Informativa sulla privacy

Neithra Technologies – Fabian Lorenz, Thaler Weg 2a, 51647 Gummersbach, Germania. E-mail: [email protected]. Telefono: +49 2266 4889976 (Germania), +1 332 287 9966 (USA). Il titolare non è tenuto a designare un responsabile della protezione dei dati ai sensi dell’art. 37 RGPD; la preghiamo di indirizzare ogni richiesta all’indirizzo indicato.

Quando visita il sito, il nostro server e il servizio Cloudflare che lo precede trattano automaticamente l’indirizzo IP, la data e l’ora, l’indirizzo richiesto, lo stato della risposta, il browser utilizzato e la pagina di provenienza. Questi dati servono a erogare la pagina, a difendere il sistema da attacchi e a individuare errori (art. 6, par. 1, lett. f), RGPD: legittimo interesse al funzionamento sicuro del servizio). Il paese da cui proviene la richiesta ci è fornito da Cloudflare; lo utilizziamo solo per mostrare il sito nella lingua e nella presentazione per paese corrispondenti – la lingua che ha scelto resta prioritaria – e l’indirizzo IP non viene conservato a tal fine. I file di log del nostro server sono cancellati al più tardi dopo 14 giorni, salvo che un incidente di sicurezza ne richieda la conservazione.

Il sito e l’applicazione sono ospitati su server di netcup GmbH a Karlsruhe (sede), data center di Norimberga (Germania), che agisce in qualità di responsabile del trattamento ai sensi dell’art. 28 RGPD.

Tutte le richieste raggiungono il nostro server attraverso la rete di Cloudflare (Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, USA). Cloudflare riceve la connessione, respinge gli attacchi e la inoltra al nostro server tramite un tunnel cifrato; il server non è raggiungibile direttamente dall’esterno. Cloudflare agisce in qualità di responsabile del trattamento ai sensi dell’art. 28 RGPD. Per i trasferimenti verso gli Stati Uniti Cloudflare è certificata ai sensi dell’EU-U.S. Data Privacy Framework (art. 45 RGPD); si applicano inoltre le clausole contrattuali tipo dell’UE (art. 46, par. 2, lett. c), RGPD).

Il sito utilizza esclusivamente cookie tecnici strettamente necessari, per i quali non è richiesto il consenso (art. 5, par. 3, della direttiva 2002/58/CE, recepito in Germania dal § 25, comma 2, TDDDG). Per questo motivo non è presente alcun banner dei cookie.

• qx_locale, qx_market e qx_country: memorizzano la lingua e il paese scelti. Vengono impostati quando sceglie una lingua nel selettore (qx_locale) o apre un indirizzo che indica espressamente una lingua o un paese, ad esempio tramite il pulsante d’ordine di una versione linguistica; qx_country memorizza in tal caso uno dei seguenti paesi: Stati Uniti, Regno Unito, Canada, Australia o Nuova Zelanda. La semplice visita di una versione linguistica non imposta alcun cookie. Durata: dodici mesi.
• Cookie di sessione dell’applicazione: mantiene attiva la sessione dopo l’accesso. Viene eliminato quando esce dall’account o alla scadenza della sessione.
• Cloudflare può impostare un cookie di sicurezza strettamente necessario per respingere attacchi automatizzati (ad esempio __cf_bm, durata 30 minuti).
• Nessun cookie di analisi o di marketing. Non sono integrati font o pixel di tracciamento esterni; la misurazione dell’audience (sezione 14) carica uno script dal nostro server e non imposta cookie.
• Nella pagina d’ordine, e solo lì, il nostro fornitore di servizi di pagamento Stripe imposta propri cookie non appena viene caricato il suo modulo di pagamento. Servono all’esecuzione del pagamento e alla prevenzione delle frodi e sono tecnicamente necessari a tali fini (sezione 7).
• La pagina d’ordine conserva i dati aziendali inseriti nel modulo d’ordine, insieme al pacchetto e alla modalità di pagamento, nella memoria di sessione (Session Storage) della scheda del browser fino al completamento dell’ordine, al più tardi fino alla chiusura della scheda; in questa fase non ci vengono trasmessi.

