Informativa sulla privacy di flowhelp

Versione 1.1 del 2 ottobre 2026. In vigore dal giorno della sua pubblicazione sul Sito.

Il presente documento è una traduzione della «Polityka prywatności flowhelp» redatta in lingua polacca. Fa fede la versione polacca; in caso di discrepanze prevale la versione polacca.

La presente informativa illustra quali dati personali trattiamo in relazione al servizio flowhelp, per quali finalità, su quale base giuridica, a chi li affidiamo, per quanto tempo li conserviamo e quali diritti spettano all'interessato. Abbiamo cercato di esprimerci in modo semplice. Per qualsiasi chiarimento è possibile scriverci (i dati di contatto sono indicati al § 2).

§ 1. Definizioni

1.1. Titolare del trattamento, Titolare, noi: DOLLABROS sp. z o.o., con sede legale a Poznań, Polonia (dati al § 2).

1.2. flowhelp o Servizio: il servizio di assistente IA (chat) per le imprese da noi gestito, accessibile tramite il sito https://flowhelp.ai, il pannello https://app.flowhelp.ai e il server dei file del widget https://cdn.flowhelp.ai. Il sito https://flowhelp.ai è di seguito denominato anche Sito.

1.3. Cliente: l'imprenditore che ha concluso con noi un contratto per l'utilizzo del Servizio (anche durante il periodo di prova).

1.4. Utente del pannello: la persona che dispone di un account nel pannello (proprietario, amministratore, editor o persona con accesso in sola visualizzazione nel workspace del Cliente).

1.5. Workspace: lo spazio di lavoro separato del Cliente nel pannello, con le relative conoscenze, impostazioni, conversazioni e team.

1.6. Widget: la finestra di chat che il Cliente integra nel proprio sito web mediante un unico tag <script>.

1.7. Assistente: il modello linguistico di IA che risponde nel Widget sulla base dei materiali indicati dal Cliente.

1.8. Eric: il nostro Assistente attivo sul sito flowhelp.ai, che risponde alle domande su flowhelp.

1.9. Visitatore: la persona che utilizza un sito web sul quale è attivo il Widget (il sito del Cliente oppure flowhelp.ai).

1.10. Lead: i dati che il Visitatore trasmette tramite il modulo di contatto o la richiesta di contatto con una persona nella finestra di chat.

1.11. GDPR: il regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016 (regolamento generale sulla protezione dei dati).

1.12. Accordo sul trattamento dei dati o DPA: l'accordo sul trattamento dei dati personali (art. 28 GDPR) che costituisce parte integrante dei Termini di servizio di flowhelp.

1.13. SEE: lo Spazio economico europeo (gli Stati membri dell'Unione europea e l'Islanda, il Liechtenstein e la Norvegia).

§ 2. Titolare del trattamento e contatti

2.1. Titolare del trattamento dei dati personali descritti ai § 4-6, al punto 7.5 e al § 8 è:

2.2. Per qualsiasi questione relativa ai dati personali è possibile contattarci:

1. via e-mail: hello@flowhelp.ai,
2. per posta: all'indirizzo della sede legale sopra indicato,
3. tramite il modulo di contatto nella finestra di chat sul sito https://flowhelp.ai.

2.3. Non abbiamo designato un responsabile della protezione dei dati (RPD/DPO), poiché nel nostro caso la normativa non lo prevede (art. 37 GDPR). Le questioni relative ai dati personali sono gestite direttamente dal consiglio di amministrazione della società agli indirizzi indicati al punto 2.2.

§ 3. A chi si applica la presente informativa

3.1. La presente informativa riguarda quattro gruppi di persone. Per i primi tre agiamo in qualità di titolare del trattamento, ossia determiniamo autonomamente le finalità e i mezzi del trattamento. Per il quarto agiamo di norma per conto del Cliente in qualità di responsabile del trattamento; fanno eccezione i log del server e i contatori dei limiti utilizzati per la sicurezza del Servizio, per i quali siamo titolare del trattamento (punto 7.5).

3.2. Le regole comuni a tutti i gruppi (destinatari, trasferimenti al di fuori del SEE, periodi di conservazione, diritti, IA, cookie, sicurezza) sono descritte ai § 9-18.

