Informativa sulla Privacy

1. Premessa e Titolare del Trattamento

La presente Informativa sulla Privacy (di seguito "Informativa") è resa ai sensi dell'art. 13 e 14 del Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016 (di seguito "GDPR"), del D.Lgs. 30 giugno 2003, n. 196, come modificato dal D.Lgs. 10 agosto 2018, n. 101 (di seguito "Codice Privacy"), nonché delle Linee Guida emanate dal Garante per la Protezione dei Dati Personali e dal Comitato Europeo per la Protezione dei Dati (EDPB).

Titolare del trattamento dei dati personali è Quario S.r.l.(di seguito "Quario", "noi" o "Titolare"), con sede legale in Italia, sito web: www.quario.ai, indirizzo email di contatto: privacy.eu@quario.ai.

L'Informativa si applica a tutti i servizi offerti attraverso la piattaforma Quario, comprensiva del servizio core di creazione e gestione di Voice Card con assistente AI, del modulo Quario Automations (il motore di automazione nativo della piattaforma), dei servizi AR (Augmented Reality), del sistema di Lead Management, del QR Code Designer, del Page Builder, del Knowledge Base (RAG) e di ogni ulteriore funzionalità accessoria.

2. Responsabile della Protezione dei Dati (DPO)

Il Titolare ha nominato un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR, contattabile al seguente indirizzo: privacy.eu@quario.ai. Il DPO supervisiona il rispetto della normativa in materia di protezione dei dati e costituisce il punto di contatto per gli Interessati e per l'Autorità Garante.

3. Categorie di Dati Personali Trattati

3.1 Dati forniti volontariamente dall'Utente

• Dati di registrazione: nome, cognome, indirizzo email, password (archiviata in formato hash), immagine del profilo (opzionale).
• Dati della Voice Card:nome, cognome, titolo professionale, nome dell'azienda, numero di telefono, indirizzo email professionale, indirizzo fisico, sito web, profili social media, logo aziendale, orari di apertura, messaggio di benvenuto, descrizione dei servizi.
• Contenuti AI: frasi di saluto personalizzate, istruzioni per il modello linguistico (AI persona), regole di moderazione, topic consentiti e bloccati, parole chiave di moderazione.
• Knowledge Base: documenti caricati (PDF, testo, file multimediali) utilizzati per il Retrieval-Augmented Generation (RAG).
• Dati di fatturazione: informazioni di pagamento, codice fiscale/partita IVA, indirizzo di fatturazione. I dati delle carte di credito sono trattati esclusivamente da Stripe, Inc. in qualità di sub-responsabile PCI DSS Level 1.
• Dati del Team: inviti email, ruoli dei membri, allocazione crediti.
• Dati di automazione: flussi di lavoro (workflow) configurati tramite Quario Automations, webhook URL, segreti di autenticazione (crittografati AES-256-GCM).
• Contenuti AR: modelli 3D caricati, configurazioni delle esperienze AR, impostazioni delle scene.
• Form e sondaggi: configurazione dei moduli, logica condizionale, trigger di automazione.

3.2 Dati raccolti automaticamente

• Dati di navigazione: indirizzo IP, tipo di browser, sistema operativo, pagine visitate, timestamp delle visite, referrer URL.
• Cookie e tecnologie simili: come descritto nella sezione 11.
• Dati analitici: numero di scansioni QR, numero di conversazioni avviate dai visitatori, tasso di engagement, metriche di lead collection, durata delle sessioni.
• Dati di geolocalizzazione: coordinate GPS (solo previo consenso esplicito) per la funzionalità di Discovery e la mappa pubblica delle Voice Card.
• Dati delle conversazioni AI:trascrizioni delle conversazioni tra i visitatori della Voice Card e l'assistente AI, inclusi messaggi di testo, timestamp, durata della sessione, lingua rilevata, identificatore della sessione.

3.3 Dati dei Lead (visitatori della Voice Card)

• Dati raccolti conversazionalmente:nome, email, telefono, azienda, ruolo e ulteriori informazioni fornite spontaneamente durante la conversazione con l'AI, estratti mediante Natural Language Processing.
• Dati da form: campi compilati nei moduli di contatto e nei sondaggi presentati durante la conversazione.
• Metadati di arricchimento:browser, dispositivo, lingua del browser, fuso orario, città/regione/paese (derivati dall'IP), numero di sessioni, pagine viste, referrer, UTM parameters, engagement score.
• Dati AR:tipo di dispositivo AR utilizzato, durata dell'esperienza AR, interazioni con i modelli 3D.

