INFORMATIVA SULLA PRIVACY

ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR)

Ultimo aggiornamento: 21 luglio 2026

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

• Nome: Michele Bogoni
• P.IVA: 04555040239
• Sede legale: Via Novella, 5/E – 37032 Monteforte d'Alpone (VR)
• Email: info@truereply.it

Per qualsiasi richiesta relativa al trattamento dei dati personali, l'utente può contattare il Titolare all'indirizzo email sopra indicato.

2. Tipologie di dati raccolti

2.1 Dati degli utenti registrati (Clienti TrueReply)

Al momento della registrazione e durante l'utilizzo del servizio, raccogliamo:

• Dati identificativi: nome, cognome, indirizzo email
• Dati di autenticazione: password (hash crittografico tramite Firebase Authentication)
• Dati di fatturazione: elaborati e conservati da Stripe Inc. TrueReply non memorizza né ha accesso ai dati delle carte di credito
• Dati di utilizzo: numero di conversazioni, messaggi, minuti voce consumati, configurazione del chatbot
• Contenuti caricati: documenti, URL e testi caricati nella knowledge base del chatbot

2.2 Dati dei visitatori dei siti dei clienti (Utenti finali del chatbot)

Quando un visitatore interagisce con un chatbot TrueReply installato sul sito di un nostro cliente, raccogliamo:

• Messaggi di chat: il contenuto della conversazione con il chatbot
• Identificativo visitatore anonimo: un ID casuale generato dal browser e memorizzato localmente (localStorage) per garantire la continuità della sessione
• Identificativo di sessione: un UUID casuale generato per ogni sessione di chat
• URL della pagina: la pagina web su cui si trova il visitatore al momento dell'interazione
• Tipo di dispositivo: mobile o desktop
• Dati di contatto volontariamente forniti: nome, email, telefono o altre informazioni che il visitatore sceglie di condividere durante la conversazione (lead capture)
• Dati di chiamata vocale, in entrata e in uscita (se attivo): numero del chiamante o del destinatario, data, durata, talk-time, trascrizione della conversazione, esito. La registrazione audio è trattata solo ove attiva, cioè per il numero dimostrativo del Fornitore (bot demo); per le chiamate dei Clienti vengono trattate solo trascrizioni e metadati
• Dati delle campagne in uscita (se attivo): liste di contatti caricate dal Cliente, attestazioni di consenso e relativa fonte, elenchi di opt-out e di soppressione validi per l'intero account
• Messaggi WhatsApp (se attivo): contenuto dei messaggi, media, e metadati quali numeri di mittente e destinatario, data e ora, stato di consegna e lettura
• Corrispondenza email della casella collegata (se attivo): quando il cliente collega al servizio una propria casella di posta elettronica, trattiamo i messaggi che vi arrivano dal momento del collegamento e le risposte inviate o predisposte tramite il servizio: mittente e destinatari, oggetto, data e ora, identificativi tecnici del messaggio e della conversazione, corpo del messaggio ed eventuali allegati in formato PDF o immagine. Gli interessati di questo trattamento sono i terzi corrispondenti del cliente, cioè chiunque scriva alla casella collegata: non hanno alcun rapporto diretto con TrueReply, che non li contatta e non li informa direttamente. L'informativa nei loro confronti resta a carico del cliente, che è Titolare del trattamento (vedi la sezione 9)
• Anagrafica di contatto unificata: per conto del cliente il servizio riconduce a un unico contatto le interazioni che la stessa persona ha su canali diversi (chat sul sito, WhatsApp, telefono), usando come chiavi il numero di telefono e l'indirizzo email normalizzati. Il contatto raccoglie nome e cognome, i recapiti (fino a cinque numeri di telefono e cinque indirizzi email, con l'indicazione di come sono stati acquisiti), l'eventuale azienda, le etichette e le variabili configurate dal cliente e lo stato di ciascun canale; non contiene il contenuto delle conversazioni
• Dati di esecuzione delle automazioni: quando il cliente configura un'automazione, registriamo l'evento che la innesca (canale, identificativo di sessione, contatto associato ed eventuali dati del lead o anteprima del messaggio), l'esecuzione conseguente con il suo esito, i singoli passi eseguiti con una sintesi troncata dei parametri utilizzati e della risposta ricevuta, e le eventuali attese di una risposta dell'interessato

