connessione (v. sezione 5).
• Conservazione: il sito non conserva i dati di navigazione in forma identificativa, salvo i registri tecnici di sicurezza, conservati per il tempo strettamente necessario, e i casi in cui l’utente invii un modulo (nel qual caso sono associati alla richiesta per il periodo di conservazione previsto).

e) Modulo “Analisi gratuita”

• Dati raccolti: nome, indirizzo email e messaggio inseriti dall’utente; servizio di interesse, posizione del modulo nella pagina, pagina da cui è partita la richiesta (senza parametri), eventuale codice della campagna o del contenuto da cui proviene la richiesta, lingua; data e ora, indirizzo IP e user agent del browser; registrazione della presa visione della presente informativa.
• Finalità: rispondere alla richiesta di analisi e ricontattare l’utente per discutere il progetto; inviare un’email di conferma della ricezione; prevenire spam e abusi.
• Base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell’interessato (Art. 6, par. 1, lett. b del GDPR); legittimo interesse alla sicurezza e alla prevenzione degli abusi (Art. 6, par. 1, lett. f del GDPR) per i dati tecnici.
• Conservazione: massimo 24 mesi dalla richiesta, poi cancellazione o anonimizzazione; se la richiesta porta a un contratto, i dati necessari sono conservati per la durata del rapporto e per gli obblighi di legge.
• Destinatari: personale autorizzato del Titolare; Microsoft Ireland Operations Ltd (Microsoft 365) per l’invio delle email; la piattaforma CRM (FluentCRM) su server in Germania. La richiesta non comporta l’iscrizione alla newsletter né l’invio di comunicazioni promozionali.
• Natura del conferimento: nome, email e messaggio sono necessari per rispondere; senza di essi la richiesta non può essere inviata.

f) Protezione anti-spam dei moduli (Cloudflare Turnstile)

Per proteggere i moduli del sito (chatbot della pagina Contatti, “Analisi gratuita”, newsletter, Lavora con Noi) da spam e invii automatizzati utilizziamo Cloudflare Turnstile, servizio di Cloudflare, Inc. (101 Townsend St., San Francisco, CA 94107, USA). Turnstile è configurato in modalità invisibile: di norma non è richiesta alcuna azione e solo in caso di segnali anomali può comparire una breve verifica. Turnstile non mostra pubblicità e non è usato dal Titolare per profilare gli utenti.

• Dati trattati: segnali tecnici del browser e della connessione, tra cui indirizzo IP, impronta TLS, user agent, chiave del sito e origine della pagina, per distinguere le persone dai programmi automatici; il server del Titolare verifica poi con Cloudflare l’esito della verifica.
• Base giuridica: legittimo interesse del Titolare a proteggere il sito, i moduli e gli utenti da abusi e invii automatizzati (Art. 6, par. 1, lett. f del GDPR).
• Ruolo di Cloudflare: per l’erogazione del servizio di verifica Cloudflare agisce come Responsabile del trattamento per conto del Titolare; per i segnali che utilizza per migliorare il rilevamento dei bot agisce come titolare autonomo. I dettagli sono indicati nel Turnstile Privacy Addendum di Cloudflare, che integra l’informativa privacy di Cloudflare.
• Trasferimenti: i dati possono essere trattati negli Stati Uniti, con le garanzie indicate nella sezione 6.
• Natura del conferimento: senza la verifica il modulo non può essere inviato; in alternativa è sempre possibile contattarci via email, telefono o WhatsApp.

g) Statistiche, misurazione delle campagne e marketing

Con il consenso dell’utente, raccolto tramite il banner dei cookie, il sito utilizza tramite Google Tag Manager i seguenti strumenti:

• Statistiche: Google Analytics 4 (Google Ireland Limited), per misurare in forma aggregata le visite e l’uso del sito; Microsoft Clarity (Microsoft Ireland Operations Ltd), che registra in forma pseudonimizzata clic, scorrimento e movimenti sulla pagina per migliorarne l’usabilità; il contenuto dei campi dei moduli non è registrato.
• Marketing: Google Ads (Google Ireland Limited), Meta Pixel (Meta Platforms Ireland Limited) e LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company), per misurare le conversioni delle campagne pubblicitarie e, se previsto dalla campagna, mostrare annunci a chi ha già visitato il sito.
• Provenienza delle richieste: il cookie tecnico di prima parte ure_attr conserva per 30 giorni i parametri della campagna da cui l’utente è arrivato (utm_source, utm_medium, utm_campaign, utm_term, utm_content, gclid), la pagina di atterraggio e il sito di provenienza, per sapere quale campagna ha generato una richiesta di contatto. È impostato e inviato con il modulo solo se l’utente ha accettato i cookie di marketing; se il consenso viene revocato il cookie è cancellato. Senza tale consenso il modulo riporta soltanto la pagina di atterraggio e il sito di provenienza.
• Base giuridica: consenso dell’interessato (Art. 6, par. 1, lett. a del GDPR e Art. 122 del Codice Privacy), revocabile in qualsiasi momento dal pannello delle preferenze cookie, senza pregiudicare la liceità del trattamento svolto prima della revoca.
• Google Consent Mode: il sito usa la modalità di consenso di Google (v2). Finché l’utente non presta il consenso, i tag Google non leggono né scrivono cookie; possono inviare a Google segnali privi di cookie (ad esempio il tipo di evento e lo stato del consenso), che Google utilizza in forma aggregata per la modellazione statistica.
• Ruoli e trasferimenti: per alcuni trattamenti (ad esempio la misurazione delle conversioni pubblicitarie) Google, Meta e LinkedIn agiscono come contitolari o titolari autonomi secondo i rispettivi termini; i dati possono essere trasferiti negli Stati Uniti alle condizioni indicate nella sezione 6. Elenco completo e durata dei cookie nella Cookie Policy.

h) Contatti diretti, WhatsApp e email di servizio

• Pulsanti di contatto: i link “chiama” e WhatsApp aprono rispettivamente il telefono o l’applicazione WhatsApp (Meta Platforms Ireland Limited) dell’utente; il sito non trasmette dati a WhatsApp prima del clic. Con il consenso alle statistiche il clic è conteggiato come evento anonimo nelle statistiche del sito. La conversazione su WhatsApp è disciplinata dalla sezione 4.
• Email di servizio: le email di conferma e di notifica sono inviate tramite il servizio di posta del Titolare su Microsoft 365 (Microsoft Ireland Operations Ltd). Un registro tecnico degli invii (destinatario, oggetto, esito) è conservato per 14 giorni per verificare la corretta consegna.

3. Registrazione delle chiamate telefoniche

Nell’ambito del servizio di assistenza e gestione delle richieste della clientela, il Titolare può effettuare la registrazione audio delle chiamate telefoniche intercorse con i clienti. La registrazione non è sempre attiva: viene attivata di volta in volta dall’operatore (“on-demand”) solo quando necessario per le finalità di seguito indicate, e riguarda esclusivamente le chiamate con i clienti (in entrata e in uscita).

Dati trattati

• Dati raccolti: registrazione audio della conversazione e dati personali in essa contenuti (dati anagrafici e di contatto eventualmente forniti a voce, contenuto della richiesta); eventuale trascrizione e riassunto generati automaticamente.
• Chiamate gestite dall’assistente vocale: trascrizione testuale della conversazione; nome e cognome, numero di telefono e indirizzo e-mail comunicati a voce; dati dell’appuntamento; resoconto automatico della telefonata; dati tecnici e statistici della chiamata privi di elementi identificativi (durata, numero di scambi, esito, reparto), usati per il solo monitoraggio del servizio.
• Categorie particolari: non è richiesta né intenzionalmente raccolta alcuna categoria particolare di dati (Art. 9 GDPR). Si invita a non comunicare tali dati durante la chiamata.

Finalità del trattamento

• gestione e documentazione delle richieste della clientela;
• controllo e miglioramento della qualità del servizio e formazione del personale;
• gestione di reclami, contestazioni ed eventuali esigenze di prova;
• elaborazione assistita da intelligenza artificiale della singola chiamata, al solo fine di riassumere la conversazione e predisporre preventivi, attività o progetti per il cliente interessato.

