Informativa sulla privacy
Ultimo aggiornamento: 13 ottobre 2026
Chi tratta i dati
Il titolare dei dati relativi ad account, abbonamenti, sicurezza e assistenza è ACTAFLOW S.R.L., P.IVA 04311920138, Via Canturina 153, 22100 Como (CO), Italia. Contatti privacy: info@actaflow.ai; PEC: actaflow@namirialpec.it. Questa informativa riguarda il sito e il servizio ActaFlow. Per i contenuti che un cliente aziendale affida al proprio workspace, ActaFlow opera come responsabile del trattamento su istruzione del cliente, che resta titolare o responsabile per conto del proprio titolare. L’Accordo sul trattamento dei dati (DPA) disciplina questo rapporto.
Dati raccolti e provenienza
Raccogliamo i dati forniti alla registrazione e nelle impostazioni: nome, email, eventuali dati aziendali e fiscali, indirizzo, piano e utilizzo del servizio. Firebase Authentication gestisce l’accesso e, se configurato, il secondo fattore. Non abbiamo accesso alla password in chiaro. Stripe gestisce i pagamenti: ActaFlow riceve i riferimenti e lo stato del pagamento, non il numero completo della carta. Nel workspace trattiamo messaggi della chat, file e documenti caricati, conoscenze e relative fonti, dati ottenuti dalle integrazioni autorizzate, configurazioni dei playbook, risultati, cronologia delle esecuzioni e registri di attività. Le fonti possono essere caricate da te, da membri autorizzati del team, da servizi collegati o da pagine e risorse che chiedi di consultare. Possono contenere dati di clienti, colleghi, corrispondenti e altri soggetti. Trattiamo inoltre dati tecnici necessari a funzionamento e sicurezza, come indirizzi IP, browser, richieste ed errori. Se attivi la dettatura, il microfono viene usato con il permesso del dispositivo; l’audio viene inviato per la trascrizione e il testo può essere inserito nella chat.
Dati Google e permessi richiesti
L’accesso ad ActaFlow tramite Google e il collegamento di Gmail sono operazioni distinte. Il login usa l’identità dell’account, email e profilo di base; da solo non autorizza a leggere Gmail. Se colleghi Gmail, chiediamo l’identità della casella e, in base alle funzioni abilitate, il permesso di leggere i messaggi (gmail.readonly) e inviare email per tuo conto (gmail.send). La lettura comprende mittente, destinatari, oggetto, corpo, date, identificativi di messaggi e conversazioni, etichette esistenti e allegati. Gli identificativi di cronologia e le notifiche Gmail permettono di riconoscere nuovi messaggi. Per i collegamenti diretti conserviamo token di accesso e aggiornamento cifrati. Nei collegamenti gestiti da Composio, indicati prima dell’autorizzazione, i token sono custoditi e utilizzati da Composio; ActaFlow conserva il riferimento al collegamento. Non richiediamo la password Google. L’autorizzazione mostrata da Google specifica i permessi effettivi e può indicare Composio come applicazione richiedente per i collegamenti gestiti. Gli ambiti disponibili dipendono dalla configurazione del collegamento. Eventuali nuove funzioni che richiedono altri dati o permessi vengono presentate prima di chiedere una nuova autorizzazione.
Come usiamo i dati Google
I dati Gmail sono usati per le funzioni visibili che configuri: mostrare e cercare eventi, comprendere richieste e documenti, creare o eseguire playbook, produrre risultati e inviare le email previste. Le automazioni possono operare in background secondo le istruzioni autorizzate; i passaggi configurati con approvazione attendono la tua decisione. I contenuti pertinenti possono essere elaborati da Anthropic (Claude) o OpenAI per le funzioni AI, in base al fornitore scelto per il workspace, da Voyage AI per la ricerca semantica e da Pinecone per conservarne l’indice; i documenti possono essere elaborati da Google Document AI. Il collegamento presenta questa elaborazione prima dell’autorizzazione. La condivisione con altre integrazioni o destinatari avviene secondo le istruzioni del playbook e i permessi del workspace. L’uso dei dati ricevuti dalle API Google rispetta la Google API Services User Data Policy, inclusi i requisiti Limited Use. Non vendiamo questi dati, non li usiamo per pubblicità, profilazione pubblicitaria o valutazione del merito creditizio, e non li utilizziamo per addestrare modelli AI generalisti. Questi limiti riguardano anche i dati derivati. Il personale non legge i contenuti Google salvo un tuo accordo esplicito per dati specifici, esigenze di sicurezza o obblighi di legge, nei limiti consentiti dalla policy Google.