4. Finalità e Basi Giuridiche del Trattamento

5. Trattamento dei Dati da parte dell'Intelligenza Artificiale

Quario utilizza modelli linguistici di terze parti (tra cui OpenAI GPT-4 e successori) per erogare il servizio di assistente AI delle Voice Card. In relazione a tale trattamento, si precisa quanto segue:

• Input dell'utente:i messaggi inviati dai visitatori all'assistente AI vengono trasmessi al fornitore del modello linguistico esclusivamente per la generazione della risposta. OpenAI, in qualità di sub-responsabile del trattamento, è contrattualmente vincolata a non utilizzare tali dati per l'addestramento dei propri modelli (in conformità alla API Data Usage Policy di OpenAI).
• Moderazione dei contenuti:il sistema applica filtri di moderazione configurabili (parole chiave, regex, categorie tossiche, analisi tematica) sia a livello locale che attraverso l'API di moderazione di OpenAI, al fine di garantire risposte sicure e conformi alle policy stabilite dal creatore della Voice Card.
• Knowledge Base (RAG): i documenti caricati vengono elaborati mediante processi di chunking, embedding e indicizzazione vettoriale per consentire il recupero contestuale delle informazioni durante le conversazioni. Gli embedding sono generati da OpenAI e archiviati localmente nel database della piattaforma.
• Assenza di profilazione automatizzata:le conversazioni AI non vengono utilizzate per decisioni automatizzate che producano effetti giuridici significativi sull'Interessato ai sensi dell'art. 22 GDPR. L'estrazione dei dati di contatto dai lead avviene mediante NLP ma è sempre soggetta a revisione e gestione manuale da parte del creatore della Voice Card.
• Conservazione:le trascrizioni delle conversazioni sono conservate per la durata dell'abbonamento dell'Utente e sono eliminabili in qualsiasi momento mediante la funzionalità di cancellazione nella dashboard.

6. Quario Automations

Quario Automations è il modulo di automazione dei flussi di lavoro integrato nella piattaforma, sviluppato da Quario ed eseguito sulla propria infrastruttura. In relazione al trattamento dei dati:

• Webhook:i dati trasmessi attraverso webhook configurati dall'Utente vengono firmati digitalmente (HMAC-SHA256) per garantire l'integrità e l'autenticità. I segreti di autenticazione sono crittografati con AES-256-GCM.
• Flussi di lavoro:le automazioni possono elaborare dati personali (ad es. dati di lead, notifiche, aggiornamenti CRM) in base alla configurazione dell'Utente. L'Utente è responsabile di garantire che le automazioni configurate rispettino la normativa applicabile.
• Integrazioni di terze parti:le automazioni possono connettere Quario a servizi esterni (Google Calendar, Slack, CRM, ecc.). Il trasferimento di dati a tali servizi avviene sotto la responsabilità dell'Utente, che deve verificare le relative informative privacy.
• Log di esecuzione: Quario conserva log di esecuzione delle automazioni per 30 giorni ai fini di debug e troubleshooting, dopodiché vengono eliminati automaticamente.
• Isolamento dei dati: ogni istanza di Quario Automations è isolata per tenant (utente/team), garantendo la segregazione dei dati tra diversi utenti della piattaforma.

7. Destinatari e Sub-responsabili del Trattamento

I dati personali potranno essere comunicati ai seguenti soggetti, debitamente nominati Responsabili del trattamento ai sensi dell'art. 28 GDPR mediante Data Processing Agreement (DPA):

I dati personali non saranno ceduti, venduti o noleggiati a terzi per finalità di marketing diretto senza il previo consenso esplicito dell'Interessato.

8. Trasferimento dei Dati verso Paesi Terzi

Alcuni dei sub-responsabili elencati nella sezione precedente hanno sede negli Stati Uniti d'America. Il trasferimento dei dati personali verso gli USA avviene ai sensi dell'art. 46 GDPR sulla base di:

• Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914 del 4 giugno 2021;
• Adesione al EU-US Data Privacy Framework (DPF), ove applicabile, ai sensi della Decisione di adeguatezza della Commissione Europea del 10 luglio 2023;
• Misure supplementari di sicurezza tecnica (crittografia end-to-end dei trasporti, anonimizzazione ove possibile, minimizzazione dei dati trasmessi).

