Informativa sulla Privacy
Ultimo aggiornamento: · Versione 1.2
La presente informativa descrive come Atoolsystem tratta i dati personali degli utenti della piattaforma e dei visitatori del sito, ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018.
1. Titolare del trattamento
Atoolsystem di Alessandro Mauro — P.IVA IT04130890124, Via Giuseppe Parini 5B, 21010 Besnate (VA), Italia. Per ogni richiesta relativa ai dati personali: privacy@atoolsystem.com.
Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendone i presupposti di cui all'art. 37 GDPR.
2. Ruoli: quando siamo Titolari e quando Responsabili
Atoolsystem è una piattaforma B2B multi-tenant. È importante distinguere due ruoli:
- Atoolsystem come Titolare — per i dati necessari a fornire il servizio: dati di registrazione e account, dati di fatturazione, log tecnici e di sicurezza, comunicazioni con l'assistenza.
- Atoolsystem come Responsabile del trattamento (art. 28 GDPR) — per i dati che le aziende clienti caricano nella piattaforma (anagrafiche asset, documenti, interventi, dati di dipendenti e fornitori inseriti dal cliente). Di questi dati il Titolare è l'azienda cliente; Atoolsystem li tratta esclusivamente su sue istruzioni, in base a un accordo sul trattamento dei dati (DPA) disponibile su richiesta.
3. Dati trattati
- Dati di account: nome e cognome, indirizzo email, password (conservata in forma cifrata), organizzazione di appartenenza e ruolo.
- Dati dell'organizzazione: ragione sociale, partita IVA, settore, contatti e — solo se resi pubblici dal cliente — profilo aziendale visibile nella rete.
- Contenuti caricati dal cliente: schede asset, documenti, manutenzioni, ordini, messaggi. Trattati come Responsabile (v. sez. 2).
- Dati tecnici e di sicurezza: log di accesso, indirizzo IP, identificativi di sessione, registro eventi (audit trail) delle azioni compiute nella piattaforma.
- Interazioni con l'assistente AI: domande poste e risposte generate, registrate in un log di controllo (v. sez. 5).
Non trattiamo categorie particolari di dati (art. 9 GDPR) né dati giudiziari, e chiediamo ai clienti di non caricarne nella piattaforma.
4. Finalità e basi giuridiche
| Finalità | Base giuridica | Conferimento |
|---|---|---|
| Registrazione, autenticazione ed erogazione del servizio | Esecuzione del contratto (art. 6.1.b GDPR) | Necessario: senza questi dati il servizio non può essere fornito |
| Fatturazione e adempimenti fiscali/contabili | Obbligo legale (art. 6.1.c GDPR) | Necessario |
| Sicurezza della piattaforma, prevenzione di abusi e frodi, audit trail | Legittimo interesse (art. 6.1.f GDPR) | Necessario |
| Assistenza clienti e comunicazioni di servizio | Esecuzione del contratto (art. 6.1.b GDPR) | Necessario |
| Comunicazioni commerciali su nuovi moduli e funzionalità | Consenso (art. 6.1.a GDPR), revocabile in ogni momento | Facoltativo |
Non effettuiamo profilazione né processi decisionali interamente automatizzati che producano effetti giuridici sugli interessati (art. 22 GDPR).
5. Assistente AI e intelligenza artificiale
La piattaforma include un assistente basato su intelligenza artificiale generativa. Il trattamento dei dati connesso all'IA rispetta il GDPR e recepisce, per quanto applicabile, il Regolamento (UE) 2024/1689 (AI Act) e la normativa nazionale di adeguamento, la Legge 23 settembre 2025, n. 132 (disposizioni in materia di intelligenza artificiale).
5.1 Trasparenza (art. 50 AI Act)
L'utente è sempre informato in modo chiaro e riconoscibile di stare interagendo con un sistema di IA e non con un operatore umano; i contenuti generati (risposte, riepiloghi, precompilazioni di schede) sono identificati come prodotti dall'IA.
5.2 Dati trattati dall'assistente
- Le richieste all'assistente e i dati strettamente necessari a rispondere vengono trasmessi al fornitore del modello linguistico (Anthropic PBC, fornitore di un modello di IA per finalità generali, v. sez. 7) tramite API.
- In base ai termini commerciali API del fornitore, i dati inviati non vengono utilizzati per addestrare i modelli.
