Informativa sulla privacy

1. Titolare del trattamento e informazioni di contatto

1.1 Titolare del trattamento

Il titolare del trattamento ai sensi del Regolamento (UE) 2016/679 (GDPR) è: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Vienna, Austria. Numero Registro Imprese: FN 618845t (Tribunale Commerciale di Vienna). Partita IVA: ATU80258169. Email: legal@hanc.ai. Web: hanc.ai

1.2 Contatto privacy

Per domande relative alla protezione dei dati: datenschutz@hanc.ai. Posta: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Vienna, Austria.

1.3 Ambito

La presente Informativa sulla Privacy si applica a: (a) il sito web hanc.ai, (b) la piattaforma app.hanc.ai, (c) tutti i servizi, API e integrazioni correlati.

1.4 Quadro normativo

GDPR, DSG austriaco 2018, BDSG tedesco, TDDDG tedesco, FADP svizzero, EU AI Act.

2. Riassunto delle attività di trattamento

Quanto segue fornisce una panoramica di alto livello delle nostre attività di trattamento dati. Informazioni dettagliate sono fornite nelle sezioni seguenti.

Visite al sito: indirizzo IP (anonimizzato), browser, pagine visitate, referrer. Base giuridica: legittimo interesse (Art. 6(1)(f) GDPR). Conservazione: novanta giorni.

Modulo di contatto / email: nome, email, azienda, contenuto del messaggio. Base giuridica: contratto (Art. 6(1)(b)) o legittimo interesse (Art. 6(1)(f)). Conservazione: sei mesi dopo la risoluzione.

Creazione account: nome, email, azienda, settore, indirizzo. Base giuridica: contratto (Art. 6(1)(b) GDPR). Conservazione: durata dell'account + sette anni.

Configurazione agente: ragione sociale, servizi, orari, saluti, settore. Base giuridica: contratto (Art. 6(1)(b) GDPR). Conservazione: durata dell'account.

Chiamate vocali: numero del chiamante, metadati della chiamata, audio (se la registrazione è abilitata), trascrizioni. Base giuridica: contratto (Art. 6(1)(b)) + legittimo interesse (Art. 6(1)(f)). Conservazione: trenta giorni di default (configurabile dal cliente).

Elaborazione pagamenti: metodo di pagamento (tramite Stripe), tipo di piano, fatture. Base giuridica: contratto (Art. 6(1)(b) GDPR). Conservazione: sette anni (BAO austriaco § 132).

Analytics: utilizzo delle funzionalità, dati di sessione, metriche di performance. Base giuridica: legittimo interesse (Art. 6(1)(f) GDPR). Conservazione: ventisei mesi.

Marketing / Newsletter: email, nome, preferenze. Base giuridica: consenso (Art. 6(1)(a) GDPR). Conservazione: fino alla revoca del consenso.

3. Principi di trattamento dei dati

3.1 Minimizzazione dei dati

Raccogliamo dati personali solo nella misura necessaria per le finalità descritte. Il trattamento è vincolato allo scopo (Art. 5(1)(b) e (c) GDPR).

3.2 Limitazione della conservazione

I dati personali sono conservati solo per il tempo necessario o richiesto da obblighi di conservazione statutari.

3.3 Sicurezza dei dati

Implementiamo misure tecniche e organizzative adeguate (Art. 32 GDPR).

4. Trattamento durante la visita al sito

4.1 File di log del server

Quando visitate il nostro sito, raccogliamo: indirizzo IP (anonimizzato), data/ora, URL, volume di dati, stato HTTP, browser, sistema operativo, referrer. Base giuridica: Art. 6(1)(f) GDPR. Conservazione: trenta giorni.

4.2 Contatto via email

Dati raccolti: indirizzo email, nome, azienda, contenuto, data/ora. Base giuridica: Art. 6(1)(b) o (f) GDPR. Conservazione: sei mesi dopo la risoluzione della richiesta.

4.3 Modulo di contatto

Come per l'email, più selezione dell'argomento e timestamp del consenso GDPR. HubSpot come responsabile del trattamento (DPA in essere).