Se ci scrive tramite il modulo di contatto o per e-mail, trattiamo nome, azienda, indirizzo e-mail, eventualmente il numero di telefono e il contenuto del messaggio, per rispondere alla sua richiesta e predisporre un’offerta (art. 6, par. 1, lett. b), RGPD: misure precontrattuali; per il resto art. 6, par. 1, lett. f), RGPD). L’indicazione del volume di richieste d’offerta è facoltativa. Per prevenire abusi, il numero di invii per mittente è limitato; a tal fine viene conservato per breve tempo un valore hash dell’indirizzo e-mail. Per escludere invii automatizzati, il modulo di contatto e la richiesta di appuntamento verificano inoltre un piccolo calcolo che il suo browser esegue all’invio, un campo invisibile alle persone e il tempo di compilazione — senza fornitori terzi e senza cookie.

Le richieste vengono cancellate dodici mesi dopo la conclusione della corrispondenza, salvo che sia stato concluso un contratto o che vi si oppongano obblighi di conservazione previsti dalla legge.

Per l’invio delle e-mail (conferma dell’account, password, inviti e inoltro della sua richiesta di contatto) utilizziamo Resend (Plus Five Five, Inc., 2261 Market Street #5039, San Francisco, CA 94114, USA) in qualità di responsabile del trattamento ai sensi dell’art. 28 RGPD. Le e-mail sono inviate tramite la regione UE di Resend (Irlanda); qualora dati siano trasferiti negli Stati Uniti, Resend è certificata ai sensi dell’EU-US Data Privacy Framework (art. 45 RGPD) e si applicano in aggiunta le clausole contrattuali tipo dell’UE (art. 46, par. 2, lett. c), RGPD).

Per utilizzare l’applicazione è necessario creare un account. Trattiamo nome, indirizzo e-mail aziendale, azienda, sede dell’azienda, ruolo nel team e password in forma di hash, oltre agli orari di accesso e agli eventi rilevanti per la sicurezza (art. 6, par. 1, lett. b), RGPD). I tentativi di accesso non riusciti vengono conteggiati per breve tempo per difendersi da attacchi (art. 6, par. 1, lett. f), RGPD).

Conserviamo i documenti richiesti dalla legge per la specifica finalità e con accesso limitato: la corrispondenza commerciale di norma per sei anni, le fatture e i giustificativi contabili di norma per otto anni, dalla fine dell’anno civile pertinente. Restano salve le proroghe legali e le controversie documentate; gli altri dati dell’account sono cancellati secondo la procedura descritta di seguito.

Gli account senza ordine, pagamento o procedura di pagamento in corso sono cancellati non prima di 30 giorni dalla registrazione e sette giorni dall’invio dell’avviso di cancellazione via e-mail. Può cancellare autonomamente il suo account in qualsiasi momento nell’area account e scaricare prima i suoi dati come archivio ZIP.

Nell’applicazione la sua azienda tratta i dati dei propri clienti: richieste, referenti, cataloghi, condizioni commerciali e offerte. Per questi dati la sua azienda è titolare del trattamento; Neithra Technologies agisce in qualità di responsabile del trattamento ai sensi dell’art. 28 RGPD, esclusivamente su istruzione della sua azienda. La base è un accordo sul trattamento dei dati che mettiamo a disposizione insieme all’offerta.

L’accesso è rigorosamente limitato all’ambiente dedicato alla sua azienda. Può esportare i dati della sua azienda come archivio ZIP nella gestione dell’account. Dopo la cessazione del contratto i dati vengono cancellati entro 30 giorni, salvo che ne venga chiesta la cancellazione anticipata.

Quando collega una casella IMAP, Quotrail acquisisce inizialmente i messaggi non letti, poi segue i nuovi messaggi tramite l’identificativo del messaggio (UID) e della cartella (UIDVALIDITY), anche se li ha già aperti. Le risposte vengono associate alle richieste esistenti quando identificativi o numeri permettono la corrispondenza. Sono memorizzati parametri di connessione, mittente, oggetto, contenuto e allegati necessari. Le password di ricezione e invio sono cifrate (AES-256-GCM) e decifrate solo per la connessione interessata. La marcatura come letto può essere disattivata; i messaggi elaborati possono essere spostati in una cartella scelta. Quotrail non cancella messaggi dalla casella collegata.

L’invio di un’offerta approvata trasmette destinatario, messaggio e PDF tramite la casella selezionata. Con IMAP/SMTP Quotrail tenta di salvare una copia nella cartella Posta inviata esistente; un errore di copia non annulla l’invio. Notifiche ed e-mail dell’account sono inviate tramite Resend. Se i riscontri di consegna sono configurati, memorizziamo identificativo del fornitore, stato, orario e motivo dell’errore. L’accettazione del fornitore non prova l’arrivo nella casella; non viene richiesta una conferma di lettura.