- Le interazioni sono registrate in un log immutabile a fini di sicurezza, qualità e verificabilità, per il tempo indicato alla sez. 8.
- Non trasmettiamo all'assistente categorie particolari di dati (art. 9 GDPR) e invitiamo gli utenti a non inserirne nelle richieste.
5.3 Nessuna decisione automatizzata
L'assistente ha natura informativa e di supporto: non adotta decisioni autonome con effetti giuridici o comunque significativi sugli interessati (art. 22 GDPR) e non effettua profilazione. Ogni azione rilevante richiede la conferma di un operatore umano, che resta responsabile della valutazione finale.
5.4 Alfabetizzazione e governance (artt. 4 e 5 AI Act)
Il Titolare promuove un adeguato livello di alfabetizzazione sull'IA (art. 4 AI Act) del proprio personale che utilizza il sistema. L'assistente non realizza pratiche vietate (art. 5 AI Act) né costituisce un sistema ad alto rischio (Allegato III AI Act). Il Titolare monitora l'evoluzione del quadro normativo — incluse le disposizioni applicabili dal 2 agosto 2026 — e adeguerà il trattamento ove necessario.
6. Notarizzazione e marca temporale
La funzione di notarizzazione registra nel registro delle prove esclusivamente l'impronta crittografica (hash SHA-256) di determinati eventi e, quando il servizio è configurato, la sottopone a marca temporale RFC 3161 rilasciata da un'autorità terza (TSA). Nessun dato personale o aziendale viene mai trasmesso all'autorità terza né esposto nel registro delle prove: dall'hash non è possibile risalire al contenuto originario, che resta nei sistemi della piattaforma e rimane soggetto alle regole di questa informativa, inclusa la cancellazione.
7. Destinatari, fornitori e trasferimenti extra-UE
I dati sono trattati da fornitori selezionati che agiscono come responsabili o sub-responsabili del trattamento, vincolati da accordi ex art. 28 GDPR:
| Fornitore | Servizio | Sede / Trasferimento |
|---|---|---|
| Supabase Inc. | Database, autenticazione, storage | Dati ospitati su infrastruttura cloud nell’UE; eventuali trasferimenti coperti da Clausole Contrattuali Standard (SCC) |
| Vercel Inc. | Hosting dell’applicazione web | USA/UE — Clausole Contrattuali Standard ed EU-US Data Privacy Framework |
| Anthropic PBC | Modello di IA per l’assistente (via API) | USA — Clausole Contrattuali Standard; nessun uso dei dati per addestramento |
I dati non vengono venduti né comunicati a terzi per finalità di marketing. Possono essere comunicati ad autorità competenti solo in presenza di obblighi di legge.
8. Conservazione
- Dati di account: per tutta la durata del rapporto contrattuale e fino a 12 mesi dalla chiusura dell'account, salvo obblighi di legge.
- Dati di fatturazione: 10 anni (art. 2220 c.c.).
- Log tecnici e di sicurezza: fino a 12 mesi.
- Contenuti del cliente: secondo le istruzioni del cliente titolare; alla cessazione del contratto il cliente può esportarli, dopodiché vengono cancellati nei termini previsti dal DPA.
9. Diritti dell'interessato
Ai sensi degli artt. 15–22 GDPR è possibile esercitare in ogni momento i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché revocare i consensi prestati, scrivendo a privacy@atoolsystem.com. Risponderemo entro 30 giorni.
Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato membro di residenza.
Se i tuoi dati sono stati inseriti nella piattaforma da un'azienda cliente (ad es. come dipendente o fornitore), il titolare del trattamento è quell'azienda: inoltreremo a essa ogni richiesta ricevuta, dandotene notizia.
10. Sicurezza
Applichiamo misure tecniche e organizzative adeguate (art. 32 GDPR): isolamento dei dati per organizzazione applicato a livello di database (Row-Level Security), cifratura in transito e a riposo, controllo degli accessi basato sui ruoli, registro eventi immutabile e backup periodici.
11. Minori
Il servizio è destinato esclusivamente a utenti professionali maggiorenni. Non raccogliamo consapevolmente dati di minori di 18 anni.
12. Modifiche a questa informativa
Eventuali modifiche sostanziali saranno comunicate agli utenti registrati con congruo preavviso via email o tramite avviso in piattaforma. La versione vigente, con la data di aggiornamento, è sempre pubblicata su questa pagina.