Informativa sulla privacy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

• Nome: Michele Bogoni
• P.IVA: 04555040239
• Sede legale: Via Novella, 5/E – 37032 Monteforte d'Alpone (VR)
• Email: info@truereply.it

Per qualsiasi richiesta relativa al trattamento dei dati personali, l'utente può contattare il Titolare all'indirizzo email sopra indicato.

2. Tipologie di dati raccolti

2.1 Dati degli utenti registrati (Clienti TrueReply)

Al momento della registrazione e durante l'utilizzo del servizio, raccogliamo:

• Dati identificativi: nome, cognome, indirizzo email
• Dati di autenticazione: password (hash crittografico tramite Firebase Authentication)
• Dati di fatturazione: elaborati e conservati da Stripe Inc. TrueReply non memorizza né ha accesso ai dati delle carte di credito
• Recapito per l’assistenza: il nome e il numero di telefono che il Cliente lascia all’assistente di supporto nella dashboard quando chiede di essere ricontattato da una persona del team. Sono conservati sul suo profilo per non doverglieli richiedere a ogni richiesta successiva, e ci vengono trasmessi solo se è lui a fornirli
• Dati di utilizzo: numero di conversazioni, messaggi, minuti voce consumati, configurazione del chatbot
• Contenuti caricati: documenti, URL e testi caricati nella knowledge base del chatbot

2.2 Dati dei visitatori dei siti dei clienti (Utenti finali del chatbot)

Quando un visitatore interagisce con un chatbot TrueReply installato sul sito di un nostro cliente, raccogliamo:

• Messaggi di chat: il contenuto della conversazione con il chatbot
• Identificativo visitatore anonimo: un ID casuale generato dal browser e memorizzato localmente (localStorage) per garantire la continuità della sessione
• Identificativo di sessione: un UUID casuale generato per ogni sessione di chat
• URL della pagina: la pagina web su cui si trova il visitatore al momento dell'interazione
• Tipo di dispositivo: mobile o desktop
• Dati di contatto volontariamente forniti: nome, email, telefono o altre informazioni che il visitatore sceglie di condividere durante la conversazione (lead capture)
• Dati di chiamata vocale, in entrata e in uscita (se attivo): numero del chiamante o del destinatario, data, durata, talk-time, trascrizione della conversazione, esito. La registrazione audio è trattata solo ove attiva, cioè per il numero dimostrativo del Fornitore (bot demo); per le chiamate dei Clienti vengono trattate solo trascrizioni e metadati
• Dati delle campagne in uscita (se attivo): liste di contatti caricate dal Cliente, attestazioni di consenso e relativa fonte, elenchi di opt-out e di soppressione validi per l'intero account
• Messaggi WhatsApp (se attivo): contenuto dei messaggi, media, e metadati quali numeri di mittente e destinatario, data e ora, stato di consegna e lettura
• Corrispondenza email della casella collegata (se attivo): quando il cliente collega al servizio una propria casella di posta elettronica, trattiamo, dal momento del collegamento, i messaggi che vi arrivano e i messaggi che ne partono, sia quelli inviati tramite il servizio sia quelli che il cliente scrive dal proprio programma di posta: mittente e destinatari, oggetto, data e ora, identificativi tecnici del messaggio e della conversazione, corpo del messaggio ed eventuali allegati in formato PDF o immagine. Gli interessati di questo trattamento sono i terzi corrispondenti del cliente, cioè chiunque scriva alla casella collegata o riceva un messaggio da essa: non hanno alcun rapporto diretto con TrueReply, che non li contatta e non li informa direttamente. L'informativa nei loro confronti resta a carico del cliente, che è Titolare del trattamento (vedi la sezione 9)
• Anagrafica di contatto unificata: per conto del cliente il servizio riconduce a un unico contatto le interazioni che la stessa persona ha su canali diversi (chat sul sito, WhatsApp, telefono), usando come chiavi il numero di telefono e l'indirizzo email normalizzati. Il contatto raccoglie nome e cognome, i recapiti (fino a cinque numeri di telefono e cinque indirizzi email, con l'indicazione di come sono stati acquisiti), l'eventuale azienda, le etichette e le variabili configurate dal cliente e lo stato di ciascun canale; non contiene il contenuto delle conversazioni
• Dati di esecuzione delle automazioni: quando il cliente configura un'automazione, registriamo l'evento che la innesca (canale, identificativo di sessione, contatto associato ed eventuali dati del lead o anteprima del messaggio), l'esecuzione conseguente con il suo esito, i singoli passi eseguiti con una sintesi troncata dei parametri utilizzati e della risposta ricevuta, e le eventuali attese di una risposta dell'interessato

2.3 Dati raccolti sul sito truereply.it

Navigando sul sito truereply.it, raccogliamo dati tramite:

