Informativa sulla privacy

1. Titolare del trattamento

L'entità responsabile del trattamento descritto in questa informativa è:

Calitem SL
Calle de Elvira 27, 1B, 28028 Madrid, Spagna
CIF: Y6341476
Contatto: info@calitem.com

Se in futuro apriremo una sede in Italia o nomineremo un rappresentante ai sensi dell'Art. 27 GDPR, i dettagli verranno aggiunti nell'addendum Italia più sotto.

2. Responsabile della Protezione dei Dati

Calitem non ha nominato un Responsabile della Protezione dei Dati. Ai sensi dell'Art. 37 GDPR e dell'Art. 34 LOPDGDD, non siamo tenuti a designarne uno data la natura, l'ambito e le finalità dei nostri trattamenti. Per qualsiasi questione di protezione dati, scrivici a info@calitem.com.

Rivediamo periodicamente questa designazione rispetto ai criteri dell'Art. 37 GDPR e dell'Art. 34 LOPDGDD, e aggiorneremo questa pagina se cambia.

3. Categorie di dati personali che trattiamo

Dati di account e fatturazione

• Identificativi: nome, email professionale, ruolo, nome dell'azienda.
• Autenticazione: password con hash o identificativo di identità federata.
• Fatturazione: codice fiscale o P.IVA aziendale, indirizzo di fatturazione, riferimento del metodo di pagamento (token Stripe, non memorizziamo numeri di carta).

Contenuto del cliente, fatture e documenti contabili

Quando carichi fatture, ricevute, bolle di consegna o documenti simili, questi file in genere contengono dati personali di terzi: i tuoi fornitori, i loro dipendenti, lavoratori autonomi e talvolta il tuo personale. I campi tipici includono:

• Nomi, codici fiscali (NIF, CIF, P.IVA), indirizzi, email, numeri di telefono.
• Coordinate bancarie (IBAN) quando visibili sul documento.
• Dati di transazione: importi, righe, date, condizioni di pagamento.

Trattiamo questi dati come responsabile del trattamento per tuo conto, secondo l'Addendum di Trattamento dei Dati incorporato nei nostri Termini.

Dati tecnici e di telemetria

• Indirizzo IP, browser, sistema operativo, fingerprint del dispositivo.
• Log applicativi, tracce di errore, metriche di performance.
• Eventi di autenticazione e log di audit.

Comunicazioni

• Richieste di supporto, corrispondenza email, messaggi in-app.
• Risposte a sondaggi e feedback.

4. Finalità e base giuridica

Per ogni finalità di trattamento identifichiamo la base giuridica ai sensi dell'Art. 6 GDPR:

• Erogazione del servizio (acquisizione, OCR, categorizzazione, esportazione al tuo gestionale), Art. 6(1)(b), esecuzione di un contratto.
• Fatturazione, contabilità e adempimenti fiscali: Art. 6(1)(c), obbligo legale (Código de Comercio, Ley General Tributaria).
• Miglioramento del servizio, sicurezza, prevenzione frodi, debug: Art. 6(1)(f), interesse legittimo. Eseguiamo un test di bilanciamento; puoi richiederne un riassunto.
• Marketing verso clienti esistenti per prodotti simili, Art. 6(1)(f) e soft opt-in dell'Art. 21 LSSI-CE, con possibilità di disiscrizione in ogni messaggio.
• Marketing verso non-clienti / prospect: Art. 6(1)(a), consenso.
• Cookie e tracciatori non essenziali: Art. 6(1)(a) GDPR e Art. 22.2 LSSI-CE, consenso. Vedi la nostra Informativa sui cookie.

Per il contenuto delle fatture che carichi, la base giuridica tra te e le persone i cui dati compaiono su quelle fatture è di tua responsabilità in qualità di titolare (di solito obbligo legale o interesse legittimo nella contabilità).