4.4 Newsletter

Se applicabile: email, nome, azienda. Doppio opt-in richiesto. Brevo (Sendinblue) come responsabile del trattamento. Link per disiscriversi in ogni email. Base giuridica: Art. 6(1)(a) GDPR.

5. Trattamento durante l'uso della piattaforma

5.1 Registrazione

Dati raccolti: email, password (con hash), nome, ragione sociale, settore, indirizzo aziendale. Base giuridica: Art. 6(1)(b) GDPR.

5.2 Configurazione dell'agente

Dati raccolti: ragione sociale, servizi, orari di lavoro, testo di saluto, categoria settore. Finalità: creazione e funzionamento dell'agente.

5.3 Fatturazione

Stripe come processore di pagamento. Memorizziamo: tipo di piano, ciclo di fatturazione, cronologia delle fatture. Stripe memorizza: dettagli del metodo di pagamento (PCI DSS Level 1). Base giuridica: Art. 6(1)(b) GDPR.

5.4 Analytics di utilizzo

PostHog per business intelligence. Dati: utilizzo delle funzionalità, dati di sessione, metriche di performance dell'agente. Base giuridica: Art. 6(1)(f) GDPR.

5.5 Servizio di richiamata demo

Quando richiedete una richiamata demo, trattiamo il vostro numero di telefono esclusivamente per avviare una singola chiamata dimostrativa dal nostro Agente vocale. Base giuridica: il vostro consenso esplicito (Art. 6(1)(a) GDPR). Dati trattati: numero di telefono in formato E.164. Conservazione: per la durata del rapporto contrattuale; cancellazione alla chiusura dell'account. Destinatari: categorie di sub-responsabili descritte sopra; l'elenco aggiornato è disponibile su richiesta all'indirizzo privacy@hanc.ai. Informativa IA ai sensi dell'EU AI Act Art. 50.

6. Trattamento delle chiamate vocali e delle interazioni IA

6.1 Dati delle chiamate

Trattiamo: numero di telefono del chiamante, timestamp della chiamata, durata della chiamata, ID agente, esito della chiamata. Base giuridica: Art. 6(1)(b) GDPR (esecuzione del contratto) e Art. 6(1)(f) GDPR (legittimo interesse).

6.2 Dati vocali

Elaborazione speech-to-text in tempo reale tramite Azure (regione UE). L'audio vocale è elaborato in memoria e non conservato in modo persistente a meno che la registrazione delle chiamate non sia abilitata dal cliente.

6.3 Registrazioni delle chiamate

Facoltative, controllate dal cliente. Memorizzate cifrate in Azure UE. Conservazione: per la durata del rapporto contrattuale; non è applicata alcuna scadenza automatica; cancellazione alla chiusura dell'account o su richiesta. Il cliente è responsabile della conformità alle leggi locali sulla registrazione delle chiamate.

6.4 Elaborazione IA

Dati di conversazione elaborati tramite IA su Azure (regione UE). Nessun addestramento sui dati del cliente. Dati trattati secondo il DPA Microsoft.

6.5 Trascrizioni

Memorizzate cifrate. Accessibili al cliente tramite dashboard. Conservazione: per la durata del rapporto contrattuale; non è applicata alcuna scadenza automatica; cancellazione alla chiusura dell'account o su richiesta.

6.6 EU AI Act (Art. 50)

I chiamanti sono informati di parlare con un sistema di IA all'inizio di ciascuna chiamata.

7. Cookie e tecnologie simili

7.1 Cookie essenziali

Gestione della sessione, autenticazione, preferenza linguistica. Nessun consenso richiesto (TDDDG Sez. 25(2)).

7.2 Cookie analitici

PostHog Cloud EU (Francoforte). Consenso richiesto (TDDDG Sez. 25(1)). Banner cookie con opt-in.

7.3 Cookie di marketing

Nessuno al lancio. Se aggiunti: consenso richiesto, elencati nel banner cookie.