• Google Analytics 4: dati di navigazione anonimizzati (pagine visitate, durata sessione, origine del traffico, tipo di dispositivo)
• Meta Pixel (Facebook): dati di navigazione per finalità di remarketing e analisi delle conversioni pubblicitarie
• Misurazione conversioni server-side (Conversions API di Meta e analoga misurazione Google): per chi lascia un contatto (modulo, chat, richiesta di demo dall’assistente telefonico o da WhatsApp) o attiva un piano, trasmettiamo a Meta e Google identificatori in forma hashata (indirizzo email, numero di telefono) ed eventuali parametri di click pubblicitario (fbc/fbp), al solo fine di misurare e ottimizzare le campagne pubblicitarie. La base giuridica è il consenso prestato al momento dell'invio del contatto o dell'attivazione, mediante accettazione della presente informativa, distinto e indipendente dal consenso ai cookie espresso tramite il banner
• Microsoft Clarity: registrazioni anonime delle sessioni, heatmap e dati di interazione con la pagina per migliorare l'esperienza utente
• Brevo (Sendinblue): indirizzo email, in caso di iscrizione volontaria alla newsletter

3. Finalità e base giuridica del trattamento

4. Modalità del trattamento

I dati personali sono trattati con strumenti informatici e telematici, con logiche strettamente correlate alle finalità sopra indicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati stessi.

Trattamento tramite intelligenza artificiale: i messaggi inviati dagli utenti finali al chatbot vengono elaborati da modelli di intelligenza artificiale di terze parti (Anthropic Claude per la chat testuale, Google Gemini per la voce) al fine di generare risposte pertinenti. I messaggi vengono inviati ai fornitori AI esclusivamente per l'elaborazione in tempo reale e non vengono utilizzati per l'addestramento dei modelli. Le conversazioni vengono salvate su database Firestore per consentire al cliente di monitorare le interazioni.

Trattamento tramite embeddings: i documenti caricati nella knowledge base vengono trasformati in rappresentazioni numeriche (embeddings) tramite Google (Vertex AI), in regione UE, per consentire la ricerca semantica. I contenuti vengono inviati a Google esclusivamente per l'elaborazione in tempo reale, non vengono utilizzati per l'addestramento dei suoi modelli e non sono soggetti a conservazione permanente.

Trattamento dei messaggi WhatsApp: i messaggi scambiati sul numero WhatsApp Business del Cliente sono trattati da TrueReply in qualità di Responsabile, esclusivamente per erogare il servizio di assistenza AI, transitando attraverso la WhatsApp Business Platform di Meta. Il contenuto è elaborato dai modelli AI per generare le risposte e salvato su database per consentire al Cliente di monitorare le conversazioni.

Trattamento della corrispondenza email (se attivo): quando il Cliente collega al servizio una propria casella di posta elettronica, TrueReply legge, dal momento del collegamento, i messaggi che vi arrivano e i messaggi che ne partono, e li rende disponibili al Cliente nell'area riservata, dove il Cliente può richiedere all'assistente AI una proposta di risposta, rivederla e disporne l'invio, rispondere scrivendo personalmente il testo o inviare nuove email di propria iniziativa, anche con allegati — l'invio parte sempre dalla casella e con l'identità del Cliente. Nessuna risposta è inviata in modo automatico. La lettura della posta inviata comprende anche i messaggi che il Cliente scrive dal proprio programma di posta e quelli che aprono una corrispondenza nuova: serve a mostrare al Cliente lo scambio completo e a far sì che la proposta di risposta tenga conto di ciò che è già stato detto. Non vi rientrano i messaggi in uscita che i marcatori tecnici standard o l'oggetto identificano come spediti automaticamente (risposte di fuori sede, comunicazioni di liste e newsletter, inviti di calendario, avvisi di mancato recapito), gli invii a più di dieci destinatari visibili e i messaggi diretti agli indirizzi e ai domini che il cliente ha escluso nelle impostazioni del canale — che sui messaggi inviati si applicano al destinatario. Lo storico della casella non viene importato. La posta che il fornitore della casella ha classificato come indesiderata è resa disponibile al Cliente con un contrassegno della sua provenienza e può essere esclusa dal trattamento nelle impostazioni del canale; anche su di essa nessuna proposta di risposta è generata senza una richiesta del Cliente. Il fornitore della casella (il provider di posta o il gestore aziendale del Cliente) resta un fornitore del Cliente e non un sub-responsabile di TrueReply. Poiché una casella aziendale riceve corrispondenza di ogni genere, il trattamento è delimitato dalle seguenti misure:

• Filtro automatico prima dell'intelligenza artificiale: prima di qualsiasi elaborazione da parte dei modelli AI, un filtro deterministico scarta i messaggi non conversazionali (avvisi di mancato recapito, risposte automatiche e messaggi di sistema, newsletter e comunicazioni di liste, indirizzi di sola notifica). Di questi messaggi vengono conservati i soli metadati, cioè mittente, oggetto e data: il contenuto non è trasmesso ad alcun fornitore AI
• Messaggi che non richiedono risposta: quando l'assistente riconosce che un messaggio non richiede risposta, ne vengono conservati i soli metadati e il motivo, non il corpo del messaggio
• Limitazione dei mittenti e dei destinatari trattati: il Cliente può limitare il trattamento ai soli domini che indica ed escludere indirizzi e domini determinati; per impostazione predefinita sono esclusi i messaggi provenienti dal dominio del Cliente stesso. Sui messaggi INVIATI gli stessi elenchi si applicano al destinatario: per impostazione predefinita non entra nel Servizio la corrispondenza diretta a indirizzi del dominio del Cliente, e un indirizzo escluso resta fuori in entrambi i versi
• Elaborazione AI: il contenuto dei messaggi è elaborato da Anthropic Claude esclusivamente su richiesta del Cliente, per predisporre la proposta di risposta, alle stesse condizioni indicate sopra per la chat (elaborazione in tempo reale, nessun utilizzo per l'addestramento dei modelli)
• Limiti di invio e trasparenza: il servizio invia ai soli destinatari definiti dal Cliente (un destinatario principale e, ove il Cliente li indichi, ulteriori destinatari in copia o in copia nascosta, fino a dieci in totale per messaggio), non dispone di alcuna funzione di invio massivo, applica un limite giornaliero di invii per casella e l'assistente non avvia autonomamente nuove conversazioni email: le nuove email partono solo su iniziativa del Cliente, con testo scritto dal Cliente e verso i destinatari da lui indicati; per impostazione predefinita la risposta è indirizzata al mittente del messaggio originario e ogni modifica dei destinatari è una scelta espressa del Cliente in sede di revisione; ogni proposta di risposta è predisposta con l'indicazione — attiva per impostazione predefinita e modificabile dal Cliente, poiché ogni invio segue la sua revisione — di essere stata preparata da un assistente AI. I messaggi il cui mittente non risulti autenticato dai controlli tecnici standard del protocollo non danno mai luogo a invii automatici
• Allegati: saranno trattati esclusivamente allegati in formato PDF o immagine ed entro i limiti dimensionali previsti; gli altri formati non verranno scaricati né conservati. I file trattati saranno conservati in un archivio dedicato, separato per cliente e non accessibile pubblicamente, con download consentito solo tramite collegamenti temporanei firmati emessi previa autenticazione. Il contenuto degli allegati ammessi potrà essere letto dai modelli AI per rispondere nel contesto della conversazione in cui l'allegato è arrivato
• Caselle PEC: escluse dal canale, il collegamento è rifiutato dal servizio

Allegati sugli altri canali: al di fuori del canale email il servizio non scarica né conserva alcun allegato. Dei contenuti multimediali ricevuti su WhatsApp (immagini, video, audio, documenti) resta nella conversazione soltanto un segnaposto testuale con l'eventuale didascalia; il file non viene mai prelevato dai server di Meta.

Anagrafica di contatto unificata: per conto del Cliente il servizio riconduce a un unico contatto le interazioni che la stessa persona ha su canali diversi, usando come chiavi il numero di telefono e l'indirizzo email normalizzati. L'anagrafica è il registro dei contatti del Cliente, ha finalità propria e distinta dal contenuto delle conversazioni e non ne conserva il testo. Per gli assistenti che il Cliente ha dichiarato destinati al trattamento di categorie particolari di dati, i campi identificativi dell'anagrafica sono cifrati a livello di campo con una chiave Google Cloud KMS dedicata.

Esecuzione di automazioni configurate dal Cliente: sulla base di regole che il Cliente configura, un evento della conversazione (un messaggio, un lead, l'esito di una chiamata, un appuntamento, una richiesta ricevuta su un indirizzo webhook dedicato al flusso o una pianificazione oraria) può avviare l'esecuzione di un'automazione. Le azioni oggi disponibili sono sei: l'invio di una notifica email all'intestatario dell'account (il destinatario è sempre ricavato dal profilo dell'account, mai dai parametri della regola); l'invio di un messaggio WhatsApp basato su un template approvato da Meta; l'aggiunta di una riga al foglio Google collegato dal Cliente; l'aggiornamento delle variabili estratte e delle etichette della conversazione in corso; una chiamata HTTP verso un endpoint pubblico che il Cliente configura; una chiamata vocale automatica verso un numero telefonico indicato dalle regole del Cliente, condotta dall'assistente vocale del Cliente e dal numero assegnato al suo account. La notifica transita dal fornitore SMTP indicato alla sezione 5, il messaggio WhatsApp dalla WhatsApp Business Platform di Meta, la riga del foglio dai servizi Google, la chiamata HTTP raggiunge l'endpoint scelto dal Cliente e la chiamata vocale transita dall'operatore telefonico indicato alla sezione 5; l'aggiornamento delle variabili della conversazione non comporta alcuna trasmissione all'esterno. TrueReply esegue queste azioni come istruzione documentata del Cliente Titolare e non ne determina né il contenuto né il destinatario. Di ogni esecuzione restano registrati l'evento che l'ha innescata, i passi eseguiti con una sintesi troncata dei parametri e dell'esito, e le eventuali attese di risposta, per i tempi indicati alla sezione 7. Queste elaborazioni riguardano l'identità del contatto e lo stato dei canali: non producono decisioni automatizzate che generino effetti giuridici o incidano in modo analogamente significativo sull'interessato ai sensi dell'art. 22 GDPR.