Il Titolare effettua periodicamente Transfer Impact Assessment (TIA) per valutare l'adeguatezza delle garanzie applicate ai trasferimenti internazionali.

9. Diritti dell'Interessato

Ai sensi degli articoli da 15 a 22 del GDPR e degli articoli 2-ter e seguenti del Codice Privacy, l'Interessato ha diritto di:

• Accesso (Art. 15):ottenere la conferma dell'esistenza di un trattamento e l'accesso ai propri dati personali, nonché informazioni sulle finalità, le categorie di dati, i destinatari e il periodo di conservazione.
• Rettifica (Art. 16):ottenere la correzione di dati personali inesatti o l'integrazione di dati incompleti. Nella piattaforma Quario, ciò è possibile direttamente dalla sezione "Account" e dalle impostazioni della Voice Card.
• Cancellazione — "Diritto all'Oblio" (Art. 17): ottenere la cancellazione dei propri dati personali, nei limiti previsti dalla legge. La cancellazione dell'account comporta l'eliminazione irreversibile di tutte le Voice Card, conversazioni, lead, documenti della Knowledge Base, automazioni e configurazioni AR associate.
• Limitazione del Trattamento (Art. 18): ottenere la limitazione del trattamento nei casi previsti dalla normativa.
• Portabilità dei Dati (Art. 20): ricevere i propri dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico (JSON/CSV), e trasmetterli a un altro titolare.
• Opposizione (Art. 21): opporsi al trattamento dei propri dati basato sul legittimo interesse, compresa la profilazione.
• Revoca del Consenso (Art. 7): revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca.
• Non essere sottoposto a decisioni automatizzate (Art. 22): non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici significativi.

Per esercitare i propri diritti, l'Interessato può inviare una richiesta a: privacy.eu@quario.ai oppure tramite la funzionalità integrata nella sezione Account della piattaforma. Il Titolare risponderà entro 30 giorni dal ricevimento della richiesta, prorogabili di ulteriori 60 giorni in caso di complessità della richiesta (art. 12(3) GDPR).

10. Diritto di Reclamo all'Autorità di Controllo

L'Interessato ha il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (Piazza Venezia, 11 — 00187 Roma — www.garanteprivacy.it) ai sensi dell'art. 77 GDPR, qualora ritenga che il trattamento dei propri dati personali violi la normativa vigente.

11. Cookie e Tecnologie di Tracciamento

11.1 Cookie Tecnici (Necessari)

Cookie essenziali per il funzionamento della piattaforma, inclusi cookie di sessione (autenticazione), cookie di preferenza (tema chiaro/scuro, lingua dell'interfaccia), cookie anti-CSRF. Questi cookie non richiedono consenso ai sensi dell'art. 122, comma 1, del Codice Privacy e della Direttiva 2002/58/CE (ePrivacy).

11.2 Cookie Analitici (Prima Parte)

Cookie utilizzati internamente per la raccolta di statistiche aggregate (numero di scansioni QR, conversazioni avviate, engagement rate) necessarie per la funzionalità Analytics della piattaforma. Tali dati sono trattati in forma aggregata e anonimizzata ove possibile.

Sulle VoiceCard pubbliche un cookie di prima parte HttpOnly (quario-returning-visitor-<organizzazione>) contiene un identificativo casuale firmato, valido per una sola organizzazione, che permette di riconoscere lo stesso browser e di aggiornare il lead già aperto invece di crearne un duplicato. Non contiene dati personali e scade dopo 90 giorni dall'ultima conversazione.

11.3 Cookie di Terze Parti

La piattaforma può utilizzare cookie di terze parti per l'integrazione con servizi esterni (Stripe per i pagamenti, Google Maps per la geolocalizzazione, servizi di embed video). Tali cookie sono soggetti alle informative privacy dei rispettivi fornitori e vengono installati solo previo consenso dell'Utente mediante il banner di gestione dei cookie.