5. Ruoli di titolare e responsabile

Calitem agisce come:

• Titolare del trattamento per i dati di account, fatturazione, analytics del sito e comunicazioni di supporto, significa che decidiamo le finalità e i mezzi di quel trattamento.
• Responsabile del trattamento per il contenuto dei documenti che carichi. Tu rimani il titolare; noi agiamo secondo le tue istruzioni documentate, in base a un Addendum di Trattamento dei Dati. Se ti serve la DPA, scrivici a info@calitem.com.

6. Destinatari e sub-responsabili

Condividiamo dati personali solo con fornitori che abbiamo vincolato contrattualmente ai sensi dell'Art. 28 GDPR. Sub-responsabili attuali:

• Supabase (regione UE), database, autenticazione, archiviazione oggetti.
• Microsoft Azure, Document Intelligence: OCR e analisi del layout dei documenti.
• OpenAI / Anthropic (via API), inferenza con modelli di linguaggio per estrazione e categorizzazione. Si applicano gli accordi enterprise; vedi §7.
• Stripe: elaborazione dei pagamenti.
• Postmark: email transazionali.
• Google Analytics 4, HubSpot: analytics del sito e marketing (solo dove hai dato il consenso).
• Intercom: supporto clienti.

L'elenco aggiornato e ufficiale dei sub-responsabili è disponibile su richiesta scrivendo a info@calitem.com. Notifichiamo ai clienti i cambiamenti sostanziali con almeno 30 giorni di anticipo, con diritto di opposizione come previsto nella DPA.

7. Trattamento con IA e modelli di linguaggio

Il cuore di Calitem è una pipeline di IA. Vogliamo essere espliciti su come gestisce i tuoi dati:

• Quando carichi un documento, inviamo l'immagine e il testo estratto a fornitori di IA documentale e modelli di linguaggio solo per inferenza, allo scopo di estrarre campi strutturati e suggerire una categoria.
• In base ai nostri accordi enterprise con tali fornitori, il tuo contenuto non viene utilizzato per addestrare i loro modelli di base. Non utilizziamo nemmeno il tuo contenuto per addestrare modelli proprietari di Calitem.
• Alcuni fornitori conservano prompt e risposte fino a 30 giorni per finalità di monitoraggio degli abusi, salvo quando è stata concessa la retention zero. Quando ciò si applica ai tuoi dati, è indicato nel nostro registro dei sub-responsabili.
• Gli output della pipeline IA sono rivedibili da te prima della pubblicazione nel tuo sistema contabile. Nessuna decisione con effetti giuridici o similmente significativi su una persona fisica viene presa esclusivamente con mezzi automatizzati, vedi §11.

8. Trasferimenti internazionali

Cerchiamo di mantenere i dati personali all'interno dello Spazio Economico Europeo. Quando un sub-responsabile opera fuori dal SEE, o quando un servizio (ad es. deployment Azure Global) può instradare il trattamento fuori dal SEE pur conservando i dati al suo interno, ci basiamo su una delle seguenti garanzie:

• Clausole Contrattuali Standard (Decisione di Esecuzione 2021/914 della Commissione), con valutazioni di impatto del trasferimento e misure tecniche supplementari come la cifratura in transito e a riposo.
• Data Privacy Framework UE-USA, ove applicabile a fornitori statunitensi.

Puoi richiedere copia delle garanzie applicabili a un trasferimento specifico scrivendo a info@calitem.com.

9. Periodi di conservazione

• Account e contenuto del cliente: conservati per la durata del contratto. Dopo la cessazione, hai 30 giorni per esportare; in seguito il contenuto del cliente viene eliminato dai sistemi attivi entro altri 30 giorni e dai backup entro 90 giorni.
• Registri contabili e di fatturazione: sei anni, come richiesto dall'Art. 30 del Código de Comercio. Per i documenti fiscali si applica il termine di prescrizione di quattro anni dell'Art. 66 LGT, salvo che sia richiesta una conservazione più lunga.
• Log e telemetria: 12 mesi.
• Dati di marketing: fino a quando ritiri il consenso o ti disiscrivi.
• Ticket di supporto: 24 mesi dopo la risoluzione.