§ 4. Clienti e Utenti del pannello

4.1. Quali dati trattiamo:

1. dati dell'account: indirizzo e-mail, nome (facoltativo; se non viene indicato, utilizziamo la parte dell'indirizzo e-mail che precede il simbolo @), password sotto forma di hash crittografico (non conosciamo la password), lingua e impostazioni dell'interfaccia selezionate, informazione sulla conferma dell'indirizzo e-mail, date di creazione e di modifica;
2. dati relativi all'accettazione dei documenti: data dell'accettazione e indicazione della versione dei Termini di servizio (comprensivi dell'Accordo sul trattamento dei dati) e dell'informativa sulla privacy in vigore al momento della creazione dell'account (per la versione 1.0: «2026-10-01»); il modulo di registrazione informa: «Creando un account accetti i termini di servizio e l’informativa sulla privacy.»;
3. dati della sessione di accesso: indirizzo IP, informazioni sul browser e sul dispositivo (User-Agent), durata di validità della sessione, workspace attivo;
4. dati dei log del server web durante l'utilizzo del pannello: indirizzo IP, ora, richiesta, Referer e User-Agent (conservati per 14 giorni, cfr. § 11);
5. dati del workspace e dell'appartenenza: nome del workspace e indirizzo del sito del Cliente, piano, periodo di prova, utilizzo dei limiti, impostazioni (compresi gli indirizzi e-mail per le notifiche, cfr. § 6), ruoli dei membri del team, inviti;
6. registro degli eventi del workspace: chi (identificativo dell'account) e quando ha compiuto un'operazione rilevante nel pannello (ad es. modifica di un ruolo, cancellazione di dati), senza il contenuto delle conversazioni; gli indirizzi e-mail vi sono registrati in forma mascherata (ad es. ab***@dominio.it);
7. contenuto della corrispondenza intercorsa con noi (cfr. § 8);
8. dopo l'attivazione dei pagamenti: dati necessari alla fatturazione (cfr. punto 4.4).

4.2. Finalità e basi giuridiche:

4.3. Fonte dei dati, se non raccolti presso l'interessato: se l'interessato è stato invitato da un altro Utente del pannello, abbiamo ricevuto il suo indirizzo e-mail e il ruolo assegnato da tale persona. L'indirizzo IP e i dati del browser provengono dal dispositivo dell'interessato al momento dell'accesso.

4.4. Pagamenti. I pagamenti non sono ancora attivi e il Servizio è gratuito durante il periodo di prova. Dopo la loro attivazione, i pagamenti potranno essere gestiti da un operatore esterno che agisce in qualità di venditore (Merchant of Record). In tal caso sarà l'operatore, in qualità di autonomo titolare del trattamento, a trattare i dati di pagamento in base alla propria informativa sulla privacy, mentre noi riceveremo dallo stesso le informazioni necessarie alla gestione dell'account (ad es. il piano e lo stato dell'abbonamento). Prima dell'attivazione dei pagamenti aggiorneremo la presente informativa e indicheremo l'operatore.

4.5. I membri del team di uno stesso workspace possono vedere reciprocamente i propri nomi, indirizzi e-mail e ruoli.

§ 5. Visitatori di flowhelp.ai, comprese le conversazioni con l'assistente Eric

5.1. Visita del sito. Il sito flowhelp.ai non utilizza strumenti di analisi, pixel pubblicitari né script di terze parti, e i caratteri tipografici sono serviti dal nostro server. Il nostro server registra nei log i dati tecnici di ogni richiesta: indirizzo IP, ora, indirizzo della pagina richiesta (con i parametri), codice di risposta, pagina di provenienza (Referer) e dati del browser (User-Agent). Se nel campo «L’indirizzo del tuo sito» su flowhelp.ai viene inserito un indirizzo e si prosegue, tale indirizzo viene trasmesso al pannello come parametro dell'URL (e finisce nei log del server del pannello).

5.2. Conversazione con l'assistente Eric. Quando un Visitatore scrive a Eric, trattiamo:

1. il contenuto dei suoi messaggi e delle risposte dell'Assistente, l'ora dei messaggi, la lingua, la valutazione delle risposte (pollice in su o in giù), le fonti citate;
2. un identificativo casuale del Visitatore salvato nel browser senza data di scadenza (cfr. § 16), che consente di collegare le conversazioni successive condotte dallo stesso browser;
3. le domande alle quali Eric non ha saputo rispondere (registrate separatamente, senza collegamento alla conversazione, al fine di integrare le conoscenze dell'Assistente);
4. per alcuni minuti (fino a 2 ore per il limite del modulo di contatto): l'hash crittografico dell'indirizzo IP, utilizzato esclusivamente nel contatore dei limiti (l'indirizzo IP in quanto tale non viene registrato nella banca dati delle conversazioni).

