Privacy policy

1. Chi tratta i dati, e in che ruolo

TAAC è un servizio di VIBOO S.R.L. («Viboo»), con sede legale in via Fra' Bevignate 34, 06122 Perugia (PG), codice fiscale e partita IVA 04044310540, REA PG-375857, PEC viboosrl@pec.it. Per le questioni sulla privacy si scrive a support@vibooapp.com (o, per le comunicazioni formali, alla PEC viboosrl@pec.it).

In TAAC ci sono due tipi di dati, e i ruoli sono diversi:

• Dati dell'account e del rapporto con Viboo (chi entra nella dashboard, dati di fatturazione, registri di sicurezza): per questi Viboo è titolare del trattamento.
• Dati che l'azienda cliente mette o fa arrivare in TAAC (messaggi di posta, PEC e WhatsApp dei suoi clienti, schede, note, appuntamenti, cose da fare): per questi il titolare del trattamento è l'azienda cliente, e Viboo agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR, secondo l'Accordo sul trattamento dei dati che fa parte dei Termini.

Se sei una persona che ha scritto a un'azienda che usa TAAC (per esempio un suo cliente), il titolare dei tuoi dati è quell'azienda: per esercitare i tuoi diritti rivolgiti a lei. Viboo la aiuterà a risponderti.

2. Quali dati trattiamo come titolare

• Dati dell'account: nome, indirizzo email o nome utente, ruolo nella squadra, impronta della password (mai la password in chiaro).
• Dati di sessione e sicurezza: un gettone di accesso conservato in un cookie tecnico, data e ora degli accessi, tentativi di accesso non riusciti con l'indirizzo usato, la data e la versione dei documenti accettati.
• Dati di fatturazione e contratto dell'azienda cliente e del suo referente. Se un acquisto si paga con una piattaforma di pagamento esterna, Viboo riceve solo l'esito e i dati dell'ordine: i dati della carta li tratta solo quella piattaforma.
• Dati tecnici di funzionamento: registri del server (indirizzo IP, data e ora, pagina richiesta, esito) tenuti dal fornitore di hosting per la sicurezza e la diagnosi dei guasti.
• Dati di consumo del servizio di intelligenza artificiale (numero di richieste, quantità di testo elaborata, costo), senza il contenuto delle richieste.

3. Perché, e su quale base giuridica

• Fornire il servizio, gestire l'account e il contratto: esecuzione del contratto (art. 6.1.b GDPR).
• Fatturazione e adempimenti fiscali e contabili: obbligo di legge (art. 6.1.c GDPR).
• Sicurezza del servizio, prevenzione degli accessi abusivi, prova dell'accettazione dei Termini: legittimo interesse di Viboo e dei suoi clienti (art. 6.1.f GDPR).
• Difesa in giudizio: legittimo interesse (art. 6.1.f) e, se necessario, art. 9.2.f GDPR.

Statistiche anonime e aggregate per migliorare TAAC e per le analisi interne di Viboo (per esempio quanti messaggi e compiti per settore, tempi di risposta, funzioni più usate, consumi): legittimo interesse di Viboo (art. 6.1.f GDPR) per la sola fase di aggregazione; il risultato non permette di risalire a nessuna persona né a nessuna azienda e non è più un dato personale.

Non usiamo i dati per pubblicità, profilazione commerciale o vendita a terzi, e non usiamo il contenuto dei messaggi e dei documenti per scopi nostri.

4. L'intelligenza artificiale

TAAC usa modelli di intelligenza artificiale per leggere i messaggi, riassumerli, proporre le cose da fare e rispondere alle domande. In conformità all'art. 50 del Regolamento (UE) 2024/1689 («AI Act»), chi usa la dashboard sa sempre quando parla con l'assistente e quando un testo è stato preparato da lui.

TAAC propone, non decide: ogni azione che cambia qualcosa (chiudere, rimandare, passare una cosa, segnare un pagamento) la conferma una persona. Non ci sono decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo sulle persone (art. 22 GDPR).

Il fornitore del modello (Anthropic) riceve il testo strettamente necessario a ogni richiesta. Secondo i suoi termini commerciali per l'uso tramite API, non usa questi dati per addestrare i propri modelli e li conserva per un periodo limitato, per sicurezza e prevenzione degli abusi.

I risultati dell'intelligenza artificiale possono contenere errori: vanno verificati prima di agire.

