La presente informativa descrive come vengono trattati i dati personali degli utenti del servizio Flow (di seguito, il «Servizio»), in conformità al Regolamento (UE) 2016/679 («GDPR») e alla normativa italiana applicabile. Trattiamo i dati con la massima cura: non li vendiamo, non li cediamo a terzi per finalità di marketing e non usiamo il contenuto dei tuoi file per addestrare modelli o profilarti.
1. Titolare del trattamento
Il titolare del trattamento è GRK Interactive S.r.l., con sede legale in via Bergognone 27, 20144 Milano (MI), Italia. Codice Fiscale e Partita IVA 05814140967, iscritta al Registro delle Imprese di Milano al n. 05814140967, REA MI-1850299, capitale sociale Euro 10.000,00 interamente versato. Per qualunque questione relativa alla protezione dei dati puoi scrivere a privacy@grk.agency.
2. Categorie di dati trattati
Trattiamo le seguenti categorie di dati, a seconda di come usi il Servizio:
- Dati di account: nome, indirizzo email, spazio di appartenenza, ruolo e credenziali. La password non è conservata in chiaro: il Servizio ne conserva un hash protetto con Argon2.
- Dati di fatturazione: ragione sociale, indirizzo, partita IVA, codice destinatario SDI o PEC. I dati della carta di pagamento sono gestiti direttamente da Stripe e non transitano né sono conservati sui nostri sistemi.
- Dati d'uso e di sicurezza: log di accesso e di attività amministrativa (chi ha fatto cosa e quando), indirizzi IP, informazioni tecniche sul dispositivo e sul browser, necessari a erogare e proteggere il Servizio.
- Resoconti di errore delle app per computer: quando l'app Flow per Windows o Mac si chiude in modo inatteso, invia a noi un resoconto tecnico con versione dell'app e del sistema operativo, ora e ultime righe del registro delle attività, con i nomi di file e cartelle e gli indirizzi email nascosti; mai il contenuto dei file. Servono solo a correggere gli errori e si possono spegnere nelle Impostazioni dell'app.
- Contenuti dei file: i file che carichi, i loro metadati (nomi, cartelle, versioni) e il testo estratto per la ricerca. Rispetto a questi contenuti vedi il punto 4.
- Comunicazioni: i messaggi che ci invii tramite i moduli di contatto o supporto, insieme al nome e all'indirizzo email con cui scrivi e, se scegli di indicarli, ragione sociale e partita IVA.
3. Finalità e basi giuridiche
Trattiamo i dati per le finalità seguenti, ciascuna con la propria base giuridica:
- Erogazione del Servizio (creazione dell'account, sincronizzazione, condivisione, assistenza): esecuzione del contratto di cui sei parte (art. 6.1.b GDPR).
- Fatturazione e adempimenti fiscali e contabili: obbligo legale (art. 6.1.c GDPR).
- Sicurezza, prevenzione degli abusi e continuità del Servizio: legittimo interesse del titolare (art. 6.1.f GDPR).
- Comunicazioni commerciali e newsletter, ove previste: solo previo tuo consenso, revocabile in ogni momento (art. 6.1.a GDPR).
4. Contenuti dei file: il nostro ruolo
Per quanto riguarda i contenuti dei file che carichi, agiamo come responsabile del trattamento: il titolare di quei dati sei tu (o la tua azienda). Trattiamo tali contenuti solo per fornirti il Servizio (conservarli, sincronizzarli, generarne anteprime e indice di ricerca) e secondo le tue istruzioni. Non vi accediamo se non quando è tecnicamente necessario per il funzionamento o la sicurezza, o se richiesto dalla legge. L'estrazione del testo e l'OCR che alimentano la ricerca sono eseguiti sui nostri sistemi, non su servizi di terzi. Anche l'assistente KAi risponde con un modello che gira su server con GPU noleggiati da noi presso i fornitori dell'infrastruttura (punto 5): domande e documenti non vengono inviati a servizi di intelligenza artificiale di terzi.
Suggerimenti di KAi
I Suggerimenti di KAi sono una funzione facoltativa che ciascun utente attiva per sé, dalla pagina Automazioni. Se la attivi, da quel momento Flow registra alcune operazioni che compi sui file (caricamenti, rinomine, spostamenti, condivisioni e invii in chat, con i nomi dei file, le cartelle e i destinatari coinvolti) al solo scopo di riconoscere quelle che ripeti e di proporti in chat di automatizzarle. Non registra il contenuto dei file, né tempi di lavoro, pause o altre misure della tua attività.