Il contenuto dei messaggi è trattato dai fornitori di IA descritti ai § 9 e § 15. Si raccomanda di non inserire nella conversazione dati sensibili né dati che non si desidera comunicarci.

5.3. Modulo di contatto nella finestra di chat. Se il Visitatore ci lascia i propri dati (ad es. indirizzo e-mail, nome, società, testo del messaggio), li registriamo nella banca dati, collegati alla conversazione, e inviamo una notifica contenente tali campi e fino agli ultimi 10 messaggi della conversazione alla nostra casella di posta gestita nel servizio Gmail (Google, cfr. punto 9.2). Conserviamo tali dati fino alla definizione della richiesta, per non più di 12 mesi; trascorso tale termine li cancelliamo manualmente nel pannello e cancelliamo la notifica dalla nostra casella di posta.

5.4. Finalità e basi giuridiche:

5.5. Non inviamo newsletter né comunicazioni di marketing agli indirizzi lasciati nel modulo. Rispondiamo esclusivamente in merito alla richiesta per la quale l'interessato ci ha contattati.

§ 6. Destinatari di e-mail inviate da flowhelp

6.1. Il presente paragrafo riguarda le persone il cui indirizzo e-mail è stato inserito nel pannello da un Utente del pannello, in particolare:

1. lo sviluppatore al quale un Utente del pannello ha inviato il codice di installazione del Widget (funzione «Invia a uno sviluppatore»): trattiamo l'indirizzo e-mail e una breve nota aggiunta dal mittente (fino a 500 caratteri), nonché l'informazione su chi ha inviato il messaggio e da quale workspace; le risposte a tale messaggio giungono all'indirizzo e-mail del mittente;
2. la persona invitata a far parte del team: trattiamo l'indirizzo e-mail, il ruolo assegnato, lo stato e la scadenza dell'invito (7 giorni), nonché l'informazione su chi effettua l'invito;
3. la persona al cui indirizzo vengono inviate le notifiche relative a un nuovo Lead o a una richiesta di contatto con una persona: trattiamo il suo indirizzo e-mail indicato nelle impostazioni dell'azione o del workspace (oppure, se non è stato indicato, l'indirizzo e-mail del proprietario del workspace). L'indirizzo in quanto tale è trattato da noi in qualità di titolare del trattamento secondo la presente informativa. Il contenuto di tale notifica (i dati del Visitatore provenienti dal modulo e un estratto della conversazione) costituisce dati del Cliente, che trattiamo in qualità di responsabile del trattamento sulla base dell'Accordo sul trattamento dei dati (§ 7).

6.2. Fonte dei dati: l'indirizzo ci è stato comunicato dall'Utente del pannello che ha inviato il messaggio o l'invito oppure ha impostato l'indirizzo per le notifiche. Ogni e-mail inviata da flowhelp contiene un breve piè di pagina con la denominazione della nostra società e un link alla presente informativa.

6.3. Finalità e base giuridica: invio del messaggio richiesto dall'Utente del pannello e gestione dell'invito o delle notifiche, sulla base dell'art. 6, par. 1, lett. f), GDPR (legittimo interesse: nostro e del Cliente a consentirgli di utilizzare il Servizio, compresa la collaborazione con il team e l'installazione del Widget).

6.4. L'indirizzo e-mail completo dello sviluppatore indicato nella funzione «Invia a uno sviluppatore» non viene registrato nella banca dati; nel registro degli eventi del workspace ne rimane soltanto la forma mascherata (ad es. ab***@dominio.it). L'indirizzo completo viene trasmesso all'operatore di posta elettronica (Resend) al solo scopo dell'invio. L'invito (valido 7 giorni) viene cancellato automaticamente 30 giorni dopo la sua scadenza, indipendentemente dal fatto che sia stato accettato; se il workspace viene cancellato, l'invito viene eliminato al più tardi al momento della cancellazione definitiva dei dati del workspace, ossia 30 giorni dopo la cancellazione del workspace. Chi non desidera ricevere tali messaggi può scriverci o rivolgersi alla persona che ha fornito il suo indirizzo.