Base giuridica

Il trattamento si fonda sul legittimo interesse del Titolare (Art. 6, par. 1, lett. f del GDPR) a documentare le richieste della clientela, garantire e migliorare la qualità del servizio, predisporre in modo efficiente la documentazione commerciale e tutelare i propri diritti. Il relativo test di bilanciamento (Legitimate Interest Assessment, secondo le linee guida EDPB 1/2024) è conservato agli atti del Titolare. L’interessato ha diritto di opporsi in qualsiasi momento a tale trattamento (Art. 21 GDPR — v. sezione “Diritti dell’interessato”).

Avviso e modalità

Prima dell’eventuale registrazione l’interessato è informato tramite un breve avviso vocale che rinvia alla presente sezione. Nelle chiamate in entrata l’avviso è riprodotto all’inizio della chiamata; nelle chiamate in uscita è riprodotto nel momento in cui l’operatore avvia la registrazione, prima che essa abbia inizio. Chi non desidera essere registrato può comunicarlo all’operatore o utilizzare un canale di contatto alternativo. La registrazione è facoltativa e il rifiuto non impedisce di usufruire del servizio.

Assistente vocale con intelligenza artificiale (trascrizione sistematica)

Le chiamate in entrata possono essere gestite in prima battuta da un assistente vocale basato su intelligenza artificiale (“Ura”), che fornisce informazioni, raccoglie le richieste, propone e gestisce appuntamenti (sempre “da confermare” da un operatore) e instrada la chiamata al reparto competente. L’assistente vocale è attivo sulle chiamate in ingresso a partire dal 30/07/2026. Questo trattamento presenta specificità rispetto alla registrazione on-demand di cui sopra:

• Trascrizione sistematica (testo): per gestire la richiesta e per la qualità del servizio, la conversazione con l’assistente è trascritta in testo in modo sistematico per ogni chiamata gestita dall’assistente; di regola non è conservato l’audio, ma la sola trascrizione testuale e i dati strutturati necessari (nome, recapito, tipo di richiesta, appuntamento);
• Passaggio a operatore — registrazione audio: se la chiamata viene trasferita a un operatore, dal momento del trasferimento la conversazione con l’operatore è registrata in audio in modo automatico; la registrazione è poi trascritta e unita alla trascrizione della parte gestita dall’assistente, per formare un unico resoconto della telefonata. Anche a questa registrazione si applicano i termini di conservazione (non oltre 6 mesi) e i diritti indicati nella presente informativa. Chi ha chiesto di non essere trascritto viene informato prima del trasferimento e può rifiutarlo: in tal caso la chiamata non viene trasferita e viene proposto un appuntamento o un ricontatto;
• Trasparenza (Art. 50 Reg. UE 2024/1689 – AI Act): all’inizio della chiamata un avviso vocale dichiara che l’interlocutore è un assistente con intelligenza artificiale e che la chiamata può essere trascritta; è sempre possibile chiedere di parlare con un operatore;
• Marcatura del contenuto generato da IA (Art. 50(2)): l’audio generato dall’assistente è marcato in formato leggibile da una macchina e reca un contrassegno tecnico impercettibile che ne permette il riconoscimento come contenuto artificiale. La voce dell’assistente è sintetica: non appartiene a una persona reale identificabile e non ne imita l’identità;
• Diritto di non essere trascritto / opposizione (Art. 21): chi non desidera essere trascritto può comunicarlo all’assistente (o chiedere un operatore): in tal caso la trascrizione non viene conservata;
• Base giuridica: legittimo interesse del Titolare (Art. 6.1.f), con bilanciamento (LIA) aggiornato per la trascrizione sistematica in prima linea;
• Conservazione: le trascrizioni sono conservate non oltre 6 (sei) mesi e poi cancellate automaticamente; cancellazione anche su richiesta dell’interessato;
• Sicurezza: trascrizioni in uno spazio dedicato ad accesso ristretto al solo personale autorizzato, su infrastruttura UE non esposta su Internet, cifrata, con cancellazione automatica;
• Nessuna decisione automatizzata (Art. 22) né riconoscimento delle emozioni: l’assistente propone appuntamenti “da confermare”; ogni decisione resta all’operatore;
• Nessun addestramento di modelli di IA sulle trascrizioni;
• Categorie particolari (Art. 9): l’assistente è configurato per non richiederle; si invita a non comunicarle durante la chiamata;
• Elaborazione AI e fornitori: l’elaborazione (comprensione del parlato, trascrizione, risposta, riassunto) può avvenire su infrastruttura self-hosted/UE oppure tramite fornitori di IA nominati Responsabili (Art. 28) con le garanzie di cui alla sezione trasferimenti; il riassunto post-chiamata è elaborato on-premise.

