Informativa sulla privacy

Titolare del trattamento è [da completare], con sede in [da completare], P.IVA [da completare], PEC [da completare]. Per qualsiasi domanda sui dati personali e per esercitare i diritti: privacy@atoolsystem.com.

Non è nominato un responsabile della protezione dei dati: il trattamento non rientra nei casi dell’art. 37 GDPR. La nomina sarà valutata al crescere dell’attività.

Questa informativa riguarda:

• chi visita www.atoolsystem.com senza account (Bacheca, Esplora, Mappa, Mercato, vetrine);
• chi si registra come persona, privato o referente di un’impresa, e usa l’hub, la Rete, il Mercato e le applicazioni;
• le persone nominate nei contenuti di un’impresa (per esempio un referente indicato in una vetrina o in un ordine): per loro valgono gli obblighi dell’art. 14, assolti con questa pagina;
• chi usa Casa, l’applicazione per privati su app.atoolsystem.com/casa.

Per tutti questi dati Atoolsystem è titolare. Quando invece un’impresa carica nelle applicazioni dati di terzi (i propri dipendenti, tecnici, clienti, fornitori), l’impresa ne è titolare e noi siamo responsabili del trattamento ai sensi dell’art. 28: ne parla il capitolo 12.

Navigazione

Il server registra, per ogni richiesta, indirizzo IP, pagina richiesta, orario, browser e sistema operativo dichiarati dal browser, ed eventuali errori. Sono i registri tecnici dell’hosting (Vercel). Non usiamo strumenti di analisi del traffico né cookie non tecnici: l’elenco dei cookie è nella Cookie policy.

Account

Email, nickname, tipo di account (privato o azienda), data di creazione, password (conservata da Supabase Auth solo come hash, mai in chiaro), eventuali fattori di autenticazione a due passaggi, data dell’ultimo accesso, sessioni attive. Per proteggere l’accesso registriamo i tentativi di login falliti con indirizzo IP e orario; questo registro ha vita breve.

Organizzazione

Ragione sociale, nickname dell’impresa, settore, partita IVA, sede e altre sedi, logo, descrizione, stato delle verifiche (per esempio la partita IVA validata) e il livello di fiducia che ne deriva, membri e ruoli. La vetrina pubblica mostra quello che l’impresa decide di pubblicare.

Contenuti e attività nella Rete e nel Mercato

Post, commenti, reazioni, foto e documenti, collegamenti fra imprese, messaggi, richieste, offerte, trattative, ordini, spedizioni, sopralluoghi, valutazioni, notifiche. Quello che pubblichi è visibile secondo le impostazioni scelte (pubblico, alla Rete, alle imprese collegate, alla controparte). I messaggi restano fra chi li scambia; li leggiamo solo se una delle parti li segnala o se la legge ce lo impone.

Pagamenti

I pagamenti passano da Stripe. Non vediamo né conserviamo i numeri delle carte. Conserviamo l’identificativo cliente Stripe, gli importi, lo stato dei pagamenti, le ricevute e le fatture. Le imprese che vendono nel Mercato aprono un conto Stripe Connect: i dati identificativi, societari e bancari richiesti per legge (antiriciclaggio, verifica del cliente) li raccoglie e li tratta Stripe come titolare autonomo, secondo la sua informativa.

Inviti

Chi segue un invito porta con sé, in un cookie di trenta giorni, il codice di chi l’ha invitato. Alla registrazione il codice si consuma e colleghiamo i due account per riconoscere lo sconto all’invitato e il premio all’invitante. L’invitante vede che l’invito è stato accolto, non i dati dell’invitato.

Casa

Gli oggetti che registri, con foto, documenti, note, scadenze e valore. Se attivi il riconoscimento con intelligenza artificiale, la foto e il testo che fornisci vengono inviati ad Anthropic per proporre nome, categoria e dati dell’oggetto; senza quella scelta non parte nessun invio. Le esportazioni (CSV, JSON, calendario) le generi tu e le scarichi sul tuo dispositivo.

Assistenza e comunicazioni

Le email che ci scrivi, le risposte, le segnalazioni di contenuti. Le email di servizio (conferma dell’indirizzo, link di accesso, notifiche degli ordini) partono tramite Resend. Le notifiche push arrivano solo se le attivi dal browser e si disattivano dallo stesso posto.

Onboarding guidato

Nell’hub un breve percorso di domande aiuta a scegliere le applicazioni. Le risposte possono essere inviate a OpenAI per formulare la domanda successiva; l’invio non contiene la tua email né il nome dell’impresa, e OpenAI non le conserva per addestrare modelli. Senza la chiave del servizio il percorso usa domande fisse.

Non trattiamo dati per pubblicità profilata e non cediamo dati a terzi per fini commerciali. Non chiediamo categorie particolari di dati (art. 9) e ti chiediamo di non inserirne nei contenuti.