Trattamento delle chiamate in uscita: le chiamate vocali AI in uscita per conto del Cliente sono erogate con presidi di conformità non disattivabili dal Cliente: disclosure AI come prima frase di ogni chiamata, finestre orarie consentite, utilizzo del numero +39 reale del Cliente come identificativo chiamante (senza mascheramento), gestione dell'opt-out con elenco di soppressione valido per l'intero account, e un'attestazione di responsabilità sottoscritta dal Cliente: al momento dell'importazione di ogni lista per le campagne, e al momento della pubblicazione dell'automazione per le chiamate che partono da un'automazione, dove non esiste alcuna lista da importare.

Classificazione e sintesi tramite AI: il testo trascritto delle chiamate e delle conversazioni può essere elaborato da modelli di intelligenza artificiale (Anthropic Claude) per la classificazione delle richieste di opt-out e per la generazione di riassunti, al solo fine di erogare il servizio.

5. Responsabili del trattamento e destinatari dei dati

Per l'erogazione del servizio, il Titolare si avvale dei seguenti sub-responsabili del trattamento:

6. Trasferimento dei dati al di fuori dell'UE

Alcuni dei sub-responsabili sopra indicati hanno sede negli Stati Uniti d'America. Il trasferimento dei dati verso tali soggetti avviene sulla base delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46.2.c del GDPR, nonché del Data Privacy Framework UE-USA ove applicabile.

Il database principale (Firestore) è ospitato nella regione UE (eur3 – europe-west) e i dati vi risiedono stabilmente. L'invio ai fornitori AI statunitensi avviene esclusivamente per l'elaborazione in tempo reale delle richieste e non comporta la conservazione permanente dei dati da parte di tali fornitori.

