Informativa sul trattamento dei dati personali

LBD S.r.l., Via Maso della Pieve 4C, 39100 Bolzano (BZ), Italia — P. IVA 03305620217, REA BZ-249001.

Per qualunque questione relativa ai dati personali: [email protected], oppure +39 0471 362875 (lunedì–venerdì, 09:00–13:00). Non abbiamo nominato un Responsabile della protezione dei dati (DPO), non ricorrendone i presupposti di cui all’art. 37 GDPR; le richieste indirizzate a quell’indirizzo sono comunque gestite dal titolare.

Questa informativa copre: (a) la navigazione su b-comm.io; (b) i contatti che ci invii via email o telefono; (c) la gestione del rapporto contrattuale con i nostri clienti.

Non copre i trattamenti che un’azienda cliente effettua attraverso il prodotto sui dati dei propri interlocutori: per quelli il titolare è l’azienda con cui stai parlando, che deve fornirti la propria informativa. La sezione «Quando siamo responsabili» spiega cosa facciamo in quel caso.

Questa informativa descrive anche come LBD tratta i dati identificativi dell’account Google e i dati delle integrazioni facoltative Google Calendar e YouTube. Quando trattiamo questi dati per il workspace di un Cliente, il Cliente rimane titolare e LBD opera secondo le sue istruzioni e il DPA.

Dati di navigazione

I sistemi che erogano il sito registrano automaticamente alcuni dati tecnici, necessari al funzionamento e alla sicurezza: indirizzo IP, data e ora della richiesta, pagina richiesta, esito della risposta, tipo di browser e sistema operativo, lingua preferita. Questi dati non sono usati per identificarti né per profilarti, e non sono incrociati con altre fonti.

Dati che ci fornisci tu

Su questo sito non c’è alcun modulo di contatto: se vuoi scriverci lo fai dalla tua casella di posta, all’indirizzo [email protected]. In quel caso trattiamo i dati che hai scelto di includere nel messaggio — tipicamente nome, indirizzo email, azienda e il contenuto della richiesta. Lo stesso vale per le telefonate: registriamo eventuali appunti presi durante la chiamata, non la chiamata stessa.

Cookie e tecnologie simili

Il sito utilizza esclusivamente cookie tecnici, descritti in dettaglio nella Cookie Policy. Non sono presenti cookie di profilazione né strumenti di analisi di terze parti; se in futuro dovessimo introdurli, saranno attivati solo previo tuo consenso raccolto tramite il banner.

Il conferimento dei dati è libero. Senza i dati minimi indispensabili, però, non possiamo rispondere a una richiesta né gestire un contratto: in quel caso l’effetto del rifiuto è semplicemente l’impossibilità di fornire ciò che è stato chiesto.

I dati possono essere conosciuti dal personale autorizzato di LBD, istruito ai sensi dell’art. 29 GDPR, e comunicati a fornitori che agiscono come responsabili del trattamento, nominati ai sensi dell’art. 28 GDPR. Non vendiamo dati personali e non li comunichiamo a terzi per finalità di marketing proprie di questi ultimi.

I dati possono inoltre essere comunicati a consulenti fiscali e legali, a istituti di credito per l’incasso, e alle autorità quando ciò sia imposto dalla legge o da un provvedimento.

Di seguito i fornitori attualmente utilizzati per erogare il sito e il prodotto. Alcuni intervengono solo se il cliente attiva la funzionalità corrispondente.

L’elenco è aggiornato alla data di questa informativa. I clienti che hanno sottoscritto il DPA ricevono comunicazione preventiva delle modifiche ai sub-responsabili e possono opporsi nei termini ivi previsti.

L’infrastruttura principale e i dati del prodotto risiedono nell’Unione Europea. Alcuni fornitori indicati sopra hanno sede negli Stati Uniti: nei loro confronti il trasferimento avviene sulla base delle Clausole Contrattuali Tipo approvate dalla Commissione europea (decisione 2021/914) e, ove applicabile, dell’adesione del fornitore al EU–US Data Privacy Framework, accompagnate da misure supplementari quali la cifratura in transito e la minimizzazione dei dati trasmessi.

Ai fornitori di modelli di intelligenza artificiale viene trasmesso il contenuto strettamente necessario a generare la risposta. Tali contenuti non sono utilizzati per addestrare i loro modelli.