Finalità e basi giuridiche
Usiamo i dati dell’account per fornire il servizio e l’assistenza e gestire il rapporto contrattuale (art. 6(1)(b) GDPR); i dati fiscali per gli obblighi di legge (art. 6(1)(c)); i dati strettamente necessari alla sicurezza e prevenzione degli abusi per il legittimo interesse a proteggere il servizio (art. 6(1)(f)), nel rispetto dei diritti degli interessati. Il consenso separato e facoltativo riguarda le comunicazioni promozionali e gli eventuali strumenti di tracciamento non necessari. Puoi revocarlo senza perdere l’accesso alle funzioni contrattuali. I contenuti del workspace sono trattati sulle istruzioni del cliente e secondo il DPA. Spetta al cliente individuare una base giuridica adeguata per i dati delle altre persone, informarle e configurare correttamente le automazioni. L’autorizzazione tecnica OAuth non sostituisce questi obblighi. Non è necessario acconsentire al marketing per registrarsi o collegare un servizio.
Analytics facoltativi del sito pubblico
Solo dopo il consenso analytics usiamo Microsoft Clarity sul sito pubblico actaflow.ai per capire come vengono utilizzate le pagine e migliorarne chiarezza e funzionamento. La base giuridica è il consenso (art. 6(1)(a) GDPR), facoltativo e revocabile da “Preferenze Cookie”. Il rifiuto non impedisce di usare il sito o il servizio. Prima del consenso e dopo il rifiuto Clarity non viene caricato. Clarity raccoglie interazioni come clic, scorrimenti e navigazione, pagine e URL visitati, informazioni su browser e dispositivo, identificativi pseudonimi e dati tecnici di connessione, inclusi l’indirizzo IP e la posizione approssimativa derivata. Questi dati permettono mappe di calore, metriche di utilizzo e registrazioni delle sessioni: ricostruzioni delle interazioni con la pagina, non registrazioni audio o video del dispositivo. Non carichiamo Clarity nell’app autenticata, nel dashboard, nelle pagine di accesso o nelle chat del workspace. Mascheriamo esplicitamente i moduli di contatto e i contenuti della prova chat sul sito pubblico; non inviamo email, identificativi di account o comandi di identificazione a Clarity. Microsoft riceve i dati di utilizzo del sito secondo la propria Informativa sulla privacy. Il consenso relativo alla memorizzazione pubblicitaria resta negato: questo consenso analytics non autorizza pubblicità personalizzata. Microsoft può trattare dati fuori dallo SEE, inclusi gli Stati Uniti; si applicano le garanzie per i trasferimenti descritte nella sua documentazione e nella sezione “Protezione e trasferimenti internazionali”. Dettagli su raccolta e uso da parte di Microsoft: https://www.microsoft.com/privacy/privacystatement. Secondo i termini di Clarity, i dati per la riproduzione delle sessioni sono conservati per 30 giorni; mappe di calore, dati aggregati sui clic e sessioni contrassegnate o aggiunte ai preferiti per 9 mesi. La revoca interrompe le nuove raccolte; non cancella automaticamente i dati già trasmessi. Per una richiesta su tali dati puoi scrivere a info@actaflow.ai.
Intelligenza artificiale e automazioni
ActaFlow utilizza AI per interpretare richieste, consultare fonti, preparare e svolgere automazioni. Le risposte possono contenere errori: configura le approvazioni e verifica i risultati in modo adeguato all’operazione. Le automazioni autorizzate possono compiere azioni senza una conferma a ogni esecuzione. Il servizio non è destinato a decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi sulle persone senza le condizioni e garanzie richieste dalla legge. Non caricare categorie particolari di dati o dati penali senza aver verificato le condizioni applicabili e l’adeguatezza del servizio. Il cliente deve valutare i rischi del proprio uso, l’eventuale necessità di una valutazione d’impatto e di controllo umano.
