Informativa sul trattamento dei dati personali

La presente Informativa descrive le modalità con cui Aicod S.r.l. tratta i dati personali in relazione alla navigazione sul sito web greenclaimguard.com, alla registrazione di account, all'attivazione di periodi di prova (trial) e alla fornitura della piattaforma SaaS B2B GreenClaim Guard (il «Servizio»).

Il Servizio è destinato esclusivamente a imprese, enti, professionisti e organizzazioni operanti nell'esercizio della propria attività economica o professionale (ambito B2B). L'accesso e l'utilizzo della piattaforma sono riservati a persone fisiche maggiorenni che agiscono nell'ambito della propria attività professionale o per conto di un'organizzazione.

Il Titolare del trattamento per i dati raccolti nell'ambito della gestione del sito, delle misure precontrattuali, della creazione e amministrazione degli account, della fatturazione e della sicurezza dell'infrastruttura è:

• Ragione sociale: Aicod S.r.l.
• Sede legale: Via Emilia Ovest 45, 43126 Parma (PR), Italia
• Codice fiscale e Partita IVA: 02452460344
• Punto di contatto per la protezione dei dati: privacy@aicod.it

Alla data di aggiornamento della presente informativa Aicod non ha nominato un Responsabile della Protezione dei Dati (DPO). Per qualsiasi questione relativa alla protezione dei dati personali è possibile contattare Aicod all'indirizzo privacy@aicod.it.

Ai fini della normativa sulla protezione dei dati, i ruoli privacy sono così ripartiti:

A tutela della riservatezza e del segreto aziendale dei Clienti:

• I documenti caricati nella Knowledge Base, i testi sottoposti a verifica, le certificazioni, le bozze di claim e gli estratti web/social non vengono mai utilizzati da Aicod per finalità proprie, né per attività di marketing, benchmarking aggregato, profilazione commerciale o arricchimento di banche dati terze.
• Protezione dei dati rispetto ai modelli AI: le configurazioni tecniche e le condizioni applicate ai servizi AI utilizzati prevedono che i contenuti dei Clienti non siano utilizzati per addestrare o migliorare i modelli generali del fornitore. Aicod non utilizza inoltre tali contenuti per addestrare o affinare propri modelli, né per benchmarking o riutilizzo tra clienti.
• I dati e i contenuti di ciascun workspace sono rigorosamente segregati a livello logico mediante Row-Level Security (RLS) e non sono accessibili ad altre organizzazioni clienti.

La piattaforma utilizza funzionalità di intelligenza artificiale per supportare l'analisi di claim ambientali e della relativa documentazione tecnica:

• Ruolo esclusivamente consultivo e di supporto (human-in-the-loop): le elaborazioni dell'AI generano esclusivamente segnalazioni tecniche provvisorie, indici di priorità interna (0-100) e suggerimenti di riscrittura prudente. Tali elementi costituiscono un ausilio analitico preliminare a supporto dell'operatore umano (revisore interno o consulente legale).
• Controllo umano totale: l'operatore umano mantiene la piena facoltà di confermare, ignorare, archiviare, correggere, motivare o declassare qualsiasi rilievo (marcandolo ad esempio come falso positivo). Nessun suggerimento algoritmico ha efficacia automatica.
• Assenza di decisioni automatizzate ex art. 22 GDPR: GreenClaim Guard non adotta alcun processo decisionale interamente automatizzato che produca effetti giuridici o incida in modo analogo significativamente su persone fisiche. L'analisi riguarda testi commerciali e ambientali riferibili a prodotti o servizi aziendali, non la valutazione o profilazione di individui.
• Nessun blocco automatico di campagne o modifiche esterne: il sistema non possiede né esercita alcuna capacità tecnica di bloccare pubblicazioni, interrompere campagne pubblicitarie, alterare siti web dei clienti o sospendere utenze.

• Il Servizio non è progettato per richiedere categorie particolari di dati personali ai sensi dell'art. 9 GDPR, dati giudiziari ai sensi dell'art. 10 GDPR o dati di minori. Il Cliente è tenuto, secondo le condizioni contrattuali applicabili, a evitare l'inserimento di dati personali non pertinenti o non necessari. Qualora tali informazioni siano incidentalmente contenute nei documenti sottoposti al Servizio, Aicod le tratta esclusivamente per conto del Cliente, senza finalità autonome di classificazione o profilazione.
• Minori di età: il Servizio è riservato a professionisti maggiorenni. Aicod non raccoglie consapevolmente dati di soggetti minori di 18 anni; laddove venisse accertata l'iscrizione di un minore, Aicod provvederà alla tempestiva disattivazione dell'account e alla cancellazione dei dati.

