Informativa privacy di Amy

Amy è un assistente basato sull'intelligenza artificiale che le attività (ristoranti, saloni, studi, artigiani…) usano per rispondere ai propri clienti, anche su WhatsApp, e per gestire appuntamenti e richieste. Amy è fornita da Imeri Srl, con il marchio DIPMEAI. Questa informativa spiega quali dati tratta Amy, perché, e a chi rivolgersi. Per il sito dipmeai.com vale invece la Privacy Policy del sito.

1. Chi decide sui tuoi dati

Se scrivi a un'attività che usa Amy (per esempio per prenotare un tavolo), il titolare del trattamento è quell'attività: è lei che decide perché e come usare i tuoi dati. Imeri Srl agisce come responsabile del trattamento(art. 28 GDPR): tratta i dati solo per conto dell'attività, secondo le sue istruzioni e sulla base di un accordo scritto.

Se usi il pannello di Amy come titolare o collaboratore di un'attività, il titolare del trattamento dei tuoi dati di accesso è Imeri Srl.

Imeri Srl — Via Raffaello Sanzio 13/W, 20060 Trezzano Rosa (MI) — P.IVA 03991930961 — info@dipmeai.com — PEC imerisrl@pec.it

2. Quali dati trattiamo

Per chi scrive a un'attività:

• i messaggi scambiati con l'attività, su WhatsApp o nella chat;
• il numero di telefono e il nome del profilo WhatsApp;
• i dati della richiesta: data e ora dell'appuntamento, numero di persone, note che scrivi tu;
• le informazioni che l'attività registra su di te per gestire il rapporto (per esempio nella sua rubrica, in un appuntamento o in un preventivo che ti invia);
• se scrivi dalla chat sul sito dell'attività, i messaggi e i recapiti che scegli di lasciare.

La chat sul sito salva nel tuo browser un codice anonimo e gli ultimi messaggi, solo per farti ritrovare la conversazione quando cambi pagina; non usa cookie e non serve ad altro. Se cancelli i dati del sito, spariscono.

Per chi usa il pannello: nome, indirizzo email, ruolo nell'attività, e il registro delle operazioni svolte.

Se l'attività collega il proprio calendario (Google Calendar o iCloud), Amy tratta anche: gli orari di inizio e finedegli impegni presenti sul calendario, per sapere quando l'attività è occupata; e gli appuntamenti che Amy stessa crea, sposta o cancellasul calendario, che contengono il nome della persona e l'orario. Degli impegni creati da altri non conserviamo titolo, partecipanti, luogo o descrizione. Per Google Calendar l'accesso avviene con il solo permesso di vedere, creare, modificare e cancellare eventi sui calendari di cui l'attività è proprietaria.

Non chiediamo dati particolari (salute, opinioni, ecc.). Se li scrivi spontaneamente in un messaggio, vengono usati solo per rispondere alla tua richiesta.

3. Perché li trattiamo

• Rispondere ai tuoi messaggi e gestire le tue richieste(prenotazioni, spostamenti, informazioni, preventivi) per conto dell'attività. La base giuridica la stabilisce l'attività, di norma l'esecuzione di misure richieste da te o di un contratto.
• Far funzionare il pannello dell'attività e tenere un registro di cosa è stato fatto e da chi, per sicurezza e controllo.
• Assistenza tecnica: se qualcosa non funziona, le persone di DIPMEAI autorizzate possono consultare una scheda tecnicadell'attività, in sola lettura: lo stato dei canali, i conteggi, la spesa, le impostazioni modificate di recente e il ruolo delle persone che usano il pannello. Non mostra il testo delle conversazioni né il nome o l'email di chi ha scritto all'attività.Le eventuali azioni correttive restano scritte nel registro dell'attività, con il nome di chi le ha fatte.

Per i dati di chi usa il pannello, di cui Imeri Srl è titolare, le basi giuridiche sono: l'esecuzione del contrattocon l'attività per cui lavori (art. 6, par. 1, lett. b GDPR) per l'accesso e l'uso del servizio; il legittimo interesse a proteggere il servizio e a poter ricostruire chi ha fatto cosa (lett. f); gli obblighi di legge, dove previsti (lett. c).

Fornire i dati non è obbligatorio, ma senza un recapito l'attività non può risponderti né confermare un appuntamento, e senza un indirizzo email non si può accedere al pannello.

I tuoi dati non vengono venduti e non vengono usati da DIPMEAI per pubblicità. Né Imeri Srl né il fornitore del modello di intelligenza artificiale (Anthropic, che lo mette a disposizione con condizioni commerciali che ne escludono l'uso per l'addestramento) usano le conversazioni per addestrare modelli di intelligenza artificiale.

4. Intelligenza artificiale

Amy è un sistema di intelligenza artificiale e lo dice al primo messaggio. Le risposte sono generate automaticamente a partire dalle informazioni fornite dall'attività. Le azioni rilevanti (per esempio disdire un appuntamento, mandare un preventivo o un'email) richiedono l'approvazione di una personadell'attività. Se un preventivo che ricevi è stato preparato con l'aiuto di Amy, il documento lo dice e riporta il nome di chi l'ha verificato. Amy non prende decisioni che producano effetti giuridici su di te senza intervento umano. Più dettagli nella pagina Trasparenza AI.