Il registro e i suggerimenti sono visibili solo a te: né gli amministratori né la tua azienda possono vederli, e non vengono usati per valutare il tuo lavoro né per altre finalità. Sono elaborati sui server del Servizio indicati al punto 5, anche quando KAi ricava una regola dai nomi dei file d'esempio, e non vengono inviati a servizi di intelligenza artificiale di terzi. Ogni operazione registrata si cancella dopo 90 giorni; disattivando la funzione si cancella subito l'intero registro. Per questi dati, come per i contenuti dei file, agiamo come responsabile del trattamento per conto della tua azienda.
5. Destinatari e responsabili esterni
Per erogare il Servizio ci avvaliamo dei fornitori seguenti, che trattano i dati per nostro conto come responsabili, vincolati da appositi accordi (art. 28 GDPR):
- OVHcloud SAS (Francia): server del Servizio: applicazione, database, anteprime, ricerca, editor dei documenti, accesso e assistente KAi;
- Cloudflare (tramite Cloudflare Portugal): archiviazione del contenuto dei file, cifrato a riposo dal fornitore e, per le cartelle cifrate, da Flow prima dell'invio; DNS e verifica anti-bot dei moduli del sito (Turnstile, che tratta l'indirizzo IP e dati tecnici del browser secondo il Turnstile Privacy Addendum di Cloudflare);
- Microsoft Ireland Operations Ltd (Irlanda): copie di backup del database, cifrate prima dell'invio, e server di posta delle email di servizio;
- Nebius B.V. (Paesi Bassi): server con GPU in Finlandia su cui gira il modello dell'assistente KAi: le domande, i documenti e le immagini che KAi legge;
- Stripe Payments Europe Ltd (Irlanda): pagamenti e abbonamenti con carta, addebito SEPA, bonifico e i portafogli PayPal, Amazon Pay, Revolut Pay e Satispay. Per la prevenzione delle frodi e i propri obblighi di legge Stripe tratta i dati di pagamento come titolare autonomo; se paghi con uno dei portafogli, anche il suo gestore tratta i dati del pagamento come titolare autonomo, secondo la propria informativa.
Notifiche sui telefoni. Le app per iPhone e Android ricevono le notifiche (per esempio un nuovo messaggio in chat) tramite i servizi di consegna di Apple e di Google, che ricevono l'identificativo del dispositivo e il testo della notifica: chi scrive e l'inizio del messaggio o il nome dell'allegato. Le notifiche si possono spegnere dalle impostazioni del telefono.
Calendario con Microsoft 365. Se colleghi il calendario di Flow a Microsoft 365 / Outlook, gli eventi si scambiano con l'account Microsoft che indichi tu: è un servizio scelto e gestito da te o dalla tua azienda, e per quei dati Microsoft agisce come tuo fornitore, non come nostro.
Per la validazione della partita IVA il numero e il paese indicati sono verificati tramite il servizio VIES della Commissione europea e, quando VIES non conferma o non risponde, tramite il servizio di OpenAPI S.p.A. (openapi.com), che riceve solo partita IVA e paese. Non diffondiamo i dati e non li comunichiamo a terzi per finalità proprie di questi ultimi. Se aggiungiamo un fornitore che tratta i dati dei clienti, aggiorniamo questo elenco prima che inizi a trattarli e ne diamo avviso ai clienti come previsto dall'accordo sul trattamento dei dati.
6. Dove sono i dati e trasferimenti extra-UE
I dati del Servizio sono conservati e trattati nell'Unione Europea: server, archivio dei file, backup e posta di servizio sono in datacenter europei dei fornitori indicati al punto 5. Cloudflare, Microsoft e Stripe appartengono a gruppi con sede anche fuori dall'UE: per ogni eventuale accesso ai dati da Paesi terzi (ad esempio per assistenza tecnica del fornitore) valgono le garanzie previste dagli artt. 44 e seguenti del GDPR, cioè le Clausole Contrattuali Standard della Commissione europea e, per i fornitori che vi aderiscono, il Data Privacy Framework UE-USA.
Se la tua azienda sceglie di usare un proprio servizio di archiviazione per i file, quel fornitore e il luogo dei dati li sceglie l'azienda.
7. Periodo di conservazione
Conserviamo i dati per il tempo necessario alle finalità per cui sono raccolti e per la durata del rapporto contrattuale. I dati di fatturazione sono conservati per il periodo previsto dagli obblighi fiscali. I resoconti di errore delle app restano finché il problema è aperto e sono cancellati al più tardi 90 giorni dopo la sua chiusura. Il registro dei Suggerimenti di KAi (punto 4) conserva ogni operazione per 90 giorni e si cancella per intero quando disattivi la funzione. I termini per la rimozione dei dati attivi e per l'uscita delle copie residue dal ciclo dei backup saranno indicati dopo la ratifica della policy di conservazione e la verifica del relativo processo di ripristino e cancellazione. Restano fatti salvi gli obblighi di legge e le esigenze di difesa in giudizio.
