Informativa privacy

Questa informativa, resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR), spiega quali dati personali tratta Hawklify, perché, per quanto tempo e quali sono i tuoi diritti.

1. Chi è il titolare

Il titolare del trattamento è Marcello Gallo (ditta individuale), con nome commerciale Hawklify, con sede in Via Roma 148, Sant’Antimo (NA), Italia, partita IVA IT10786761212. Per qualsiasi domanda sulla privacy scrivi a [email protected].

Siamo titolari dei dati che servono a gestire le richieste di accesso, gli account e la sicurezza del servizio. Per i dati che l'assistente legge o modifica nell'Odoo della tua organizzazione agiamo invece come responsabile del trattamento per conto dell'organizzazione, che ne resta titolare: quel trattamento è regolato dall'accordo sul trattamento dei dati.

2. Quali dati trattiamo

• Registrazione e richieste pregresse: nome, email di lavoro, azienda, data di registrazione e fine originale della prova. URL Odoo, database e trasporto sono raccolti durante la configurazione. Le richieste pregresse includono anche utenti previsti e messaggio facoltativo.
• Prove gratuite: per concedere una sola prova a ogni casella email e a ogni database Odoo conserviamo con l'account anche una forma normalizzata dell'email (senza punti ed etichette «+» dove il provider le ignora), il numero di nuove registrazioni per giorno (senza dati personali) e, quando una prova viene eliminata, un'impronta non reversibile (HMAC con una chiave segreta) della sua email e del suo indirizzo e database Odoo.
• Account: email, nome se lo indichi, organizzazione, ruolo e permessi assegnati dall'amministratore, data di creazione e dell'ultimo accesso. La password è conservata solo come impronta (argon2id); il segreto della verifica in due passaggi è cifrato. Se accedi con Google o GitHub conserviamo solo l'identificativo di quell'account e l'indirizzo email verificato che ha comunicato, mai la sua password.
• Credenziali: la chiave API del tuo utente Odoo, che inserisci tu su una pagina protetta e che conserviamo cifrata e, per gli amministratori, i token e i repository GitHub dell'organizzazione. Sono cifrate nel nostro database e non vengono mai mostrate né inviate all'assistente.
• Applicazioni collegate: nome e indirizzi dell'applicazione che autorizzi (per esempio Claude o ChatGPT), data dell'ultimo uso e i token di accesso, conservati solo come impronta.
• Dati tecnici: indirizzo IP, data e pagina richiesta nei log del server; l'indirizzo IP serve anche, solo in memoria, a limitare i tentativi di accesso.
• Modulo contatti: nome, email, azienda (se indicata), argomento e messaggio che scrivi nel modulo contatti del sito. Il sito li invia a noi per email e non li conserva.
• Visite al sito: il sito è ospitato da Cloudflare, che tratta i dati tecnici di ogni richiesta (come indirizzo IP e pagina richiesta) per consegnare e proteggere il sito. Non usiamo strumenti di statistica.
• Registro delle modifiche: per ogni scrittura in Odoo eseguita tramite il servizio, chi l'ha fatta, quando, su quale modello e quali record. Non contiene i valori scritti.

3. I dati del tuo Odoo

Quando fai una domanda all'assistente, il servizio legge da Odoo i dati necessari con il tuo utente Odoo e li passa all'assistente. Non ne facciamo una copia duratura: restano solo per poco tempo, in memoria e cifrati nel nostro database perché ogni server del servizio possa usarli, l'indice di ricerca che crei con lo strumento di indicizzazione (cancellato dopo un'ora senza uso), i risultati delle operazioni lunghe (un'ora) e le modifiche che hai convalidato e non ancora confermato (dieci minuti). Le modifiche in Odoo partono solo dopo un'anteprima e una tua conferma.

4. Gli assistenti AI che colleghi

Sei tu, o la tua organizzazione, a scegliere l'assistente (Claude, ChatGPT, Cursor, VS Code o un altro client MCP). I dati letti da Odoo arrivano all'assistente perché li hai chiesti tu, e da quel momento il fornitore dell'assistente li tratta secondo il contratto e l'informativa che ha con te o con la tua organizzazione. Non siamo parte di quel rapporto e non inviamo all'assistente nient'altro.

5. Perché li trattiamo e su quale base

• Rispondere alla tua richiesta di accesso: misure precontrattuali (art. 6.1.b GDPR).
• Fornire il servizio, gestire l'account, inviarti inviti e link per reimpostare la password: esecuzione del contratto con la tua organizzazione (art. 6.1.b).
• Proteggere il servizio, prevenire abusi e ricostruire le modifiche fatte in Odoo: nostro legittimo interesse e quello della tua organizzazione (art. 6.1.f).
• Rispondere al messaggio che invii dal modulo contatti: misure precontrattuali e nostro legittimo interesse a risponderti (art. 6.1.b e 6.1.f).
• Adempiere a obblighi di legge, per esempio fiscali: art. 6.1.c.

