Informativa sulla privacy

La presente informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (di seguito «GDPR») e del D.lgs. 196/2003 e s.m.i. («Codice Privacy»), a chi si registra e utilizza la piattaforma OpenCloud, servizio in cloud dedicato ai costruttori di quadri elettrici (norma CEI EN 61439) e ai mandatari di fabbricanti extra-UE (Regolamento Macchine UE 2023/1230).

1. Titolare del trattamento

Titolare del trattamento è Algor S.r.l., con sede legale in Via Podgora n.10 A — 20122 Milano (MI) e sede operativa in piazza Matteotti 2 — 16123 Genova (GE), P.IVA / C.F. IT10766010960, REA MI-2555538. E-mail: support@algor.it · PEC: algor.it@pec.it · Tel. 010-8060471.

2. Ruolo di Titolare e di Responsabile del trattamento

In relazione ai diversi dati trattati attraverso la piattaforma, Algor S.r.l. opera con due ruoli distinti:

• come Titolare del trattamento, per i dati relativi all'account e al referente del cliente, alla gestione del rapporto contrattuale, alla sicurezza della piattaforma ed eventuali comunicazioni commerciali;
• come Responsabile del trattamento (art. 28 GDPR), per i contenuti che il cliente carica nella piattaforma (documenti, fascicoli tecnici e dati anagrafici dei soggetti collegati ai fascicoli, quali installatori, manutentori, committenti e fabbricanti). Di tali dati è Titolare autonomo il cliente (l'azienda intestataria dell'account), che ne determina finalità e mezzi; Algor li tratta unicamente su istruzione del cliente e per erogare il servizio. Il rapporto è disciplinato dalla nomina a Responsabile.

La presente informativa descrive i trattamenti per i quali Algor è Titolare. Per i dati di cui è Titolare il cliente, gli interessati possono rivolgersi al cliente stesso; Algor, in qualità di Responsabile, fornisce la dovuta assistenza.

3. Responsabile della protezione dei dati (DPO)

Il Titolare non ha nominato un Responsabile della protezione dei dati, non ricorrendone i presupposti di legge. Per ogni questione in materia di dati personali è possibile scrivere ai recapiti indicati al punto 1.

4. Categorie di dati trattati

• Dati dell'account e del referente: nome e cognome, e-mail, eventuale telefono, ragione sociale, P.IVA/C.F., profilo e ruolo, lingua preferita, password (conservata in forma cifrata) ed eventuale secondo fattore di autenticazione.
• Contenuti caricati dal cliente (di cui il cliente è Titolare): documenti e file allegati ai fascicoli, dati tecnici dei quadri/macchine e dati anagrafici dei soggetti collegati ai fascicoli (installatori, manutentori, committenti, fabbricanti): nome, ruolo ed eventuali recapiti.
• Dati tecnici e di sicurezza: indirizzo IP, registro degli accessi (esiti e data/ora di login), registro delle attività (audit trail), tipo di browser e dispositivo, raccolti tramite cookie tecnici (vedi Cookie policy).
• Dati per la classificazione automatica: estratti del testo dei documenti caricati, trasmessi al fornitore di intelligenza artificiale per la categorizzazione automatica, se l'utente attiva tale funzione (vedi punto 8).
• Dati di pagamento e fatturazione: gestiti tramite Algor Shop. OpenCloud non incassa pagamenti né conserva i dati delle carte sui propri server.