I periodi di conservazione sono indicati nella tabella delle finalità. Al termine, i dati sono cancellati o resi anonimi in modo irreversibile, salvo che una norma di legge ne imponga la conservazione più lunga o che siano necessari per l’accertamento, l’esercizio o la difesa di un diritto in giudizio.

In qualunque momento puoi esercitare i diritti previsti dagli articoli 15–22 del GDPR:

• accesso: sapere se trattiamo tuoi dati e ottenerne una copia;
• rettifica: correggere dati inesatti o integrarli se incompleti;
• cancellazione: ottenere la rimozione dei dati, nei casi previsti dalla legge;
• limitazione: chiedere che i dati siano conservati ma non ulteriormente trattati;
• portabilità: ricevere i dati in formato strutturato e leggibile da dispositivo automatico, o farli trasmettere a un altro titolare;
• opposizione: opporti ai trattamenti fondati sul legittimo interesse, compreso il marketing diretto, in qualsiasi momento e senza dover motivare;
• revoca del consenso: dove il trattamento si fonda sul consenso, revocarlo, senza che ciò pregiudichi la liceità del trattamento già effettuato.

Per esercitarli scrivi a [email protected]. Rispondiamo senza ingiustificato ritardo e comunque entro un mese, prorogabile di due mesi per richieste complesse, dandone in tal caso comunicazione motivata. L’esercizio dei diritti è gratuito, salvo richieste manifestamente infondate o eccessive.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it) o all’autorità di controllo dello Stato membro in cui risiedi.

Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sulle persone, ai sensi dell’art. 22 GDPR.

Il prodotto include un agente di intelligenza artificiale che redige risposte automatiche ai messaggi in arrivo. Tale agente non assume decisioni sulle persone: quando la richiesta esce dal perimetro configurato, la conversazione viene passata a un operatore umano. Le regole di passaggio sono configurate dall’azienda cliente, che resta titolare del trattamento.

Se hai scritto a un’azienda che utilizza LBD Business Communicator — sul suo sito, su WhatsApp, via email o dalla sua app — i tuoi dati sono nel suo spazio di lavoro. Quell’azienda decide perché e come trattarli, ed è a lei che devi rivolgerti per esercitare i tuoi diritti. Noi li trattiamo soltanto su sua istruzione, per farle funzionare il servizio.

Se ci scrivi comunque, non potendo noi disporre di quei dati, inoltreremo la tua richiesta all’azienda titolare quando siamo in grado di identificarla, informandoti di averlo fatto.

Nei confronti dei nostri clienti applichiamo un Accordo sul trattamento dei dati conforme all’art. 28 GDPR, che disciplina istruzioni, riservatezza, misure di sicurezza, ricorso a sub-responsabili, assistenza nell’evasione dei diritti degli interessati, notifica delle violazioni, audit e restituzione o cancellazione dei dati alla fine del rapporto.

Le integrazioni social sono facoltative. Un utente autorizzato del Cliente collega tramite OAuth i profili, le Pagine, gli account Pinterest o i canali YouTube che vuole utilizzare e seleziona le identità destinate al workspace corrente. Le autorizzazioni e i dati di ciascun collegamento sono conservati nel relativo workspace: collegare un account non lo rende disponibile agli altri workspace.

Per eseguire le funzioni attivate dal Cliente trattiamo identificativi degli account e dei contenuti, nome del profilo o canale, username, immagini del profilo, indirizzi pubblici, permessi concessi e token OAuth cifrati. Possiamo leggere i contenuti e i relativi metadati solo nei limiti dei permessi effettivamente concessi e delle API disponibili. Inviamo al provider i testi, i file e i metadati che gli utenti autorizzati scelgono di pubblicare, anche attraverso una programmazione o un’approvazione del workspace.

Quando trattiamo questi dati per conto del Cliente, il Cliente resta titolare e LBD opera secondo le sue istruzioni e il DPA. I provider trattano inoltre i dati secondo le proprie informative e condizioni; il collegamento di un canale non li qualifica automaticamente come sub-responsabili di LBD. Le informative di LinkedIn e Pinterest sono consultabili qui:

• Informativa privacy di LinkedIn
• Informativa privacy di Pinterest

Il collegamento di Google Calendar è facoltativo e riguarda il collaboratore e il workspace in cui viene confermato. Riceviamo l’indirizzo email e l’identificativo dell’account Google per riconoscere l’account collegato. Conserviamo le autorizzazioni concesse, i token OAuth cifrati e lo stato del collegamento e, quando disponibili, il fuso orario del calendario principale e l’indicazione della disponibilità di Google Meet. Non riceviamo la password dell’account Google.