§ 7. Visitatori dei siti dei nostri Clienti

7.1. Chi è il titolare del trattamento. Se un Visitatore conversa con l'Assistente sul sito di un'altra impresa (nostro Cliente), titolare del trattamento dei suoi dati è tale impresa. È il Cliente a decidere se e come utilizzare il Widget, quali conoscenze utilizza l'Assistente, quali campi contiene il modulo di contatto, per quanto tempo conservare le conversazioni e a chi trasmettere i Lead. Trattiamo tali dati per conto del Cliente e su sua istruzione, in qualità di responsabile del trattamento, sulla base dell'Accordo sul trattamento dei dati. Non li utilizziamo per finalità proprie.

7.2. Le informazioni sul trattamento sono contenute nell'informativa sulla privacy del Cliente. Il Cliente può indicare nel pannello l'indirizzo della propria informativa sulla privacy; in tal caso il Widget mostra il link «Informativa sulla privacy» accanto alla richiesta di consenso alla conversazione e sotto il modulo di contatto e il modulo di richiesta di contatto con una persona.

7.3. Che cosa trattiamo per conto del Cliente:

1. il contenuto della conversazione (i messaggi del Visitatore e le risposte dell'Assistente), l'ora, la lingua, la valutazione delle risposte, le fonti citate;
2. un identificativo casuale del Visitatore salvato nel browser senza data di scadenza (cfr. § 16), che consente di collegare le conversazioni successive condotte dallo stesso browser, e il relativo hash crittografico;
3. se il Cliente ha configurato il Widget in tal senso: l'identificativo dell'account del Visitatore nel servizio del Cliente (ad es. il numero cliente), trasmesso dal sito del Cliente; è il Cliente a decidere quale identificativo trasmettere;
4. le domande alle quali l'Assistente non ha saputo rispondere (registrate separatamente, senza collegamento alla conversazione);
5. i dati del modulo di contatto o della richiesta di contatto con una persona (i campi sono stabiliti dal Cliente, ad es. e-mail, nome, telefono, messaggio); il Cliente li riceve via e-mail, insieme agli ultimi 10 messaggi della conversazione al massimo, all'indirizzo per le notifiche da esso indicato;
6. i contenuti che il Cliente aggiunge come conoscenze dell'Assistente (pagine web, note, coppie domanda-risposta); tali contenuti possono includere dati personali, dei quali risponde il Cliente.

7.4. Che cosa non registriamo. L'indirizzo IP e i dati del browser del Visitatore non vengono registrati nella banca dati delle conversazioni.

7.5. Log del server e contatori dei limiti: in questo caso siamo titolare del trattamento. Quando il sito del Cliente scarica il Widget dai nostri server (gli script del Widget e la sua configurazione) e quando il Widget invia richieste alla nostra interfaccia API, i nostri server registrano nei log l'indirizzo IP, l'ora, la richiesta, la pagina di provenienza (Referer, di solito l'indirizzo della pagina del Cliente) e i dati del browser (User-Agent). Ciò avviene già al caricamento della pagina, anche prima che sia avviata una conversazione. Inoltre, per alcuni minuti (fino a 2 ore per il limite del modulo di contatto), utilizziamo l'hash crittografico dell'indirizzo IP nei contatori dei limiti. Tali dati sono trattati da noi in qualità di titolare del trattamento, e non per conto del Cliente:

1. finalità: garantire la sicurezza del Servizio, rilevare gli attacchi e prevenire gli abusi;
2. base giuridica: art. 6, par. 1, lett. f), GDPR (legittimo interesse: sicurezza e continuità di funzionamento del Servizio prestato a numerosi Clienti); l'interessato può opporsi (punto 12.1, n. 6);
3. periodo di conservazione: log 14 giorni, hash dell'indirizzo IP da 5 minuti a 2 ore;
4. destinatari: il nostro fornitore di hosting (OVH) e, nella misura necessaria a uno specifico intervento di manutenzione, il fornitore degli strumenti di IA a supporto dell'amministrazione del server (punto 9.1); non comunichiamo tali dati al Cliente.

Per le questioni relative a tali dati occorre rivolgersi a noi (§ 2), e non al Cliente.

7.6. Immagine dell'Assistente. Se il Cliente ha impostato un'immagine (avatar) dell'Assistente da un proprio indirizzo, il browser del Visitatore la scarica direttamente da tale indirizzo e il relativo gestore può vedere l'indirizzo IP del Visitatore.

