1) Titolare del trattamento e contatti
SeventhSense S.r.l. – Via M. Buonarroti 1, 25010 San Zeno Naviglio (BS), Italia – P.IVA 04241390980
Email: privacy@iammi.it – PEC: seventhsense@legalmail.it – Sito: www.iammi.it
La presente informativa riguarda la piattaforma SaaS iammi. Copre la versione web e le app per iOS e Android ("App").
2) Ruoli nel trattamento
- SeventhSense è titolare del trattamento per i dati degli utenti relativi ad account, fatturazione, assistenza e marketing.
- L'utente (il locale/azienda cliente) è titolare del trattamento per i dati che inserisce sui propri dipendenti, fornitori, vendite e fatture. Per questi dati SeventhSense agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR, in base all'accordo sul trattamento dei dati (DPA) che fa parte delle condizioni di servizio.
3) Dati che raccogliamo e come li raccogliamo
| Categoria | Esempi | Come li raccogliamo |
|---|---|---|
| Dati identificativi e di profilo | nome, cognome, ruolo | Li fornisci tu alla registrazione o li inserisce un amministratore del locale |
| Dati di contatto | email, telefono | Li fornisci tu |
| Dati di account e di utilizzo | credenziali (gestite da Google Firebase Authentication), preferenze, funzioni usate, log di accesso | Inserimento diretto e raccolta automatica durante l'uso |
| Dati amministrativi e fiscali | ragione sociale, P.IVA, fatture, DDT/bolle, scontrini e ricevute, bilanci | Li carichi tu, oppure arrivano dalle integrazioni che attivi (Agenzia delle Entrate / cassetto fiscale, intermediari di fatturazione elettronica) |
| Dati di pagamento | dati dell'abbonamento; le carte sono gestite da Stripe e iammi non conserva il numero completo | Tramite Stripe |
| Dati operativi del locale | articoli, ricette, magazzino, inventari, fornitori, vendite e incassi, costi, dati HACCP | Li inserisci tu, oppure arrivano da integrazioni con sistemi di cassa e conti bancari che attivi |
| Dati dello staff | nominativi, turni, ruoli, buste paga | Li inserisci o carichi tu, come titolare |
| Foto e documenti | foto scattate con la fotocamera o scelte dalla libreria del dispositivo (documenti, etichette dei lotti), file allegati | Solo quando scegli di scattare o caricare un'immagine o un file, previo permesso del sistema operativo |
| Messaggi agli agenti IA | testo che scrivi agli agenti dell'App | Li scrivi tu nella chat |
| Messaggi vocali | registrazioni audio | Solo quando premi il pulsante di registrazione, previo permesso del microfono |
| Dati tecnici e del dispositivo | indirizzo IP, modello e sistema operativo, versione dell'App, identificativi del dispositivo, token per le notifiche push, log tecnici e di errore | Raccolta automatica |
Cosa non raccogliamo: contatti della rubrica, posizione geografica, dati sanitari o biometrici. Non raccogliamo nemmeno dati usati per pubblicità o per tracciamento tra app e siti di terzi.
Il servizio non richiede dati appartenenti a categorie particolari (art. 9 GDPR). Se l'utente le inserisce, ne è l'unico responsabile. Le buste paga possono contenerne (ad esempio trattenute sindacali o malattia): l'utente le carica in qualità di titolare.
3.1 Permessi del dispositivo (App)
- Fotocamera: per scattare foto di documenti (fatture, DDT, scontrini, lotti) da inviare nella chat o caricare.
- Libreria foto: per scegliere immagini e documenti da inviare.
- Microfono: per registrare messaggi vocali per gli agenti.
- Notifiche: per avvisi sul servizio.
Ogni permesso viene chiesto dal sistema operativo al primo utilizzo e può essere revocato dalle impostazioni del dispositivo.