2.3 Dati raccolti sul sito truereply.it

Navigando sul sito truereply.it, raccogliamo dati tramite:

• Google Analytics 4: dati di navigazione anonimizzati (pagine visitate, durata sessione, origine del traffico, tipo di dispositivo)
• Meta Pixel (Facebook): dati di navigazione per finalità di remarketing e analisi delle conversioni pubblicitarie
• Misurazione conversioni server-side (Conversions API di Meta e analoga misurazione Google): per chi lascia un contatto (modulo, chat, richiesta di demo dall’assistente telefonico o da WhatsApp) o attiva un piano, trasmettiamo a Meta e Google identificatori in forma hashata (indirizzo email, numero di telefono) ed eventuali parametri di click pubblicitario (fbc/fbp), al solo fine di misurare e ottimizzare le campagne pubblicitarie. La base giuridica è il consenso prestato al momento dell'invio del contatto o dell'attivazione, mediante accettazione della presente informativa, distinto e indipendente dal consenso ai cookie espresso tramite il banner
• Microsoft Clarity: registrazioni anonime delle sessioni, heatmap e dati di interazione con la pagina per migliorare l'esperienza utente
• Brevo (Sendinblue): indirizzo email, in caso di iscrizione volontaria alla newsletter

3. Finalità e base giuridica del trattamento

4. Modalità del trattamento

I dati personali sono trattati con strumenti informatici e telematici, con logiche strettamente correlate alle finalità sopra indicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati stessi.

Trattamento tramite intelligenza artificiale: i messaggi inviati dagli utenti finali al chatbot vengono elaborati da modelli di intelligenza artificiale di terze parti (Anthropic Claude per la chat testuale, Google Gemini per la voce) al fine di generare risposte pertinenti. I messaggi vengono inviati ai fornitori AI esclusivamente per l'elaborazione in tempo reale e non vengono utilizzati per l'addestramento dei modelli. Le conversazioni vengono salvate su database Firestore per consentire al cliente di monitorare le interazioni.

Trattamento tramite embeddings: i documenti caricati nella knowledge base vengono trasformati in rappresentazioni numeriche (embeddings) tramite Google (Vertex AI), in regione UE, per consentire la ricerca semantica. I contenuti vengono inviati a Google esclusivamente per l'elaborazione in tempo reale, non vengono utilizzati per l'addestramento dei suoi modelli e non sono soggetti a conservazione permanente.

Trattamento dei messaggi WhatsApp: i messaggi scambiati sul numero WhatsApp Business del Cliente sono trattati da TrueReply in qualità di Responsabile, esclusivamente per erogare il servizio di assistenza AI, transitando attraverso la WhatsApp Business Platform di Meta. Il contenuto è elaborato dai modelli AI per generare le risposte e salvato su database per consentire al Cliente di monitorare le conversazioni.

Trattamento della corrispondenza email (se attivo): quando il Cliente collega al servizio una propria casella di posta elettronica, TrueReply legge i messaggi che vi arrivano dal momento del collegamento e prepara, per conto del Cliente, la risposta o la bozza di risposta, che parte sempre dalla casella e con l'identità del Cliente. Lo storico della casella non viene importato e non viene trattata la posta che il fornitore della casella ha già classificato come indesiderata. Il fornitore della casella (il provider di posta o il gestore aziendale del Cliente) resta un fornitore del Cliente e non un sub-responsabile di TrueReply. Poiché una casella aziendale riceve corrispondenza di ogni genere, il trattamento è delimitato dalle seguenti misure:

