1. Titolare del trattamento e contatti
Il titolare del trattamento è Annota S.r.l., con sede legale in Via Davide Lazzeretti 2/P, 58100 Grosseto, Partita IVA IT01783380536, C.F. / Registro Imprese n.: 01783380536 - Maremma e Tirreno, REA GR-236295, capitale sociale interamente versato pari a €10.000,00, PEC annotasrl@pec.it.
- Email privacy: team@annota.ai
- PEC: annotasrl@pec.it
Annota AI non ha designato un Responsabile della Protezione dei Dati (DPO). Per ogni richiesta privacy usa i recapiti sopra.
2. Ambito dell’informativa e ruoli privacy
Annota AI è titolare dei trattamenti descritti qui: sito, account, contratto, piattaforma, analisi interne, fatturazione, comunicazioni e sicurezza. Per i contenuti dei clienti vedi la sezione 13.
Questa informativa non copre siti o servizi di terzi raggiungibili tramite link, né le applicazioni esterne che autorizzi ad accedere al tuo Account, come i client MCP: i loro fornitori trattano i dati secondo le proprie informative. I fornitori di Annota AI sono indicati nella sezione 6.
Le condizioni del Servizio sono nei Termini di servizio.
3. Dati trattati e fonti
Trattiamo solo i dati pertinenti alle attività descritte qui. I dati provengono da te, dalla tua organizzazione, dai sistemi che usi per accedere e, solo per identità, pagamenti e sicurezza, dai nostri fornitori.
- Account e autenticazione: nome, email verificata, identificativo dell’Account, identità Google o GitHub collegate, chiavi pubbliche e metadati delle passkey, sessioni.
- Profilo e onboarding: avatar, lingua, ruolo, caso d’uso, dimensione del team, provenienza e altre informazioni facoltative.
- Organizzazione: nome e logo del workspace, appartenenze, ruoli, inviti ed email di membri e invitati.
- Contratto e utilizzo: Piano, abbonamento, membri acquistati, add-on spazio, crediti, spazio utilizzato, funzionalità e operazioni usate, identificativi e date degli eventi.
- Fatturazione e pagamento: dati di fatturazione conservati da Annota AI, cioè tipo di acquirente (privato o azienda), nome o ragione sociale, email di fatturazione, paese e codice postale e, per le aziende, indirizzo completo, partita IVA, codice destinatario SDI o PEC; identificativi cliente e abbonamento, importi, valuta e stato dei pagamenti. Questi dati sono condivisi con il gestore dei pagamenti, presso cui restano i dati dello strumento di pagamento: Annota AI non riceve i dati completi delle carte. Il codice fiscale è trattato solo se un consumatore lo invia via email per chiedere la fattura.
- Accettazioni e dichiarazioni contrattuali: accettazioni dei Termini (utente, versione e data); acquisti con le dichiarazioni rese (richiesta di esecuzione immediata, consenso alla perdita del diritto di recesso, approvazione specifica delle clausole, versione dei Termini, utente e date); recessi (nome, email, data e ora).
- Contenuti del cliente: dataset e versioni, file, documenti, registrazioni audio, che possono contenere la voce di persone, e relative trascrizioni, testi, etichette, annotazioni, istruzioni, output, risultati OCR, esportazioni, addestramenti e modelli; testi importati, riassunti e indici delle knowledge base; conversazioni della chat di Brain con domande, risposte e fonti citate.
- Preferenze e autorizzazioni: preferenze dell’interfaccia e applicazioni esterne autorizzate, con identificativo del client, permessi e date di approvazione o revoca.
- Comunicazioni: nome, cognome, email, eventuali azienda e settore, lingua, tipo e identificativo della richiesta, messaggi e risposte.
- Segnalazioni di contenuti illeciti: nome ed email del segnalante, se indicati, tipo di segnalazione, posizione del contenuto segnalato, motivi della segnalazione, Paese indicato, decisione e comunicazioni.
- Dati tecnici e di sicurezza: indirizzo IP, data e ora, URL, intestazioni tecniche, identificativi di richiesta o sessione, browser o dispositivo, log ed eventi.
