La presente informativa descrive come vengono trattati i dati personali degli utenti del servizio Fspool (di seguito, il «Servizio»), in conformità al Regolamento (UE) 2016/679 («GDPR») e alla normativa italiana applicabile. Trattiamo i dati con la massima cura: non li vendiamo, non li cediamo a terzi per finalità di marketing e non usiamo il contenuto dei tuoi file per addestrare modelli o profilarti.
1. Titolare del trattamento
Il titolare del trattamento è GRK Interactive S.r.l., con sede legale in via Bergognone 27, 20144 Milano (MI), Italia. Codice Fiscale e Partita IVA 05814140967, iscritta al Registro delle Imprese di Milano al n. 05814140967, REA MI-1850299, capitale sociale Euro 10.000,00 interamente versato. Per qualunque questione relativa alla protezione dei dati puoi scrivere a privacy@grk.agency.
2. Categorie di dati trattati
Trattiamo le seguenti categorie di dati, a seconda di come usi il Servizio:
- Dati di account: nome, indirizzo email, spazio di appartenenza, ruolo e credenziali. La password non è conservata in chiaro: il Servizio ne conserva un hash protetto con Argon2.
- Dati di fatturazione: ragione sociale, indirizzo, partita IVA, codice destinatario SDI o PEC. I dati della carta di pagamento sono gestiti direttamente da Stripe e non transitano né sono conservati sui nostri sistemi.
- Dati d'uso e di sicurezza: log di accesso e di attività amministrativa (chi ha fatto cosa e quando), indirizzi IP, informazioni tecniche sul dispositivo e sul browser, necessari a erogare e proteggere il Servizio.
- Contenuti dei file: i file che carichi, i loro metadati (nomi, cartelle, versioni) e il testo estratto per la ricerca. Rispetto a questi contenuti vedi il punto 4.
- Comunicazioni: i messaggi che ci invii tramite i moduli di contatto o supporto.
3. Finalità e basi giuridiche
Trattiamo i dati per le finalità seguenti, ciascuna con la propria base giuridica:
- Erogazione del Servizio (creazione dell'account, sincronizzazione, condivisione, assistenza) — esecuzione del contratto di cui sei parte (art. 6.1.b GDPR).
- Fatturazione e adempimenti fiscali e contabili — obbligo legale (art. 6.1.c GDPR).
- Sicurezza, prevenzione degli abusi e continuità del Servizio — legittimo interesse del titolare (art. 6.1.f GDPR).
- Comunicazioni commerciali e newsletter, ove previste — solo previo tuo consenso, revocabile in ogni momento (art. 6.1.a GDPR).
4. Contenuti dei file: il nostro ruolo
Per quanto riguarda i contenuti dei file che carichi, agiamo come responsabile del trattamento: il titolare di quei dati sei tu (o la tua azienda). Trattiamo tali contenuti solo per fornirti il Servizio — conservarli, sincronizzarli, generarne anteprime e indice di ricerca — e secondo le tue istruzioni. Non vi accediamo se non quando è tecnicamente necessario per il funzionamento o la sicurezza, o se richiesto dalla legge. L'estrazione del testo e l'OCR che alimentano la ricerca sono eseguiti sui nostri sistemi, non su servizi di terzi.
5. Destinatari e responsabili esterni
Per erogare il Servizio ci avvaliamo di fornitori selezionati, che trattano i dati per nostro conto come responsabili esterni, vincolati da appositi accordi (art. 28 GDPR):
- Microsoft Azure — infrastruttura di hosting e storage dei file;
- Stripe — elaborazione dei pagamenti.
Prima della pubblicazione, questo elenco sarà completato usando l'inventario effettivo dell'ambiente di produzione, incluso il fornitore usato per le email di servizio, i log e l'assistenza. Non diffondiamo i dati e non li comunichiamo a terzi per finalità proprie di questi ultimi. L'elenco aggiornato dei responsabili sarà reso disponibile con le modalità indicate nella versione definitiva.