8. I tuoi diritti
In qualsiasi momento puoi esercitare i diritti previsti dagli artt. 15–22 del GDPR: accesso ai tuoi dati, rettifica, cancellazione, limitazione e opposizione al trattamento, portabilità, nonché revoca del consenso ove il trattamento vi si basi. Per esercitarli, scrivi a privacy@grk.agency. Hai inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).
9. Cancellare l'account
Puoi chiedere in qualsiasi momento la cancellazione del tuo account di KAi/flow, anche senza usare l'app:
- da Flow, sul web o nell'app: Profilo › Chiedi la cancellazione del mio account;
- oppure scrivendo a privacy@grk.agency o dalla pagina Contatti, dall'indirizzo email del tuo account.
Gli account di Flow appartengono all'azienda che li ha creati: la richiesta arriva agli amministratori della tua azienda, che rimuovono l'account. Se sei il titolare e nell'azienda ci sono altri utenti, prima passi la titolarità a un altro amministratore; se sei l'unico utente, la richiesta arriva a noi e corrisponde alla chiusura dell'azienda su Flow.
Con la rimozione si cancellano l'account in Flow e i dati personali collegati: nome, indirizzo email, immagine del profilo, preferenze e notifiche, il tuo spazio personale con i file che contiene e le tue conversazioni dirette in chat. Restano all'azienda, che ne è titolare, i file negli spazi condivisi e i messaggi nelle chat di gruppo, senza il tuo nome. Restano inoltre, per i tempi indicati al punto 7, i dati di fatturazione e i registri tecnici. L'account di accesso KaiGrid, che può servire anche ad altre applicazioni, si cancella su richiesta a privacy@grk.agency.
10. Assenza di decisioni automatizzate
Non effettuiamo trattamenti che comportino decisioni automatizzate, compresa la profilazione, in grado di produrre effetti giuridici o di incidere in modo analogamente significativo sulla tua persona (art. 22 GDPR). L'estrazione del testo e l'OCR servono unicamente alla ricerca nei tuoi documenti e non ti profilano.
11. Sicurezza
Adottiamo misure tecniche e organizzative adeguate a proteggere i dati: connessioni al servizio cifrate in transito con HTTPS, controlli antimalware sui caricamenti entro il limite dichiarato, controllo degli accessi per spazio e per cartella, registro delle attività amministrative e ridondanza dello storage nella configurazione gestita. Le misure applicabili saranno descritte in modo definitivo dopo la verifica dell'ambiente di produzione. Nessun sistema è però sicuro al 100%: ti invitiamo a custodire con cura le tue credenziali.
12. Violazioni dei dati
Quando agiamo come responsabile del trattamento, informiamo il titolare senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione dei dati personali. Quando agiamo come titolare, valutiamo il rischio e, ove richiesto, notifichiamo la violazione all'Autorità Garante entro 72 ore e informiamo gli interessati nei casi previsti dagli artt. 33–34 GDPR.
13. Minori
Il Servizio è rivolto ad aziende e professionisti e non è destinato ai minori. Non raccogliamo consapevolmente dati di persone di età inferiore a quella richiesta dalla legge per un valido consenso; qualora venissimo a conoscenza di un trattamento di questo tipo, provvederemo a rimuovere i relativi dati.
14. Cookie e archiviazione locale
Il sito pubblico usa strumenti tecnici, necessari al suo funzionamento (lingua, tema, protezione dei moduli dai bot con Cloudflare Turnstile, pagamento con Stripe al checkout), e strumenti statistici solo con il tuo consenso, che puoi dare, negare o ritirare in ogni momento da «Preferenze cookie» in fondo a ogni pagina. L'applicazione autenticata conserva nel browser le informazioni tecniche necessarie alla sessione; una condivisione pubblica può conservarne il ticket per la sola durata della scheda. L'elenco completo, con finalità e durata, è nella Cookie Policy.
Alcune pillole della dashboard contengono un video ospitato da Vimeo. Il lettore si carica solo quando premi «Guarda il video», con la richiesta di non tracciamento attiva; da quel momento il tuo browser si collega ai server di Vimeo, che tratta i dati tecnici della connessione secondo la propria informativa.
15. Modifiche a questa informativa
Potremo aggiornare questa informativa per riflettere cambiamenti nel Servizio o nella normativa. La versione vigente è sempre pubblicata su questa pagina, con l'indicazione della data di ultimo aggiornamento in alto. In caso di modifiche sostanziali te ne daremo avviso.