• Filtro automatico prima dell'intelligenza artificiale: prima di qualsiasi elaborazione da parte dei modelli AI, un filtro deterministico scarta i messaggi non conversazionali (avvisi di mancato recapito, risposte automatiche e messaggi di sistema, newsletter e comunicazioni di liste, indirizzi di sola notifica). Di questi messaggi vengono conservati i soli metadati, cioè mittente, oggetto e data: il contenuto non è trasmesso ad alcun fornitore AI
• Messaggi che non richiedono risposta: quando l'assistente riconosce che un messaggio non richiede risposta, ne vengono conservati i soli metadati e il motivo, non il corpo del messaggio
• Limitazione dei mittenti trattati: il Cliente può limitare il trattamento ai soli domini che indica ed escludere domini determinati; per impostazione predefinita sono esclusi i messaggi provenienti dal dominio del Cliente stesso
• Elaborazione AI: il contenuto dei messaggi che superano il filtro è elaborato da Anthropic Claude esclusivamente per generare la risposta o la bozza, alle stesse condizioni indicate sopra per la chat (elaborazione in tempo reale, nessun utilizzo per l'addestramento dei modelli)
• Limiti di invio e trasparenza: il servizio invia a un solo destinatario per messaggio, non dispone di alcuna funzione di invio massivo e l'assistente non avvia autonomamente nuove conversazioni email; la risposta è indirizzata esclusivamente al mittente del messaggio originario e reca l'indicazione di essere stata preparata da un assistente AI. I messaggi il cui mittente non risulti autenticato dai controlli tecnici standard del protocollo non danno mai luogo a invii automatici
• Allegati: saranno trattati esclusivamente allegati in formato PDF o immagine ed entro i limiti dimensionali previsti; gli altri formati non verranno scaricati né conservati. I file trattati saranno conservati in un archivio dedicato, separato per cliente e non accessibile pubblicamente, con download consentito solo tramite collegamenti temporanei firmati emessi previa autenticazione. Il contenuto degli allegati ammessi potrà essere letto dai modelli AI per rispondere nel contesto della conversazione in cui l'allegato è arrivato
• Caselle PEC: escluse dal canale, il collegamento è rifiutato dal servizio

Allegati sugli altri canali: al di fuori del canale email il servizio non scarica né conserva alcun allegato. Dei contenuti multimediali ricevuti su WhatsApp (immagini, video, audio, documenti) resta nella conversazione soltanto un segnaposto testuale con l'eventuale didascalia; il file non viene mai prelevato dai server di Meta.

Anagrafica di contatto unificata: per conto del Cliente il servizio riconduce a un unico contatto le interazioni che la stessa persona ha su canali diversi, usando come chiavi il numero di telefono e l'indirizzo email normalizzati. L'anagrafica è il registro dei contatti del Cliente, ha finalità propria e distinta dal contenuto delle conversazioni e non ne conserva il testo. Per gli assistenti che il Cliente ha dichiarato destinati al trattamento di categorie particolari di dati, i campi identificativi dell'anagrafica sono cifrati a livello di campo con una chiave Google Cloud KMS dedicata.

Esecuzione di automazioni configurate dal Cliente: sulla base di regole che il Cliente configura, un evento della conversazione (un messaggio, un lead, l'esito di una chiamata, un appuntamento, una richiesta ricevuta su un indirizzo webhook dedicato al flusso o una pianificazione oraria) può avviare l'esecuzione di un'automazione. Le azioni oggi disponibili sono cinque: l'invio di una notifica email all'intestatario dell'account (il destinatario è sempre ricavato dal profilo dell'account, mai dai parametri della regola); l'invio di un messaggio WhatsApp basato su un template approvato da Meta; l'aggiunta di una riga al foglio Google collegato dal Cliente; l'aggiornamento delle variabili estratte e delle etichette della conversazione in corso; una chiamata HTTP verso un endpoint pubblico che il Cliente configura. La notifica transita dal fornitore SMTP indicato alla sezione 5, il messaggio WhatsApp dalla WhatsApp Business Platform di Meta, la riga del foglio dai servizi Google, mentre la chiamata HTTP raggiunge l'endpoint scelto dal Cliente; l'aggiornamento delle variabili della conversazione non comporta alcuna trasmissione all'esterno. TrueReply esegue queste azioni come istruzione documentata del Cliente Titolare e non ne determina né il contenuto né il destinatario. Di ogni esecuzione restano registrati l'evento che l'ha innescata, i passi eseguiti con una sintesi troncata dei parametri e dell'esito, e le eventuali attese di risposta, per i tempi indicati alla sezione 7. Queste elaborazioni riguardano l'identità del contatto e lo stato dei canali: non producono decisioni automatizzate che generino effetti giuridici o incidano in modo analogamente significativo sull'interessato ai sensi dell'art. 22 GDPR.

Trattamento delle chiamate in uscita: le chiamate vocali AI in uscita per conto del Cliente sono erogate con presidi di conformità non disattivabili dal Cliente: disclosure AI come prima frase di ogni chiamata, finestre orarie consentite, utilizzo del numero +39 reale del Cliente come identificativo chiamante (senza mascheramento), gestione dell'opt-out con elenco di soppressione valido per l'intero account, attestazione del consenso al momento dell'importazione di ogni lista.

