Informativa sulla privacy

1. Titolare del trattamento

Titolare: CAFFAGNI NICCOLO, Via Giuseppe Parini 47, 20011 Corbetta (MI). P.IVA 14796180967. Per qualsiasi richiesta: info@clefo.it. PEC: niccolo.caffagni@pec.it.

2. Ruoli e struttura del trattamento (importante)

Il servizio è multi-tenant. Si distinguono due livelli:

• Verso le aziende clienti (titolari di un account): Clefo agisce come titolare del trattamento dei dati dell’account (es. email, dati di fatturazione, log d’uso).
• Verso i clienti finali (le persone che scrivono su WhatsApp o chiamano l’azienda cliente): è l’azienda cliente ad essere titolare; Clefo agisce come responsabile del trattamento (data processor) per conto dell’azienda, in base ad apposito accordo (DPA).

3. Dati trattati

• Dati dell’account azienda: email, nome dell’organizzazione, ruolo dell’utente.
• Contenuti delle conversazioni WhatsApp dei clienti finali (testo dei messaggi, numero di telefono, nome se fornito).
• Dati di prenotazione collegati al calendario (servizio, data/ora, nominativo).
• Log delle chiamate perse (numero chiamante, esito, orario).
• Log tecnici e di utilizzo dell’AI (modello, token, costo stimato) per sicurezza e fatturazione.

Non trattiamo intenzionalmente categorie particolari di dati (art. 9 GDPR).

4. Finalità e basi giuridiche

• Erogazione del servizio (risposte automatiche, prenotazioni, follow-up): esecuzione del contratto (art. 6.1.b).
• Sicurezza, prevenzione abusi e log: legittimo interesse (art. 6.1.f).
• Adempimenti di legge (es. contabili e fiscali): obbligo legale (art. 6.1.c).
• Per i dati dei clienti finali, la base giuridica è determinata dall’azienda cliente (titolare).

5. Conservazione

I dati transitori (conversazioni, messaggi, log chiamate e log tecnici) sono conservati per un massimo di 12 mesi e poi eliminati automaticamente. I dati dell’account e di configurazione sono conservati per la durata del rapporto e cancellati su richiesta o alla chiusura dell’organizzazione.

6. Destinatari e responsabili esterni (sub-processor)

Per erogare il servizio ci avvaliamo di fornitori che agiscono come responsabili:

• Meta Platforms (WhatsApp Cloud API): messaggistica.
• OpenAI: generazione delle risposte dell’assistente (modello gpt-4o-mini) e, quando il titolare attiva la funzione, trascrizione delle note vocali dei clienti (modello whisper-1).
• Google (Calendar): prenotazioni.
• Twilio: telefonia e rilevazione chiamate perse.
• Supabase: database e autenticazione (hosting UE).
• Vercel: hosting dell’applicazione.
• Stripe: pagamenti e fatturazione dell’abbonamento.
• Resend: invio delle email di notifica al titolare.

6-bis. Trattamento tramite sistemi di intelligenza artificiale

Le risposte inviate ai clienti finali sono generate da un sistema di intelligenza artificiale. Il contenuto dei messaggi e la configurazione dell’attività (servizi, prezzi, orari, domande frequenti, regole) vengono inviati a OpenAI per il tempo necessario a produrre la risposta. Se il titolare attiva la trascrizione, anche l’audio delle note vocali segue lo stesso percorso.

Clefo è, ai sensi del Regolamento (UE) 2024/1689, il FORNITORE del sistema di IA; l’attività che lo utilizza ne è l’utilizzatore. È la qualificazione che risulta dalla lettura del Regolamento applicata al funzionamento del prodotto, non un accertamento di un’autorità.

Su questa base, l’obbligo di informare le persone che stanno interagendo con un sistema automatico è assolto dal prodotto: la dichiarazione viene anteposta alla prima risposta che l’assistente scrive in ogni conversazione. Il titolare dell’attività può disattivarla dalla propria configurazione, dopo aver preso atto di cosa comporta; la disattivazione resta registrata con data e utente.

Quali sistemi sono impiegati, cosa fanno, cosa non fanno e quali sono i loro limiti noti sono descritti nella pagina Intelligenza artificiale.

7. Trasferimenti extra-UE

Alcuni fornitori (in particolare OpenAI, Meta, Twilio, Google, Stripe e Resend) possono trattare dati al di fuori dell’UE, anche negli Stati Uniti. In tali casi il trasferimento avviene sulla base di garanzie adeguate ai sensi degli artt. 44 ss. GDPR (Clausole Contrattuali Standard e/o decisioni di adeguatezza, es. EU-US Data Privacy Framework ove applicabile).

8. Diritti dell’interessato

Puoi esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-22 GDPR). Le aziende clienti possono esportare o eliminare i dati della propria organizzazione dalla sezione “Privacy e dati” della dashboard. Per i clienti finali, le richieste vanno rivolte all’azienda titolare; Clefo supporta l’azienda come responsabile. Hai inoltre diritto di reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Contatti e modifiche

Per esercitare i tuoi diritti o per domande: info@clefo.it. La presente informativa può essere aggiornata; la versione vigente è sempre pubblicata su questa pagina.