Informativa Privacy

Il titolare del trattamento dei dati relativi agli account e all'erogazione del Servizio è FLOW di Bettini Marco (P.IVA 04275190363, C.F. BTTMRC91S22G393V), Via L. Caligola, 149 41059 Zocca (Modena) Italia, PEC Flowai@spidmail.it, email assistenza@flow-ai.it. I recapiti per contattarlo sono nella pagina Contatti.

Trattiamo: dati dell'account (nome del salone, email, password conservata in forma cifrata); dati di fatturazione (ragione sociale o nome e cognome, Partita IVA, Codice Fiscale, indirizzo, PEC, Codice destinatario SDI); dati di pagamento (gestiti da Stripe; non conserviamo i numeri completi delle carte); dati degli appuntamenti (data, ora, servizio, operatore); dati dei servizi e degli operatori del salone; dati dei clienti finali del salone (nome, numero di telefono, storico appuntamenti); contenuti delle conversazioni WhatsApp gestite dall'assistente; dati tecnici e di sicurezza (token di sessione, log di accesso e degli eventi amministrativi, indirizzo IP registrato per specifici eventi di sicurezza). I dati fiscali sensibili sono conservati in forma cifrata.

Trattiamo i dati per: erogare il Servizio e gestire l'account (esecuzione del contratto); gestire appuntamenti, agenda e conversazioni WhatsApp, inclusi promemoria e richieste di recensione (esecuzione del contratto e legittimo interesse del salone verso i propri clienti); gestire abbonamento, pagamenti e fatturazione (esecuzione del contratto e obbligo di legge fiscale); gestire i dispositivi in comodato (esecuzione del contratto); garantire sicurezza, prevenzione di abusi, log e assistenza (legittimo interesse); adempiere a obblighi di legge (obbligo legale). Il conferimento dei dati dell'account e di fatturazione è necessario per utilizzare il Servizio; il mancato conferimento impedisce l'erogazione.

In relazione ai dati dei clienti finali gestiti dal salone tramite il Servizio, il salone agisce come titolare del trattamento e FLOW AI come responsabile del trattamento ai sensi dell'art. 28 GDPR, trattando tali dati esclusivamente su documentata istruzione del salone e per erogare il Servizio. Tale rapporto è disciplinato da un accordo sul trattamento dei dati (Data Processing Agreement – DPA) conforme all'art. 28 GDPR, che costituisce parte integrante del contratto e definisce almeno: oggetto, durata, natura e finalità del trattamento; le categorie di dati personali e di interessati; gli obblighi e i diritti del titolare (il salone); le misure tecniche e organizzative di sicurezza; il ricorso a eventuali sub-responsabili (i fornitori elencati nella sezione "Destinatari"), con obblighi analoghi a quelli qui previsti; l'assistenza nella gestione delle richieste degli interessati e negli adempimenti di sicurezza; nonché la cancellazione o restituzione dei dati al termine del rapporto. Il salone è responsabile di fornire ai propri clienti finali l'idonea informativa e le eventuali basi giuridiche. Per i dati dell'account e di fatturazione del salone, titolare è invece FLOW AI.

I dati sono trattati con strumenti informatici e misure tecniche e organizzative adeguate: controllo degli accessi, autenticazione tramite token di sessione, cifratura dei dati fiscali a riposo, cifratura delle credenziali di terze parti, tracciamento degli accessi amministrativi e backup periodici del database.

Per generare le risposte automatiche dell'assistente, i contenuti delle conversazioni e le informazioni necessarie (ad esempio servizi, disponibilità e dati dell'appuntamento) sono inviati al provider di intelligenza artificiale OpenAI, che elabora tali dati per fornire la risposta. I dati trasmessi tramite l'interfaccia di programmazione (API) di OpenAI non sono utilizzati da OpenAI per addestrare i propri modelli. Il trattamento è finalizzato esclusivamente all'elaborazione della richiesta.

FLOW AI può integrarsi con Google Calendar per gestire l'agenda degli appuntamenti del salone. Il collegamento è facoltativo e viene attivato dall'utente dalle Impostazioni ("Collega Google Calendar").