7.7. Come esercitare i diritti. Le richieste di accesso, cancellazione, rettifica o di altro tipo relative a una conversazione, a un Lead o alle domande vanno rivolte al Cliente, ossia al proprietario del sito sul quale si è svolta la conversazione (per i log del server di cui al punto 7.5 occorre rivolgersi a noi). Nel pannello il Cliente può cancellare singole conversazioni, ciascun Lead e le domande senza risposta visualizzate nel pannello, nonché esportare le conversazioni; le altre domande senza risposta vengono cancellate da noi su sua richiesta. Se l'interessato scrive a noi, trasmetteremo la sua richiesta al Cliente senza ingiustificato ritardo e lo assisteremo nel darvi seguito. Per agevolare il reperimento dei dati, si prega di indicare l'indirizzo del sito sul quale si è svolta la conversazione e l'ora approssimativa della stessa.

§ 8. Contatti, reclami e segnalazioni

8.1. Quando l'interessato ci scrive (via e-mail, per posta o tramite il modulo nella finestra di chat), presenta un reclamo o segnala un contenuto che ritiene illegale, trattiamo i suoi dati di contatto, il contenuto del messaggio e i dati necessari a gestire la richiesta.

8.2. Basi giuridiche:

1. risposta al messaggio: art. 6, par. 1, lett. f), GDPR (legittimo interesse: gestione della corrispondenza);
2. reclami relativi al Servizio: art. 6, par. 1, lett. b), GDPR (esecuzione del contratto);
3. segnalazioni di contenuti illegali e comunicazione delle decisioni: art. 6, par. 1, lett. c), GDPR, in combinato disposto con gli artt. 16 e 17 del regolamento (UE) 2022/2065 (regolamento sui servizi digitali);
4. accertamento, esercizio o difesa di un diritto in sede giudiziaria: art. 6, par. 1, lett. f), GDPR.

§ 9. A chi comunichiamo i dati

9.1. Responsabili del trattamento (fornitori). Ci avvaliamo dei fornitori indicati di seguito, esclusivamente nella misura necessaria alla prestazione dei loro servizi. I soggetti di cui ai nn. 1, 2, 4, 5 e 6 trattano i dati per nostro conto sulla base di contratti conclusi con tali soggetti, comprese le clausole contrattuali tipo quando i dati sono trasferiti al di fuori del SEE. I soggetti di cui al n. 3 trattano i dati in qualità di sub-responsabili del trattamento di OpenRouter, sulla base di contratti conclusi da OpenRouter. Gli stessi soggetti trattano i dati affidatici dai Clienti, in qualità di sub-responsabili del trattamento elencati nell'Allegato A all'Accordo sul trattamento dei dati.

9.2. Altri destinatari:

1. il Cliente e il suo team: mettiamo a disposizione del Cliente i dati dei Visitatori dei suoi siti (§ 7). I dati dei membri del team (nome, e-mail, ruolo) sono messi a disposizione degli altri membri dello stesso workspace;
2. Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda), fornitore del servizio Gmail nel quale gestiamo la nostra casella di posta, che opera sulla base delle proprie condizioni: vi pervengono i messaggi che ci vengono inviati via e-mail, nonché le notifiche relative ai Lead e alle richieste di contatto provenienti dalle conversazioni con Eric su flowhelp.ai (le notifiche relative ai Lead provenienti dai siti dei Clienti non pervengono alla nostra casella; vi pervengono soltanto i messaggi che l'interessato ci invia personalmente, comprese le richieste relative alle conversazioni sui siti dei Clienti, che trasmettiamo al Cliente); Google può trasferire i dati negli USA sulla base delle garanzie previste dal capo V del GDPR (decisione di adeguatezza relativa all'EU-US Data Privacy Framework o SCC);
3. Cloudflare, Inc. (101 Townsend Street, San Francisco, CA 94107, USA), fornitore del servizio Email Routing, che inoltra alla nostra casella di posta Gmail i messaggi inviati agli indirizzi del dominio flowhelp.ai (ad es. hello@flowhelp.ai); Cloudflare li tratta in qualità di nostro responsabile del trattamento sulla base del proprio accordo sul trattamento dei dati (Data Processing Addendum) e può trasferire i dati negli USA sulla base delle garanzie previste dal capo V del GDPR (decisione di adeguatezza relativa all'EU-US Data Privacy Framework o SCC);
4. autorità pubbliche e organi giurisdizionali: esclusivamente quando l'obbligo di comunicazione deriva da disposizioni di legge;
5. operatore dei pagamenti: dopo l'attivazione dei pagamenti (cfr. punto 4.4).