Crescita: lead, pubblicità, video e voce
Quando usi Crescita trattiamo il sito e l’offerta che ci indichi, gli obiettivi e i budget delle campagne, i messaggi della chat, i materiali caricati e i risultati generati. I fornitori coinvolti dipendono dalla funzione che richiedi; non ricevono automaticamente tutti i contenuti del workspace. Per collegare i canali pubblicitari utilizziamo Pipeboard (ARTELL SOLUÇÕES TECNOLÓGICAS LTDA). Gli trasmettiamo un identificativo tecnico del workspace per predisporre il collegamento. Autorizzi l’accesso sul canale scelto: Pipeboard tratta i token OAuth, gli identificativi degli account pubblicitari e i dati necessari alle funzioni autorizzate, come campagne, creatività e metriche quando disponibili. Non devi creare un abbonamento personale a Pipeboard. I canali disponibili e i permessi effettivi sono quelli mostrati nel collegamento; la presenza di un canale nell’interfaccia non implica che ogni operazione sia già disponibile. Per generare video utilizziamo Higgsfield; per le modifiche video e la sintesi vocale utilizziamo fal.ai, anche con modelli ElevenLabs per il voiceover. In base all’operazione trasmettiamo il prompt, il testo da pronunciare, la voce e la lingua scelte e gli eventuali file di riferimento o video da modificare. Questi servizi possono coinvolgere i fornitori dei modelli impiegati. ActaFlow conserva nel workspace i risultati e i riferimenti necessari a gestire elaborazione e costo. La creazione di contenuti non ne comporta automaticamente la pubblicazione o l’avvio di annunci. La ricerca lead integrata utilizza l’account Icypeas di ActaFlow. Trasmettiamo i filtri del pubblico e, per cercare un indirizzo professionale, nome, cognome e azienda o dominio. Riceviamo i profili professionali, le email disponibili e i relativi indicatori di affidabilità; il flusso non ricerca numeri di telefono. Se scegli il Boost AI, il fornitore AI selezionato per il workspace (Anthropic o OpenAI) riceve i criteri richiesti, i dati pertinenti dei profili e gli estratti delle pagine aziendali leggibili per valutarne la pertinenza e segnalare le incertezze. Profili, fonti, valutazioni e riferimenti del consumo sono conservati nel workspace. Il cliente può utilizzare anche una propria integrazione, come Apollo, secondo i relativi permessi. Ricerca e arricchimento non comportano automaticamente un invio; un recapito trovato non dimostra il consenso al contatto. Le restrizioni sui dati Google descritte sopra continuano ad applicarsi: il collegamento di Gmail non autorizza l’uso dei suoi contenuti per pubblicità o profilazione pubblicitaria.
Collegamenti gestiti da Composio
Per le integrazioni indicate come gestite utilizziamo Composio (Sampark Inc). Il servizio gestisce l’autorizzazione, le credenziali e le chiamate al provider. Riceve un identificativo tecnico del workspace, gli identificativi degli account collegati e i dati necessari alle operazioni richieste, incluse richieste, risposte, eventi e allegati quando utilizzati. Le credenziali del provider non sono inviate al modello AI. La discovery della cronologia e l’esecuzione dei playbook restano funzioni ActaFlow.\n\nComposio può conservare i log di esecuzione ed eventi, inclusi i contenuti, fino a un anno; i file temporanei seguono il relativo ciclo di eliminazione, indicato in 24 ore. Non dichiariamo conservazione zero per i collegamenti gestiti. La disconnessione interrompe l’uso del collegamento in ActaFlow, ma non elimina automaticamente dati già importati né tutti i log del fornitore. Per richieste sui dati già trasmessi contatta info@actaflow.ai.
Protezione e trasferimenti internazionali
Utilizziamo HTTPS per il trasporto, controlli di autenticazione e autorizzazione per il workspace, cifratura delle credenziali di integrazione e la protezione a riposo dell’infrastruttura cloud. L’accesso amministrativo è limitato alle necessità operative. Non tutti i dati sono cifrati con la stessa chiave o con cifratura applicativa: alcuni contenuti devono essere leggibili dai servizi autorizzati per poter essere elaborati. Il database Firestore di produzione si trova nella regione europea eur3; lo storage dei file attualmente usa la regione US-EAST1 di Google Cloud. Anche alcuni fornitori AI e di servizio possono trattare dati fuori dallo SEE. Non dichiariamo pertanto una residenza esclusivamente europea. I trasferimenti devono essere coperti dagli strumenti applicabili del capo V GDPR, quali clausole contrattuali standard e, quando applicabile al destinatario, una decisione di adeguatezza. Puoi richiedere informazioni sulle garanzie e una copia pertinente scrivendo al contatto privacy.