Annota AI gestisce direttamente autenticazione e sessioni. Se scegli di accedere con Google o GitHub, riceviamo dal fornitore i dati identificativi e di profilo necessari all’accesso.
4. Finalità, basi giuridiche e conservazione
Per i referenti di un’organizzazione cliente che non sono parte del contratto, la base giuridica è il legittimo interesse di Annota AI e del cliente a eseguire il Servizio (art. 6, par. 1, lett. f GDPR), al posto del contratto.
Richieste di demo, contatto e accesso ai modelli
Dati trattati
Dati di comunicazione indicati nella sezione 3.
Finalità e base giuridica
Rispondere, organizzare la demo o valutare l’accesso ai modelli. Misure precontrattuali richieste (art. 6, par. 1, lett. b GDPR) o legittimo interesse a gestire le comunicazioni (lett. f), secondo la richiesta.
Conservazione
Fino a 24 mesi dall’ultimo contatto sostanziale. Se nasce un contratto, seguono i termini del contratto.
Account, autenticazione, sessioni e applicazioni autorizzate
Dati trattati
Dati di account e autenticazione, autorizzazioni delle applicazioni e dati di sicurezza.
Finalità e base giuridica
Creare e gestire l’Account e autenticarti (art. 6, par. 1, lett. b GDPR); prevenire accessi abusivi e proteggere il Servizio (legittimo interesse, lett. f).
Conservazione
Per la durata dell’Account. Alla chiusura l’accesso è disabilitato. I dati identificativi di profilo sono cancellati o anonimizzati dopo un breve periodo tecnico, di norma non oltre 30 giorni dalla chiusura, se non appartieni più ad alcuna organizzazione, salvo obblighi di legge, sicurezza o difesa.
Profilo e onboarding
Dati trattati
Nome, avatar, lingua, ruolo, caso d’uso, dimensione del team, provenienza e preferenze.
Finalità e base giuridica
Configurare l’esperienza e fornire le funzionalità richieste (art. 6, par. 1, lett. b GDPR); migliorare onboarding e Servizio (legittimo interesse, lett. f).
Conservazione
Come l’Account. L’identificativo pseudonimo dell’Account, collegato a contenuti, crediti e registri, e i dati necessari per legge, audit, sicurezza o difesa possono essere conservati più a lungo.
Organizzazioni, ruoli e inviti
Dati trattati
Dati dell’organizzazione indicati nella sezione 3 e stato degli inviti.
Finalità e base giuridica
Gestire workspace, accessi e collaborazione (art. 6, par. 1, lett. b GDPR); garantire sicurezza e tracciabilità degli accessi (legittimo interesse, lett. f).
Conservazione
Per la durata del workspace. Gli inviti non accettati scadono dopo un breve periodo, di norma non oltre 7 giorni. Le informazioni essenziali sugli accessi possono restare più a lungo per sicurezza, obblighi contrattuali o tutela dei diritti.
Un registro di audit, con identificativi ma senza nomi o contenuti, resta anche dopo l’eliminazione dell’organizzazione. Gli eventi su contratti, fatturazione, crediti e titolarità dell’organizzazione sono conservati fino a 10 anni dall’evento, per tutela dei diritti (prescrizione ordinaria, art. 2946 c.c.) e obblighi contabili. Gli altri eventi di sicurezza e amministrazione sono conservati fino a 24 mesi.
Erogazione della piattaforma
Dati trattati
Dati di contratto e utilizzo e contenuti del cliente indicati nella sezione 3.
Finalità e base giuridica
Fornire, mantenere e assistere il Servizio, misurare lo spazio e applicare i limiti del Piano (art. 6, par. 1, lett. b GDPR). Per i dati personali nei contenuti del cliente, vedi la sezione 13.
Conservazione
Per la durata del rapporto, secondo le scelte di cancellazione del cliente, i Termini e l’eventuale DPA. Le esportazioni temporanee scadono dopo un breve periodo, di norma non oltre 7 giorni.
Conversazioni di Brain e knowledge base restano finché l’utente o l’organizzazione non le eliminano. Le conversazioni di un utente sono cancellate anche quando lascia l’organizzazione, ne viene rimosso o cancella l’Account; tutti questi dati sono cancellati con l’eliminazione dell’organizzazione. Le copie nei backup scadono poi secondo i cicli di backup.