9.3. Non vendiamo dati personali né li condividiamo per finalità pubblicitarie.

§ 10. Trasferimento dei dati al di fuori del SEE

10.1. Alcuni dei fornitori descritti al § 9 hanno sede o infrastruttura al di fuori del SEE (principalmente negli USA). In tal caso il trasferimento dei dati avviene sulla base delle clausole contrattuali tipo adottate dalla Commissione europea (art. 46, par. 2, lett. c), GDPR) oppure di altre garanzie previste dal capo V del GDPR, indicate nella tabella di cui al punto 9.1.

10.2. Nel caso di deAPI, i calcoli possono essere eseguiti su server GPU situati in vari Stati, anche al di fuori del SEE. In tal caso viene trasferito esclusivamente testo (estratti dei contenuti del Cliente e, solo nel caso descritto al punto 15.1, domande dei Visitatori), senza l'identificativo del Visitatore e senza l'indirizzo IP. Se tale domanda contiene dati personali, questi vengono trasferiti insieme alla domanda (cfr. punto 15.5).

10.3. È possibile ottenere copia delle garanzie adottate, o l'indicazione del luogo in cui sono state rese disponibili, scrivendo all'indirizzo indicato al § 2.

§ 11. Per quanto tempo conserviamo i dati

11.1. Allo scadere di tali periodi, i dati vengono cancellati o resi anonimi. Possiamo conservarli più a lungo solo se necessari per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria o se ciò è imposto dalla legge, e solo nella misura necessaria.

§ 12. Diritti dell'interessato

12.1. Nella misura in cui siamo titolare del trattamento dei suoi dati, l'interessato ha diritto:

1. di accesso ai dati e di ottenerne copia (art. 15 GDPR);
2. di rettifica dei dati inesatti o incompleti (art. 16 GDPR); il nome, la password e la lingua possono essere modificati autonomamente in Impostazioni → Profilo, mentre la modifica dell'indirizzo e-mail è effettuata da noi su richiesta;
3. alla cancellazione dei dati (art. 17 GDPR); l'account può essere cancellato autonomamente in Impostazioni → Profilo;
4. alla limitazione del trattamento (art. 18 GDPR);
5. alla portabilità dei dati (art. 20 GDPR), relativamente ai dati che ci ha fornito e che trattiamo con mezzi automatizzati sulla base di un contratto;
6. di opporsi al trattamento fondato sul legittimo interesse (art. 6, par. 1, lett. f), GDPR), per motivi connessi alla sua situazione particolare (art. 21 GDPR); a seguito dell'opposizione ci asterremo dal trattare ulteriormente i dati per tale finalità, salvo che dimostriamo l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sugli interessi, sui diritti e sulle libertà dell'interessato oppure per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria;
7. di proporre reclamo a un'autorità di controllo: il Presidente dell'Ufficio per la protezione dei dati personali (Prezes Urzędu Ochrony Danych Osobowych, UODO), ul. Stawki 2, 00-193 Varsavia, Polonia (https://uodo.gov.pl), oppure l'autorità di protezione dei dati dello Stato in cui l'interessato risiede o lavora; in Italia: il Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma (https://www.garanteprivacy.it).

12.2. Il trattamento descritto nella presente informativa non si fonda sul consenso. Se il Cliente chiede nel Widget il consenso alla conversazione, si tratta di un meccanismo del Cliente, e le relative domande vanno rivolte al Cliente.

12.3. La richiesta va inviata all'indirizzo indicato al § 2. Risponderemo senza ingiustificato ritardo e comunque entro un mese; per le richieste complesse tale termine può essere prorogato di ulteriori due mesi, nel qual caso ne informeremo l'interessato entro il primo mese. L'esercizio dei diritti è gratuito. In caso di ragionevoli dubbi circa l'identità del richiedente, possiamo chiedere informazioni aggiuntive (ad es. di scriverci dall'indirizzo e-mail associato all'account).

12.4. Se i dati provengono da una conversazione sul sito di un nostro Cliente, si applica il punto 7.7.

§ 13. Obbligatorietà del conferimento dei dati

13.1. Il conferimento dell'indirizzo e-mail e della password è condizione necessaria per creare un account e utilizzare il pannello. Il nome è facoltativo.