5. A chi vengono comunicati i dati

Solo ai fornitori necessari al servizio, che agiscono come sub-responsabili:

• Supabase — database in cui sono salvati i dati. Dove: Server nell'Unione Europea (Francoforte); società del gruppo con sede a Singapore e negli Stati Uniti.
• Railway — server su cui gira il motore di Amy. Dove: Server nell'Unione Europea; società con sede negli Stati Uniti.
• Vercel — pannello web usato dalle attività. Dove: Server nell'Unione Europea (Francoforte); società con sede negli Stati Uniti.
• Anthropic (modello Claude) — elabora il testo dei messaggi per preparare le risposte; nella sola chat interna dell'attività, può cercare sul web manuali e schede tecniche. Dove: Stati Uniti.
• Meta Platforms (WhatsApp Business Platform) — trasporta i messaggi WhatsApp. Dove: Unione Europea e Stati Uniti.
• Brevo — invia le email con i codici di accesso al pannello e i preventivi che l'attività decide di mandarti. Dove: Unione Europea (Francia).
• Scaleway — conserva la copia di sicurezza notturna dei dati, cifrata prima di arrivare a Scaleway, che non ha la chiave. Dove: Unione Europea (Francia).
• Google (Drive) — conserva una seconda copia di sicurezza notturna dei dati, cifrata prima di arrivare a Google, che non ha la chiave. Dove: Unione Europea e Stati Uniti.
• Google (Google Calendar) — solo se l'attività collega il suo Google Calendar: Amy legge gli orari in cui l'attività è occupata e crea, sposta e cancella gli appuntamenti che ha fissato lei. Dove: Unione Europea e Stati Uniti.
• Apple (iCloud Calendar) — solo se l'attività collega il calendario del suo iPhone (iCloud): stesse funzioni. Dove: Società con sede negli Stati Uniti.
• Servizi di notifica di Apple, Google, Mozilla — recapitano gli avvisi sul telefono di chi lavora nell'attività (senza nomi o dati dei clienti). Dove: Stati Uniti.

Dati ricevuti da Google.L'uso e il trasferimento a qualsiasi altra app delle informazioni ricevute dalle API di Google rispetteranno la Google API Services User Data Policy, inclusi i requisiti di Uso Limitato (Limited Use). In pratica: usiamo i dati del calendario soloper le funzioni che l'attività vede nel pannello (non proporre orari occupati; fissare, spostare e disdire appuntamenti); non li usiamo per pubblicità, non li vendiamo e non li cediamo a intermediari di dati; non li usiamo per addestrare modelli di intelligenza artificiale; nessuna persona di DIPMEAI li legge, salvo che l'attività lo chieda per assistenza, per motivi di sicurezza o per obbligo di legge. Gli orari liberi e occupati sono inviati al fornitore del modello (Anthropic) soltanto per preparare le risposte ai clienti dell'attività, e solo dopo che il titolare ha letto e accettato questa informazione nel pannello. I dati sono protetti in transito e a riposo.

Se chi usa il pannello detta a voce o si fa leggere le risposte, il riconoscimento e la sintesi vocale li fa il suo telefono o il suo browser (Apple, Google), con le condizioni del suo dispositivo.

Quando i dati escono dall'Unione Europea, il trasferimento avviene con le garanzie previste dal GDPR: la decisione di adeguatezza EU-US Data Privacy Framework per i fornitori certificati, oppure le clausole contrattuali standard approvate dalla Commissione europea (art. 46 GDPR).

6. Per quanto tempo

• Conversazioni e dati di contatto: fino a 24 mesi dall'ultimo messaggio, poi vengono cancellati.
• Chi scrive dalla chat sul sito senza lasciare un recapito: la conversazione si cancella da sola 90 giorni dopo l'ultimo messaggio, salvo che sia stata presa in carico da una persona dell'attività.
• Messaggi WhatsApp in arrivo: per non perderne nessuno se il servizio si riavvia, ogni messaggio resta per il tempo strettamente necessario in una coda tecnica; il testo si svuota appena la risposta è partita. Se una risposta non riesce a partire dopo più tentativi, il messaggio resta visibile all'attività e nella coda tecnica fino a 30 giorni, poi si cancella.
• Appuntamenti e preventivi: per la durata del rapporto tra l'attività e il suo cliente, e comunque non oltre 24 mesi dall'ultimo contatto. I documenti che l'attività deve conservare per legge (per esempio fiscali) restano per il tempo previsto dalla legge.
• File nella scheda di un cliente (per esempio una foto o un documento che l'attività ha salvato): seguono la scheda e si cancellano con lei, 24 mesi dopo l'ultimo contatto.
• Alla fine del contratto tra l'attività e DIPMEAI: l'attività riceve l'esportazione dei suoi dati e tutto viene cancellato dalla piattaforma entro 90 giorni.
• Calendario collegato: le credenziali di accesso e gli orari degli impegni letti dal calendario si cancellano quando l'attività scollega il calendario (e per Google revochiamo il permesso presso Google), e comunque alla fine del contratto, entro 90 giorni. Gli appuntamenti che Amy ha scritto sul calendario dell'attività restano lì.
• Accessi al pannello e registro delle operazioni: per la durata del contratto dell'attività.
• Copie di sicurezza: ogni notte salviamo una copia cifrata dei dati e teniamo le ultime 7 giornaliere e le ultime 4 settimanali. Un dato cancellato dalla piattaforma sparisce anche dalle copie man mano che scadono, al massimo entro circa 5 settimane.

L'attività può chiedere in ogni momento la cancellazione anticipata.

7. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporti al trattamento basato sul legittimo interesse (artt. 15-22 GDPR). Rivolgiti all'attività a cui hai scritto, oppure a noi: info@dipmeai.com. Se scrivi a noi, inoltriamo la richiesta all'attività e la aiutiamo a risponderti entro i tempi di legge (un mese).

Puoi anche presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Chi ha collegato Google Calendar può anche revocare in ogni momento l'accesso di Amy da myaccount.google.com/permissions.

Come cancellare i tuoi dati: vedi la pagina Eliminazione dei dati.

8. Modifiche

Se questa informativa cambia, la nuova versione viene pubblicata su questa pagina con la data di aggiornamento.