• Dati per la creazione dell'account e l'erogazione del Servizio: il conferimento di nome, cognome ed email aziendale è obbligatorio e necessario per consentire l'accesso alla piattaforma, la creazione del profilo e l'autenticazione. Il mancato conferimento rende impossibile la registrazione e la fruizione del Servizio.
• Dati del modulo Contatti: il conferimento di nome, email e messaggio è necessario per ricevere riscontro alla propria richiesta; il mancato conferimento impedisce ad Aicod di rispondere all'interessato.
• Integrazioni facoltative (web crawler e social): il conferimento di URL di siti web e il collegamento di account Facebook/Instagram è del tutto facoltativo e rimesso alla discrezionalità dell'organizzazione cliente; la mancata attivazione non preclude l'utilizzo delle restanti funzionalità di verifica manuale e Knowledge Base.

Per l'erogazione del Servizio, della piattaforma e delle relative funzionalità, Aicod si avvale di partner tecnici e fornitori di servizi. A seconda dello specifico trattamento e dei rispettivi termini applicabili, tali soggetti possono operare quali responsabili, sub-responsabili o autonomi titolari del trattamento:

1. Lovable, Inc.: fornitore della piattaforma PaaS, runtime applicativo edge e gestione integrata dei servizi di database e archiviazione cloud.
2. OpenAI: fornitore di modelli linguistici di intelligenza artificiale per l'analisi semantica dei testi tramite gateway protetto, soggetto a condizioni tecniche e contrattuali che escludono l'addestramento o il miglioramento dei modelli generali del fornitore sui contenuti elaborati per conto dei Clienti.
3. Google LLC: fornitore del servizio facoltativo di autenticazione Single Sign-On (Google Identity Services).
4. Meta Platforms Ireland Ltd. / Meta Platforms, Inc.: fornitore delle API ufficiali per l'acquisizione dei post pubblici delle Pagine e dei Profili autorizzati dal Cliente.
5. Cloudflare, Inc.: fornitore della rete per la distribuzione dei contenuti (CDN), protezione DDoS, WAF e gestione dei certificati di sicurezza SSL/TLS.

Aicod non comunica né cede i dati a soggetti terzi per finalità pubblicitarie, commerciali o di monetizzazione. I dati potranno essere comunicati unicamente a consulenti legali, contabili o fiscali di Aicod per l'adempimento di obblighi normativi, ovvero a Forze dell'Ordine o Autorità Giudiziarie nei casi previsti dalla legge.

L'infrastruttura primaria di memorizzazione del database e dei documenti è localizzata all'interno dello Spazio Economico Europeo.

A seconda del fornitore e del trattamento interessato, eventuali trasferimenti verso Paesi terzi sono effettuati sulla base di una decisione di adeguatezza applicabile, incluso il Data Privacy Framework UE-USA per i soggetti validamente aderenti, oppure mediante Clausole Contrattuali Standard della Commissione europea e le eventuali ulteriori garanzie richieste dalla normativa applicabile.

È possibile richiedere maggiori informazioni sulle garanzie applicabili scrivendo a privacy@aicod.it.

I dati sono conservati per tempi determinati in funzione delle rispettive finalità:

• Dati dell'account e del workspace attivo: conservati per l'intera durata del rapporto contrattuale o della prova gratuita attiva. In caso di chiusura del workspace o recesso, i contenuti operativi (documenti, analisi, claim) vengono eliminati definitivamente entro 30 giorni, salvo diverso termine concordato.
• Workspace trial scaduto senza rinnovo: al termine dei 5 giorni di prova, l'operatività del workspace viene sospesa; i dati vengono conservati per un periodo determinato di 60 giorni dalla scadenza del trial, salvo richiesta anticipata di cancellazione o riattivazione del servizio, decorsi i quali vengono integralmente cancellati.
• Inviti a membri del team: l'invito generato ha una validità di 14 giorni, decorsi i quali decade e non risulta più utilizzabile per l'accesso.
• Richieste di contatto e preventivi: conservate per un massimo di 12 mesi dall'ultimo riscontro, decorso il quale vengono eliminate, salvo instaurazione di un rapporto contrattuale.
• Dati e documentazione contabile e fiscale: conservati per il periodo previsto dagli obblighi di legge applicabili, normalmente 10 anni.
• Documentazione contrattuale e corrispondenza relativa al rapporto: conservate per la durata del rapporto e successivamente per il periodo necessario alla tutela dei diritti e alla gestione di eventuali contestazioni, entro i termini di prescrizione applicabili.
• Log tecnici di sicurezza e di rete: conservati a scorrimento per un periodo compreso tra 3 e 30 giorni, salvo necessità di prolungamento per indagini su incidenti informatici o ordini dell'Autorità.
• Audit log applicativo: conservato per l'intera vita del workspace per garantire l'integrità e la tracciabilità dello storico delle operazioni; eliminato contestualmente alla distruzione del workspace entro 30 giorni dalla chiusura.
• Copie di backup (disaster recovery): i dati cancellati dal sistema attivo possono permanere nelle copie di backup utilizzate esclusivamente per disaster recovery per un periodo massimo di 30 giorni, dopodiché vengono sovrascritti secondo il normale ciclo di rotazione.

