Informativa sulla privacy

1.1 Titolare del trattamento

Il titolare del trattamento ai sensi del Regolamento (UE) 2016/679 (GDPR) è: Good Point GmbH, Liechtensteinstrasse 63/10, 1090 Vienna, Austria. Numero Registro Imprese: FN 618845t (Tribunale Commerciale di Vienna). Partita IVA: ATU80258169. Email: legal@hanc.ai. Web: hanc.ai

1.2 Contatto privacy

Per domande relative alla protezione dei dati: datenschutz@hanc.ai. Posta: Good Point GmbH, Attn: Data Protection, Liechtensteinstrasse 63/10, 1090 Vienna, Austria.

1.3 Ambito

La presente Informativa sulla Privacy si applica a: (a) il sito web hanc.ai, (b) la piattaforma app.hanc.ai, (c) tutti i servizi, API e integrazioni correlati.

1.4 Quadro normativo

GDPR, DSG austriaco 2018, BDSG tedesco, TDDDG tedesco, FADP svizzero, EU AI Act, CCPA/CPRA, PDPL UAE.

Quanto segue fornisce una panoramica di alto livello delle nostre attività di trattamento dati. Informazioni dettagliate sono fornite nelle sezioni seguenti.

Visite al sito: indirizzo IP (anonimizzato), browser, pagine visitate, referrer. Base giuridica: legittimo interesse (Art. 6(1)(f) GDPR). Conservazione: novanta giorni.

Modulo di contatto / email: nome, email, azienda, contenuto del messaggio. Base giuridica: contratto (Art. 6(1)(b)) o legittimo interesse (Art. 6(1)(f)). Conservazione: sei mesi dopo la risoluzione.

Creazione account: nome, email, azienda, settore, indirizzo. Base giuridica: contratto (Art. 6(1)(b) GDPR). Conservazione: durata dell'account + sette anni.

Configurazione agente: ragione sociale, servizi, orari, saluti, settore. Base giuridica: contratto (Art. 6(1)(b) GDPR). Conservazione: durata dell'account.

Chiamate vocali: numero del chiamante, metadati della chiamata, audio (se la registrazione è abilitata), trascrizioni. Base giuridica: contratto (Art. 6(1)(b)) + legittimo interesse (Art. 6(1)(f)). Conservazione: trenta giorni di default (configurabile dal cliente).

Elaborazione pagamenti: metodo di pagamento (tramite Stripe), tipo di piano, fatture. Base giuridica: contratto (Art. 6(1)(b) GDPR). Conservazione: sette anni (BAO austriaco § 132).

Analytics: utilizzo delle funzionalità, dati di sessione, metriche di performance. Base giuridica: legittimo interesse (Art. 6(1)(f) GDPR). Conservazione: ventisei mesi.

Marketing / Newsletter: email, nome, preferenze. Base giuridica: consenso (Art. 6(1)(a) GDPR). Conservazione: fino alla revoca del consenso.

3.1 Minimizzazione dei dati

Raccogliamo dati personali solo nella misura necessaria per le finalità descritte. Il trattamento è vincolato allo scopo (Art. 5(1)(b) e (c) GDPR).

3.2 Limitazione della conservazione

I dati personali sono conservati solo per il tempo necessario o richiesto da obblighi di conservazione statutari.

3.3 Sicurezza dei dati

Implementiamo misure tecniche e organizzative adeguate (Art. 32 GDPR).

4.1 File di log del server

Quando visitate il nostro sito, raccogliamo: indirizzo IP (anonimizzato), data/ora, URL, volume di dati, stato HTTP, browser, sistema operativo, referrer. Base giuridica: Art. 6(1)(f) GDPR. Conservazione: trenta giorni.

4.2 Contatto via email

Dati raccolti: indirizzo email, nome, azienda, contenuto, data/ora. Base giuridica: Art. 6(1)(b) o (f) GDPR. Conservazione: sei mesi dopo la risoluzione della richiesta.

4.3 Modulo di contatto

Come per l'email, più selezione dell'argomento e timestamp del consenso GDPR. HubSpot come responsabile del trattamento (DPA in essere).

4.4 Newsletter

Se applicabile: email, nome, azienda. Doppio opt-in richiesto. Brevo (Sendinblue) come responsabile del trattamento. Link per disiscriversi in ogni email. Base giuridica: Art. 6(1)(a) GDPR.