Non usiamo i tuoi dati per pubblicità, non li vendiamo e non prendiamo decisioni automatizzate che ti riguardino.

6. Cookie

Il sito vetrina non usa cookie; conserva solo la tua scelta di lingua e di tema chiaro o scuro nella memoria locale del tuo browser, senza inviarcela. Le pagine del servizio usano solo cookie tecnici: la sessione dopo l'accesso (12 ore), la protezione dei moduli (un'ora) e la lingua scelta (un anno). Non usiamo cookie di profilazione né strumenti di statistica. La verifica anti-spam del modulo contatti e, se è attiva, del modulo di richiesta di accesso è fornita da Cloudflare Turnstile.

7. A chi li comunichiamo

Ai fornitori che ci servono per far funzionare il servizio, nominati responsabili del trattamento: il fornitore di hosting (Fly.io, Francoforte (Germania)), il fornitore per l'invio delle email (Resend (Plus Five Five, Inc., Stati Uniti)) e Cloudflare (hosting del sito e verifica anti-spam). I messaggi del modulo contatti ci sono recapitati da Resend. Ai nostri collaboratori autorizzati, vincolati alla riservatezza. Alle autorità, solo quando la legge lo impone.

8. Trasferimenti fuori dall'Unione europea

Il servizio e il suo database sono ospitati presso Fly.io, Francoforte (Germania). Se un fornitore tratta dati fuori dallo Spazio economico europeo, lo fa sulla base di una decisione di adeguatezza (come l'EU-U.S. Data Privacy Framework) o delle clausole contrattuali standard della Commissione europea. In particolare, le email di servizio (inviti, attivazione, reimpostazione della password) sono inviate tramite Resend, che tratta dati negli Stati Uniti sulla base dell’EU-U.S. Data Privacy Framework e delle clausole contrattuali standard. Lo stesso vale per i messaggi inviati dal modulo contatti e per Cloudflare, che ospita il sito ed esegue la verifica anti-spam.

9. Per quanto tempo

• Messaggi inviati dal modulo contatti: nella nostra casella email per il tempo necessario a risponderti e a dare seguito, poi cancellati.
• Richieste di accesso: fino alla decisione e poi 180 giorni.
• Registrazioni mai attivate (nessuna password scelta): 7 giorni, o meno se nel frattempo la tua organizzazione ti invita con la stessa email.
• Organizzazioni in prova scadute e non passate a pagamento: 30 giorni dopo l'ultimo giorno di prova, con un avviso email agli amministratori 7 giorni prima; poi le eliminiamo con account, credenziali e impostazioni.
• Impronte delle prove eliminate (email e Odoo, non reversibili): 365 giorni dall'eliminazione.
• Account, credenziali e applicazioni collegate: finché l'account esiste. L'amministratore della tua organizzazione può eliminarlo in ogni momento, e chi è in prova può eliminare la propria prova da Sicurezza; alla fine del contratto li cancelliamo come previsto dall'accordo sul trattamento dei dati.
• Token delle applicazioni: un'ora per quelli di accesso, 30 giorni per quelli di rinnovo; link di invito 7 giorni, link per reimpostare la password 30 minuti.
• Registro delle modifiche: 365 giorni.
• Numero di richieste all'assistente per utente e per giorno (per il limite giornaliero): 90 giorni.
• Dati di Odoo tenuti per poco tempo (indice di ricerca, risultati delle operazioni lunghe, modifiche in attesa di conferma): al massimo un'ora; cifrati, possono restare nelle copie di sicurezza del database fino alla loro scadenza.
• Log del server: ruotano e vengono sovrascritti; di solito restano pochi giorni.
• Copie di sicurezza del database: 14 giorni.

10. Come li proteggiamo

Connessioni sempre cifrate (HTTPS); chiavi e segreti cifrati nel database con una chiave conservata altrove; password e token conservati solo come impronta; verifica in due passaggi obbligatoria per i nostri amministratori; l'assistente lavora con il tuo utente Odoo e i permessi che Odoo ti dà, più i limiti decisi dal tuo amministratore.

11. I tuoi diritti

Puoi chiederci in ogni momento l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità, e puoi opporti ai trattamenti basati sul legittimo interesse, scrivendo a [email protected]. Per i dati che trattiamo per conto della tua organizzazione puoi rivolgerti anche al tuo amministratore; le richieste che riceviamo noi le inoltriamo a lui. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

12. Modifiche

Se cambiamo questa informativa aggiorniamo la data in alto; se il cambiamento è importante, avvisiamo gli amministratori delle organizzazioni via email.