13.2. La conversazione con Eric e la compilazione del modulo di contatto sono facoltative. In mancanza dei dati di contatto non potremo rispondere al di fuori della finestra di chat.

13.3. Dopo l'attivazione dei pagamenti, il conferimento dei dati necessari alla fatturazione sarà obbligatorio per l'acquisto di un piano a pagamento, e il relativo trattamento discenderà da obblighi di legge.

§ 14. Processo decisionale automatizzato e profilazione

14.1. Non adottiamo nei confronti dell'interessato decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici che lo riguardano o che incidano in modo analogo significativamente sulla sua persona (art. 22 GDPR). Non profiliamo i Visitatori né gli Utenti del pannello per finalità di marketing.

14.2. L'Assistente IA redige automaticamente le risposte alle domande sulla base dei materiali del Cliente. Non valuta le persone e non adotta decisioni che le riguardano. I meccanismi tecnici automatici, quali i limiti al numero di messaggi o il blocco del traffico che ha le caratteristiche di un attacco, servono alla sicurezza del Servizio e non costituiscono decisioni ai sensi dell'art. 22 GDPR.

§ 15. Come funziona l'IA e quali dati giungono ai fornitori dei modelli

15.1. Ricerca nelle conoscenze. Le domande poste all'Assistente e gli estratti dei contenuti che il Cliente ha aggiunto come conoscenze sono convertiti in vettori numerici (embedding). In questo modo l'Assistente individua gli estratti pertinenti alla domanda. Convertiamo le domande sul nostro server in Germania (OVH) e gli estratti dei contenuti del Cliente tramite deAPI. Solo quando il nostro server non è temporaneamente in grado di elaborare una domanda la inviamo a deAPI a tale scopo, affinché l'Assistente possa comunque rispondere.

15.2. Redazione delle risposte. Per redigere una risposta inviamo, tramite OpenRouter, al fornitore del modello selezionato:

1. le istruzioni per l'Assistente (comprese le impostazioni del Cliente),
2. fino a 6 estratti pertinenti delle conoscenze del Cliente (testo, titolo e indirizzo della fonte),
3. la domanda del Visitatore,
4. fino agli ultimi 6 messaggi della conversazione.

15.3. Che cosa non inviamo al modello: l'identificativo del Visitatore, l'indirizzo IP, l'indirizzo della pagina in cui si svolge la conversazione, i dati del modulo di contatto e l'identificativo utente trasmesso dal Cliente.

15.4. Pannello. La funzione «Suggerisci una risposta» converte la domanda in vettore come la chat (punto 15.1) e invia al modello la domanda e gli estratti pertinenti delle conoscenze. Durante la configurazione dell'account scarichiamo la home page pubblica del Cliente e inviamo al modello il nome del relativo dominio e i primi estratti del suo testo, al fine di proporre un messaggio di benvenuto.

15.5. Nessuna rimozione automatica dei dati. Non rimuoviamo automaticamente i dati personali dal contenuto delle domande. Se un Visitatore inserisce dati personali in una domanda, questi giungono insieme alla domanda al fornitore del modello e, nel caso descritto al punto 15.1, anche a deAPI. Si raccomanda pertanto di non inserire nella chat dati sensibili, numeri di documenti, dati relativi alla salute né password.

15.6. Addestramento dei modelli. Non addestriamo né perfezioniamo (fine-tuning) modelli di IA con i dati dei Clienti o dei Visitatori. Instradiamo le richieste esclusivamente ai fornitori che, secondo OpenRouter, non raccolgono dati dalle richieste (impostazione data_collection: deny). I fornitori possono trattare le richieste per un periodo limitato alle condizioni stabilite nei rispettivi contratti, ad es. al fine di rilevare abusi.

15.7. Indicazione dell'IA. La finestra di chat indica sempre che la conversazione si svolge con un sistema di IA (il contrassegno «IA» e una frase informativa che il Cliente non può rimuovere), conformemente all'art. 50, par. 1, del regolamento (UE) 2024/1689 (regolamento sull'intelligenza artificiale). Le risposte generate dall'IA possono contenere errori.