7. Periodo di conservazione dei dati

• Dati dell'account: conservati per tutta la durata del rapporto contrattuale e per 10 anni successivi alla cessazione, per adempimenti fiscali e legali
• Conversazioni del chatbot, incluse chat testuali, messaggi WhatsApp, conversazioni del canale email e trascrizioni/metadati delle chiamate vocali: conservate per un massimo di 6 mesi dall'ultima attività, dopodiché vengono cancellate automaticamente. Il cliente (Titolare) può collegare un proprio Google Sheet per conservare lo storico completo senza limiti di tempo nel proprio file. Alla cancellazione dell'account vengono comunque eliminate
• Messaggi email scartati dal filtro automatico: conservati per lo stesso periodo di 6 mesi come soli metadati (mittente, oggetto, data e motivo dello scarto), senza il corpo del messaggio. I messaggi che superano il filtro sono invece conservati con il loro contenuto nella conversazione, per lo stesso periodo di 6 mesi, perché è lì che il Cliente li legge e vi risponde
• Allegati della corrispondenza email (se attivo): saranno conservati nell'archivio dedicato per un massimo di 6 mesi, allineati alla conversazione di cui fanno parte, e rimossi con essa o alla cancellazione dell'account
• Credenziali di accesso alla casella email collegata (se attivo): conservate cifrate finché il collegamento resta attivo; cancellate immediatamente alla disconnessione della casella e alla cancellazione dell'account
• Dati di lead capture: conservati per la durata dell'abbonamento del cliente e accessibili tramite la dashboard o Google Sheets
• Registrazioni audio delle chiamate: la registrazione audio è attiva solo per il numero dimostrativo del Fornitore (bot demo) e viene cancellata automaticamente entro un massimo di 90 giorni. Per le chiamate dei Clienti (in entrata e in uscita) TrueReply tratta e conserva esclusivamente trascrizioni e metadati, non la registrazione audio
• Liste di contatti delle campagne outbound: conservate per la durata dell'abbonamento del cliente ed eliminate alla cancellazione dell'account. Le attestazioni di consenso (art. 130) sono conservate come prova della base giuridica, per il periodo necessario a dimostrarne la liceità
• Elenchi di opt-out e di soppressione: l'elenco di soppressione delle chiamate vocali è conservato per la durata dell'abbonamento del cliente ed è eliminato con la cancellazione dell'account. L'elenco di soppressione del canale WhatsApp, che raccoglie gli opt-out espressi dagli interessati, è invece conservato senza scadenza e sopravvive alla cancellazione dell'account del cliente: la conservazione serve a garantire che chi ha chiesto di non essere più contattato non venga ricontattato nemmeno in seguito alla chiusura di quell'account (art. 130 del Codice Privacy). Il numero di telefono non è conservato in chiaro: l'elenco registra soltanto un'impronta crittografica non reversibile del recapito, sufficiente a riconoscerlo se qualcuno tentasse di ricontattarlo e inidonea a risalire al numero
• Registro di autorizzazione dei thread WhatsApp nati da inserzione: quando un assistente è configurato per rispondere soltanto alle conversazioni WhatsApp aperte da un'inserzione pubblicitaria Click-to-WhatsApp, il servizio registra ogni thread così autorizzato. Il registro non è un elenco di opt-out: viene scritto per ogni conversazione autorizzata, anche quando nessun opt-out è mai stato espresso, e serve a stabilire a quali conversazioni l'assistente è autorizzato a rispondere e a dare effetto a un eventuale opt-out successivo. Contiene il numero di telefono dell'interessato, l'identificativo del clic sull'inserzione e il titolo e l'indirizzo dell'inserzione da cui la conversazione è nata. Non ha scadenza automatica, ma viene eliminato con la cancellazione dell'account: prima dell'eliminazione, gli opt-out eventualmente espressi su quei thread sono riportati nell'elenco di soppressione WhatsApp descritto al punto precedente, così che la cancellazione del registro non possa far perdere la volontà di non essere più contattati. Alla data della presente informativa questa configurazione non è attivabile dai clienti ed è in uso soltanto sul numero WhatsApp di TrueReply
• Anagrafica di contatto unificata: non ha una scadenza automatica e resta disponibile finché esiste l'account del cliente, che ne è Titolare; viene eliminata alla cancellazione dell'account. La scelta è deliberata: l'anagrafica è il registro dei contatti del cliente, con finalità propria e distinta dal contenuto delle conversazioni, che resta soggetto al limite di 6 mesi. Il registro degli invii proattivi ricevuti dal singolo contatto è eliminato insieme al contatto cui si riferisce. Il cliente può inoltre cancellare un singolo contatto in qualsiasi momento, per dare seguito alla richiesta di un interessato: la cancellazione elimina il contatto, i recapiti che lo identificano e il registro degli invii ricevuti, e rimuove il collegamento all'anagrafica dalle conversazioni e dalle esecuzioni delle automazioni che vi facevano riferimento (le conversazioni restano soggette al proprio termine di 6 mesi e si cancellano con lo strumento dedicato)
• Dati di esecuzione delle automazioni: gli eventi che le innescano sono conservati 30 giorni; le esecuzioni, i relativi passi e le attese di risposta 90 giorni. Le definizioni dei flussi configurati dal cliente e le loro versioni non hanno una scadenza automatica e restano finché il cliente mantiene l'account: l'eliminazione dalla dashboard le archivia, conservandone le versioni come prova della configurazione applicata. Alla cancellazione dell'account le definizioni, le versioni, le esecuzioni con i relativi passi, le attese di risposta e i segreti registrati per le automazioni verso API di terzi sono eliminati dalla procedura automatica di cancellazione; gli eventi che innescano le automazioni non vi rientrano e si cancellano da sé entro 30 giorni per effetto della propria scadenza
• Registro delle operazioni rilevanti (audit): 24 mesi. Vi figurano l'operatore che ha compiuto l'operazione, il suo indirizzo IP, l'azione, la data e l'ora e alcuni dettagli propri di ciascuna operazione. Vi è registrata anche ogni trasmissione di dati verso l'esterno effettuata dalle automazioni configurate dal cliente, con la sola destinazione e l'esito e mai il contenuto trasmesso: l'indirizzo del sistema chiamato e il metodo della chiamata HTTP, senza percorso, parametri, intestazioni o corpo della richiesta; il foglio Google e la scheda di destinazione, senza i valori della riga scritta; il destinatario della notifica email. I destinatari degli invii WhatsApp e delle notifiche email vi compaiono in forma mascherata; altri dati vi compaiono invece per esteso, in particolare il numero di telefono aggiunto manualmente a un elenco di opt-out, i numeri telefonici che il cliente attiva, disattiva, imposta come deviazione di chiamata o usa come identificativo chiamante nelle campagne, e la descrizione della fonte del consenso dichiarata all'importazione delle liste per le campagne. Il registro sopravvive alla cancellazione dell'account perché è la prova dell'adempimento
• Dati di navigazione (GA4, Clarity, Meta Pixel): secondo le policy di conservazione dei rispettivi fornitori (tipicamente 14–26 mesi)
• Dati newsletter (Brevo): fino alla revoca del consenso da parte dell'interessato
• Dati di sessione del widget (localStorage): 30 minuti di inattività (sessione); il visitor ID persiste fino alla cancellazione manuale dei dati del browser da parte dell'utente