Aicod adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza commisurato al rischio (art. 32 GDPR), tra cui:

• cifratura di tutto il traffico dati in transito mediante protocolli HTTPS con TLS 1.2 e TLS 1.3;
• cifratura dei dati e dei documenti a riposo (at rest) con algoritmo AES-256 su volumi cloud europei;
• segregazione logica rigorosa multi-tenant tramite Row-Level Security (RLS) a livello di database;
• isolamento dei token di autorizzazione e delle credenziali applicative in tabelle protette lato server e chiavi d'ambiente custodite in secure vault;
• l'accesso interno del personale Aicod è limitato secondo il principio del minimo privilegio. Gli amministratori visualizzano ordinariamente nel pannello di gestione esclusivamente metriche contrattuali e numeriche aggregate, senza accesso ordinario ai documenti, ai testi analizzati o ai rilievi dei Clienti. Eventuali accessi ai contenuti possono avvenire esclusivamente quando necessari per fornire assistenza tecnica richiesta dal Cliente, per adempiere a obblighi di legge o a richieste vincolanti dell'Autorità, e comunque nei limiti del rapporto di trattamento applicabile;
• procedure per la tempestiva rilevazione e notifica delle violazioni di dati personali (data breach) entro i termini di legge.

All'interno dell'area Impostazioni del workspace, la funzione di esportazione completa in formato JSON è riservata agli utenti con ruolo di Owner o Admin. Tale funzionalità costituisce uno strumento contrattuale e tecnico di restituzione e salvaguardia del patrimonio informativo aziendale e dell'archivio documentale dell'organizzazione, e non si identifica con il diritto di portabilità dei dati personali ex art. 20 GDPR riservato alle persone fisiche.

• Solo cookie tecnici e token di sessione: il sito e l'applicazione utilizzano unicamente token di autenticazione e cookie tecnici strettamente necessari al funzionamento del servizio, al mantenimento della sessione protetta e alla sicurezza della navigazione.
• Assenza di tracciamento commerciale: GreenClaim Guard non utilizza cookie di profilazione, pixel pubblicitari, piattaforme terze di analytics per tracciamento comportamentale né strumenti di session recording o replay. In conformità alle Linee guida del Garante Privacy del 10 giugno 2021, per la fruizione del sito non è richiesta l'installazione di un banner di consenso per i cookie.

In qualità di persona fisica interessata, ai sensi degli artt. 15-22 del GDPR, hai il diritto di:

• ottenere la conferma dell'esistenza di trattamenti di dati personali che ti riguardano e accedere al loro contenuto (diritto di accesso);
• chiedere l'aggiornamento, la rettifica o l'integrazione dei dati inesatti (diritto di rettifica);
• chiedere la cancellazione dei dati personali trattati in violazione di legge o qualora siano venute meno le finalità (diritto all'oblio);
• chiedere la limitazione del trattamento nelle ipotesi previste dall'art. 18 GDPR;
• opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, al trattamento basato sul legittimo interesse (diritto di opposizione);
• ricevere i dati personali che ti riguardano forniti ad Aicod in un formato strutturato, di uso comune e leggibile da dispositivo automatico, ove applicabile (diritto alla portabilità).

Aicod si riserva il diritto di apportare modifiche e integrazioni alla presente Informativa in conseguenza di evoluzioni normative o implementazioni tecniche della piattaforma. La versione vigente è sempre consultabile su questa pagina con indicazione della data di ultimo aggiornamento. In caso di modifiche sostanziali che incidano significativamente sui diritti degli utenti, ne verrà data preventiva comunicazione tramite email o avviso ben visibile all'interno della piattaforma.