7.4 Banner cookie

Piattaforma di gestione del consenso. Opt-in/opt-out granulare. Consenso conservato per dodici mesi. Revoca possibile in qualsiasi momento.

7.5 Elenco dei cookie

hanc_session: Gestione della sessione — mantiene lo stato della sessione utente. Durata: sessione. Tipo: essenziale.

hanc_locale: Preferenza linguistica — memorizza la lingua dell'interfaccia selezionata. Durata: un anno. Tipo: essenziale.

hanc_consent: Stato del consenso cookie — registra le scelte di consenso. Durata: un anno. Tipo: essenziale.

_ph_*: Analytics PostHog — traccia pattern di utilizzo anonimizzati. Durata: un anno. Tipo: analytics.

_hs*: Tracciamento HubSpot — abilita l'integrazione CRM. Durata: tredici mesi. Tipo: marketing.

stripe_*: Elaborazione pagamenti — supporta le sessioni Stripe sicure. Durata: sessione. Tipo: essenziale.

8. Servizi di terze parti e trasferimenti di dati

Utilizziamo fornitori di servizi nelle categorie hosting, database, elaborazione IA, telefonia, pagamenti, e-mail e analisi. L'elenco dettagliato dei sub-responsabili è disponibile tramite il nostro Trust Center: security.hanc.ai.

9. I tuoi diritti come interessato

Ai sensi del GDPR, avete i seguenti diritti: diritto di accesso (Art. 15), diritto di rettifica (Art. 16), diritto alla cancellazione (Art. 17), diritto alla limitazione del trattamento (Art. 18), diritto alla portabilità dei dati (Art. 20), diritto di opposizione (Art. 21), diritto di revocare il consenso (Art. 7(3)) e diritto di proporre reclamo a un'autorità di controllo (Art. 77).

Contatto: datenschutz@hanc.ai

Autorità di controllo: Autorità austriaca per la protezione dei dati (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienna, dsb@dsb.gv.at

10. Periodi di conservazione dei dati

File di log del server: trenta giorni (legittimo interesse).

Richieste tramite modulo di contatto: sei mesi dopo la risoluzione (contratto/legittimo interesse).

Dati dell'account: durata del contratto + sette anni (contratto + BAO austriaco § 132).

Fatturazione / fatture: sette anni (BAO austriaco § 132).

Registrazioni delle chiamate: durata del contratto, senza scadenza automatica (esecuzione del contratto).

Trascrizioni delle chiamate: durata del contratto, senza scadenza automatica (esecuzione del contratto).

Dati di analytics: ventisei mesi (legittimo interesse).

Registri di consenso cookie: dodici mesi (TDDDG).

11. Trasferimenti internazionali di dati e conformità

11.1 GDPR (UE/SEE)

Quadro normativo primario di conformità. L'infrastruttura applicativa e vocale è ospitata presso Hetzner (Germania), il database primario presso MongoDB Atlas (Francoforte) e i servizi Microsoft Azure operano in regioni UE; alcuni carichi di lavoro IA ausiliari possono essere trattati fuori dallo SEE e ogni trasferimento è documentato per fornitore nella nostra documentazione di conformità su security.hanc.ai.

11.2 DSG austriaco 2018

Disposizioni nazionali aggiuntive per l'Austria.

11.3 BDSG tedesco

Disposizioni aggiuntive per gli utenti tedeschi.

11.4 FADP svizzero

Conformità per utenti svizzeri. Adeguatezza dei dati riconosciuta dall'UE.

11.5 EU AI Act

Obblighi di trasparenza dell'art. 50. Notifica al chiamante all'inizio della chiamata.

12. Sicurezza dei dati

Crittografia: TLS 1.3 in transito, AES-256 a riposo.

Controllo accessi: basato sui ruoli, autenticazione a più fattori per l'accesso amministratore.

Infrastruttura: Hetzner (Germania) e regioni UE di Microsoft Azure.

Monitoraggio: prevenzione delle intrusioni a livello di server e il monitoraggio dei nostri fornitori di infrastruttura.