8. Diritti dell'interessato

Ai sensi degli articoli 15–22 del GDPR, l'interessato ha il diritto di:

• Accesso: ottenere la conferma dell'esistenza di dati personali che lo riguardano e la loro comunicazione in forma intelligibile
• Rettifica: ottenere la correzione di dati inesatti o l'integrazione di dati incompleti
• Cancellazione: ottenere la cancellazione dei propri dati personali nei casi previsti dal GDPR
• Limitazione: ottenere la limitazione del trattamento nei casi previsti dal GDPR
• Portabilità: ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico
• Opposizione: opporsi al trattamento dei propri dati per motivi legati alla propria situazione particolare
• Revoca del consenso: revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca

Per esercitare i propri diritti, l'interessato può inviare una richiesta a info@truereply.it. Il Titolare risponderà entro 30 giorni dal ricevimento della richiesta. I titolari di un account TrueReply possono inoltre esercitare in autonomia, dalla dashboard (sezione Impostazioni), il diritto di portabilità e la cancellazione dell'account, con un periodo di ripensamento di 30 giorni prima dell'eliminazione definitiva. L'esportazione self-service produce un file JSON strutturato che comprende i dati dell'account, la configurazione degli assistenti e le relative conversazioni (fino a 5.000 per assistente, con indicazione esplicita dell'eventuale troncamento) e l'anagrafica di contatto unificata (fino a 5.000 contatti, con la stessa indicazione di troncamento, in forma leggibile anche quando è conservata cifrata). Non comprende invece le definizioni dei flussi e i dati di esecuzione delle automazioni, le campagne in uscita con le relative liste e attestazioni, gli elenchi di opt-out e il registro delle operazioni rilevanti: questi dati sono forniti su richiesta scritta a info@truereply.it, entro i termini di legge. Le credenziali e i segreti delle integrazioni non sono mai inclusi nell'esportazione.

L'interessato ha inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Ruolo di TrueReply nel trattamento dei dati degli utenti finali

TrueReply agisce in qualità di Responsabile del trattamento (Data Processor) per conto dei propri clienti (Titolari del trattamento) relativamente ai dati degli utenti finali che interagiscono con i chatbot, l'assistente vocale in entrata e in uscita, il canale WhatsApp e, ove attivato, il canale email, nonché relativamente all'anagrafica di contatto unificata e all'esecuzione delle automazioni configurate dal cliente, inclusa la trasmissione di dati ai sistemi di terzi che il cliente stesso indica. Il cliente che installa il chatbot TrueReply sul proprio sito web è responsabile di informare i propri visitatori circa il trattamento dei dati personali tramite il chatbot, nel rispetto del GDPR.

Allo stesso modo, il cliente che collega al servizio la propria casella di posta elettronica resta Titolare del trattamento della corrispondenza che vi riceve e di quella che ne parte, ed è tenuto a informare i propri corrispondenti, ai sensi degli artt. 13 e 14 GDPR, che i messaggi in arrivo e quelli inviati dalla casella sono trattati con l'ausilio di un assistente di intelligenza artificiale e di un responsabile esterno del trattamento. L'obbligo di informativa vale anche verso i destinatari dei messaggi che partono dalla casella. TrueReply non contatta e non informa direttamente tali corrispondenti.

Il rapporto tra il Cliente (Titolare) e TrueReply (Responsabile) è disciplinato dall'Addendum sul trattamento dei dati ai sensi dell'art. 28 GDPR, disponibile su /dpa, che costituisce parte integrante dei Termini e Condizioni.

10. Dati Google (Google API Services)

TrueReply si integra con Google Calendar tramite le Google API Services, previo esplicito consenso dell'utente durante un flusso OAuth 2.0. Questa sezione descrive quali dati riceviamo, come li usiamo, come li proteggiamo e come l'utente può revocarli in qualsiasi momento.

10.1 Ambiti (scope) richiesti

Richiediamo sempre l'ambito minimo strettamente necessario alla funzionalità. Non richiediamo calendar completo né calendar.settings, e non operiamo mai su calendari diversi da quello che il cliente ha selezionato.