4) Finalità e basi giuridiche (art. 6 GDPR)
| Finalità | Base giuridica |
|---|---|
| Erogazione del servizio (gestionale, magazzino, food cost, contabilità, HACCP, staff) | Contratto (art. 6.1.b) |
| Funzioni basate su intelligenza artificiale (agenti in chat, trascrizione vocali, lettura ed estrazione dati da documenti, suggerimenti) | Contratto (art. 6.1.b) e consenso specifico all'invio dei dati ai fornitori di IA (art. 6.1.a), raccolto nell'App prima del primo invio – vedi paragrafo 5 |
| Assistenza clienti | Contratto e legittimo interesse |
| Notifiche push ed email di servizio e report che attivi | Contratto |
| Obblighi di legge e fiscali | Obbligo legale (art. 6.1.c) |
| Sicurezza, prevenzione abusi, miglioramento del servizio | Legittimo interesse (art. 6.1.f) |
| Analisi d'uso dell'interfaccia (Microsoft Clarity) | Consenso (art. 6.1.a) |
| Marketing | Consenso (art. 6.1.a) |
| Integrazioni con servizi di terzi attivate dall'utente | Contratto; consenso o legittimo interesse dove richiesto |
I dati non vengono venduti né usati per profilazione pubblicitaria.
5) Condivisione con servizi di intelligenza artificiale di terze parti
Alcune funzioni di iammi usano modelli di intelligenza artificiale forniti da terze parti.
Consenso. Prima di inviare qualsiasi dato a questi fornitori, l'App mostra una schermata che spiega:
- quali dati vengono inviati;
- a chi vengono inviati;
- per quale finalità.
Il consenso si dà con il pulsante "Accetto". Se scegli "Non ora", nessun dato viene inviato e le funzioni di IA restano disattivate. Puoi revocare o riattivare il consenso in qualsiasi momento da Impostazioni › Privacy e IA.
Fornitori e dati inviati:
| Fornitore | Dati inviati | Finalità |
|---|---|---|
| OpenAI (OpenAI Ireland Ltd. / OpenAI, L.L.C., USA) – modelli GPT e Whisper | testo dei messaggi agli agenti; audio dei messaggi vocali; foto e documenti caricati (fatture, scontrini e ricevute, buste paga, bilanci, etichette lotti HACCP); dati del locale necessari a rispondere (articoli, magazzino, fornitori, vendite, costi, turni e nominativi dello staff) | risposte degli agenti, trascrizione dei vocali, lettura ed estrazione dei dati dai documenti, suggerimenti di riconciliazione e analisi |
| Anthropic (Anthropic, PBC, USA) – modelli Claude | foto e file dei DDT/bolle | estrazione dei dati dai documenti di trasporto |
Alcune elaborazioni automatiche attivate dall'utente usano gli stessi fornitori con le stesse garanzie. Ad esempio: lettura delle fatture scaricate dal cassetto fiscale, automazioni programmate degli agenti, assistente su WhatsApp.
Garanzie. I fornitori di IA trattano i dati come sub-responsabili del trattamento in base ad accordi sul trattamento dei dati (DPA, art. 28 GDPR). Questi accordi assicurano un livello di protezione uguale o equivalente a quello descritto in questa informativa. In base a tali accordi:
- i dati inviati tramite API non vengono usati per addestrare i modelli dei fornitori;
- i dati vengono conservati dal fornitore al massimo 30 giorni, solo per il monitoraggio degli abusi, e poi cancellati;
- i trasferimenti verso gli USA sono coperti dall'EU-US Data Privacy Framework e/o dalle Clausole Contrattuali Standard (vedi paragrafo 8).
I risultati prodotti dall'IA (risposte, dati estratti) sono suggerimenti: l'utente deve verificarli prima di usarli per scopi fiscali o contabili.
6) Misure di sicurezza
Cifratura in transito e, dove applicabile, a riposo; controllo degli accessi basato sui ruoli; principio del privilegio minimo; log di audit delle operazioni amministrative; backup secondo la regola 3-2-1; pseudonimizzazione negli ambienti non di produzione; autenticazione a più fattori per gli amministratori e, facoltativamente, per gli utenti.