Avviso in entrata (in uso): “Buongiorno, sono Ura, l’assistente con intelligenza artificiale di UreTech. La chiamata può essere trascritta. Informativa completa su uretech.it. Come posso aiutarla?”

Destinatari

Le registrazioni sono accessibili al solo personale autorizzato del Titolare. Possono essere trattate da fornitori esterni nominati Responsabili del trattamento ex Art. 28 GDPR, tra cui Hetzner Online GmbH (Germania) per l’infrastruttura e, limitatamente all’elaborazione AI, fornitori di servizi di intelligenza artificiale (tra cui Google, OpenAI, Anthropic), indicati all’attivazione della relativa funzione. Per l’assistente vocale telefonico i responsabili comprendono inoltre:

• Mistral AI SAS (Francia, Unione Europea) — riconoscimento del parlato, elaborazione linguistica e sintesi vocale per l’assistente vocale; avendo sede nell’Unione Europea, per questa componente non vi è trasferimento di dati fuori dallo Spazio Economico Europeo. I dati sono conservati dal fornitore per un periodo limitato (30 giorni) ai soli fini di erogazione e sicurezza del servizio e non sono utilizzati per addestrare i modelli;
• Microsoft Ireland Operations Ltd (Microsoft 365) — gestione degli appuntamenti in calendario (nome, recapito, oggetto della richiesta) e posta elettronica con cui il resoconto della chiamata è inviato al reparto competente;
• il gestionale/CRM del Titolare, in cui il resoconto della telefonata è registrato come nota associata al numero di telefono del chiamante, per dare continuità al servizio.

L’elenco dei fornitori può variare nel tempo; la versione vigente è quella pubblicata nella presente informativa. I dati non sono diffusi né ceduti a terzi per finalità proprie.

Conservazione e ubicazione dei dati

Le registrazioni sono conservate per il tempo strettamente necessario e comunque non oltre 6 (sei) mesi dalla data della chiamata, salvo l’eventuale conservazione per la gestione di contenziosi o per obblighi di legge; decorso tale termine sono cancellate in modo sicuro e automatico. Gli output dell’elaborazione AI seguono i medesimi termini. Le registrazioni sono conservate su infrastruttura ubicata nell’Unione Europea (Germania). Per la sola elaborazione AI, ove vengano utilizzati fornitori situati al di fuori dello Spazio Economico Europeo, il trasferimento è assistito da garanzie adeguate (decisione di adeguatezza EU-US Data Privacy Framework ove applicabile, oppure Clausole Contrattuali Standard ex Art. 46 GDPR); i fornitori non utilizzano i dati per addestrare i propri modelli.

Intelligenza artificiale e assenza di decisioni automatizzate

L’elaborazione tramite intelligenza artificiale ha natura di mero supporto all’operatore (riassunto della chiamata, bozza di preventivo o attività): non comporta decisioni automatizzate che producano effetti giuridici o incidano significativamente sull’interessato (Art. 22 GDPR), né profilazione, né riconoscimento delle emozioni. Le registrazioni e i relativi output non sono utilizzati per addestrare modelli di intelligenza artificiale: qualora in futuro il Titolare intenda perseguire tale finalità, vi provvederà come trattamento distinto, previa idonea base giuridica, misure di anonimizzazione e valutazione d’impatto dedicata, aggiornando preventivamente la presente informativa.

Tenuto conto della natura del trattamento, il Titolare ha effettuato una valutazione d’impatto sulla protezione dei dati (DPIA, Art. 35 GDPR), conservata agli atti.

4. Assistenza clienti via WhatsApp

Il Titolare mette a disposizione un canale di assistenza tramite WhatsApp, nel quale le conversazioni possono essere gestite da un assistente virtuale automatico basato su intelligenza artificiale, denominato “Ura”, con possibilità di passaggio a un operatore umano in qualsiasi momento (scrivendo “OPERATORE”).