5. Finalità e basi giuridiche del trattamento

• Erogazione del servizio (registrazione, gestione dell'account e dei fascicoli, archiviazione documenti, assistenza, area cliente) — art. 6.1 lett. b) GDPR (esecuzione del contratto).
• Trattamento dei contenuti caricati per conto del cliente, sulla base delle sue istruzioni e della nomina a Responsabile — art. 28 GDPR (la base giuridica è in capo al cliente-Titolare).
• Adempimenti di legge, in particolare fiscali e contabili (la fatturazione è gestita tramite Algor Shop) — art. 6.1 lett. c) GDPR.
• Legittimo interesse del Titolare alla sicurezza della piattaforma, alla prevenzione di abusi e frodi e alla difesa dei propri diritti (log, registro attività, limitazione dei tentativi di accesso) — art. 6.1 lett. f) GDPR.
• Legittimo interesse del Titolare a mantenere un rapporto informativo con soggetti che hanno mostrato interesse verso i temi trattati nei contenuti scaricati, tramite l'invio di ulteriori materiali pertinenti allo stesso argomento; l'interessato può opporsi in qualsiasi momento senza conseguenze sui contenuti già ricevuti, tramite il link di disiscrizione presente in ogni comunicazione o scrivendo a privacy@algor.it — art. 6.1 lett. f) GDPR.
• Statistiche di utilizzo per il miglioramento del servizio — Algor elabora statistiche sull'uso della piattaforma, in prevalenza in forma aggregata e anonima e, in alcune viste della console di amministrazione, a livello di singolo cliente (es. classifica dei consumi di spazio), per il funzionamento, la sicurezza e il miglioramento del servizio — art. 6.1 lett. f) GDPR (legittimo interesse). Non vengono utilizzati strumenti di analisi di terze parti (es. Google Analytics) né cookie di analisi o di profilazione.
• Consenso marketing, ove richiesto, per eventuali comunicazioni commerciali — art. 6.1 lett. a) GDPR; il consenso è revocabile in qualsiasi momento.

6. Natura del conferimento

Il conferimento dei dati dell'account è necessario per registrarsi e utilizzare la piattaforma: il mancato conferimento rende impossibile la fornitura del servizio. Il conferimento per finalità di marketing è invece facoltativo.

7. Modalità del trattamento e misure di sicurezza

I dati sono trattati con strumenti elettronici, per il tempo strettamente necessario alle finalità indicate e nel rispetto di misure tecniche e organizzative adeguate (art. 32 GDPR), tra cui:

• password conservate in forma cifrata (bcrypt) e autenticazione a due fattori (2FA) opzionale;
• protezione dei moduli contro gli invii fraudolenti (token CSRF) e Content Security Policy;
• cookie di sessione con attributi Secure, HttpOnly e SameSite=Strict;
• limitazione dei tentativi di accesso (anti brute-force) e registro degli accessi;
• registro delle attività (audit trail) sulle operazioni rilevanti;
• connessioni cifrate HTTPS con HSTS;
• backup periodici cifrati (AES-256);
• isolamento dei dati tra i diversi clienti (architettura multi-tenant).

8. Classificazione automatica dei documenti (intelligenza artificiale)

La piattaforma offre una funzione opzionale, attivabile dall'utente (opt-in), di categorizzazione automatica dei documenti caricati. Quando attiva, un estratto del testo del documento viene trasmesso, tramite apposite API, a un fornitore di servizi di intelligenza artificiale (Anthropic PBC, di seguito "il Fornitore"), che restituisce la categoria suggerita ed eventuali metadati (ad es. data di scadenza, firmatario).

Il Fornitore agisce come sub-responsabile del trattamento e opera per conto del Titolare, su istruzioni documentate, in forza del Data Processing Addendum incorporato nei termini commerciali stipulati con il Fornitore ai sensi dell'art. 28 GDPR.

I dati trasmessi al Fornitore non sono utilizzati per l'addestramento dei suoi modelli di intelligenza artificiale. I log operativi relativi alla richiesta (contenuto trasmesso e risposta) sono conservati dal Fornitore per un periodo massimo di 7 giorni per finalità operative e di sicurezza, trascorso il quale vengono cancellati automaticamente.

Il suggerimento prodotto dall'IA è sempre sottoposto all'utente, che lo conferma o lo corregge: non vi è alcuna decisione automatizzata produttiva di effetti giuridici ai sensi dell'art. 22 GDPR.

Il trattamento comporta un trasferimento di dati al di fuori dell'UE verso gli Stati Uniti, disciplinato dalle Clausole Contrattuali Standard adottate dalla Commissione Europea, come indicato al punto 10 della presente informativa.

L'utente può disattivare in qualsiasi momento la funzione dalle impostazioni (pagina "Preferenze AI" all'interno del menu utente), senza che ciò comprometta l'utilizzo delle altre funzionalità della piattaforma.