7) Hosting e responsabili del trattamento
| Fornitore | Servizio |
|---|---|
| Google Cloud Platform / Firebase (Google Ireland Ltd.) | hosting, database (incl. Cloud Firestore), archiviazione file, autenticazione, notifiche push (Firebase Cloud Messaging), log e monitoraggio |
| Supabase | database PostgreSQL, autenticazione, archiviazione |
| Stripe | pagamenti (per alcune funzioni, ad esempio la prevenzione delle frodi, può agire come titolare autonomo) |
| OpenAI, Anthropic | servizi di intelligenza artificiale – vedi paragrafo 5 |
| Resend | invio delle email di servizio e dei report |
| Microsoft Clarity (Microsoft Ireland Operations Ltd.) | analisi d'uso dell'interfaccia, previo consenso |
| Meta Platforms (WhatsApp Business) | canale di messaggistica con l'assistente, solo se attivato dall'utente |
| Capgo | distribuzione degli aggiornamenti dell'App (nessun dato personale oltre a quelli tecnici del dispositivo) |
| Integrazioni attivate dall'utente | sistemi di cassa, istituti bancari / servizi open banking, intermediari di fatturazione elettronica |
L'elenco aggiornato dei responsabili è disponibile su richiesta a privacy@iammi.it.
8) Trasferimenti extra-UE
Preferiamo hosting nell'UE/SEE. Alcuni fornitori (tra cui OpenAI, Anthropic, Stripe e Microsoft) possono trattare dati negli USA o in altri paesi extra-UE. In questi casi il trasferimento si basa su:
- decisioni di adeguatezza, incluso l'EU-US Data Privacy Framework per i fornitori certificati;
- Clausole Contrattuali Standard della Commissione europea;
- misure supplementari, dove necessario.
9) Conservazione dei dati
| Dati | Periodo |
|---|---|
| Dati di account e contrattuali | per tutta la durata del rapporto, più i termini di prescrizione (documenti fiscali fino a 10 anni) |
| Log tecnici e di sicurezza | di norma da 6 a 24 mesi |
| Dati di marketing | fino alla revoca del consenso o all'opposizione |
| Dati inseriti dall'utente, incluse conversazioni con gli agenti, foto, documenti e trascrizioni dei vocali | secondo le istruzioni dell'utente; alla chiusura dell'account vengono cancellati o anonimizzati, salvo i tempi tecnici dei backup |
| Audio dei messaggi vocali | non conservato: dopo la trascrizione resta solo il testo, conservato con la conversazione |
| Dati inviati ai fornitori di IA | presso il fornitore, massimo 30 giorni (vedi paragrafo 5) |
| Stato del consenso IA | sul dispositivo, fino a revoca o disinstallazione |
10) Diritti dell'interessato
Puoi esercitare in ogni momento i diritti di:
- accesso, rettifica, cancellazione e limitazione;
- portabilità e opposizione;
- revoca del consenso, anche quello all'invio dei dati ai servizi di IA, direttamente da Impostazioni › Privacy e IA. La revoca non pregiudica la liceità del trattamento già effettuato.
Scrivi a privacy@iammi.it o alla PEC seventhsense@legalmail.it. Puoi chiedere la cancellazione dell'account anche dall'App.
Hai diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
Per i dati di cui il locale è titolare (paragrafo 2), le richieste vanno indirizzate al locale. SeventhSense lo assiste come responsabile del trattamento.
11) Minori
Il servizio è destinato a maggiorenni. Su richiesta rimuoviamo i dati riferiti a minori.
12) Cookie e tecnologie simili
Usiamo sempre i cookie tecnici e lo storage locale necessari al funzionamento, ad esempio sessione di accesso, preferenze e stato del consenso IA. I cookie analitici (es. Microsoft Clarity) e di marketing vengono usati solo previo consenso.
13) Modifiche all'informativa
Possiamo aggiornare questa informativa. In caso di modifiche rilevanti (ad esempio nuovi fornitori di IA o nuove categorie di dati inviati) avviseremo gli utenti nell'App. Se necessario, chiederemo di nuovo il consenso.