L’integrazione crea, aggiorna e annulla sul calendario principale dell’account collegato gli eventi degli appuntamenti prenotati tramite LBD e, se abilitato, genera un collegamento Google Meet. Inviamo a Google titolo, orari di inizio e fine, fuso orario e descrizione dell’appuntamento; la descrizione può includere nome e indirizzo email dell’ospite e una nota sull’appuntamento. Leggiamo le informazioni di sincronizzazione e videoconferenza dell’evento interessato e conserviamo identificativo dell’evento, identificativo di versione (ETag), collegamento Meet e stato di sincronizzazione per aggiornare la prenotazione e fornire il collegamento di accesso. La funzione attuale non importa il calendario dell’utente come rubrica o fonte di conoscenza. Le conferme e i collegamenti di accesso vengono inviati da LBD ai partecipanti selezionati; l’integrazione non li aggiunge come invitati dell’evento Google.

Dati identificativi, autorizzazioni e token del collegamento sono conservati finché il collegamento viene mantenuto. Scollegare Google Calendar elimina da LBD quel collegamento e i token conservati e tenta di revocare l’autorizzazione Google. La revoca può incidere anche su altri collegamenti che usano la stessa autorizzazione Google. Lo scollegamento non elimina gli eventi già creati in Google né lo storico degli appuntamenti del Cliente: riferimenti agli eventi, informazioni di sincronizzazione e collegamenti Meet esistenti rimangono associati alle prenotazioni finché il Cliente conserva quello storico. Per chiedere la cancellazione dei dati detenuti da LBD, contatta il Cliente titolare del workspace oppure [email protected], indicando workspace e account senza inviare password o token. Le richieste sono gestite secondo le sezioni di questa informativa sui diritti e sul ruolo di responsabile, e gli obblighi di legge applicabili. Gli eventi presenti in Google possono essere gestiti anche direttamente in Google Calendar.

L’utilizzo e il trasferimento da parte di LBD Business Communicator dei dati ricevuti dalle API Google Workspace, inclusi dati grezzi, aggregati e derivati, rispettano la Google API Services User Data Policy e i requisiti Limited Use.

Le nostre integrazioni Google Calendar e YouTube sono separate dalle funzionalità AI dell’applicazione. I dati ottenuti tramite queste integrazioni non vengono inviati a servizi AI/ML né utilizzati come input per le funzionalità AI.

Non utilizziamo, trasferiamo o vendiamo i dati ricevuti dalle API Google, inclusi dati grezzi, aggregati o derivati, per creare, addestrare o migliorare modelli AI/ML di base o di uso generale.

I dati delle integrazioni Google sono utilizzati soltanto per fornire le funzioni autorizzate dall’utente. L’accesso degli utenti del workspace è limitato a quelli autorizzati dal Cliente. Il personale LBD può leggere i dati delle integrazioni Google soltanto con il consenso esplicito dell’utente per uno specifico intervento di assistenza, quando necessario per finalità di sicurezza, come indagini su bug o abusi, oppure per rispettare la legge applicabile. I dati sono trasmessi a Google per eseguire le operazioni richieste e, quando necessario, ai fornitori di hosting, archiviazione, sicurezza e invio email che gestiscono il servizio secondo le nostre istruzioni; i partecipanti selezionati ricevono i dettagli dell’appuntamento e i collegamenti necessari alla riunione. I token OAuth sono cifrati a riposo, le connessioni pubbliche usano HTTPS e l’accesso è limitato dai controlli del workspace e dall’isolamento del database. Non vendiamo i dati degli utenti Google e non li utilizziamo né trasferiamo per pubblicità, profilazione commerciale, valutazioni del merito creditizio o decisioni di finanziamento. Come indicato sopra, i dati ottenuti tramite le integrazioni Google non vengono inviati a servizi AI/ML né utilizzati come input per le funzioni AI.

