Informativa sulla Privacy

1Titolare del trattamento

Il Titolare del trattamento è Atakan Kayatekin, Ditta individuale, con sede e domicilio fiscale in Via Giovanni Paisiello 5, 34148 Trieste (TS), Italia.

• Denominazione: Atakan Kayatekin (Ditta individuale)
• Sede: Via Giovanni Paisiello 5, 34148 Trieste (TS), Italia
• P.IVA: 01452450321
• Codice Fiscale: KYTTKN96M02Z243J
• Attività (ATECO 62.10.00): Produzione di software e consulenza informatica
• Contatto in materia di protezione dei dati: [email protected]

Il Titolare non ha nominato un Responsabile della protezione dei dati (DPO), non ricorrendone i presupposti di obbligatorietà ai sensi dell'art. 37 GDPR. Per ogni questione relativa al trattamento dei dati personali e all'esercizio dei diritti è possibile scrivere a [email protected].

2Categorie di interessati e dati trattati

La presente informativa riguarda le seguenti categorie di interessati: i clienti business e i loro rappresentanti e referenti; i visitatori del sito e gli utenti che provano la demo; i potenziali clienti (prospect) che ci contattano.

A seconda dell'interazione, possiamo trattare le seguenti categorie di dati personali:

• Dati identificativi e di contatto: nome e cognome, ragione/denominazione sociale, indirizzo email, numero di telefono.
• Credenziali di accesso all'account: indirizzo email e codice OTP utilizzato per l'autenticazione (non utilizziamo password tradizionali).
• Dati di fatturazione e fiscali: dati necessari all'emissione dei documenti contabili e alla gestione dell'abbonamento, gestiti tramite Stripe. PappaChat non memorizza i numeri delle carte di pagamento, che sono trattati direttamente da Stripe.
• Contenuti caricati per configurare l'assistente: menù, orari, regole e altre informazioni dell'attività utilizzate per addestrare l'assistente. Tali contenuti possono incidentalmente includere dati di terzi: l'inserimento e la liceità di questi dati sono responsabilità del cliente business.
• Dati di utilizzo, tecnici e di log: indirizzo IP, identificativi del dispositivo, data e ora degli accessi, pagine visitate e azioni compiute nel servizio.
• Messaggi della demo: i testi digitati nella chat dimostrativa presente sul sito.
• Comunicazioni: il contenuto delle comunicazioni che ci invii (email, richieste di assistenza, moduli di contatto).

3Finalità del trattamento e basi giuridiche

Trattiamo i dati personali per le finalità di seguito indicate, ciascuna con la relativa base giuridica.

Erogazione del servizio e gestione del contratto e dell'account

Per creare e gestire l'account, configurare e far funzionare l'assistente ed eseguire il contratto di abbonamento. Base giuridica: esecuzione del contratto di cui l'interessato è parte (art. 6.1.b GDPR).

Assistenza e supporto clienti

Per rispondere alle richieste di assistenza e gestire le segnalazioni relative al servizio. Base giuridica: esecuzione del contratto e misure precontrattuali (art. 6.1.b GDPR).

Fatturazione, adempimenti fiscali e contabili

Per emettere fatture, gestire i pagamenti e adempiere agli obblighi fiscali e contabili. Base giuridica: adempimento di un obbligo legale (art. 6.1.c GDPR).

Funzionamento della demo del sito e prevenzione degli abusi

Per far funzionare la chat dimostrativa e proteggerla da utilizzi automatizzati e abusivi (anche tramite Cloudflare Turnstile). Base giuridica: legittimo interesse del Titolare a fornire e tutelare la demo (art. 6.1.f GDPR).

Sicurezza dei sistemi e prevenzione delle frodi

Per garantire la sicurezza, l'integrità e la disponibilità dei sistemi e prevenire frodi, accessi non autorizzati e altri illeciti. Base giuridica: legittimo interesse del Titolare alla sicurezza dei propri servizi (art. 6.1.f GDPR).