Cancellazioni, backup e obblighi legali possono seguire tempi tecnici diversi.
Analisi interne e miglioramento del Servizio
Dati trattati
Dati di utilizzo, eventi, metadati tecnici e identificativi pseudonimi, letti da Annota AI con uno strumento interno su una copia in sola lettura del database della piattaforma. Non leggiamo i contenuti del cliente e non usiamo fornitori terzi di analisi.
Finalità e base giuridica
Capire come viene usato il Servizio, pianificarne la capacità, migliorarne affidabilità e funzionalità: legittimo interesse di Annota AI (art. 6, par. 1, lett. f GDPR). I risultati sono usati solo in forma aggregata e non servono a profilare le persone.
Conservazione
Le statistiche aggregate e anonime, che non permettono di identificare le persone, sono conservate senza limiti di tempo. I dati di partenza seguono la conservazione dei dati da cui provengono.
Abbonamenti, crediti, pagamenti, fatture e accettazioni
Dati trattati
Dati di fatturazione e pagamento, membri acquistati, add-on spazio, crediti e quote condivise, codici promozionali e utente che li ha usati; accettazioni dei Termini, acquisti con le relative dichiarazioni e recessi indicati nella sezione 3.
Finalità e base giuridica
Concludere ed eseguire il contratto (art. 6, par. 1, lett. b GDPR); adempiere obblighi fiscali e contabili e gli obblighi di conferma previsti dal Codice del Consumo (lett. c); prevenire frodi, provare la conclusione del contratto e le dichiarazioni rese e tutelare i diritti (lett. f).
Conservazione
Per la durata del rapporto; documenti fiscali, contabili e contrattuali di regola per 10 anni. Accettazioni dei Termini, acquisti con le relative dichiarazioni e recessi sono conservati fino a 10 anni dall’evento, anche dopo la chiusura dell’Account, collegati all’identificativo pseudonimo; i nomi di chi recede sono conservati come parte della prova. Il gestore dei pagamenti applica anche i propri termini per obblighi finanziari, antifrode e di legge.
Email operative e assistenza
Dati trattati
Email, nome, organizzazione e solo le informazioni necessarie a descrivere l’evento, la richiesta o l’esito di un’operazione; per gli avvisi di nuovo accesso, metodo di accesso, browser o dispositivo, data e ora.
Finalità e base giuridica
Inviare inviti, avvisi sull’Account, sulle esportazioni e sulle operazioni richieste e fornire assistenza (art. 6, par. 1, lett. b GDPR); inviare le conferme d’ordine e di recesso (obbligo di legge, lett. c); avvisarti degli accessi da un browser non riconosciuto (legittimo interesse alla sicurezza, lett. f); garantire affidabilità e supporto (legittimo interesse, lett. f). Le email non tracciano aperture né clic.
Conservazione
Il tempo necessario a consegnare e gestire l’evento. La corrispondenza amministrativa di assistenza resta di regola fino a 24 mesi dalla chiusura, salvo obblighi contrattuali, legali o di sicurezza. Documenti, allegati e altri contenuti del cliente ricevuti in assistenza sono invece rimossi quando non servono più alla richiesta, secondo il DPA.
Comunicazioni dirette
Dati trattati
Dati di contatto e contenuto della comunicazione.
Finalità e base giuridica
Rispondere alle tue richieste: misure precontrattuali (art. 6, par. 1, lett. b GDPR) o legittimo interesse a gestire la corrispondenza (lett. f), secondo il contenuto.
Conservazione
Fino a 24 mesi dalla chiusura della richiesta, salvo che serva per un contratto o una controversia.
Segnalazioni di contenuti illeciti (DSA)
Dati trattati
Nome ed email del segnalante, se indicati; tipo di segnalazione, posizione del contenuto segnalato, spiegazione dei motivi e Paese indicato; decisione adottata e comunicazioni con il segnalante e con l’utente interessato.