Classificazione e sintesi tramite AI: il testo trascritto delle chiamate e delle conversazioni può essere elaborato da modelli di intelligenza artificiale (Anthropic Claude) per la classificazione delle richieste di opt-out e per la generazione di riassunti, al solo fine di erogare il servizio.

5. Responsabili del trattamento e destinatari dei dati

Per l'erogazione del servizio, il Titolare si avvale dei seguenti sub-responsabili del trattamento:

6. Trasferimento dei dati al di fuori dell'UE

Alcuni dei sub-responsabili sopra indicati hanno sede negli Stati Uniti d'America. Il trasferimento dei dati verso tali soggetti avviene sulla base delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46.2.c del GDPR, nonché del Data Privacy Framework UE-USA ove applicabile.

Il database principale (Firestore) è ospitato nella regione UE (eur3 – europe-west) e i dati vi risiedono stabilmente. L'invio ai fornitori AI statunitensi avviene esclusivamente per l'elaborazione in tempo reale delle richieste e non comporta la conservazione permanente dei dati da parte di tali fornitori.

7. Periodo di conservazione dei dati

• Dati dell'account: conservati per tutta la durata del rapporto contrattuale e per 10 anni successivi alla cessazione, per adempimenti fiscali e legali
• Conversazioni del chatbot, incluse chat testuali, messaggi WhatsApp, conversazioni del canale email e trascrizioni/metadati delle chiamate vocali: conservate per un massimo di 6 mesi dall'ultima attività, dopodiché vengono cancellate automaticamente. Il cliente (Titolare) può collegare un proprio Google Sheet per conservare lo storico completo senza limiti di tempo nel proprio file. Alla cancellazione dell'account vengono comunque eliminate
• Messaggi email scartati dal filtro automatico o riconosciuti come non conversazionali (se attivo): conservati per lo stesso periodo di 6 mesi come soli metadati (mittente, oggetto, data e motivo dello scarto), senza il corpo del messaggio
• Allegati della corrispondenza email (se attivo): saranno conservati nell'archivio dedicato per un massimo di 6 mesi, allineati alla conversazione di cui fanno parte, e rimossi con essa o alla cancellazione dell'account
• Credenziali di accesso alla casella email collegata (se attivo): conservate cifrate finché il collegamento resta attivo; cancellate immediatamente alla disconnessione della casella e alla cancellazione dell'account
• Dati di lead capture: conservati per la durata dell'abbonamento del cliente e accessibili tramite la dashboard o Google Sheets
• Registrazioni audio delle chiamate: la registrazione audio è attiva solo per il numero dimostrativo del Fornitore (bot demo) e viene cancellata automaticamente entro un massimo di 90 giorni. Per le chiamate dei Clienti (in entrata e in uscita) TrueReply tratta e conserva esclusivamente trascrizioni e metadati, non la registrazione audio
• Liste di contatti delle campagne outbound: conservate per la durata dell'abbonamento del cliente ed eliminate alla cancellazione dell'account. Le attestazioni di consenso (art. 130) sono conservate come prova della base giuridica, per il periodo necessario a dimostrarne la liceità
• Elenchi di opt-out e di soppressione: l'elenco di soppressione delle chiamate vocali è conservato per la durata dell'abbonamento del cliente ed è eliminato con la cancellazione dell'account. L'elenco di soppressione del canale WhatsApp, che raccoglie gli opt-out espressi dagli interessati, è invece conservato senza scadenza e sopravvive alla cancellazione dell'account del cliente: la conservazione serve a garantire che chi ha chiesto di non essere più contattato non venga ricontattato nemmeno in seguito alla chiusura di quell'account (art. 130 del Codice Privacy). Il numero di telefono non è conservato in chiaro: l'elenco registra soltanto un'impronta crittografica non reversibile del recapito, sufficiente a riconoscerlo se qualcuno tentasse di ricontattarlo e inidonea a risalire al numero