9. Destinatari dei dati

I dati possono essere comunicati a soggetti che agiscono come responsabili del trattamento (art. 28 GDPR) o titolari autonomi, esclusivamente per le finalità sopra indicate:

• fornitore del servizio di intelligenza artificiale per la classificazione dei documenti (ove la funzione sia attivata): Anthropic Public Benefit Corporation;
• fornitore del servizio di invio delle e-mail transazionali (AWS SES);
• fornitori di servizi di hosting e infrastruttura IT, e di manutenzione della piattaforma (Amazon Web Services);
• Algor Shop, per la sottoscrizione e la gestione delle licenze e per la fatturazione;
• consulenti (banche, commercialista, legali) e Autorità, nei casi previsti dalla legge.

10. Trasferimento dei dati extra UE

Alcuni fornitori (in particolare il servizio di intelligenza artificiale ed eventualmente il servizio di invio e-mail) possono trattare dati al di fuori dello Spazio Economico Europeo. In tal caso il trasferimento avviene sulla base di decisioni di adeguatezza o di clausole contrattuali tipo approvate dalla Commissione UE (art. 46 GDPR), con garanzie adeguate.

11. Periodo di conservazione

• Dati dell'account e contenuti caricati: per la durata del rapporto. In caso di cancellazione dell'account è previsto un periodo di grazia di 30 giorni, decorso il quale i dati sono cancellati o anonimizzati entro i successivi 90 giorni.
• Registro delle attività (audit) e registro degli accessi: 12 mesi, per finalità di sicurezza e accountability (rilevazione di anomalie, accertamento di eventuali utilizzi impropri della piattaforma).
• Registro degli invii e-mail (log di consegna): 6 mesi, al fine di comprovare l'avvenuto invio di comunicazioni rilevanti (es. conferme, fatture, notifiche di scadenza, reset password).
• Account disattivati: in caso di disattivazione di un account utente da parte dell'amministratore del cliente (tenant) — ad es. per cessazione del rapporto tra l'utente e l'organizzazione cliente — i relativi dati sono conservati fino a 12 mesi, per consentire un'eventuale riattivazione.
• Dati di clienti (tenant) cessati: in caso di cessazione del rapporto contrattuale con il cliente, i dati sono conservati fino a 24 mesi, per consentire un'eventuale riattivazione, la gestione di contestazioni relative al rapporto commerciale e gli adempimenti amministrativo-contabili connessi.
• Dati contabili e fiscali (fatture): 10 anni, come previsto dalla normativa civilistica e fiscale; tali documenti sono gestiti tramite Algor Shop e la loro conservazione prevale, per tale periodo, sul diritto di cancellazione.
• Copie di backup: i dati presenti nelle copie di sicurezza vengono sovrascritti secondo il normale ciclo di rotazione dei backup (non superiore a 10 giorni solari), anche successivamente alla cancellazione dai sistemi primari.
• Contenzioso: fermi restando i periodi sopra indicati, i dati necessari per accertare, esercitare o difendere un diritto in sede giudiziale o stragiudiziale possono essere conservati per l'ulteriore periodo corrispondente al termine di prescrizione applicabile (ordinariamente 10 anni ai sensi dell'art. 2946 c.c., salvi termini più brevi previsti per specifiche pretese).

12. Diritti dell'interessato

In qualsiasi momento è possibile esercitare i diritti previsti dagli artt. 15-22 GDPR: accesso ai dati, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione e revoca del consenso. La piattaforma mette a disposizione strumenti dedicati, tra cui la funzione «Scarica i miei dati» (accesso e portabilità in formato strutturato), la modifica dei dati dall'area account (rettifica), la funzione «Elimina account» con cancellazione e anonimizzazione (oblio) e la gestione delle preferenze di comunicazione (opposizione/revoca).

Per i dati di soggetti terzi caricati dal cliente, di cui quest'ultimo è Titolare, l'interessato esercita i propri diritti nei confronti del cliente; Algor, quale Responsabile, presta la dovuta assistenza. Le richieste rivolte al Titolare vanno inviate ai recapiti indicati al punto 1.

13. Reclamo all'Autorità di controllo

Qualora si ritenga che il trattamento violi il GDPR, è possibile proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it).

14. Modifiche all'informativa

Il Titolare può aggiornare la presente informativa; le modifiche saranno pubblicate su questa pagina con la nuova data di «ultimo aggiornamento».