10.2 Come usiamo i dati Google

• Lettura della disponibilità (freebusy.query): quando una persona chiede un appuntamento all'assistente del cliente, TrueReply interroga in tempo reale la disponibilità del calendario selezionato per calcolare gli slot liberi coerenti con le fasce orarie configurate dal cliente. Riceviamo soli intervalli occupati, senza titoli né partecipanti, e non li persistiamo.
• Creazione dell'evento (events.insert): alla conferma di un appuntamento TrueReply crea l'evento sul calendario del cliente. Il contenuto dell'evento (titolo, descrizione, partecipanti) è derivato esclusivamente dai dati forniti dalla persona e dal modello di testo configurato dal cliente. Se la persona ha lasciato un indirizzo email, questo viene aggiunto come invitato e Google le recapita il proprio invito; se non lo ha lasciato — dal 2 settembre 2026 l'email non è più obbligatoria per prenotare, perché è il cliente a decidere quali dati l'assistente debba raccogliere — l'evento nasce senza invitati e nessuna email parte.
• Identificatori hashati sull'evento: alla creazione scriviamo sull'evento, fra le sue proprietà private (extendedProperties.private), alcuni marcatori tecnici: un contrassegno che indica che l'evento è stato creato dal nostro assistente, l'identificativo dell'assistente e l'impronta crittografica dell'email e del numero di telefono usati per prenotare (HMAC-SHA-256 con una chiave segreta dedicata, troncata a 128 bit). I recapiti non sono mai scritti in chiaro in queste proprietà. Servono a una cosa sola: ritrovare l'appuntamento di chi chiede di spostarlo o disdirlo senza dover leggere il titolo o la descrizione dell'evento, che sono testi composti dal cliente e possono contenere qualunque cosa. L'impronta non è reversibile e, essendo calcolata con una chiave che non esce dal nostro sistema, non è confrontabile al di fuori di esso.
• Ricerca dell'appuntamento (events.list): quando una persona chiede di spostare o di disdire, cerchiamo il suo appuntamento sul solo calendario collegato e nella sola finestra futura entro l'orizzonte di prenotazione configurato dal cliente, in due modi: per impronta dei recapiti fra le proprietà private (gli eventi creati dall'assistente a partire dal 2 settembre 2026) e, per gli appuntamenti creati prima di quella data che non portano l'impronta, con una ricerca ristretta all'indirizzo email dell'invitato. Di ogni evento restituito tratteniamo, per il solo tempo della richiesta, una proiezione minima: identificativo, inizio e fine, chi ne è l'organizzatore, gli indirizzi degli invitati e i marcatori. Titolo, descrizione, luogo e dati di videoconferenza degli eventi letti non entrano mai nel trattamento: non vengono copiati, non vengono registrati e non vengono trasmessi ad alcun modello di intelligenza artificiale.
• Ricontrollo dell'orario (events.list): prima di uno spostamento rileggiamo gli eventi della finestra interessata con il loro identificativo, per poter escludere dal conteggio l'appuntamento che si sta muovendo: senza, esso si sovrapporrebbe a se stesso e ogni spostamento di pochi minuti risulterebbe impossibile.
• Rilettura dell'evento (events.get): immediatamente prima di uno spostamento o di una disdetta, per verificare che l'evento esista ancora, non sia già stato annullato e sia effettivamente organizzato dal calendario collegato.
• Spostamento (events.patch): modifichiamo esclusivamente la data e l'ora di inizio e di fine. Ogni altro contenuto dell'evento — invitati, promemoria, link della videoconferenza, proprietà private — resta esattamente com'è. Google notifica lo spostamento agli invitati che hanno un indirizzo email.
• Disdetta (events.delete): l'evento viene eliminato dal calendario e Google notifica l'annullamento agli invitati che hanno un indirizzo email.
• Verifica preventiva dell'identità: l'assistente non sposta e non disdice un appuntamento a chiunque lo chieda. Prima di ogni modifica è il nostro server a verificare che l'appuntamento sia di chi sta parlando: perché è stato preso in quella stessa conversazione, perché il canale ha già provato il recapito (numero del chiamante, mittente WhatsApp verificato da Meta, mittente email autenticato), oppure perché la persona dichiara i recapiti con cui ha prenotato e il server li confronta con quelli dell'evento. Il confronto lo esegue il server e non il modello di intelligenza artificiale, che si limita a riferire ciò che la persona dice; l'esito negativo è sempre identico e non rivela mai se un appuntamento esista né quale dato non corrisponda.

Non usiamo i dati Google per finalità pubblicitarie, non li vendiamo, non li condividiamo con terze parti, non li usiamo per addestrare modelli di machine learning.