6. Trasferimenti extra-UE
La configurazione gestita prevista per la produzione ospita i dati nell'Unione Europea. Regione, servizi accessori e subprocessori saranno verificati sull'ambiente effettivo prima della pubblicazione di questa informativa. Qualora un fornitore comporti un trasferimento verso Paesi terzi, esso avviene solo in presenza di garanzie adeguate ai sensi degli artt. 44 e seguenti del GDPR (ad esempio le Clausole Contrattuali Standard della Commissione Europea).
7. Periodo di conservazione
Conserviamo i dati per il tempo necessario alle finalità per cui sono raccolti e per la durata del rapporto contrattuale. I dati di fatturazione sono conservati per il periodo previsto dagli obblighi fiscali. I termini per la rimozione dei dati attivi e per l'uscita delle copie residue dal ciclo dei backup saranno indicati dopo la ratifica della policy di conservazione e la verifica del relativo processo di ripristino e cancellazione. Restano fatti salvi gli obblighi di legge e le esigenze di difesa in giudizio.
8. I tuoi diritti
In qualsiasi momento puoi esercitare i diritti previsti dagli artt. 15–22 del GDPR: accesso ai tuoi dati, rettifica, cancellazione, limitazione e opposizione al trattamento, portabilità, nonché revoca del consenso ove il trattamento vi si basi. Per esercitarli, scrivi a privacy@grk.agency. Hai inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).
9. Assenza di decisioni automatizzate
Non effettuiamo trattamenti che comportino decisioni automatizzate, compresa la profilazione, in grado di produrre effetti giuridici o di incidere in modo analogamente significativo sulla tua persona (art. 22 GDPR). L'estrazione del testo e l'OCR servono unicamente alla ricerca nei tuoi documenti e non ti profilano.
10. Sicurezza
Adottiamo misure tecniche e organizzative adeguate a proteggere i dati: connessioni al servizio cifrate in transito con HTTPS, controlli antimalware sui caricamenti entro il limite dichiarato, controllo degli accessi per spazio e per cartella, registro delle attività amministrative e ridondanza dello storage nella configurazione gestita. Le misure applicabili saranno descritte in modo definitivo dopo la verifica dell'ambiente di produzione. Nessun sistema è però sicuro al 100%: ti invitiamo a custodire con cura le tue credenziali.
11. Violazioni dei dati
Quando agiamo come responsabile del trattamento, informiamo il titolare senza ingiustificato ritardo dopo essere venuti a conoscenza di una violazione dei dati personali. Quando agiamo come titolare, valutiamo il rischio e, ove richiesto, notifichiamo la violazione all'Autorità Garante entro 72 ore e informiamo gli interessati nei casi previsti dagli artt. 33–34 GDPR.
12. Minori
Il Servizio è rivolto ad aziende e professionisti e non è destinato ai minori. Non raccogliamo consapevolmente dati di persone di età inferiore a quella richiesta dalla legge per un valido consenso; qualora venissimo a conoscenza di un trattamento di questo tipo, provvederemo a rimuovere i relativi dati.
13. Cookie e archiviazione locale
Il sito pubblico usa l'archiviazione locale del browser esclusivamente per ricordare lingua e tema. Non integra strumenti di analytics o profilazione. L'applicazione autenticata conserva nel browser le informazioni tecniche necessarie alla sessione; una condivisione pubblica può conservarne il ticket per la sola durata della scheda. La pagina di acquisto carica Stripe.js solo quando serve a elaborare il pagamento; Stripe può usare strumenti tecnici e antifrode propri. L'inventario tecnico sarà verificato nuovamente prima della pubblicazione.
14. Modifiche a questa informativa
Potremo aggiornare questa informativa per riflettere cambiamenti nel Servizio o nella normativa. La versione vigente è sempre pubblicata su questa pagina, con l'indicazione della data di ultimo aggiornamento in alto. In caso di modifiche sostanziali te ne daremo avviso.