§ 16. Cookie e memoria del browser

16.1. Utilizziamo esclusivamente cookie e memoria del browser necessari al funzionamento delle funzioni utilizzate consapevolmente dall'utente. Non utilizziamo cookie analitici, pubblicitari né di terze parti. Ai sensi dell'art. 399 della legge polacca del 12 luglio 2024 sulle comunicazioni elettroniche (Prawo komunikacji elektronicznej), l'archiviazione di informazioni nel dispositivo dell'utente non richiede il suo consenso se è strettamente necessaria a fornire un servizio da questi espressamente richiesto. Ciò vale per ciascuna voce della tabella di cui al punto 16.2: il cookie di sessione è necessario per consentire all'utente, dopo l'accesso, di utilizzare il pannello; flowhelp_locale memorizza la lingua del pannello scelta dall'utente stesso; l'identificativo del Visitatore viene creato soltanto quando l'utente inizia a utilizzare la chat e serve a condurre tale conversazione. Descriviamo comunque di seguito tutto ciò che memorizziamo nel browser dell'utente.

16.2. Il sito flowhelp.ai non imposta cookie. Di seguito sono elencati tutti i cookie e le voci nella memoria del browser che utilizziamo.

16.3. Il Widget sui siti dei Clienti non utilizza cookie. Il Cliente può utilizzare sul proprio sito cookie propri, descritti nell'informativa sulla privacy del Cliente.

16.4. È possibile cancellare in qualsiasi momento i cookie e i dati dei siti nelle impostazioni del browser. La cancellazione del cookie di sessione comporta la disconnessione dal pannello, mentre la cancellazione dell'identificativo del Visitatore avvia una nuova conversazione.

§ 17. Sicurezza

17.1. Adottiamo in particolare le seguenti misure:

1. connessioni cifrate (TLS 1.2 e 1.3) e HSTS sul sito e nel pannello;
2. firewall che blocca per impostazione predefinita il traffico in entrata; l'applicazione non è raggiungibile direttamente da Internet, ma solo tramite un server intermediario (reverse proxy);
3. separazione dei dati dei Clienti a livello di banca dati (Row-Level Security), verificata mediante test automatizzati;
4. password conservate esclusivamente come hash crittografici (scrypt con salt);
5. ruoli nel team che determinano l'accesso ai dati nel pannello; esportazione delle conversazioni riservata al proprietario e all'amministratore;
6. limiti al numero di tentativi di accesso e di messaggi, elenco dei domini autorizzati per il Widget e firme HMAC per gli identificativi utente del Cliente;
7. minimizzazione dei dati nei log (log dell'applicazione senza contenuto delle conversazioni, indirizzi e-mail mascherati; i log diagnostici della banca dati possono eccezionalmente contenere frammenti di contenuto) e brevi periodi di conservazione degli stessi;
8. copie di backup giornaliere della banca dati, conservate per 14 giorni;
9. accesso amministrativo ai server riservato ai membri autorizzati del consiglio di amministrazione; l'amministrazione è supportata da strumenti di IA (punto 9.1, n. 6), che accedono ai dati esclusivamente nella misura necessaria a uno specifico intervento.

17.2. Al momento non offriamo l'autenticazione a due fattori; raccomandiamo pertanto di utilizzare una password robusta, non utilizzata per altri servizi.

17.3. Nessun metodo di trasmissione o conservazione dei dati è completamente sicuro. In caso di violazione dei dati personali, agiremo conformemente agli artt. 33 e 34 GDPR e, per i dati affidatici dai Clienti, ne daremo notifica al Cliente conformemente all'Accordo sul trattamento dei dati.

§ 18. Modifiche dell'informativa ed entrata in vigore

18.1. Possiamo modificare la presente informativa, ad es. in caso di modifica delle funzioni del Servizio, dei fornitori o della normativa. La versione aggiornata è sempre disponibile sul sito flowhelp.ai, con il numero di versione e la data di entrata in vigore.

18.2. Prima della loro entrata in vigore, informeremo delle modifiche sostanziali i proprietari e gli amministratori dei workspace via e-mail e invieremo la relativa comunicazione anche all'indirizzo per le notifiche del workspace (se impostato); ne daremo inoltre notizia nel pannello. Le modifiche all'elenco dei responsabili del trattamento per i dati affidatici dai Clienti sono comunicate conformemente all'Accordo sul trattamento dei dati.

18.3. Fa fede la versione polacca della presente informativa. Le versioni in altre lingue sono traduzioni; in caso di discrepanze prevale la versione polacca.

18.4. La presente informativa, versione 1.1 del 2 ottobre 2026, è in vigore dal giorno della sua pubblicazione sul Sito.