10.3 Conservazione e protezione dei dati Google

• I refresh token OAuth sono cifrati at-rest tramite envelope encryption: AES-256-GCM con Data Encryption Key random generata per ciascun token, a sua volta wrappata con Google Cloud KMS (keyring truereply-secrets, chiave oauth-tokens, rotazione 90 giorni). Solo la nostra Cloud Function backend possiede il permesso IAM di decifrare la DEK.
• Gli access token sono memorizzati in cache temporanea per la durata della loro validità (tipicamente un'ora) e mai persistiti più del necessario.
• Tutti i dati Google in transito viaggiano esclusivamente su TLS 1.2+ (HTTPS).
• Che cosa conserviamo del calendario, e perché. Non teniamo una copia dell'agenda del cliente, ma non è vero che degli appuntamenti non resti nulla da noi. Sulla conversazione in cui l'appuntamento è stato preso conserviamo l'identificativo dell'evento Google, l'orario di inizio e di fine, lo stato dell'appuntamento (confermato, spostato, disdetto), gli orari precedenti in caso di spostamento e l'indicazione di come è stata provata l'identità di chi ha chiesto la modifica (dalla stessa conversazione, dal canale, oppure tramite verifica dei recapiti) — mai il recapito in sé. Vi è registrato anche il titolo dell'evento, con l'eccezione degli assistenti che il cliente ha dichiarato destinati al trattamento di categorie particolari di dati, per i quali è omesso. Sono i dati minimi perché l'assistente sappia, nei turni successivi della stessa conversazione, che cosa ha già prenotato: senza di essi riproporrebbe come «occupato» lo slot che ha appena creato, o creerebbe un secondo appuntamento invece di spostare il primo. Seguono la conservazione della conversazione a cui appartengono (sezione 7: massimo 6 mesi dall'ultima attività) e vengono cancellati insieme a essa.
• Che cosa non conserviamo. La disponibilità free/busy e gli elenchi di eventi letti per calcolare gli slot, per ritrovare un appuntamento o per ricontrollare un orario non sono persistiti in alcun database: vivono in memoria per il solo tempo della singola richiesta.
• Perché la verifica dell'identità non diventi un modo per scoprire se una determinata persona abbia un appuntamento presso un cliente, teniamo tre contatori dei tentativi falliti: uno per conversazione, uno per assistente e per giorno, e uno per ciascun recapito dichiarato durante la verifica. Contengono soli numeri — nessun recapito, né nel contenuto né nell'identificativo del documento, dove il recapito compare solo come impronta crittografica non reversibile — e si cancellano da soli dopo 24 ore, tranne quello per assistente che si cancella dopo 7 giorni.
• L'accesso ai dati Google è limitato alla Cloud Function backend di TrueReply (europe-west1). Il servizio voce (Cloud Run) non possiede mai i token né li decifra: chiama endpoint interni autenticati che restituiscono solo il risultato aggregato dell'operazione.

10.4 Limited Use disclosure

TrueReply's use and transfer of information received from Google APIs to any other app will adhere to Google API Services User Data Policy, including the Limited Use requirements.

10.5 Revoca e cancellazione

L'utente può revocare l'accesso ai suoi dati Google in qualsiasi momento:

• dalla dashboard TrueReply: Integrazioni → Google Calendar → Disconnetti (invalida il refresh token lato Google e cancella il record calendarConnector da Firestore).
• direttamente da Google: myaccount.google.com/permissions.

Alla disconnessione, il refresh token cifrato viene rimosso entro pochi secondi dal nostro Firestore. Eventuali access token residui scadono automaticamente entro un'ora.

10.6 Contatto per dati Google

Per domande sul trattamento dei dati Google: info@truereply.it.

11. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza commensurato al rischio, tra cui:

• Crittografia dei dati in transito (HTTPS/TLS) e a riposo (crittografia Firebase/Google Cloud)
• Autenticazione tramite Firebase Authentication con hash crittografico delle password
• Elaborazione dei pagamenti tramite Stripe (certificato PCI DSS Level 1), senza transito o memorizzazione dei dati delle carte sui server TrueReply
• Isolamento dei dati per tenant: ogni cliente accede esclusivamente ai propri dati tramite regole di sicurezza Firestore
• Cifratura applicativa, tramite envelope encryption su chiave Google Cloud KMS dedicata, dei segreti a maggiore impatto che il cliente conferisce per il funzionamento delle integrazioni: il refresh token OAuth di Google Calendar, il token di accesso WhatsApp Business e i segreti che il cliente registra per le automazioni verso API di terze parti. Il valore in chiaro di tali segreti non è restituito da alcuna interfaccia del servizio; i segreti delle automazioni sono inoltre vincolati agli host che il cliente autorizza al momento della registrazione
• Cifratura a livello di campo dei contenuti conversazionali, dei dati identificativi dell'anagrafica di contatto e dei dati di esecuzione delle automazioni (contesto dell'esecuzione, sintesi dei parametri e dell'esito di ogni passo, messaggio di errore), su chiave Google Cloud KMS distinta, per gli assistenti che il cliente ha dichiarato destinati al trattamento di categorie particolari di dati
• Controlli sulle destinazioni delle chiamate HTTP configurate dal cliente nelle automazioni: blocco degli indirizzi di rete interni, privati e riservati e connessione al solo indirizzo IP verificato
• Rate limiting sugli endpoint pubblici per la protezione da abusi
• Widget in Shadow DOM per l'isolamento dal contesto della pagina ospitante

12. Modifiche alla presente informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente informativa in qualsiasi momento. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento. Si invita l'utente a consultare periodicamente questa pagina.

13. Contatti

Per qualsiasi domanda relativa alla presente informativa o al trattamento dei dati personali, è possibile contattare il Titolare scrivendo a: info@truereply.it