• Google API Services User Data Policy
• Google Workspace API User Data and Developer Policy

La funzione YouTube utilizza i servizi API di YouTube. Con il consenso OAuth possiamo accedere agli identificativi e ai metadati dei canali e dei video autorizzati, per esempio nome del canale, titolo, descrizione, miniature, indirizzo del video, stato di pubblicazione e visibilità. Per pubblicare inviamo a Google il video selezionato e i dati impostati dall’utente, come titolo, descrizione, tag, categoria, visibilità e indicazioni sul pubblico o sui contenuti sintetici. Non riceviamo la password del tuo account Google. Leggiamo anche conteggi aggregati delle interazioni, come il numero di Mi piace e commenti, per mostrarli nel workspace accanto ai video del canale autorizzato.

Aggiorniamo o eliminiamo entro 30 giorni le copie conservate dei dati ottenuti dalle API YouTube. Questa regola riguarda i dati restituiti dalle API, non i contenuti che il Cliente ha scritto o caricato autonomamente. Puoi richiedere la cancellazione dei dati API conservati da LBD: li eliminiamo il prima possibile e comunque entro 7 giorni di calendario dalla richiesta.

Un amministratore del workspace può usare Settings → Channels → Social publishing → YouTube → Delete stored YouTube API data, con conferma esplicita. L’azione riguarda tutti i collegamenti YouTube del solo workspace corrente: elimina i dati API di account e post e i token OAuth di autorizzazione dei canali collegati, anche quando i campi API appartengono a post storici, e disconnette i canali. Se è attivo un caricamento, la richiesta resta registrata come in attesa mentre termina; nuove connessioni e pubblicazioni YouTube del workspace sono sospese. La configurazione dell’app del workspace, inclusi client ID e client secret BYO, non viene rimossa da questa azione. Puoi anche scrivere a [email protected] indicando workspace e canale, senza inviare password o token.

La cancellazione locale dei dati API non elimina i video pubblicati su YouTube. Restano i file caricati dal Cliente, le caption e gli altri testi scritti dagli utenti, le bozze e la cronologia del workspace, privata dei campi API rimossi. Questi contenuti restano soggetti alle istruzioni del Cliente e alle altre regole di conservazione applicabili. La semplice rimozione di un singolo canale dal workspace è distinta dalla richiesta di cancellazione dei dati API.

La revoca del consenso Google è un’azione separata, disponibile nella tua pagina personale delle autorizzazioni Google. Una revoca può incidere anche su Google Calendar e sui collegamenti di altri workspace che dipendono dalla stessa autorizzazione. La cancellazione locale non esegue automaticamente questa revoca. Google tratta i dati secondo la propria Informativa privacy e l’uso di YouTube è soggetto ai suoi Termini di servizio.

• Apri le impostazioni Social publishing del workspace
• Richiedi la cancellazione a [email protected]
• Gestisci o revoca le autorizzazioni del tuo account Google
• Informativa privacy di Google
• Termini di servizio di YouTube

Adottiamo misure tecniche e organizzative adeguate al rischio, fra cui:

• cifratura del traffico in transito su tutti i canali pubblici;
• separazione dei dati fra aziende clienti imposta dal database stesso, oltre che dall’applicazione;
• separazione dei contenuti fra i diversi pubblici configurati da ciascun cliente;
• autenticazione degli operatori tramite un sistema di identità dedicato, con ruoli e permessi granulari;
• registri di audit delle operazioni compiute dagli operatori;
• accesso ai sistemi limitato al personale autorizzato, secondo il principio del privilegio minimo;
• backup periodici e procedure di ripristino;
• aggiornamento regolare dei componenti software e monitoraggio delle vulnerabilità note.

In caso di violazione dei dati personali notifichiamo l’autorità di controllo entro 72 ore dal momento in cui ne veniamo a conoscenza, quando ne ricorrono i presupposti di legge, e informiamo gli interessati quando la violazione comporti un rischio elevato per i loro diritti e libertà. Quando agiamo come responsabili, informiamo senza ingiustificato ritardo il cliente titolare, affinché possa adempiere ai propri obblighi.

Il sito e il prodotto si rivolgono a professionisti e imprese e non sono destinati a minori di 16 anni. Non raccogliamo consapevolmente dati di minori. Se ritieni che un minore ci abbia fornito dati personali, scrivici: provvederemo alla cancellazione.

Possiamo aggiornare questa informativa per riflettere cambiamenti nel servizio, nei fornitori o nella normativa. La versione vigente è sempre quella pubblicata su questa pagina, con l’indicazione della data di ultimo aggiornamento. In caso di modifiche sostanziali informiamo i clienti via email.