Informativa privacy

Il titolare del trattamento è il soggetto che decide perché e come i tuoi dati vengono trattati. Per Verzero sarà la società oggi in corso di costituzione. Finché non sarà iscritta al Registro delle Imprese, per qualunque richiesta puoi scrivere fin da ora a privacy@verzero.it.

Da far validare: denominazione, forma giuridica, sede legale, partita IVA e legale rappresentante della società titolare vanno inseriti qui appena l'iscrizione è perfezionata. Va valutata anche la nomina di un responsabile della protezione dei dati: non è obbligatoria per un'impresa di queste dimensioni e con questi trattamenti, ma la presenza di dati di dipendenti trattati per conto dei clienti merita una valutazione esplicita.

Per i dati della tua impresa e per i tuoi dati di contatto siamo titolari: decidiamo noi perché e come trattarli.

Per i dati contenuti nei documenti che ci affidi — per esempio i dati aggregati sul personale che servono a un bilancio di sostenibilità o alla certificazione della parità di genere — agiamo come responsabili per conto della tua impresa, che di quei dati resta titolare. In quel caso seguiamo le tue istruzioni, e fra la tua impresa e noi serve un accordo dedicato.

Da far validare: l'accordo di nomina a responsabile (art. 28 GDPR) va predisposto e allegato alle condizioni di servizio prima dei progetti pilota. Va deciso se renderlo parte integrante del contratto o un documento firmato a parte.

Alcuni dati ce li dai tu. Altri li recuperiamo noi, ed è il cuore del servizio: l'AI Ver0, il nostro sistema di intelligenza artificiale, compila la scheda della tua impresa al posto tuo. Quando un dato non viene da te, l'articolo 14 del GDPR ci obbliga a dirti da dove viene — e nel portale lo trovi scritto accanto a ogni singolo campo, con la fonte e, per i contenuti presi dal web, il link alla pagina esatta.

Sul mandato per le banche dati e per il sito. Al momento dell'acquisto ti chiediamo un'autorizzazione esplicita e separata dalle condizioni di servizio. Puoi revocarla in ogni momento dalle impostazioni del tuo ecosistema: dopo la revoca la piattaforma continua a funzionare, e i dati li inserisci a mano. Ogni dato recuperato ti viene mostrato come «da confermare», e puoi confermarlo o rifiutarlo uno per uno.

Leggiamo esclusivamente il sito che hai dichiarato come tuo, rispettiamo le regole che quel sito dà ai programmi automatici (il file robots.txt) e non prendiamo nulla da aggregatori commerciali terzi.

Da far validare: il trattamento di dati relativi a dipendenti dei clienti, anche in forma aggregata, e la lettura automatizzata di documenti aziendali richiedono una valutazione d'impatto (DPIA) o almeno una motivazione scritta della sua non necessità. Va anche verificata la formulazione del mandato rispetto all'art. 14 e ai termini d'uso delle fonti.

I documenti che ci porti — bollette, visure, registri, dati di organico in forma aggregata — ci servono per preparare quelli che ti consegniamo. Non ci serve altro, e quello che non ci serve non lo trattiamo.

Non trattiamo dati particolari ai sensi dell'art. 9 GDPR (come i dati sulla salute o biometrici, e più in generale quelli che quell'articolo protegge), né dati giudiziari, cioè relativi a condanne penali e reati (art. 10 GDPR), né documenti d'identità. Nessuno dei percorsi a catalogo ne ha bisogno.

Può succedere che un documento così ci arrivi lo stesso: un certificato medico in mezzo ai registri di formazione, l'esito di una visita di idoneità dentro una cartella. Per questo ogni documento passa da un controllo preliminare prima di essere letto. Se il controllo riconosce dati particolari, la lavorazione si ferma lì:

• il documento non viene letto e nessun dato ne viene estratto;
• del contenuto non conserviamo nulla: resta solo il file che hai caricato tu, nel tuo archivio, finché non lo togli;
• nei nostri registri tecnici annotiamo che ci siamo fermati e quale categoria abbiamo riconosciuto: è la traccia di una decisione, non un dato del documento;
• te lo segnaliamo chiaramente nel tuo archivio, con il pulsante per rimuovere subito il file.

Lo stesso controllo ferma anche i documenti che semplicemente non servono ai tuoi percorsi attivi: restano archiviati, ma non vengono letti. Trattare meno dati costa meno anche a noi: qui il tuo interesse e il nostro coincidono.

Da far validare: la formulazione dell'impegno a non trattare dati particolari e la sua coerenza con il contratto: va deciso se dichiararlo come divieto contrattuale d'uso (il cliente si impegna a non caricarli) oltre che come nostro comportamento tecnico, e come qualificare il periodo in cui il file resta nell'archivio del cliente prima della rimozione. Va valutato anche se il riconoscimento automatico della categoria — che avviene su un documento che potrebbe contenere dati degli artt. 9 e 10 — richieda una sua base e una menzione nella DPIA.

Per far funzionare la piattaforma ci appoggiamo a fornitori specializzati, nominati responsabili del trattamento. Nessuno di loro può usare i tuoi dati per finalità proprie.