Risposta agli incidenti: notifica entro 72 ore ai sensi dell'Art. 33 GDPR.

Certificazioni: i nostri fornitori di infrastruttura sono certificati (Hetzner: ISO 27001; Stripe: PCI DSS Livello 1). Hanc.AI non possiede una propria certificazione SOC 2 o ISO 27001.

13. Modifiche alla presente Informativa sulla Privacy

Potremmo aggiornare la presente Informativa sulla Privacy di volta in volta. Le modifiche sostanziali saranno comunicate via email agli utenti registrati e tramite un avviso prominente sul nostro sito. La data della revisione più recente è indicata in cima alla presente informativa.

Il trattamento per conto dei clienti aziendali è disciplinato dal nostro accordo sul trattamento dei dati (DPA), che fa parte dei nostri Termini di servizio, viene presentato al momento della registrazione ed è disponibile nell'account cliente e tramite il nostro Trust Center: security.hanc.ai.

14. Dati utente Google

Quando colleghi un account Google a Hanc.AI, accediamo solo ai dati utente Google necessari per le funzioni che attivi. Queste sono le autorizzazioni Google (scope) che richiediamo e l’uso che ne facciamo:

• Google Calendar (calendar, calendar.readonly, calendar.events, calendar.calendarlist.readonly, calendar.freebusy): l’elenco dei tuoi calendari, i tuoi orari liberi e occupati e i tuoi eventi, così il tuo dipendente IA può proporre orari liberi a chi chiama e prenotare, spostare o annullare appuntamenti nel calendario che scegli.
• Google Tasks (tasks, tasks.readonly): i tuoi elenchi di attività e le tue attività, così li vedi in Hanc.AI e il tuo dipendente IA può creare o aggiornare attività dopo una chiamata, come una richiamata o un follow-up.
• Contatti Google, “Altri contatti” (contacts.other.readonly): nomi, indirizzi email e numeri di telefono che Google ha salvato automaticamente nel tuo account, così il tuo dipendente IA può riconoscere chi chiama e completarne i dati di contatto. Questi dati li leggiamo soltanto: non modifichiamo né eliminiamo mai i tuoi contatti.

Uso. Usiamo i dati utente Google solo per fornire e migliorare le funzioni descritte sopra nel tuo account Hanc.AI. Non li usiamo per la pubblicità, non li vendiamo e non li usiamo per sviluppare, migliorare o addestrare modelli generalisti di intelligenza artificiale o di machine learning.

Accesso da parte di persone. Il nostro personale non legge i tuoi dati utente Google, a meno che tu non ce lo chieda (per esempio in una richiesta di assistenza), che sia necessario per motivi di sicurezza come l’indagine su un abuso, che lo imponga la legge o che i dati siano stati aggregati e resi anonimi per le operazioni interne.

Condivisione. Non trasferiamo i dati utente Google a terzi, se non ai fornitori che li trattano per nostro conto per fornire queste funzioni (hosting ed elaborazione con IA delle tue chiamate), in base ad accordi sul trattamento dei dati che li vincolano alle stesse restrizioni, o quando lo impone la legge.

Conservazione e cancellazione. I dati utente Google sono trasmessi su connessioni cifrate e conservati solo per il tempo necessario alle funzioni che hai attivato. Quando scolleghi il tuo account Google o elimini il tuo account Hanc.AI, cancelliamo senza ingiustificato ritardo i dati utente Google in nostro possesso, salvo che la legge ci imponga di conservarli.

Il tuo controllo. Puoi scollegare il tuo account Google in qualsiasi momento dal tuo account Hanc.AI o dalla pagina delle autorizzazioni del tuo account Google, e chiederci di cancellare i tuoi dati usando i recapiti indicati in questa informativa.

Limited Use. L’uso e il trasferimento ad altre app, da parte di Hanc.AI, delle informazioni ricevute dalle API di Google rispetteranno la Google API Services User Data Policy, compresi i requisiti di uso limitato (Limited Use).