Comunicazioni di servizio (transazionali)

Per inviare comunicazioni necessarie alla gestione del rapporto (conferme, notifiche tecniche, avvisi di sicurezza, scadenze). Base giuridica: esecuzione del contratto (art. 6.1.b GDPR).

Soft marketing su prodotti e servizi analoghi

Per inviare ai clienti esistenti, via email, comunicazioni relative a prodotti o servizi analoghi a quelli già acquistati, con possibilità di opporsi (opt-out) in ogni momento e in modo agevole. Base giuridica: legittimo interesse del Titolare ai sensi dell'art. 130, comma 4, del Codice Privacy (D.lgs. 196/2003).

Marketing e newsletter previo consenso

Per inviare newsletter e comunicazioni promozionali via email a chi ne abbia fatto richiesta. Base giuridica: consenso dell'interessato (art. 6.1.a GDPR), revocabile in qualsiasi momento senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca.

Accertamento, esercizio o difesa di un diritto in giudizio

Per far valere o difendere un diritto in sede giudiziaria o stragiudiziale. Base giuridica: legittimo interesse del Titolare (art. 6.1.f GDPR).

4Conversazioni dei Clienti Finali (ruolo di Responsabile)

Quando l'assistente dialoga con i Clienti Finali sui canali dell'attività (tra cui WhatsApp, Instagram, Messenger, Telegram, la chat del sito web e l'e-mail), il cliente business è il Titolare del trattamento dei dati personali contenuti in quelle conversazioni, mentre PappaChat agisce come Responsabile del trattamento (art. 28 GDPR), trattando tali dati esclusivamente su istruzione del cliente business e per fornire il servizio.

Tale trattamento è disciplinato dall'Accordo sul trattamento dei dati (DPA) stipulato tra PappaChat e il cliente business, e non dalla presente informativa.

Se sei un Cliente Finale e desideri informazioni sul trattamento dei dati contenuti nelle tue conversazioni o vuoi esercitare i tuoi diritti, devi rivolgerti all'attività con cui hai interagito (il Titolare), facendo riferimento alla sua informativa sulla privacy.

5Intelligenza artificiale e fornitori dei modelli

L'assistente genera le risposte tramite tecniche di Retrieval-Augmented Generation (RAG): risponde basandosi unicamente sui dati forniti dal cliente business (menù, orari, regole) e non inventa informazioni non presenti in tali contenuti.

Sui piani con AI inclusa (Starter, Pro, Max), i fornitori dei modelli, ovvero Anthropic (modelli Claude) e Google (modelli Gemini), agiscono come sub-responsabili del trattamento per conto di PappaChat. Sul piano Base (BYO key), il cliente business utilizza una propria chiave API e il fornitore del modello è contrattualizzato direttamente dal cliente, che ne assume la relativa responsabilità.

Il contenuto delle conversazioni e dei dati dell'attività è trasmesso al fornitore del modello al solo fine di generare la risposta. In conformità ai termini delle API dei fornitori, tali dati non vengono utilizzati per addestrare i loro modelli di base (foundation model).

Il servizio non comporta processi decisionali automatizzati che producano effetti giuridici o incidano in modo analogo e significativo sull'interessato ai sensi dell'art. 22 GDPR.

6Destinatari e responsabili esterni

I dati personali possono essere comunicati a: persone autorizzate al trattamento sotto l'autorità del Titolare (art. 29 GDPR); consulenti professionali (es. commercialista, consulenti legali); autorità pubbliche, ove richiesto dalla legge.