10. I tuoi diritti

Ai sensi del GDPR e della LOPDGDD hai diritto a:

• Accedere ai dati che deteniamo su di te (Art. 15).
• Rettificare dati inesatti o incompleti (Art. 16).
• Cancellare i dati / "diritto all'oblio" (Art. 17), salvi gli obblighi legali di conservazione.
• Limitare il trattamento (Art. 18).
• Portabilità dei dati che hai fornito, in formato strutturato e leggibile da macchina (Art. 20).
• Opporti al trattamento basato su interesse legittimo, inclusa la profilazione (Art. 21).
• Revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente (Art. 7).
• Non essere sottoposto a decisioni basate esclusivamente su trattamenti automatizzati con effetti giuridici o similmente significativi (Art. 22), vedi §11.

Puoi esercitare ognuno di questi diritti scrivendo a info@calitem.com. Potremmo chiederti di verificare la tua identità. Rispondiamo entro un mese, prorogabile di altri due mesi per richieste complesse.

Hai inoltre diritto di proporre reclamo all'Agencia Española de Protección de Datos (AEPD): C/ Jorge Juan 6, 28001 Madrid, www.aepd.es. Gli utenti italiani possono rivolgersi al Garante per la protezione dei dati personali: www.garanteprivacy.it.

11. Decisioni automatizzate e profilazione

Calitem utilizza trattamenti automatizzati per estrarre campi dai tuoi documenti e suggerire una categoria. Questi output sono indicativi: vengono mostrati nella tua workspace per la revisione umana prima della pubblicazione nel tuo sistema contabile. Non prendiamo decisioni che producano effetti giuridici o similmente significativi su una persona fisica esclusivamente con mezzi automatizzati ai sensi dell'Art. 22(1) GDPR.

Se questo dovesse cambiare, ad esempio, se introducessimo un punteggio di frode automatico con effetti vincolanti, aggiorneremo questa informativa fornendo informazioni significative sulla logica utilizzata, sull'importanza e sulle conseguenze previste.

12. Sicurezza

Implementiamo misure tecniche e organizzative adeguate ai sensi dell'Art. 32 GDPR, tra cui:

• Cifratura in transito (TLS 1.2+) e a riposo.
• Controllo accessi basato sui ruoli, principio del minimo privilegio, log di audit.
• Scansione periodica delle vulnerabilità e revisione delle dipendenze.
• Separazione tra ambienti di produzione e non; pseudonimizzazione per analytics dove fattibile.
• Procedure definite di risposta agli incidenti, con percorsi di escalation testati.

13. Notifica delle violazioni

Se veniamo a conoscenza di una violazione di dati personali, notifichiamo all'AEPD senza ingiustificato ritardo e, ove possibile, entro 72 ore (Art. 33 GDPR). Se la violazione comporta un rischio elevato per gli interessati, li avvisiamo direttamente senza ingiustificato ritardo (Art. 34).

14. Minori

Calitem è un prodotto B2B non destinato a minori. Non raccogliamo consapevolmente dati personali di minori sotto i 14 anni (soglia di consenso digitale ai sensi dell'Art. 7 LOPDGDD in Spagna e D.Lgs. 101/2018 in Italia). Se ritieni che un minore ci abbia fornito dati personali, contattaci per cancellarli.

15. Addendum Italia

Quando Calitem è disponibile per gli utenti italiani, oltre al resto di questa informativa si applicano:

• È fornita una versione in italiano di questa informativa per gli utenti italiani.
• L'autorità di controllo italiana è il Garante per la protezione dei dati personali (garanteprivacy.it). Normativa nazionale: D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
• Calitem non ha ancora nominato un rappresentante ai sensi dell'Art. 27 GDPR. Se verrà nominato prima del lancio in Italia, i dettagli saranno pubblicati qui.

16. Modifiche a questa informativa

Manteniamo uno storico delle versioni di questa pagina. La data "Ultimo aggiornamento" in alto riflette l'ultima modifica sostanziale. Per modifiche materiali, come l'aggiunta di un nuovo sub-responsabile che riceve contenuto del cliente, o un cambio di base giuridica, ti avviseremo via email o in-app con almeno 30 giorni di anticipo, ove possibile.