5. A chi arrivano i dati

I dati non si diffondono. Li trattano, come responsabili o sub-responsabili e solo per far funzionare TAAC:

• Supabase Inc. — database, con i dati conservati nella regione Unione europea (Irlanda).
• Vercel Inc. — hosting dell'applicazione e consegna delle pagine; le funzioni che elaborano i dati girano nella regione Unione europea (Irlanda).
• Anthropic PBC — modelli di intelligenza artificiale.
• Meta Platforms Ireland Ltd. (WhatsApp Business), solo se l'azienda cliente collega WhatsApp: i messaggi passano da Meta secondo i termini che l'azienda cliente ha accettato con Meta.
• I gestori di posta e PEC scelti dall'azienda cliente, solo per leggere le caselle che l'azienda stessa collega.
• Google LLC (Gmail e Google Drive) e Microsoft (Outlook), solo se l'azienda cliente collega un account con «Accedi con Google» o «Accedi con Microsoft»: vedi il punto 6.
• La piattaforma di pagamento eventualmente usata per acquistare il Servizio o crediti aggiuntivi, come titolare autonomo, secondo le proprie condizioni.

Il riconoscimento della voce, quando si usa il microfono, lo fa il browser di chi parla (per esempio Chrome o Edge inviano l'audio ai servizi di Google o Microsoft, Safari a quelli di Apple), secondo le condizioni di quel browser: Viboo non riceve l'audio, ma solo il testo trascritto.

L'elenco aggiornato dei sub-responsabili è disponibile su richiesta a support@vibooapp.com.

6. Gmail, Google Drive e i dati degli account Google

L'azienda cliente può collegare a TAAC una casella Gmail e il suo Google Drive con «Accedi con Google». Lo decide l'azienda, da Impostazioni, e può scollegarli quando vuole. Questo punto spiega cosa fa TAAC con i dati che riceve dalle API di Google.

Quali dati e perché:

• Gmail: TAAC legge i messaggi in arrivo nella casella collegata, per mostrarli nelle Conversazioni, riassumerli e proporre le cose da fare. Manda le risposte e i messaggi che una persona dell'azienda scrive o conferma in TAAC, e ne salva una copia nella cartella dei messaggi inviati della stessa casella. TAAC non cancella mai messaggi e non cambia le impostazioni della casella.
• Google Drive: TAAC mostra le cartelle e i file del Drive nella sezione Documentazione, li apre in anteprima, li collega a un cliente, a una pratica o a un compito e li allega alle mail. Su richiesta di una persona dell'azienda crea cartelle, carica file, li rinomina, li sposta e li mette nel cestino del Drive. Ne legge il contenuto quando una persona chiede all'assistente di leggerlo. TAAC non fa nessuna di queste cose da solo, e non cancella mai in modo definitivo.
• L'indirizzo email dell'account Google, per sapere quale casella o quale Drive è collegato.

I messaggi letti e i file copiati sono conservati nel database di TAAC, nell'Unione europea, insieme agli altri dati dell'azienda cliente, e trattati da Viboo come responsabile del trattamento (vedi l'Accordo sul trattamento dei dati). Il permesso rilasciato da Google è conservato cifrato con AES-256-GCM e usato solo sul server.

Intelligenza artificiale: il testo dei messaggi e i nomi dei file, e il contenuto di un file solo quando una persona lo chiede, possono essere inviati al modello di intelligenza artificiale (Anthropic) per svolgere le funzioni descritte qui, alle condizioni del punto 4. Questi dati non sono usati, né da Viboo né da Anthropic, per addestrare, sviluppare o migliorare modelli di intelligenza artificiale generici.

Uso limitato. L'uso delle informazioni ricevute dalle API di Google, e il loro trasferimento a qualsiasi altra applicazione, rispettano le Norme sui dati utente dei servizi API di Google (Google API Services User Data Policy), compresi i requisiti di uso limitato (Limited Use). In particolare:

• i dati di Google sono usati solo per offrire e migliorare le funzioni di TAAC visibili all'azienda cliente e descritte in questo punto; le statistiche del punto 3 li comprendono solo in forma aggregata e anonima, senza contenuti, e solo per migliorare TAAC;
• non sono venduti, non sono usati per pubblicità, profilazione o ricerche di mercato, e non sono usati per valutare il merito creditizio;
• sono trasferiti a terzi solo quando serve a far funzionare TAAC (i fornitori del punto 5), per rispettare la legge, o nell'ambito di una fusione o cessione con le stesse garanzie;
• nessuna persona li legge, salvo con il consenso dell'azienda cliente per un caso specifico (per esempio una richiesta di assistenza), per motivi di sicurezza, o se lo impone la legge.