Finalità e base giuridica
Ricevere ed esaminare le segnalazioni, decidere e comunicare la decisione: obbligo di legge (art. 6, par. 1, lett. c GDPR, in relazione all’art. 16 del Regolamento (UE) 2022/2065). Non comunichiamo l’identità del segnalante all’utente interessato, salvo quando la legge lo richiede o è necessario, ad esempio per alcune segnalazioni di violazione del diritto d’autore.
Conservazione
24 mesi dalla decisione; più a lungo solo se servono per accertare, esercitare o difendere un diritto.
Erogazione e sicurezza di sito e piattaforma
Dati trattati
Dati tecnici e di sicurezza indicati nella sezione 3.
Finalità e base giuridica
Fornire sistemi affidabili, prevenire abusi e incidenti e diagnosticare errori: esecuzione del contratto per le funzioni richieste (art. 6, par. 1, lett. b GDPR) e legittimo interesse alla sicurezza e al corretto funzionamento (lett. f).
Conservazione
Eventi di sicurezza dell’autenticazione: di norma non oltre 180 giorni. Log e metadati presso i fornitori di rete e di email: secondo servizio, piano e impostazioni del fornitore, in base alle esigenze di erogazione, sicurezza e legge. Dati relativi a un incidente: fino a 12 mesi, o più a lungo se servono per un obbligo o una tutela legale.
Preferenze e memoria tecnica del browser
Dati trattati
Cookie e dati di memoria locale indicati nella sezione 8.
Finalità e base giuridica
Ricordare le impostazioni, mantenere la sessione e completare i flussi avviati: esecuzione del contratto (art. 6, par. 1, lett. b GDPR) e legittimo interesse al funzionamento dell’interfaccia (lett. f).
Conservazione
Come indicato nella sezione 8.
Obblighi e tutela dei diritti
Dati trattati
Dati necessari a rispondere a richieste privacy, autorità o contestazioni.
Finalità e base giuridica
Adempiere obblighi di legge (art. 6, par. 1, lett. c GDPR) e accertare, esercitare o difendere diritti (lett. f).
Conservazione
Per il tempo richiesto dalla legge. Richieste privacy e relativa prova: di regola 5 anni. Documenti contabili e contrattuali: 10 anni, se applicabile. I dati conservati solo per adempiere obblighi di legge, ad esempio contabili o di prova, sono tenuti separati e usati solo per tale finalità.
5. Conferimento dei dati
Nei moduli demo, contatto e accesso ai modelli sono obbligatori nome, cognome ed email, e anche il messaggio per contatto e accesso ai modelli. Azienda e settore sono facoltativi. Senza i dati obbligatori non possiamo gestire la richiesta. Nel modulo di segnalazione dei contenuti illeciti sono obbligatori il tipo di segnalazione, la posizione del contenuto, i motivi e la dichiarazione di buona fede; Paese, nome ed email sono facoltativi, ma senza email non possiamo confermare la ricezione né comunicare la decisione. I moduli non iscrivono a comunicazioni promozionali.
I dati necessari per creare e proteggere l’Account, usare le funzionalità o completare un acquisto sono indispensabili per il relativo Servizio. Gli altri dati di profilo e onboarding sono facoltativi, salvo diversa indicazione nell’interfaccia.
Non inserire nei moduli pubblici categorie particolari di dati (ad esempio salute, dati biometrici o genetici, opinioni politiche, religione, vita sessuale, origine etnica, appartenenza sindacale), dati su condanne o reati, credenziali, documenti di identità o altri dati non necessari alla richiesta.
6. Destinatari e responsabili del trattamento
Accedono ai dati il personale e i collaboratori autorizzati di Annota AI, vincolati alla riservatezza e solo per quanto necessario. Ai contenuti del cliente e alle conversazioni di Brain accedono solo quando serve per l’assistenza richiesta dal cliente, per la sicurezza e la prevenzione degli abusi o per adempiere obblighi di legge. I dati possono essere comunicati anche a:
- Scaleway S.A.S.: infrastruttura cloud principale (calcolo, database, object storage e backup del database) in Francia (UE).
- Cloudflare, Inc.: DNS, distribuzione dei contenuti, protezione della rete, funzioni edge e transito protetto di richieste e file.