Il livello di fiducia di un’impresa nel Mercato si calcola automaticamente da fatti verificabili (partita IVA validata, verifiche completate, storia degli ordini) e determina quali funzioni del Mercato sono aperte. Riguarda l’organizzazione, non la persona, e ogni verifica è esaminata da una persona. Il limitatore dei tentativi di accesso è una misura di sicurezza automatica e temporanea.

Le funzioni di intelligenza artificiale (riconoscimento di oggetti in Casa, suggerimenti e assistenti nelle applicazioni, stime nelle richieste) producono proposte che una persona rivede prima di ogni effetto; sono segnalate come generate da IA, come richiede l’art. 50 del Regolamento (UE) 2024/1689. Nessuna decisione con effetti giuridici o significativi su di te è presa unicamente da un trattamento automatizzato (art. 22 GDPR).

I dati li trattano, per nostro conto e su nostre istruzioni, i fornitori che fanno funzionare il servizio:

Inoltre i dati possono essere comunicati a:

• le altre imprese della Rete, nei limiti di ciò che pubblichi o invii loro: una vetrina pubblica è pubblica, un’offerta la legge chi ha fatto la richiesta, un ordine lo vedono le due parti;
• consulenti (commercialista, legale) tenuti alla riservatezza, per adempimenti fiscali e difesa dei diritti;
• autorità pubbliche e giudiziarie quando la legge lo impone.

L’elenco aggiornato dei responsabili è disponibile a richiesta all’indirizzo del capitolo 1.

Alcuni fornitori hanno sede o infrastrutture fuori dallo Spazio economico europeo (Stati Uniti, Singapore). I trasferimenti avvengono sulla base delle Clausole contrattuali tipo adottate dalla Commissione europea (decisione 2021/914), incluse nei contratti con ciascun fornitore, e, per i fornitori statunitensi che vi aderiscono, della decisione di adeguatezza EU-US Data Privacy Framework del 10 luglio 2023. Copia delle garanzie si può chiedere all’indirizzo del capitolo 1.

Hai il diritto di (artt. 15-22 GDPR):

• sapere se trattiamo tuoi dati e riceverne copia (accesso);
• farli correggere o completare (rettifica);
• farli cancellare, nei limiti degli obblighi di conservazione (cancellazione);
• farne limitare il trattamento;
• riceverli in un formato leggibile da una macchina e trasferirli altrove (portabilità);
• opporti ai trattamenti basati sul legittimo interesse;
• revocare un consenso dato, senza effetti su quanto fatto prima;
• proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all’autorità del Paese in cui vivi.

Scrivi a privacy@atoolsystem.com dall’email del tuo account, o allegando un documento se scrivi da un altro indirizzo. Rispondiamo entro 30 giorni, prorogabili di 60 nei casi complessi, e gratuitamente. Dalle impostazioni dell’account puoi già correggere i tuoi dati; da Casa puoi esportare i tuoi oggetti in CSV e JSON.

Ogni collegamento è cifrato (TLS). I dati di ciascuna organizzazione sono separati nel database da regole di accesso per riga, verificate con prove automatiche. L’accesso è protetto da password con requisiti minimi, dall’autenticazione a due passaggi (obbligatoria per le operazioni di pagamento) e da un limitatore dei tentativi. Il sito applica una politica di sicurezza dei contenuti che impedisce l’esecuzione di script esterni. I backup sono cifrati. In caso di violazione che comporti un rischio per i tuoi diritti ti informiamo senza ritardo, come prevede l’art. 34 GDPR.

Il servizio è riservato a chi ha almeno 18 anni. Non raccogliamo consapevolmente dati di minori; se ne veniamo a conoscenza li cancelliamo.

Nelle applicazioni (Asset management, Service, hub, Mercato) un’impresa può registrare dati di persone diverse dai propri utenti: tecnici, dipendenti, clienti, fornitori, referenti. Di questi dati l’impresa è titolare: decide perché li raccoglie e deve informare gli interessati. Atoolsystem li tratta come responsabile, solo per far funzionare il servizio e secondo le istruzioni dell’impresa, con le misure del capitolo 10 e i fornitori del capitolo 6 come sub-responsabili.

L’accordo sul trattamento dei dati (art. 28) fa parte dei Termini e condizioni e può essere richiesto in forma firmata all’indirizzo del capitolo 1. Alla chiusura dell’account l’impresa può esportare i propri dati; poi li cancelliamo, salvo gli obblighi di conservazione.

Aggiorniamo questa informativa quando cambiano i trattamenti o i fornitori. Le modifiche sostanziali le comunichiamo via email agli utenti registrati prima che abbiano effetto; la versione e la data sono in testa alla pagina.