Elimina contatto rimuove o svuota la scheda e pulisce riferimenti e campi del mittente associati nelle richieste, nei messaggi e negli elenchi di ricezione. Non cancella integralmente testi, file originali, versioni approvate delle offerte o precedenti voci del registro, che possono ancora contenere dati personali. La funzione non sostituisce quindi la gestione completa di una richiesta di cancellazione. Il cliente titolare del trattamento deve esaminare documenti residui e obblighi di conservazione applicabili e disporre una cancellazione o limitazione separata ove necessaria. La pulizia tecnica del contatto non implica un obbligo generale di conservare tutti i messaggi.

Le aziende con piani su fattura concordati individualmente pagano tramite fattura e bonifico. Per la fattura trattiamo ragione sociale, indirizzo di fatturazione, numero di partita IVA e indirizzo e-mail di fatturazione e li registriamo nella nostra contabilità (art. 6, par. 1, lett. b) e c), RGPD; conservazione per i periodi previsti dalla legge). Fatture e contabilità sono gestite con Lexware (Haufe-Lexware GmbH & Co. KG, Munzinger Straße 9, 79111 Friburgo, Germania), che agisce in Germania come nostro responsabile del trattamento ai sensi dell’art. 28 RGPD.

Le aziende che ordinano online pagano tramite Stripe (Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublino 2, Irlanda; società controllante Stripe, Inc., USA). Stripe tratta i dati di pagamento in qualità di autonomo titolare del trattamento; tali dati non raggiungono i nostri sistemi. Per il pagamento con carta, dopo il clic su «Proceda al pagamento» il suo browser carica il modulo di pagamento di Stripe, integrato nella nostra pagina d’ordine (script Stripe.js da js.stripe.com) oppure sulla pagina di pagamento di Stripe. In tale occasione Stripe riceve il suo indirizzo IP e imposta propri cookie, tecnicamente necessari per l’esecuzione del pagamento e la prevenzione delle frodi; sulle altre nostre pagine Stripe non imposta cookie. Se paga con Apple Pay o Google Pay, Apple o Google tratta i dati di pagamento secondo le proprie condizioni; noi non riceviamo alcun dato della carta. Per la fattura trasmettiamo a Stripe ragione sociale, indirizzo di fatturazione, e-mail di fatturazione e partita IVA; Stripe verifica una partita IVA dell’UE nella banca dati dell’UE (VIES) (art. 6, par. 1, lett. b e c, RGPD). Per i trasferimenti verso gli Stati Uniti Stripe è certificata ai sensi dell’EU-U.S. Data Privacy Framework (art. 45 RGPD).

Quotrail prepara e propone: legge le richieste, confronta le singole posizioni con il catalogo del cliente e applica le regole di prezzo impostate. Ogni abbinamento riporta la propria motivazione, ogni prezzo la regola da cui deriva. L’approvazione di un’offerta spetta sempre a una persona. Non vengono adottate decisioni automatizzate che producano effetti giuridici ai sensi dell’art. 22 RGPD.

L’abbinamento avviene all’interno dell’applicazione sulla base di regole e metodi statistici. Non utilizziamo i dati dei clienti per addestrare modelli. Per le richieste che queste regole non riescono a leggere esiste un aiuto automatico al riconoscimento con IA. È attivo solo se l’amministrazione del cliente lo ha espressamente autorizzato e viene eseguito senza ulteriore clic all’arrivo di una tale richiesta (caricamento, inoltro, casella di posta, rilettura). Prima della trasmissione l’applicazione rimuove, secondo schemi fissi, indirizzi e-mail, numeri di telefono, coordinate bancarie, indirizzi web, indirizzi postali riconoscibili, firme, avvisi di riservatezza e messaggi precedenti citati, e sostituisce con segnaposto i nomi registrati per la richiesta; la corrispondenza dei segnaposto non viene conservata. Il testo del documento interessato così ripulito, che può ancora contenere dati personali del richiedente, e fino a cinque articoli di catalogo del cliente, senza prezzi, vengono trasmessi tramite il nostro servizio centrale Neithra a Google Gemini (Gemini API). Per questa funzione non esiste un fornitore sostitutivo: se Gemini non è raggiungibile, nulla viene trasmesso a un altro fornitore e la richiesta resta da elaborare manualmente. L’unica finalità è riconoscere le posizioni della richiesta. Ogni dato viene controllato sul testo originale; i dati con riscontro completo vengono acquisiti automaticamente come posizione ancora da verificare, tutto il resto rimane una domanda aperta. Abbinamento degli articoli, prezzi, verifica e approvazione di un’offerta restano al cliente e ai suoi collaboratori. Le richieste riconosciute integralmente non vengono trasmesse. Per questa funzione non garantiamo un trattamento esclusivamente all’interno dell’UE né un trattamento privo di qualsiasi registrazione presso tale fornitore.

