Informativa sulla privacy

1. Titolare e contatti

Il titolare del trattamento è GM GROUP S.R.L., Via F.Cossiga 10/A, 07030 Chiaramonti (SS), P.IVA 02831230905. Per comunicazioni sulla privacy e richieste relative ai tuoi dati puoi scrivere a questo indirizzo, indicando “Privacy HeyLu AI”.

2. Dati trattati

• Account: email, username, identificativo dell’account e password conservata sotto forma di hash, non in chiaro.
• Profilo: nome, ragione sociale, telefono e dati di fatturazione che scegli di inserire, inclusi indirizzo, partita IVA, codice fiscale, SDI e PEC.
• Supporto: oggetto, contenuto, data e stato dei ticket.
• Sicurezza e navigazione: identificativi di sessione, dati tecnici delle richieste e contatori dei tentativi di accesso. Il sistema di protezione elabora indirizzo IP e username per generare identificativi derivati.

Non inserire nei ticket password, dati di carte di pagamento, informazioni sanitarie o dati di terzi non necessari alla richiesta.

3. Finalità e basi giuridiche

Account, profilo e assistenza servono a gestire le funzionalità richieste e il rapporto con l’utente: la base è l’esecuzione del contratto o di misure precontrattuali richieste dall’interessato. Gli eventuali adempimenti fiscali si basano sugli obblighi di legge. La protezione da accessi abusivi e frodi risponde al legittimo interesse alla sicurezza del servizio, tenendo conto dei diritti degli utenti.

Username, email e password sono necessari per creare l’account; senza questi dati la registrazione non è possibile. Gli altri dati sono richiesti in relazione alle funzionalità utilizzate. Nel sito attuale non è presente un’iscrizione a comunicazioni promozionali.

4. Fornitori e destinatari

Il sito utilizza Sites per la pubblicazione e infrastruttura Cloudflare per l’esecuzione, l’archiviazione dei dati e dei documenti. I font vengono richiesti a Google Fonts: il caricamento comporta una connessione del browser al relativo fornitore. I dati possono essere accessibili alle persone autorizzate alla gestione del servizio e ai fornitori coinvolti, nei limiti delle rispettive attività, nonché alle autorità quando previsto dalla legge.

L’elenco contrattuale dei responsabili, la localizzazione dei trattamenti e le eventuali garanzie per trasferimenti fuori dallo Spazio economico europeo devono essere confermati dal titolare con i fornitori. Questa versione non attesta la conservazione esclusiva dei dati nell’Unione europea.

5. Conservazione

I criteri di conservazione sono la durata del rapporto per i dati dell’account, la gestione della richiesta per i ticket e gli obblighi normativi applicabili per i documenti amministrativi. Eventuali esigenze di tutela dei diritti possono richiedere una conservazione ulteriore, limitata ai dati necessari.

Nella configurazione attuale le sessioni scadono dopo sette giorni e il limite ai tentativi opera su finestre di quindici minuti. La scadenza funzionale non equivale alla cancellazione dei record: non è ancora configurata una procedura automatica di eliminazione dei dati scaduti. I tempi operativi di cancellazione e quelli dei backup devono essere definiti dal titolare.

6. Cookie e connessioni esterne

L’area clienti usa il cookie tecnico __Host-gm_session per mantenere l’accesso, con durata massima di sette giorni. È impostato con attributi Secure, HttpOnly e SameSite=Lax; all’uscita viene eliminato dal browser. Disabilitarlo impedisce l’uso dell’area riservata.

Nel codice applicativo non sono installati pixel pubblicitari o strumenti di analytics. Questa indicazione non costituisce una verifica completa degli eventuali strumenti aggiunti dall’infrastruttura di hosting. Le richieste a Google Fonts sono connessioni esterne, distinte dal cookie di sessione.

7. I tuoi diritti

Nei casi previsti dal GDPR puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità dei dati, e opporti al trattamento basato sul legittimo interesse. Puoi revocare un eventuale consenso senza pregiudicare il trattamento precedente. Puoi inoltre presentare reclamo al Garante per la protezione dei dati personali. Per esercitare i diritti usa il recapito del titolare indicato sopra; potrà essere necessario verificare la tua identità.

Il sito non adotta decisioni unicamente automatizzate che producano effetti giuridici o analogamente significativi sull’utente.

8. Recupero password

Il recupero usa l’email dell’account e un link monouso valido per 30 minuti. Nel database è conservata soltanto l’impronta del codice di recupero; dopo un cambio riuscito i codici associati e le sessioni precedenti sono eliminati. I codici scaduti vengono eliminati alla successiva richiesta di recupero elaborata dal servizio.

L’invio email è predisposto tramite Resend e resta disabilitato fino alla configurazione del mittente e delle credenziali. Quando attivo, Resend riceve il destinatario e il contenuto dell’email necessario al recupero. Per le notifiche di supporto riceve inoltre l’indirizzo email del cliente, l’identificativo, l’oggetto e il messaggio del ticket; la conferma al cliente include soltanto identificativo e istruzioni. La casella di assistenza info@heyluai.com è gestita tramite SiteGround. I relativi accordi, tempi di conservazione e trasferimenti devono essere verificati prima dell’attivazione.

9. Funzioni in attivazione e aggiornamenti

Stripe, l’emissione delle fatture e il collegamento WhatsApp non sono ancora attivi in questa versione. Le informazioni sui relativi trattamenti saranno integrate prima dell’attivazione. Per l’assistente del centro occorrerà definire separatamente ruoli, istruzioni e accordi sul trattamento dei dati dei clienti.

Informativa iniziale: i dettagli sui fornitori, sui trasferimenti e sui tempi effettivi di conservazione richiedono conferma organizzativa da parte di GM GROUP S.R.L. La data in alto identifica la versione del testo.