- Google e GitHub: solo se scegli di usarli per accedere o collegare un’identità, per i dati del relativo flusso di autenticazione.
- Stripe Payments Europe, Limited e le società del gruppo Stripe coinvolte: checkout, abbonamenti, crediti, fatturazione, imposte, antifrode e pagamenti.
- Mailjet SAS (gruppo Sinch): inoltro ad Annota AI delle richieste dei moduli, con campi e messaggio, codici monouso di accesso ed email operative della piattaforma, come avvisi di sicurezza e di nuovo accesso, inviti, conferme d’ordine e di recesso, richieste di assistenza inviate dall’Applicazione ed esiti di esportazioni o elaborazioni. Le email non tracciano aperture né clic.
- Google Cloud Italy S.r.l., tramite Google Workspace: caselle email e corrispondenza di Annota AI, inclusa l’assistenza con i relativi allegati. È distinto dall’accesso con Google.
- Consulenti legali, fiscali o tecnici vincolati alla riservatezza, quando necessario.
- Autorità pubbliche, organi di vigilanza o soggetti legittimati, nei casi previsti dalla legge.
I modelli AI del Servizio, compresa la chat di Brain, sono eseguiti sull’infrastruttura dei fornitori elencati in questa sezione.
I fornitori che trattano dati per conto di Annota AI sono responsabili del trattamento con un accordo ai sensi dell’articolo 28 GDPR. Alcuni possono agire come titolari autonomi per propri obblighi di legge o di sicurezza; in quel caso valgono le loro informative, raggiungibili dai link sopra.
7. Trasferimenti fuori dallo Spazio Economico Europeo
Contenuti dei clienti, database e object storage principali sono su infrastruttura Scaleway in Francia (UE). Alcuni trattamenti collegati al Servizio possono però avvenire fuori dallo Spazio Economico Europeo (SEE):
- Google e GitHub, se li usi per accedere, possono trattare dati di autenticazione e tecnici fuori dal SEE.
- La rete globale di Cloudflare può trattare dati tecnici e di traffico in più Paesi.
- Stripe e i soggetti del circuito finanziario possono trattare dati di pagamento, fatturazione e antifrode fuori dal SEE.
- Google Workspace può trattare la corrispondenza e i relativi allegati fuori dal SEE.
- Il personale autorizzato dei fornitori può accedere dai Paesi in cui opera.
Se personale o collaboratori autorizzati di Annota AI accedono ai dati da fuori del SEE, si applicano le garanzie descritte in questa sezione.
I trasferimenti si basano su una decisione di adeguatezza o sulle garanzie degli articoli 44 e seguenti GDPR, come le clausole contrattuali standard della Commissione europea con le misure supplementari necessarie. Il Data Privacy Framework si applica solo se destinatario e trattamento rientrano nella relativa decisione di adeguatezza.
Puoi chiedere informazioni e una copia delle garanzie, salvo le parti riservate o che tutelano diritti altrui, scrivendo a team@annota.ai. Modulo di contatto
9. Sicurezza dei dati
Annota AI adotta misure tecniche e organizzative proporzionate ai rischi, tra cui controllo degli accessi, minimizzazione dei dati, protezione dei dati in transito, aggiornamento dei sistemi, gestione delle credenziali e fornitori vincolati da contratto.
Nessun sistema connesso a Internet è privo di rischi. In caso di violazione dei dati personali applichiamo gli articoli 33 e 34 GDPR, con le notifiche dovute all’autorità e agli interessati.
10. Diritti dell’interessato
Nei casi e nei limiti previsti dal GDPR puoi:
- accedere ai tuoi dati e riceverne copia;
- rettificarli o integrarli;
- chiederne la cancellazione;
- chiedere la limitazione del trattamento;
- ricevere i dati forniti in formato portabile, se il trattamento è automatizzato e basato su consenso o contratto;
- opporti ai trattamenti basati sul legittimo interesse, per motivi legati alla tua situazione particolare;
- opporti in qualsiasi momento al marketing diretto;
- revocare il consenso in qualsiasi momento, senza effetti sui trattamenti precedenti.