Dati trattati

• il numero di telefono e il nome del profilo WhatsApp dell’utente (necessari per la comunicazione sul canale);
• il contenuto dei messaggi scambiati e gli eventuali dati che l’utente decide di comunicare (nome, e-mail, azienda, esigenza, ecc.);
• le note vocali: l’audio è trascritto automaticamente in testo e immediatamente cancellato dopo la trascrizione (non viene conservato);
• le immagini eventualmente inviate dall’utente: sono analizzate automaticamente dall’assistente AI per comprenderne il contenuto utile alla richiesta (es. una schermata di un sito, una bozza grafica, un documento commerciale) e immediatamente scartate dopo l’elaborazione (non vengono conservate); non è effettuato alcun riconoscimento facciale né estrazione di dati biometrici;
• un riassunto della conversazione generato automaticamente a fine sessione, registrato nel gestionale/CRM del Titolare per dare seguito alla richiesta.

Non sono richieste né intenzionalmente raccolte categorie particolari di dati (Art. 9 GDPR); si invita a non comunicarle in chat né a inviare immagini che le contengano.

Finalità del trattamento

• a) riscontro e gestione delle richieste ricevute via WhatsApp (informazioni su servizi e prezzi indicativi, qualifica dell’esigenza, fissazione di un appuntamento);
• b) assistenza automatizzata tramite l’assistente “Ura” e, ove necessario, trasferimento a un operatore umano;
• c) registrazione della richiesta nel gestionale/CRM del Titolare per darle seguito;
• d) eventuali comunicazioni promozionali o proattive su WhatsApp, inviate solo previo specifico consenso dell’interessato (raccolto tramite un apposito flag dedicato, non preselezionato) — funzione non attiva per impostazione predefinita.

Base giuridica

Per le finalità a), b), c) (risposte alle richieste inbound, avviate dall’utente che scrive per primo) la base giuridica è il legittimo interesse del Titolare (Art. 6, par. 1, lett. f del GDPR) a rispondere in modo tempestivo ed efficiente alle richieste della clientela e a darvi seguito; il relativo test di bilanciamento (Legitimate Interest Assessment, secondo le linee guida EDPB 1/2024) è conservato agli atti. L’interessato ha diritto di opporsi in qualsiasi momento (Art. 21 GDPR — v. sezione “Diritti dell’interessato”). Per la finalità d) (messaggi proattivi/promozionali) la base giuridica è il consenso libero, specifico e revocabile (Art. 6, par. 1, lett. a del GDPR e Art. 130 del d.lgs. 196/2003); in assenza di consenso il Titolare non invia messaggi proattivi.

Trasparenza e assistente automatico

All’avvio di ogni conversazione l’utente riceve un avviso di trasparenza che lo informa di stare interagendo con un assistente virtuale automatico e di poter richiedere un operatore umano in qualsiasi momento, in conformità all’Art. 50 del Regolamento (UE) 2024/1689 (AI Act). Le risposte automatiche sono indicative e non vincolanti.

Destinatari

I dati sono accessibili al solo personale autorizzato del Titolare. Sono inoltre trattati da soggetti nominati Responsabili del trattamento ex Art. 28 GDPR, tra cui: Meta Platforms Ireland Limited (e la consociata WhatsApp), fornitore della WhatsApp Business Cloud API che veicola i messaggi, sulla base dei WhatsApp Business Data Processing Terms; Hetzner Online GmbH (Germania) per l’infrastruttura su cui gira l’assistente; il fornitore di hosting del gestionale/CRM del Titolare. L’elaborazione tramite intelligenza artificiale (testo, trascrizione audio e analisi immagini) è attualmente interamente self-hosted sull’infrastruttura del Titolare (nessun fornitore AI terzo). I dati non sono diffusi né ceduti a terzi per finalità proprie.