• Registro di autorizzazione dei thread WhatsApp nati da inserzione: quando un assistente è configurato per rispondere soltanto alle conversazioni WhatsApp aperte da un'inserzione pubblicitaria Click-to-WhatsApp, il servizio registra ogni thread così autorizzato. Il registro non è un elenco di opt-out: viene scritto per ogni conversazione autorizzata, anche quando nessun opt-out è mai stato espresso, e serve a stabilire a quali conversazioni l'assistente è autorizzato a rispondere e a dare effetto a un eventuale opt-out successivo. Contiene il numero di telefono dell'interessato, l'identificativo del clic sull'inserzione e il titolo e l'indirizzo dell'inserzione da cui la conversazione è nata. Non ha scadenza automatica, ma viene eliminato con la cancellazione dell'account: prima dell'eliminazione, gli opt-out eventualmente espressi su quei thread sono riportati nell'elenco di soppressione WhatsApp descritto al punto precedente, così che la cancellazione del registro non possa far perdere la volontà di non essere più contattati. Alla data della presente informativa questa configurazione non è attivabile dai clienti ed è in uso soltanto sul numero WhatsApp di TrueReply
• Anagrafica di contatto unificata: non ha una scadenza automatica e resta disponibile finché esiste l'account del cliente, che ne è Titolare; viene eliminata alla cancellazione dell'account. La scelta è deliberata: l'anagrafica è il registro dei contatti del cliente, con finalità propria e distinta dal contenuto delle conversazioni, che resta soggetto al limite di 6 mesi. Il registro degli invii proattivi ricevuti dal singolo contatto è eliminato insieme al contatto cui si riferisce. Il cliente può inoltre cancellare un singolo contatto in qualsiasi momento, per dare seguito alla richiesta di un interessato: la cancellazione elimina il contatto, i recapiti che lo identificano e il registro degli invii ricevuti, e rimuove il collegamento all'anagrafica dalle conversazioni e dalle esecuzioni delle automazioni che vi facevano riferimento (le conversazioni restano soggette al proprio termine di 6 mesi e si cancellano con lo strumento dedicato)
• Dati di esecuzione delle automazioni: gli eventi che le innescano sono conservati 30 giorni; le esecuzioni, i relativi passi e le attese di risposta 90 giorni. Le definizioni dei flussi configurati dal cliente e le loro versioni non hanno una scadenza automatica e restano finché il cliente mantiene l'account: l'eliminazione dalla dashboard le archivia, conservandone le versioni come prova della configurazione applicata. Alla cancellazione dell'account le definizioni, le versioni, le esecuzioni con i relativi passi, le attese di risposta e i segreti registrati per le automazioni verso API di terzi sono eliminati dalla procedura automatica di cancellazione; gli eventi che innescano le automazioni non vi rientrano e si cancellano da sé entro 30 giorni per effetto della propria scadenza
• Registro delle operazioni rilevanti (audit): 24 mesi. Vi figurano l'operatore che ha compiuto l'operazione, il suo indirizzo IP, l'azione, la data e l'ora e alcuni dettagli propri di ciascuna operazione. Vi è registrata anche ogni trasmissione di dati verso l'esterno effettuata dalle automazioni configurate dal cliente, con la sola destinazione e l'esito e mai il contenuto trasmesso: l'indirizzo del sistema chiamato e il metodo della chiamata HTTP, senza percorso, parametri, intestazioni o corpo della richiesta; il foglio Google e la scheda di destinazione, senza i valori della riga scritta; il destinatario della notifica email. I destinatari degli invii WhatsApp e delle notifiche email vi compaiono in forma mascherata; altri dati vi compaiono invece per esteso, in particolare il numero di telefono aggiunto manualmente a un elenco di opt-out, i numeri telefonici che il cliente attiva, disattiva, imposta come deviazione di chiamata o usa come identificativo chiamante nelle campagne, e la descrizione della fonte del consenso dichiarata all'importazione delle liste per le campagne. Il registro sopravvive alla cancellazione dell'account perché è la prova dell'adempimento
• Dati di navigazione (GA4, Clarity, Meta Pixel): secondo le policy di conservazione dei rispettivi fornitori (tipicamente 14–26 mesi)
• Dati newsletter (Brevo): fino alla revoca del consenso da parte dell'interessato
• Dati di sessione del widget (localStorage): 30 minuti di inattività (sessione); il visitor ID persiste fino alla cancellazione manuale dei dati del browser da parte dell'utente

8. Diritti dell'interessato

Ai sensi degli articoli 15–22 del GDPR, l'interessato ha il diritto di:

• Accesso: ottenere la conferma dell'esistenza di dati personali che lo riguardano e la loro comunicazione in forma intelligibile
• Rettifica: ottenere la correzione di dati inesatti o l'integrazione di dati incompleti
• Cancellazione: ottenere la cancellazione dei propri dati personali nei casi previsti dal GDPR
• Limitazione: ottenere la limitazione del trattamento nei casi previsti dal GDPR
• Portabilità: ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico
• Opposizione: opporsi al trattamento dei propri dati per motivi legati alla propria situazione particolare
• Revoca del consenso: revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca

Per esercitare i propri diritti, l'interessato può inviare una richiesta a info@truereply.it. Il Titolare risponderà entro 30 giorni dal ricevimento della richiesta. I titolari di un account TrueReply possono inoltre esercitare in autonomia, dalla dashboard (sezione Impostazioni), il diritto di portabilità e la cancellazione dell'account, con un periodo di ripensamento di 30 giorni prima dell'eliminazione definitiva. L'esportazione self-service produce un file JSON strutturato che comprende i dati dell'account, la configurazione degli assistenti e le relative conversazioni (fino a 5.000 per assistente, con indicazione esplicita dell'eventuale troncamento) e l'anagrafica di contatto unificata (fino a 5.000 contatti, con la stessa indicazione di troncamento, in forma leggibile anche quando è conservata cifrata). Non comprende invece le definizioni dei flussi e i dati di esecuzione delle automazioni, le campagne in uscita con le relative liste e attestazioni, gli elenchi di opt-out e il registro delle operazioni rilevanti: questi dati sono forniti su richiesta scritta a info@truereply.it, entro i termini di legge. Le credenziali e i segreti delle integrazioni non sono mai inclusi nell'esportazione.

L'interessato ha inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Ruolo di TrueReply nel trattamento dei dati degli utenti finali

TrueReply agisce in qualità di Responsabile del trattamento (Data Processor) per conto dei propri clienti (Titolari del trattamento) relativamente ai dati degli utenti finali che interagiscono con i chatbot, l'assistente vocale in entrata e in uscita, il canale WhatsApp e, ove attivato, il canale email, nonché relativamente all'anagrafica di contatto unificata e all'esecuzione delle automazioni configurate dal cliente, inclusa la trasmissione di dati ai sistemi di terzi che il cliente stesso indica. Il cliente che installa il chatbot TrueReply sul proprio sito web è responsabile di informare i propri visitatori circa il trattamento dei dati personali tramite il chatbot, nel rispetto del GDPR.

Allo stesso modo, il cliente che collega al servizio la propria casella di posta elettronica resta Titolare del trattamento della corrispondenza che vi riceve ed è tenuto a informare i propri corrispondenti, ai sensi degli artt. 13 e 14 GDPR, che i messaggi in arrivo sono trattati con l'ausilio di un assistente di intelligenza artificiale e di un responsabile esterno del trattamento. TrueReply non contatta e non informa direttamente tali corrispondenti.

Il rapporto tra il Cliente (Titolare) e TrueReply (Responsabile) è disciplinato dall'Addendum sul trattamento dei dati ai sensi dell'art. 28 GDPR, disponibile su /dpa, che costituisce parte integrante dei Termini e Condizioni.

10. Dati Google (Google API Services)

TrueReply si integra con Google Calendar tramite le Google API Services, previo esplicito consenso dell'utente durante un flusso OAuth 2.0. Questa sezione descrive quali dati riceviamo, come li usiamo, come li proteggiamo e come l'utente può revocarli in qualsiasi momento.

10.1 Ambiti (scope) richiesti

Richiediamo sempre l'ambito minimo strettamente necessario alla funzionalità. Non richiediamo calendar completo né calendar.settings.

10.2 Come usiamo i dati Google

• Availability lookup: quando un visitatore del sito chatta col bot del cliente e chiede un appuntamento, TrueReply interroga in tempo reale l'endpoint freeBusy del calendario selezionato per calcolare gli slot liberi coerenti con le fasce orarie configurate dal cliente. Non persistiamo il free/busy.
• Event creation: alla conferma di un appuntamento, TrueReply crea l'evento sul calendario del cliente tramite events.insert. Il contenuto dell'evento (titolo, descrizione, partecipanti) è derivato esclusivamente dai dati forniti dal visitatore e dal template configurato dal cliente.
• Event read-back: se il chatbot deve confermare un appuntamento già prenotato, interroghiamo events.get con l'ID dell'evento.