Conservazione e cancellazione
I contenuti del workspace, compresi i dati Google importati e gli indici derivati, sono conservati per fornire il servizio mentre l’account rimane attivo, fino alla loro eliminazione o alla richiesta di cancellazione dell’account. La disattivazione di un playbook o la disconnessione di una casella interrompe l’uso futuro di quel collegamento, ma non elimina automaticamente file, eventi e risultati già salvati. Puoi eliminare le risorse dalla piattaforma o chiedere una cancellazione selettiva al contatto privacy. La cancellazione dell’account riguarda i contenuti nei database, i file, gli indici di ricerca e le credenziali. Le copie tecniche e i dati presso i fornitori seguono anche i relativi cicli di eliminazione e gli obblighi applicabili. Gli eventuali dati necessari per obblighi fiscali, controversie o sicurezza sono conservati separatamente solo per il periodo e le finalità necessari; i contenuti del workspace non sono soggetti automaticamente ai termini previsti per la nostra contabilità. I fornitori AI possono avere periodi tecnici di conservazione e sicurezza previsti dai rispettivi termini: non promettiamo una conservazione zero per tutti i servizi. I file caricati per elaborazioni AI hanno un percorso di rimozione dedicato. La dettatura non viene salvata da ActaFlow come file audio permanente. I log operativi standard Google Cloud sono configurati per 30 giorni; i log obbligatori della piattaforma Google per 400 giorni. I file rimossi dal bucket possono restare recuperabili per 7 giorni per la protezione contro cancellazioni accidentali; tali copie non sono disponibili nell’app. Dopo la cancellazione manteniamo per 90 giorni un riferimento tecnico all’identificativo dell’account, privo dei contenuti del workspace, per impedire a richieste o lavori in ritardo di ricreare dati. Per Crescita, scollegare un canale interrompe l’accesso futuro tramite quel collegamento ma non cancella automaticamente campagne e contenuti conservati sulla piattaforma pubblicitaria, né risultati già salvati nel workspace. Puoi revocare le autorizzazioni anche dal canale di origine. Le richieste di cancellazione dei dati presso i fornitori sono gestite secondo i rispettivi contratti e cicli tecnici; per una richiesta relativa ai dati già trasmessi puoi contattare info@actaflow.ai.
Controllo del collegamento Google
Puoi scollegare Gmail nella pagina Integrazioni e revocare l’accesso anche dalla pagina Collegamenti di terze parti del tuo account Google: https://myaccount.google.com/connections. Revocare l’accesso impedisce nuovi accessi ma non equivale a cancellare le copie già importate in ActaFlow. Per quelle copie usa le funzioni di eliminazione o scrivi a info@actaflow.ai. Le email già inviate e i dati trasferiti ai destinatari non possono essere ritirati eliminando l’account ActaFlow. Per i collegamenti gestiti, la pagina Google può riportare Composio: revoca la voce corrispondente al collegamento che intendi interrompere.
I tuoi diritti
Nei casi previsti puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporti al trattamento; puoi revocare il consenso quando è la base giuridica. Scrivi a info@actaflow.ai. Potremmo richiedere informazioni proporzionate per verificare l’identità. Rispondiamo di norma entro un mese; un’eventuale estensione fino a ulteriori due mesi per complessità o numero delle richieste viene comunicata entro il primo mese, spiegandone i motivi. Per i dati trattati su istruzione di un cliente aziendale, puoi rivolgerti al relativo titolare; ActaFlow lo assiste nel riscontro. Puoi presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità competente nel tuo Stato. Le limitazioni contrattuali non eliminano questi diritti.
Cookie e aggiornamenti
La Cookie Policy descrive le tecnologie del sito e dell’app. La lingua viene rilevata dalle preferenze del browser o del dispositivo, senza usare la posizione geografica; la scelta manuale viene salvata sul dispositivo. Pubblicheremo gli aggiornamenti con la relativa data. Le modifiche sostanziali alle finalità o ai destinatari saranno comunicate in modo appropriato; quando necessario verrà richiesta una nuova autorizzazione prima del nuovo trattamento.
Informativa sulla privacy di Microsoft · Cookie di Microsoft Clarity