In English: TAAC's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Come revocare l'accesso: scollegando Gmail o Google Drive da Impostazioni, TAAC cancella subito il permesso che conservava e smette di leggere. L'accesso si può revocare in ogni momento anche dall'account Google, alla pagina myaccount.google.com/permissions. I dati già copiati in TAAC si cancellano su richiesta a support@vibooapp.com, o alla fine del contratto come previsto al punto 8.

7. Dati fuori dall'Unione europea

Alcuni fornitori hanno sede negli Stati Uniti. I trasferimenti avvengono solo con le garanzie degli articoli 44-49 GDPR: la decisione di adeguatezza della Commissione europea sul EU-U.S. Data Privacy Framework (10 luglio 2023) per i fornitori certificati, oppure le Clausole contrattuali tipo approvate dalla Commissione (decisione 2021/914) e le misure supplementari previste dai loro accordi.

8. Per quanto tempo

• Account: per tutta la durata del contratto; poi cancellati entro 30 giorni, salvo quanto serve per legge.
• Dati di fatturazione: 10 anni, come chiede la legge (art. 2220 c.c.).
• Sessioni: al massimo 30 giorni; tentativi di accesso non riusciti: il tempo necessario a bloccare i tentativi ripetuti.
• Prova di accettazione dei Termini: per la durata del contratto e i 10 anni successivi (prescrizione ordinaria).
• Dati che l'azienda cliente mette in TAAC, comprese le conversazioni con l'assistente, ciò che l'assistente ricorda su richiesta e il registro delle azioni fatte con l'assistente: per la durata del contratto, secondo le sue istruzioni (le singole conversazioni e i singoli ricordi si cancellano dalla dashboard); alla fine, restituiti su richiesta e poi cancellati, come previsto dall'Accordo sul trattamento.

9. Come proteggiamo i dati

Misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), fra cui:

• connessioni cifrate (HTTPS/TLS) fra il browser, l'applicazione e il database;
• dati di ogni azienda cliente tenuti in uno spazio separato del database, a cui l'applicazione accede solo per l'azienda di chi è entrato;
• database e archivio dei file non raggiungibili dalle interfacce pubbliche: nessun permesso ai ruoli pubblici, credenziali conosciute solo dal server dell'applicazione; i file si aprono solo passando dall'applicazione, dopo il controllo dell'accesso;
• cifratura dei dati conservati da parte del fornitore del database;
• password delle persone conservate solo come impronta scrypt; password e token delle caselle e degli account collegati cifrati con AES-256-GCM e aperti solo sul server nel momento in cui servono;
• accesso alla dashboard con credenziali personali, ruoli separati fra titolare e collaboratori, blocco dei tentativi ripetuti, recupero della password con codice a tempo;
• registro delle azioni fatte con l'assistente e dei documenti accettati;
• dati conservati nell'Unione europea.

Nessun sistema collegato a Internet è sicuro in assoluto: le misure riducono il rischio, non lo eliminano. Per questo una parte della sicurezza dipende anche dall'azienda cliente: la custodia delle credenziali, la protezione delle caselle di posta e degli account collegati (per esempio con la verifica in due passaggi), e le copie dei propri documenti importanti. Gli impegni reciproci sono nei Termini (art. 3 e art. 7-bis).

In caso di violazione dei dati, Viboo informa l'azienda cliente senza ingiustificato ritardo, così che possa fare le notifiche previste dagli articoli 33 e 34 GDPR.

10. Cookie e memoria del browser

TAAC usa un solo cookie, tecnico e necessario: «taac_sessione», che tiene aperto l'accesso (durata massima 30 giorni). Nella memoria del browser restano solo preferenze come i versi dell'assistente accesi o spenti. Non ci sono cookie di profilazione, di statistica o di terze parti: per questo non serve un banner di consenso (art. 122 Codice privacy e Linee guida del Garante del 10 giugno 2021).

11. I tuoi diritti

Puoi chiedere in ogni momento l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione, la portabilità, e opporti al trattamento basato sul legittimo interesse (articoli 15-22 GDPR), scrivendo a support@vibooapp.com. Rispondiamo entro un mese.

Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), piazza Venezia 11, 00187 Roma.

12. Modifiche

Versione 1.2 del 11 novembre 2026: aggiornati i fornitori (punto 5), la conservazione (punto 8), le misure di sicurezza (punto 9) e aggiunte le statistiche anonime (punto 3). Se cambia in modo sostanziale, lo diciamo nella dashboard prima che le modifiche valgano.