I dati personali sono comunicati esclusivamente ai responsabili del trattamento indicati nella presente informativa. I dati non sono comunicati a fini pubblicitari né venduti. Qualora i dati siano trasferiti verso paesi al di fuori dello Spazio economico europeo, il trasferimento avviene sulla base di una decisione di adeguatezza o delle clausole contrattuali tipo dell’UE; copia delle garanzie è disponibile su richiesta.

File di log del server: 14 giorni. Richieste di contatto: dodici mesi dalla conclusione della corrispondenza. Dati dell’account: durata del contratto più i termini legali di conservazione. Dati dell’applicazione relativi alla sua azienda: fino a 30 giorni dopo la cessazione del contratto. Account senza ordine, pagamento o procedura di pagamento in corso: non prima di 30 giorni dalla registrazione e sette giorni dall’invio dell’avviso di cancellazione. Dichiarazioni di disdetta come corrispondenza commerciale: sei anni dalla fine dell’anno di ricezione, salvo un obbligo legale di conservazione più lungo (ad es. § 147 AO, § 257 HGB); successivamente vengono cancellate o anonimizzate. Le informazioni sulla disdetta e sulla fine del contratto sono conservate più a lungo con accesso limitato soltanto se costituiscono una parte necessaria di una categoria legale di documenti. Contatori di sicurezza per tentativi di accesso e invii del modulo: al massimo 48 ore. Copie di backup: i dati cancellati possono restare nelle copie di backup cifrate per un massimo di 14 giorni e vengono poi sovrascritti con la normale rotazione dei backup.

Ha diritto di accesso (art. 15 RGPD), di rettifica (art. 16), di cancellazione (art. 17), di limitazione del trattamento (art. 18), alla portabilità dei dati (art. 20) e di opposizione ai trattamenti basati sul legittimo interesse (art. 21). Il consenso eventualmente prestato può essere revocato in qualsiasi momento, con effetto per il futuro. Per esercitare questi diritti scriva all’indirizzo sopra indicato.

L’autorità di controllo competente per il titolare del trattamento è la Landesbeauftragte für Datenschutz und Informationsfreiheit del Land Renania Settentrionale-Vestfalia (LDI NRW), Kavalleriestraße 2–4, 40213 Düsseldorf, Germania. Può rivolgersi anche all’autorità di controllo dello Stato membro in cui risiede abitualmente.

La trasmissione dei dati avviene esclusivamente in forma cifrata (TLS). Le password sono conservate solo in forma di hash. L’accesso ai dati dell’applicazione è limitato all’ambiente della singola azienda cliente ed è registrato; le approvazioni delle offerte sono registrate con persona e orario e le voci non possono essere modificate nell’applicazione.

Aggiorniamo la presente informativa quando il trattamento cambia, ad esempio con il ricorso a un nuovo fornitore. Fa fede la versione pubblicata in questa pagina; la data dell’ultima modifica è indicata in alto.

Misuriamo l’utilizzo di questo sito con il software open source Umami, che gestiamo direttamente su un server di netcup GmbH in Germania. Umami non imposta cookie e non salva alcun identificativo sul suo dispositivo. Il suo indirizzo IP viene utilizzato solo per breve tempo per determinare la posizione approssimativa (paese, regione, città) e per generare un identificativo che cambia ogni giorno e non è riconducibile a lei; l’indirizzo IP non viene conservato. Registriamo le pagine visitate, la pagina di provenienza, il browser, il sistema operativo, il tipo di dispositivo, la lingua, la posizione approssimativa ed eventi come l’apertura della pagina di pagamento o l’invio di un modulo. La trasmissione avviene tramite Cloudflare, che utilizziamo per la distribuzione dei nostri siti. La base giuridica è il nostro legittimo interesse a migliorare la nostra offerta (art. 6, par. 1, lett. f), RGPD). I dati vengono cancellati dopo 24 mesi. Se il suo browser invia il segnale «Do Not Track» o «Global Privacy Control», non viene effettuata alcuna misurazione.