Trasferimenti fuori dall'Unione Europea. Il trattamento tramite Anthropic comporta un trasferimento verso gli Stati Uniti, coperto dalle clausole contrattuali standard della Commissione Europea e dalle garanzie supplementari del fornitore. Anche le email di servizio passano dagli Stati Uniti: Resend aderisce al quadro UE-USA per la protezione dei dati (Data Privacy Framework) e applica le clausole contrattuali standard, come dichiara il suo accordo sul trattamento dei dati. Nelle email non mettiamo documenti né dati d'impresa: solo l'avviso e il collegamento al portale. Puoi chiederci copia delle garanzie in essere.

Da far validare: vanno verificati e conservati gli accordi sul trattamento dei dati di ciascun fornitore, le clausole contrattuali standard per Anthropic e l'effettiva regione di elaborazione di Vercel. L'elenco va tenuto aggiornato: è parte del registro dei trattamenti, che l'art. 30 richiede di predisporre.

Da far validare: i termini di conservazione qui indicati sono una proposta ragionata, non un dato normativo: vanno confermati insieme al legale, in particolare i 10 anni sui consensi e i 30 giorni di ripensamento dopo la chiusura.

In ogni momento puoi accedere ai tuoi dati e chiederci di correggerli se sono sbagliati, di cancellarli o di limitarne il trattamento. Puoi anche riceverli in un formato leggibile da un altro sistema e opporti ai trattamenti fondati sul legittimo interesse.

Alcuni di questi diritti li eserciti da solo, senza doverci scrivere: nella scheda della tua impresa puoi correggere o rifiutare ogni singolo dato che l'AI Ver0 ti propone, e dalle impostazioni del tuo account puoi revocare i mandati.

Per tutto il resto scrivi a privacy@verzero.it: rispondiamo entro un mese. Se ritieni che il trattamento violi il GDPR puoi rivolgerti al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo del tuo Paese.

L'AI Ver0 legge documenti e fonti pubbliche e produce bozze. Non prende decisioni automatizzate che producano effetti giuridici su di te: ogni documento passa dalla tua conferma e dalla validazione di un professionista prima di essere emesso.

Oggi usiamo solo i cookie tecnici necessari a mantenerti collegato dopo l'accesso. I dettagli e il modo per cambiare la tua scelta sono nella cookie policy.

Misuriamo il sito con strumenti nostri, sul nostro server: nessun servizio di analisi di terze parti, nessun cookie di profilazione, nessuna pubblicità. Di ogni pagina vista registriamo quale pagina è, da quale sito arrivavi (solo il nome del sito, mai l'indirizzo completo), gli eventuali parametri di campagna presenti nel link, il tipo di dispositivo e il paese con la regione, così come ce li dichiara la rete che distribuisce il sito. Il tuo browser ci manda anche i tempi di caricamento della pagina — quanto ci mette a comparire il contenuto principale, a rispondere a un tocco, a smettere di spostarsi —, per sapere se il sito è veloce per chi lo usa davvero. Base giuridica: il nostro legittimo interesse a capire se il sito funziona (art. 6.1.f GDPR).

Come distinguiamo una visita da un'altra. Usiamo un cookie tecnico di prima parte (vz_s) che contiene un numero casuale, dura trenta minuti e serve solo a tenere insieme le pagine di una stessa visita. Accanto a quello calcoliamo un'impronta che cambia ogni giorno: è irreversibile e il tuo indirizzo IP non viene conservato, nemmeno in forma troncata. Non leggiamo l'impronta del tuo browser — caratteri installati, risoluzione, schede grafiche o audio — e non incrociamo nulla con altri siti. Il giorno dopo non siamo in grado di riconoscerti.

I dati grezzi restano per tredici mesi; dopo restano solo i totali per giorno. Il traffico nostro — le prove, lo sviluppo, chi amministra — viene marcato ed escluso dai rapporti. Le visite dei programmi automatici che leggono le pagine per conto di un assistente sono contate a parte e non compaiono fra le visite delle persone.

Registriamo inoltre alcuni gesti che dicono se il prodotto funziona: l'apertura di una scheda, una ricerca nel catalogo, un passo del modulo d'acquisto, l'invio del modulo contatti, fin dove si legge la pagina principale e per quanto tempo, a fasce, le schede guardate fra i vantaggi della qualifica e, nell'area riservata, l'apertura di un bando. Di chi li compie conserviamo un'impronta tecnica irreversibile, che cambia ogni ora, e il numero della visita, così da poter dire da quale sito arriva chi arriva in fondo — mai chi sia. Delle ricerche conserviamo le parole normalizzate, mai la frase intera.

Da far validare: questo capitolo è stato riscritto quando la misurazione è passata dai soli totali giornalieri alla registrazione delle singole visite con la loro provenienza. Va riletto da un legale insieme a due punti precisi: che il cookie vz_s (trenta minuti, numero casuale, prima parte, nessun incrocio) rientri fra i cookie analitici assimilabili ai tecnici secondo le linee guida del Garante del 10 giugno 2021, e quindi non richieda consenso preventivo; e che la conservazione di tredici mesi dei dati grezzi sia proporzionata alla finalità dichiarata. Un identificatore che duri oltre la giornata — per distinguere i visitatori nuovi da quelli di ritorno nel tempo — NON è stato introdotto proprio perché uscirebbe da quel perimetro.