5.1 Registrazione

Dati raccolti: email, password (con hash), nome, ragione sociale, settore, indirizzo aziendale. Base giuridica: Art. 6(1)(b) GDPR.

5.2 Configurazione dell'agente

Dati raccolti: ragione sociale, servizi, orari di lavoro, testo di saluto, categoria settore. Finalità: creazione e funzionamento dell'agente.

5.3 Fatturazione

Stripe come processore di pagamento. Memorizziamo: tipo di piano, ciclo di fatturazione, cronologia delle fatture. Stripe memorizza: dettagli del metodo di pagamento (PCI DSS Level 1). Base giuridica: Art. 6(1)(b) GDPR.

5.4 Analytics di utilizzo

PostHog per business intelligence. Dati: utilizzo delle funzionalità, dati di sessione, metriche di performance dell'agente. Base giuridica: Art. 6(1)(f) GDPR.

5.5 Servizio di richiamata demo

Quando richiedete una richiamata demo, trattiamo il vostro numero di telefono esclusivamente per avviare una singola chiamata dimostrativa dal nostro Agente vocale. Base giuridica: il vostro consenso esplicito (Art. 6(1)(a) GDPR). Dati trattati: numero di telefono in formato E.164. Conservazione: eliminato automaticamente entro ventiquattro ore. Sub-responsabile: Twilio Inc. (US), ai sensi delle Clausole Contrattuali Standard. Informativa IA ai sensi dell'EU AI Act Art. 50.

6.1 Dati delle chiamate

Trattiamo: numero di telefono del chiamante, timestamp della chiamata, durata della chiamata, ID agente, esito della chiamata. Base giuridica: Art. 6(1)(b) GDPR (esecuzione del contratto) e Art. 6(1)(f) GDPR (legittimo interesse).

6.2 Dati vocali

Elaborazione speech-to-text in tempo reale tramite Azure (regione UE). L'audio vocale è elaborato in memoria e non conservato in modo persistente a meno che la registrazione delle chiamate non sia abilitata dal cliente.

6.3 Registrazioni delle chiamate

Facoltative, controllate dal cliente. Memorizzate cifrate in Azure UE. Conservazione: definita dal cliente (predefinita novanta giorni). Il cliente è responsabile della conformità alle leggi locali sulla registrazione delle chiamate.

6.4 Elaborazione IA

Dati di conversazione elaborati tramite IA su Azure (regione UE). Nessun addestramento sui dati del cliente. Dati trattati secondo il DPA Microsoft.

6.5 Trascrizioni

Memorizzate cifrate. Accessibili al cliente tramite dashboard. Conservazione: definita dal cliente.

6.6 EU AI Act (Art. 50)

I chiamanti sono informati di parlare con un sistema di IA all'inizio di ciascuna chiamata.

7.1 Cookie essenziali

Gestione della sessione, autenticazione, preferenza linguistica. Nessun consenso richiesto (TDDDG Sez. 25(2)).

7.2 Cookie analitici

PostHog (self-hosted / UE). Consenso richiesto (TDDDG Sez. 25(1)). Banner cookie con opt-in.

7.3 Cookie di marketing

Nessuno al lancio. Se aggiunti: consenso richiesto, elencati nel banner cookie.

7.4 Banner cookie

Piattaforma di gestione del consenso. Opt-in/opt-out granulare. Consenso conservato per dodici mesi. Revoca possibile in qualsiasi momento.

7.5 Elenco dei cookie

hanc_session: Gestione della sessione — mantiene lo stato della sessione utente. Durata: sessione. Tipo: essenziale.

hanc_locale: Preferenza linguistica — memorizza la lingua dell'interfaccia selezionata. Durata: un anno. Tipo: essenziale.

hanc_consent: Stato del consenso cookie — registra le scelte di consenso. Durata: un anno. Tipo: essenziale.

_ph_*: Analytics PostHog — traccia pattern di utilizzo anonimizzati. Durata: un anno. Tipo: analytics.

_hs*: Tracciamento HubSpot — abilita l'integrazione CRM. Durata: tredici mesi. Tipo: marketing.

stripe_*: Elaborazione pagamenti — supporta le sessioni Stripe sicure. Durata: sessione. Tipo: essenziale.

Utilizziamo i seguenti sub-responsabili:

Microsoft (Azure): hosting cloud, LLM, STT, TTS. Posizione: Dublino, Irlanda / USA. Finalità: infrastruttura, elaborazione IA. Garanzia: hosting UE (Azure West Europe), Art. 28 DPA, EU-US DPF.