Diritti internazionali aggiuntivi: le leggi statali statunitensi applicabili possono prevedere diritti di accesso, rettifica, cancellazione e copia portabile, nonché diritti relativi a vendita, pubblicità mirata o determinate profilazioni. L’applicabilità dipende dalla legge, dalle soglie e dal trattamento; i contatti professionali non sono automaticamente esclusi in California. Non vendiamo dati personali e non li usiamo per pubblicità comportamentale tra contesti diversi. I segnali Do Not Track del browser non modificano i trattamenti necessari qui descritti; il servizio non utilizza tracciamento pubblicitario tra siti. Sono distinti dai segnali di opposizione riconosciuti dalla legge, come Global Privacy Control. Le richieste possono essere inviate al contatto di questa informativa o delle note legali senza un account a pagamento. Un rappresentante autorizzato può agire con prova dei poteri. Verifichiamo l’identità in misura proporzionata alla richiesta, normalmente tramite l’account o il recapito noto; richiediamo altre prove solo se necessarie e non divulghiamo dati altrui. Motiviamo i rifiuti e le eccezioni applicabili. È possibile chiedere un riesame rispondendo alla decisione; gestiamo richieste e ricorsi previsti dalla legge entro i termini applicabili, spiegando eventuali proroghe consentite. L’esercizio dei diritti non comporta discriminazioni. Ove applicabili, restano salvi i diritti e le garanzie del GDPR britannico e della legge svizzera sulla protezione dei dati; ci si può rivolgere rispettivamente all’Information Commissioner britannico (ico.org.uk) o all’IFPDT svizzero (edoeb.admin.ch). Per dati sotto la responsabilità di un cliente inoltriamo la richiesta o assistiamo il cliente quale responsabile del trattamento. Le modifiche alle pratiche sono pubblicate con data aggiornata; quelle rilevanti per account esistenti sono anche comunicate tramite l’account o il recapito prima dell’efficacia, ottenendo il consenso ove necessario. Ove applicabile la normativa canadese sui dati, lo stesso contatto consente di chiedere accesso o rettifica, revocare il consenso ove previsto o presentare reclami sul trattamento; è possibile rivolgersi all’autorità federale o provinciale competente (priv.gc.ca). Un indirizzo professionale non esclude da solo tutte le relative informazioni di account o utilizzo dalla tutela.

Il dialogo elabora domande usando informazioni pubbliche sul prodotto (GDPR, art. 6(1)(f): risposta alle domande sul prodotto). Senza IA, la conversazione resta nel browser aperto. Con IA, Neithra conserva un contesto limitato e i casi irrisolti con identificativi pseudonimi per il seguito. I contatori temporanei antiabuso usano una chiave client con hash. Solo con scelta esplicita e funzione IA attiva, la domanda e fino a sei messaggi precedenti sono inviati al supporto centrale Neithra e poi ai fornitori descritti qui: OpenAI oppure OpenAI e Google Gemini, sulla base del consenso (art. 6(1)(a)), revocabile per le domande future deselezionando l’opzione. Condizioni del fornitore, trattamento e possibili trasferimenti internazionali devono essere verificati e specificati qui prima dell’attivazione. Senza attivazione non avviene tale invio. Preparare una richiesta copia le ultime tre domande e il fabbisogno in un modulo modificabile. Al cambio pagina la bozza usa lo storage di sessione, viene eliminata dopo il trasferimento e non viene più utilizzata dopo dieci minuti. Solo l’invio del modulo registra la richiesta; valgono i termini di conservazione del contatto. Le richieste possono confluire nel Neithra Office dello stesso titolare. Nessuna iscrizione automatica a newsletter. I casi limitati del bot centrale vengono eliminati dopo 30 giorni senza attività durante il funzionamento regolare. Le e-mail di contatto inviate separatamente seguono i propri termini di conservazione. Con consenso separato nel supporto amministratore autenticato, il piano e lo stato di accesso locale dell’area autorizzata sono inviati ai servizi IA indicati. Il momento della lettura non verifica un pagamento; la ricezione resta sconosciuta senza prove attuali. Riferimenti pseudonimi collegano la richiesta centrale. Il modello riceve solo i fatti limitati, senza identificativi di account, pagamento o email. Nessun file di fattura o dato cliente. Gli utenti autenticati possono salvare richieste personali. Oggetto, messaggio, stato e risposta sono collegati all’account e al numero cliente e accessibili all’utente interessato e al gestore. Un sistema di supporto autenticato separatamente può recuperarli e salvare risposte. I dati non vengono inviati automaticamente al modello IA. Sono inclusi nell’esportazione e cancellati con l’entità; le richieste completate vengono eliminate entro dodici mesi dall’ultima modifica. I casi limitati del bot centrale vengono eliminati dopo 30 giorni senza attività durante il funzionamento regolare. Le e-mail di contatto inviate separatamente seguono i propri termini di conservazione.