| Diritto | Dove esercitarlo |
|---|---|
| Accesso e copia | Esportazioni nell’Applicazione e dati del tuo Account, oppure email |
| Rettifica | Impostazioni dell’Account, oppure email |
| Cancellazione | Eliminando conversazioni, dataset, Account o organizzazione, oppure email |
| Opposizione, limitazione e portabilità | |
| Reclamo | Garante per la protezione dei dati personali o altra autorità di controllo (vedi sotto) |
Nel Servizio puoi anche revocare sessioni e applicazioni collegate. Per tutto il resto, o se preferisci, scrivi a team@annota.ai. Potremmo chiederti informazioni per verificare la tua identità. Modulo di contatto
Rispondiamo senza ingiustificato ritardo e di regola entro un mese. Per richieste complesse o numerose il termine può essere prorogato di due mesi, e te lo comunichiamo entro il primo mese. L’esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive nei casi consentiti dalla legge.
Puoi proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo del Paese in cui vivi, lavori o in cui ritieni sia avvenuta la violazione.
I diritti sui dati di una persona deceduta possono essere esercitati da chi ha un interesse proprio, agisce a tutela dell’interessato come suo mandatario o per ragioni familiari meritevoli di protezione, salvo che l’interessato lo abbia vietato (articolo 2-terdecies del D.Lgs. 196/2003).
11. Profilazione e decisioni automatizzate
Annota AI non profila le persone a fini pubblicitari e non prende decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o effetti analoghi significativi (articolo 22 GDPR). Gli output delle funzionalità di intelligenza artificiale vanno verificati dall’utente e non servono a prendere da soli decisioni di questo tipo sulle persone.
12. Dati di terzi, minori e dati particolari
Chi ci comunica dati di un’altra persona deve esserne autorizzato e deve informarla. Quando riceviamo dati non direttamente dall’interessato, adempiamo agli obblighi dell’articolo 14 GDPR nei casi applicabili.
Sito e servizi sono rivolti a maggiorenni e organizzazioni, non a minori di 18 anni. Se scopriamo dati di minori raccolti senza un presupposto valido, li cancelliamo o adottiamo le altre misure richieste dalla legge.
Per i dati particolari nei moduli pubblici vedi la sezione 5. Nella piattaforma non vanno caricati categorie particolari di dati, dati giudiziari o altri contenuti ad alto rischio finché il DPA e il Piano non li autorizzano espressamente e non sono concordate garanzie adeguate.
13. Dati trattati per conto dei clienti
Quando un cliente usa la piattaforma per trattare dati personali per proprie finalità, il cliente è di norma titolare e Annota AI è responsabile del trattamento e segue le sue istruzioni documentate. Se il cliente è a sua volta responsabile per un altro titolare, deve essere autorizzato a nominare Annota AI sub-responsabile.
Il cliente decide quali contenuti caricare e deve avere una base giuridica valida, informare gli interessati e rispettare i Termini. Prima di caricare dati personali di terzi deve accettare il Data Processing Agreement (articolo 28 GDPR), che regola istruzioni, riservatezza, sicurezza, sub-responsabili, assistenza, incidenti, audit, trasferimenti, cancellazione e restituzione dei dati.
Gli interessati devono rivolgere le richieste sui dati del cliente direttamente al cliente; Annota AI lo assiste come previsto.
Annota AI non usa i contenuti del cliente, le conversazioni di Brain, le knowledge base o gli Output per addestrare o migliorare modelli AI propri o di terzi. Un modello viene addestrato solo su richiesta del cliente, con i suoi dati e per un suo modello.
14. Aggiornamenti dell’informativa
Possiamo aggiornare questa informativa per modifiche normative, organizzative o tecniche, in particolare prima di introdurre nuovi trattamenti, categorie di dati o fornitori. La versione vigente è pubblicata in questa pagina con la data di ultimo aggiornamento.
Segnaliamo le modifiche sostanziali con mezzi proporzionati, ad esempio sul sito o via email se abbiamo il tuo recapito. Se un nuovo trattamento richiede il consenso, lo chiediamo prima di iniziare; continuare a navigare non vale come consenso.
In caso di divergenza con una traduzione prevale il testo italiano.