Conservazione, ubicazione e trasferimenti

I messaggi della sessione sono mantenuti per il tempo necessario a gestire la conversazione; la sessione si considera chiusa dopo 24 ore di inattività o al passaggio a operatore. Le note vocali sono cancellate subito dopo la trascrizione. Il riassunto della richiesta è registrato nel gestionale/CRM e conservato per il tempo necessario alla gestione del rapporto e agli obblighi di legge. L’assistente e i dati a riposo sono su infrastruttura nell’Unione Europea (Germania). L’instradamento dei messaggi tramite la Cloud API comporta un trattamento da parte di Meta, che può avvenire anche negli Stati Uniti: tale trasferimento è assistito da garanzie adeguate ex Capo V GDPR (decisione di adeguatezza EU-US Data Privacy Framework e/o Clausole Contrattuali Standard con valutazione dell’impatto). L’elaborazione AI (testo, trascrizione audio e analisi immagini) è attualmente self-hosted in UE, quindi per tale componente non vi è alcun trasferimento extra-SEE. In prospettiva il Titolare potrà avvalersi di un modello di IA (anche multimodale, per testo e immagini) erogato in cloud tramite API (es. Google – Gemini/Vertex AI, OpenAI, Anthropic), nominato Responsabile ex Art. 28: in tal caso il trasferimento sarà assistito da DPF (adeguatezza) o da SCC con valutazione dell’impatto, con DPA firmato, utilizzo del solo tier API/Enterprise, nessun addestramento dei modelli sui dati (incluse le immagini) e, ove disponibile, conservazione in regione UE / a ritenzione zero; la presente informativa sarà aggiornata prima dell’eventuale attivazione.

Intelligenza artificiale e assenza di decisioni automatizzate

L’assistente “Ura” fornisce informazioni e supporto e prepara bozze (es. proposta di appuntamento, sempre “da confermare” da parte di una persona): non assume decisioni automatizzate che producano effetti giuridici o incidano significativamente sull’interessato (Art. 22 GDPR), né profilazione, né riconoscimento delle emozioni. I messaggi e i relativi output non sono utilizzati per addestrare modelli di intelligenza artificiale.

Natura del conferimento

Fornire i dati per ottenere assistenza via WhatsApp è facoltativo, ma il numero di telefono è tecnicamente necessario per la comunicazione sul canale; il mancato conferimento di altri dati può limitare il riscontro. Il consenso ai messaggi proattivi è facoltativo e il rifiuto non pregiudica l’assistenza; può essere revocato in qualsiasi momento scrivendo “STOP” su WhatsApp o ai recapiti indicati nella sezione “Diritti dell’interessato”.

5. Servizi di terze parti

Il sito web utilizza servizi di terze parti per il proprio funzionamento. Di seguito l’elenco dei servizi e le relative implicazioni per la privacy dell’utente:

• Cloudflare (Cloudflare, Inc., USA): rete di distribuzione dei contenuti, proxy, firewall applicativo e protezione da attacchi informatici per tutto il traffico del sito; servizio anti-spam Turnstile (v. sezione 2, lettera f); distribuzione di librerie JavaScript tramite cdnjs. Cloudflare tratta l’indirizzo IP e i dati tecnici della connessione. Maggiori informazioni: informativa privacy di Cloudflare e Turnstile Privacy Addendum.
• jsDelivr: rete di distribuzione dei contenuti da cui alcune pagine caricano librerie JavaScript (ad esempio React). Durante il caricamento l’indirizzo IP dell’utente è trasmesso al servizio.
• Caratteri tipografici: i font del sito sono ospitati sul server del sito; il caricamento non comporta l’invio di dati a Google.
• Intelligenza artificiale per il chatbot: modello eseguito su un server del Titolare; in alternativa OpenRouter, Inc. (USA) o Hugging Face, Inc. (USA), nominati Responsabili del trattamento (v. sezione 2, lettera a).
• Email: Microsoft Ireland Operations Ltd (Microsoft 365) per l’invio e la ricezione della posta elettronica.
• CRM ed email marketing: FluentCRM, installato su server in Germania, al quale i dati dei moduli sono trasmessi tramite collegamento cifrato (webhook) per la gestione delle richieste e della newsletter.
• Statistiche e marketing (solo con consenso): Google Tag Manager, Google Analytics 4 e Google Ads (Google Ireland Limited), Microsoft Clarity (Microsoft Ireland Operations Ltd), Meta Pixel (Meta Platforms Ireland Limited), LinkedIn Insight Tag (LinkedIn Ireland Unlimited Company) — v. sezione 2, lettera g).
• WhatsApp (Meta Platforms Ireland Limited): canale di assistenza descritto nella sezione 4.