LiveKit Inc.: voce in tempo reale / WebRTC. Posizione: San Jose, USA. Finalità: infrastruttura chiamate. Garanzia: SCCs Art. 46(2)(c), server di relay UE.

Twilio: telefonia (SIP/PSTN). Posizione: Dublino, Irlanda / USA. Finalità: chiamate telefoniche. Garanzia: hosting UE, Art. 28 DPA, EU-US DPF.

ElevenLabs Inc.: TTS/STT (opzionale). Posizione: New York, USA. Garanzia: SCCs Art. 46(2)(c).

Cartesia AI, Inc.: TTS/STT (opzionale). Posizione: San Francisco, USA. Garanzia: SCCs Art. 46(2)(c).

PostHog Inc.: analytics. Posizione: San Francisco, USA. Garanzia: opzione self-hosted UE, SCCs Art. 46(2)(c).

HubSpot Ireland Ltd: CRM. Posizione: Dublino, Irlanda. Garanzia: hosting UE, Art. 28 DPA.

Brevo (Sendinblue SAS): email. Posizione: Parigi, Francia. Garanzia: hosting UE, Art. 28 DPA.

Stripe Payments Europe Ltd: pagamenti. Posizione: Dublino, Irlanda. Garanzia: PCI DSS Level 1, hosting UE.

Ai sensi del GDPR, avete i seguenti diritti: diritto di accesso (Art. 15), diritto di rettifica (Art. 16), diritto alla cancellazione (Art. 17), diritto alla limitazione del trattamento (Art. 18), diritto alla portabilità dei dati (Art. 20), diritto di opposizione (Art. 21), diritto di revocare il consenso (Art. 7(3)) e diritto di proporre reclamo a un'autorità di controllo (Art. 77).

Contatto: datenschutz@hanc.ai

Autorità di controllo: Autorità austriaca per la protezione dei dati (Datenschutzbehörde), Barichgasse 40-42, 1030 Vienna, dsb@dsb.gv.at

File di log del server: trenta giorni (legittimo interesse).

Richieste tramite modulo di contatto: sei mesi dopo la risoluzione (contratto/legittimo interesse).

Dati dell'account: durata del contratto + sette anni (contratto + BAO austriaco § 132).

Fatturazione / fatture: sette anni (BAO austriaco § 132).

Registrazioni delle chiamate: definite dal cliente, predefinite novanta giorni (esecuzione del contratto).

Trascrizioni delle chiamate: definite dal cliente, predefinite novanta giorni (esecuzione del contratto).

Dati di analytics: ventisei mesi (legittimo interesse).

Registri di consenso cookie: dodici mesi (TDDDG).

11.1 GDPR (UE/SEE)

Quadro normativo primario di conformità. Tutti i dati ospitati nell'UE (Azure West Europe).

11.2 DSG austriaco 2018

Disposizioni nazionali aggiuntive per l'Austria.

11.3 BDSG tedesco

Disposizioni aggiuntive per gli utenti tedeschi.

11.4 FADP svizzero

Conformità per utenti svizzeri. Adeguatezza dei dati riconosciuta dall'UE.

11.5 EU AI Act

Obblighi di trasparenza dell'art. 50. Notifica al chiamante all'inizio della chiamata.

11.6 CCPA/CPRA (California)

Nessuna vendita di informazioni personali. Diritto di sapere, eliminare, opt-out. Contatto: privacy@hanc.ai con oggetto "CCPA Request".

11.7 PDPL (UAE/Arabia Saudita)

Conformità per utenti della regione del Golfo. Avviso in lingua araba fornito per locali AR.

Crittografia: TLS 1.3 in transito, AES-256 a riposo.

Controllo accessi: basato sui ruoli, autenticazione a più fattori per l'accesso amministratore.

Infrastruttura: Azure West Europe con georidondanza.

Monitoraggio: rilevamento automatico delle minacce, sistemi di rilevamento intrusioni.

Risposta agli incidenti: notifica entro 72 ore ai sensi dell'Art. 33 GDPR.

Certificazioni in corso: SOC 2 Type II, ISO 27001.

Potremmo aggiornare la presente Informativa sulla Privacy di volta in volta. Le modifiche sostanziali saranno comunicate via email agli utenti registrati e tramite un avviso prominente sul nostro sito. La data della revisione più recente è indicata in cima alla presente informativa.