I dati possono inoltre essere trattati dai seguenti fornitori esterni, nominati Responsabili del trattamento ai sensi dell'art. 28 GDPR:

7Trasferimenti extra-UE

Alcuni dei fornitori sopra indicati hanno sede o trattano dati al di fuori dello Spazio Economico Europeo (SEE). In tali casi i trasferimenti avvengono nel rispetto del Capo V del GDPR, sulla base di decisioni di adeguatezza (ivi compreso, ove applicabile, l'EU-US Data Privacy Framework) e/o delle Clausole Contrattuali Standard adottate dalla Commissione europea (art. 46 GDPR), unitamente a misure supplementari ove necessario.

È possibile richiedere una copia delle garanzie adottate scrivendo a [email protected].

8Periodo di conservazione

Conserviamo i dati personali per il tempo strettamente necessario alle finalità per cui sono raccolti, nel rispetto del principio di minimizzazione (art. 5 GDPR). In particolare:

• Dati dell'account e del contratto: per tutta la durata del rapporto contrattuale.
• Dati di fatturazione, fiscali e contabili: fino a 10 anni, in conformità all'art. 2220 del Codice civile e alla normativa fiscale.
• Messaggi della demo: per un periodo limitato (fino a 12 mesi), trascorso il quale sono cancellati o resi anonimi.
• Dati trattati per finalità di marketing: fino alla revoca del consenso o all'opposizione dell'interessato.
• Dati di log e tecnici: per un periodo di tempo limitato, coerente con le finalità di sicurezza.

Al termine dei periodi indicati, i dati sono cancellati o resi anonimi in modo irreversibile, salvo ulteriore conservazione richiesta dalla legge o necessaria per l'accertamento, l'esercizio o la difesa di un diritto.

9Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate a garantire un livello di sicurezza commisurato al rischio, ai sensi dell'art. 32 GDPR, tra cui:

• cifratura dei dati in transito (TLS);
• controlli degli accessi e autenticazione degli utenti;
• principio del privilegio minimo nell'assegnazione degli accessi;
• hosting dell'infrastruttura applicativa presso data center nell'Unione Europea;
• backup periodici e procedure di ripristino;
• monitoraggio e registrazione degli accessi ai sistemi.

10Diritti dell'interessato

In qualità di interessato, hai il diritto di esercitare, nei limiti e alle condizioni previste dagli artt. 15-22 GDPR:

• diritto di accesso ai tuoi dati personali (art. 15);
• diritto di rettifica dei dati inesatti o incompleti (art. 16);
• diritto alla cancellazione («diritto all'oblio») (art. 17);
• diritto di limitazione del trattamento (art. 18);
• diritto alla portabilità dei dati (art. 20);
• diritto di opposizione al trattamento basato sul legittimo interesse, incluso il marketing (art. 21);
• diritto di revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.

Puoi esercitare i tuoi diritti scrivendo a [email protected]. Risponderemo senza ingiustificato ritardo e, in ogni caso, entro un mese dal ricevimento della richiesta.

Hai inoltre il diritto di proporre reclamo all'Autorità di controllo, il Garante per la protezione dei dati personali (www.garanteprivacy.it), qualora ritenga che il trattamento dei tuoi dati avvenga in violazione della normativa applicabile.

11Cookie e tecnologie simili

Il sito utilizza cookie e tecnologie simili per il proprio funzionamento, per finalità tecniche e, previo consenso, per finalità ulteriori. Per i dettagli sulle tipologie di cookie utilizzati e sulle modalità di gestione delle preferenze, consulta la nostra Cookie Policy.

12Modifiche all'informativa

La presente informativa può essere aggiornata nel tempo, ad esempio per riflettere modifiche normative o del servizio. La data dell'ultimo aggiornamento è indicata in alto in questa pagina. In caso di modifiche sostanziali, ne daremo comunicazione con mezzi adeguati.

13Contatti

Per qualsiasi questione relativa al trattamento dei dati personali e all'esercizio dei diritti: [email protected].

Per informazioni generali: [email protected].

Per posta: Atakan Kayatekin, Via Giovanni Paisiello 5, 34148 Trieste (TS), Italia.