6. Trasferimento dati extra-UE

Alcuni dei fornitori sopra indicati, o le loro società capogruppo, hanno sede negli Stati Uniti d’America. I dati personali possono pertanto essere trasferiti al di fuori dello Spazio Economico Europeo, in particolare negli USA, tramite i seguenti servizi:

• Cloudflare (CDN, firewall, Turnstile, cdnjs)
• Google (Tag Manager, Analytics, Ads) — solo con consenso
• Microsoft (Clarity — solo con consenso; Microsoft 365)
• Meta (Meta Pixel — solo con consenso; WhatsApp)
• LinkedIn — solo con consenso
• jsDelivr
• OpenRouter e Hugging Face, solo se utilizzati in alternativa al modello self-hosted

Tali trasferimenti avvengono con garanzie adeguate ai sensi del Capo V del GDPR, in particolare attraverso:

• L’EU-US Data Privacy Framework (decisione di adeguatezza della Commissione Europea del 10 luglio 2023), per i fornitori che hanno ottenuto la certificazione;
• Clausole contrattuali standard (SCC) approvate dalla Commissione Europea, ove applicabili.

L’utente può richiedere maggiori informazioni sulle garanzie adottate contattando il Titolare all’indirizzo [email protected].

7. Cookie

Il sito utilizza cookie tecnici necessari al funzionamento (ad esempio per la lingua, la cache, la sicurezza e la memorizzazione delle scelte sui cookie), che non richiedono consenso, e, solo previo consenso, cookie e strumenti di statistica e di marketing (v. sezione 2, lettera g). Al primo accesso un banner consente di accettare, rifiutare o scegliere le singole categorie. Le scelte possono essere modificate in qualsiasi momento dalla Cookie Policy, che riporta l’elenco completo dei cookie, le finalità e le durate.

8. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate a garantire la sicurezza dei dati personali trattati, tra cui:

• Firewall applicativo e protezione da attacchi tramite Cloudflare e Wordfence.
• Verifica anti-bot (Cloudflare Turnstile) su tutti i moduli, con controllo lato server.
• Rate limiting sugli endpoint dei moduli e delle API per prevenire abusi e attacchi automatizzati.
• Validazione e sanificazione di tutti gli input ricevuti tramite i form del sito.
• Query parametrizzate per la protezione contro attacchi di tipo SQL injection.
• Token CSRF (WordPress Nonce) per la protezione contro attacchi Cross-Site Request Forgery.
• Archiviazione protetta dei CV in un’area del server non accessibile pubblicamente, con permessi restrittivi.
• Connessione HTTPS con certificato SSL/TLS per la crittografia di tutti i dati in transito.

9. Diritti dell’interessato

Ai sensi degli articoli 15-22 del GDPR, l’interessato ha il diritto di:

• Accesso (Art. 15): ottenere conferma dell’esistenza di un trattamento e accedere ai propri dati personali. Per le chiamate telefoniche gestite con registrazione o assistente vocale, la richiesta di accesso può essere soddisfatta anche mediante consegna della trascrizione della conversazione, con oscuramento degli elementi identificativi di terzi (Garante, provv. n. 391 del 28 maggio 2026).
• Rettifica (Art. 16): ottenere la correzione di dati personali inesatti o l’integrazione di dati incompleti.
• Cancellazione (Art. 17): ottenere la cancellazione dei propri dati personali nei casi previsti dalla normativa.
• Limitazione del trattamento (Art. 18): ottenere la limitazione del trattamento nei casi previsti dalla normativa.
• Portabilità dei dati (Art. 20): ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
• Opposizione (Art. 21): opporsi al trattamento dei propri dati personali basato sul legittimo interesse del Titolare.
• Revoca del consenso: revocare il consenso prestato in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

L’interessato ha inoltre il diritto di proporre reclamo all’autorità di controllo competente:

10. Modifiche alla presente informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente informativa sulla privacy in qualsiasi momento, dandone comunicazione agli utenti attraverso la pubblicazione della versione aggiornata sul sito web. L’utente è pertanto invitato a consultare periodicamente la presente pagina per prendere visione di eventuali aggiornamenti.

Le modifiche alla presente informativa saranno efficaci dalla data di pubblicazione sul sito web.

Informativa redatta ai sensi del Regolamento (UE) 2016/679 (GDPR) — Articoli 13 e 14.
Ultima revisione: 8 novembre 2026.