• Ambito (scope) richiesto. Al momento del collegamento FLOW AI richiede l'autorizzazione OAuth all'ambito Google Calendar (https://www.googleapis.com/auth/calendar), necessario sia per leggere la disponibilità sia per creare, modificare ed eliminare gli eventi degli appuntamenti sul calendario principale ("primary") del salone. Per il semplice accesso con account Google (login) vengono invece richieste solo le informazioni di base del profilo (openid, email, profile), utilizzate unicamente per autenticare l'utente.
• Come utilizziamo i dati. I dati del calendario sono utilizzati esclusivamente per fornire le funzionalità richieste dall'utente: (a) leggere gli intervalli occupati (freebusy) del calendario principale per calcolare gli orari disponibili ed evitare sovrapposizioni; (b) creare, aggiornare ed eliminare gli eventi corrispondenti agli appuntamenti gestiti tramite FLOW AI; (c) verificare lo stato della connessione (lettura del nome del calendario principale).
• Cosa viene memorizzato nel database. (i) I token OAuth di Google (access token e refresh token) associati all'account del salone, conservati per mantenere attiva la connessione; (ii) per ogni appuntamento sincronizzato, il solo identificativo dell'evento Google (event id), necessario per aggiornarlo o eliminarlo. FLOW AI non copia né conserva nel proprio database il contenuto degli eventi o degli altri calendari: gli intervalli di disponibilità sono letti in tempo reale al momento del bisogno e non vengono memorizzati.
• Conservazione e cancellazione. I token Google sono conservati finché la connessione resta attiva. Vengono eliminati immediatamente quando l'utente scollega Google Calendar (pulsante "Scollega" nelle Impostazioni) e quando l'account FLOW AI viene eliminato. L'utente può inoltre revocare l'accesso in qualsiasi momento dalle impostazioni di sicurezza del proprio account Google (myaccount.google.com/permissions).
• Condivisione. I dati ottenuti dalle API di Google non vengono venduti né condivisi con terzi per finalità proprie di tali terzi. Sono trattati unicamente da FLOW AI e dal fornitore di infrastruttura cloud che ospita l'applicazione, al solo scopo di erogare le funzionalità sopra descritte.

Uso limitato (Google Limited Use). L'uso e il trasferimento, da parte di FLOW AI, delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, inclusi i requisiti di Uso Limitato (Limited Use). I dati ricevuti dalle API di Google sono utilizzati esclusivamente per fornire o migliorare le funzionalità di FLOW AI richieste dall'utente e non sono utilizzati per pubblicità, marketing, profilazione degli utenti, vendita dei dati, condivisione con terzi per loro finalità, determinazione dell'affidabilità creditizia, né per alcuna finalità indipendente da tali funzionalità.

Per erogare il Servizio ci avvaliamo dei seguenti fornitori terzi, che trattano i dati per nostro conto quali responsabili del trattamento o quali autonomi titolari nell'ambito dei rispettivi servizi:

• Stripe (Stripe Payments Europe, Ltd.) — pagamenti e gestione degli abbonamenti;
• Google (Google Ireland Limited) — sincronizzazione con Google Calendar e, se attivo, accesso tramite account Google; caricamento dei caratteri Google Fonts;
• Meta (Meta Platforms Ireland Limited) — messaggistica tramite WhatsApp Business Platform;
• OpenAI — elaborazione delle conversazioni tramite intelligenza artificiale;
• Register.it S.p.A. — invio delle email di servizio tramite server SMTP;
• fornitore di infrastruttura cloud su cui sono ospitati l'applicazione e il database MongoDB.

Ciascun fornitore tratta i dati secondo la propria informativa. In particolare: i dati inviati tramite l'API di OpenAI non vengono, secondo le condizioni d'uso dell'API dichiarate dal fornitore, utilizzati per l'addestramento dei suoi modelli; i messaggi scambiati tramite WhatsApp Business Platform sono trattati da Meta per la consegna e l'erogazione del servizio di messaggistica secondo i propri termini, e FLOW AI non li mette a disposizione né li utilizza per l'addestramento di modelli di intelligenza artificiale di terzi. Per le condizioni di dettaglio si rimanda alle informative dei rispettivi fornitori.

Alcuni fornitori (in particolare Stripe, Google, Meta e OpenAI) possono trattare dati anche al di fuori dell'Unione Europea, ad esempio negli Stati Uniti. In tali casi il trasferimento avviene sulla base delle garanzie previste dal GDPR, quali le Clausole Contrattuali Standard della Commissione Europea e/o l'adesione al Data Privacy Framework UE-USA, ove applicabile.

I dati dell'account e delle attività sono conservati per la durata del rapporto e per un periodo ragionevole successivo alla sua cessazione, salvo diversa richiesta dell'interessato. I documenti fiscali e contabili sono conservati per il periodo previsto dalla legge (di norma 10 anni). I log tecnici e di sicurezza sono conservati per il tempo necessario alle relative finalità. Alla cessazione del rapporto, i dati non soggetti a obblighi di conservazione sono cancellati o resi anonimi. I criteri di conservazione sono determinati in base alla durata del contratto, agli obblighi di legge e alle esigenze di sicurezza.

Il personale autorizzato di FLOW AI può accedere agli account dei clienti esclusivamente per finalità di assistenza, sicurezza, manutenzione e risoluzione dei problemi. Ogni accesso è registrato in un apposito log, comprensivo di data, operatore e indirizzo IP.

Il Servizio non effettua profilazione né processi decisionali automatizzati che producano effetti giuridici sull'interessato. L'assistente AI genera risposte alle conversazioni ma non adotta decisioni automatizzate con effetti giuridici o significativi sulle persone.

L'interessato può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità, oltre alla revoca del consenso ove applicabile, contattando il titolare ai recapiti indicati. Per i dati dei clienti finali gestiti da un salone, le richieste vanno rivolte anzitutto al salone, che ne è titolare.

L'interessato ha diritto di proporre reclamo all'autorità di controllo competente. In Italia è il Garante per la protezione dei dati personali (www.garanteprivacy.it).

Per esercitare i propri diritti o per qualsiasi richiesta sulla privacy è possibile scrivere ai recapiti indicati nella pagina Contatti.