Non usiamo i dati Google per finalità pubblicitarie, non li vendiamo, non li condividiamo con terze parti, non li usiamo per addestrare modelli di machine learning.

10.3 Conservazione e protezione dei dati Google

• I refresh token OAuth sono cifrati at-rest tramite envelope encryption: AES-256-GCM con Data Encryption Key random generata per ciascun token, a sua volta wrappata con Google Cloud KMS (keyring truereply-secrets, chiave oauth-tokens, rotazione 90 giorni). Solo la nostra Cloud Function backend possiede il permesso IAM di decifrare la DEK.
• Gli access token sono memorizzati in cache temporanea per la durata della loro validità (tipicamente un'ora) e mai persistiti più del necessario.
• Tutti i dati Google in transito viaggiano esclusivamente su TLS 1.2+ (HTTPS).
• Gli eventi creati e gli slot letti non sono persistiti nel nostro database: vivono solo nel calendario Google dell'utente.
• L'accesso ai dati Google è limitato alla Cloud Function backend di TrueReply (europe-west1). Il servizio voce (Cloud Run) non possiede mai i token né li decifra: chiama endpoint interni autenticati che restituiscono solo il risultato aggregato dell'operazione.

10.4 Limited Use disclosure

TrueReply's use and transfer of information received from Google APIs to any other app will adhere to Google API Services User Data Policy, including the Limited Use requirements.

10.5 Revoca e cancellazione

L'utente può revocare l'accesso ai suoi dati Google in qualsiasi momento:

• dalla dashboard TrueReply: Integrazioni → Google Calendar → Disconnetti (invalida il refresh token lato Google e cancella il record calendarConnector da Firestore).
• direttamente da Google: myaccount.google.com/permissions.

Alla disconnessione, il refresh token cifrato viene rimosso entro pochi secondi dal nostro Firestore. Eventuali access token residui scadono automaticamente entro un'ora.

10.6 Contatto per dati Google

Per domande sul trattamento dei dati Google: info@truereply.it.

11. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza commensurato al rischio, tra cui:

• Crittografia dei dati in transito (HTTPS/TLS) e a riposo (crittografia Firebase/Google Cloud)
• Autenticazione tramite Firebase Authentication con hash crittografico delle password
• Elaborazione dei pagamenti tramite Stripe (certificato PCI DSS Level 1), senza transito o memorizzazione dei dati delle carte sui server TrueReply
• Isolamento dei dati per tenant: ogni cliente accede esclusivamente ai propri dati tramite regole di sicurezza Firestore
• Cifratura applicativa, tramite envelope encryption su chiave Google Cloud KMS dedicata, dei segreti a maggiore impatto che il cliente conferisce per il funzionamento delle integrazioni: il refresh token OAuth di Google Calendar, il token di accesso WhatsApp Business e i segreti che il cliente registra per le automazioni verso API di terze parti. Il valore in chiaro di tali segreti non è restituito da alcuna interfaccia del servizio; i segreti delle automazioni sono inoltre vincolati agli host che il cliente autorizza al momento della registrazione
• Cifratura a livello di campo dei contenuti conversazionali, dei dati identificativi dell'anagrafica di contatto e dei dati di esecuzione delle automazioni (contesto dell'esecuzione, sintesi dei parametri e dell'esito di ogni passo, messaggio di errore), su chiave Google Cloud KMS distinta, per gli assistenti che il cliente ha dichiarato destinati al trattamento di categorie particolari di dati
• Controlli sulle destinazioni delle chiamate HTTP configurate dal cliente nelle automazioni: blocco degli indirizzi di rete interni, privati e riservati e connessione al solo indirizzo IP verificato
• Rate limiting sugli endpoint pubblici per la protezione da abusi
• Widget in Shadow DOM per l'isolamento dal contesto della pagina ospitante

12. Modifiche alla presente informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente informativa in qualsiasi momento. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento. Si invita l'utente a consultare periodicamente questa pagina.

13. Contatti

Per qualsiasi domanda relativa alla presente informativa o al trattamento dei dati personali, è possibile contattare il Titolare scrivendo a: info@truereply.it