11.4 LocalStorage e SessionStorage

La piattaforma utilizza le API di Web Storage (localStorage e sessionStorage) per funzionalità tecniche quali: memorizzazione dello stato dell'utente autenticato, configurazioni temporanee per il preview AR desktop, preferenze dell'interfaccia. Tali dati sono trattati localmente nel browser dell'Utente e non trasmessi a server di terze parti.

12. Misure di Sicurezza

Il Titolare ha adottato misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tra cui:

• Crittografia in transito: tutte le comunicazioni sono protette da TLS 1.2+ (HTTPS obbligatorio).
• Crittografia a riposo: i database sono crittografati. I segreti dei webhook sono crittografati con AES-256-GCM con chiavi derivate.
• Hashing delle password: le password sono archiviate utilizzando algoritmi di hashing sicuri (bcrypt/scrypt) con salt unico per utente.
• Watermark digitale:la pagina pubblica di verifica controlla i metadati di esportazione firmati (HMAC-SHA256) incorporati in un file SVG di QR Code. La verifica dimostra solo che quei metadati non sono stati modificati e che indicano una VoiceCard pubblica: non dimostra che l'immagine non sia stata alterata. L'esportazione di QR Code firmati non è attualmente disponibile, quindi i QR Code scaricati non contengono un watermark.
• Isolamento multi-tenant: i dati di ciascun utente/team sono logicamente isolati a livello di database mediante filtri di ownership verificati server-side.
• Rate limiting: protezione contro attacchi brute-force e abusi delle API.
• Controllo accessi: sistema di ruoli granulare (system_admin, enterprise_owner, business_owner, manager, collaborator) con principio del minimo privilegio.
• Backup: backup giornalieri con retention di 30 giorni, conservati in data center europei.
• Audit logging: registrazione delle operazioni sensibili (login, modifica dati, cancellazione, impersonation) per finalità di sicurezza e compliance.
• Content Security Policy (CSP): header di sicurezza per la protezione contro attacchi XSS e code injection.

13. Trattamento dei Dati dei Minori

I servizi Quario sono destinati esclusivamente a persone fisiche che abbiano compiuto il sedicesimo anno di età, in conformità all'art. 8 GDPR e all'art. 2-quinquies del Codice Privacy (che fissa a 14 anni l'età per il consenso digitale in Italia per i servizi della società dell'informazione). Qualora il Titolare venga a conoscenza del trattamento di dati di soggetti di età inferiore ai limiti previsti dalla legge senza il consenso del genitore o tutore legale, provvederà alla tempestiva cancellazione di tali dati.

14. Ruolo dell'Utente come Titolare Autonomo

Quando un Utente crea una Voice Card e raccoglie dati personali dei propri visitatori (lead), l'Utente assume il ruolo di Titolare autonomo del trattamentoper quanto riguarda i dati dei propri lead. In tale veste, l'Utente è tenuto a:

• Informare i propri visitatori circa il trattamento dei loro dati personali;
• Ottenere le basi giuridiche necessarie per la raccolta e l'utilizzo dei dati;
• Rispondere alle richieste di esercizio dei diritti dei propri lead;
• Configurare le automazioni (Quario Automations) in conformità alla normativa applicabile;
• Garantire che le integrazioni con servizi terzi configurate nelle automazioni rispettino i requisiti di protezione dei dati.

Quario agisce in qualità di Responsabile del trattamento(art. 28 GDPR) per conto dell'Utente/Titolare per quanto riguarda l'archiviazione, l'elaborazione e la trasmissione dei dati dei lead raccolti attraverso la piattaforma.

15. Dati di Realtà Aumentata (AR)

Le funzionalità di Realtà Aumentata (AR Manager e AR Studio) possono comportare il trattamento di dati aggiuntivi:

• Accesso alla fotocamera:le esperienze AR richiedono l'accesso alla fotocamera del dispositivo dell'utente finale. Tale accesso avviene previo consenso esplicito e i flussi video della fotocamera sono elaborati localmente sul dispositivo per il rendering AR (SLAM tracking). Nessun frame video viene trasmesso o archiviato sui server di Quario.
• Sensori del dispositivo: accelerometro, giroscopio e altri sensori possono essere utilizzati per il posizionamento degli oggetti 3D. Tali dati sono elaborati localmente e non vengono raccolti.
• Modelli 3D: i modelli 3D caricati dagli Utenti sono archiviati sui server di Quario e serviti ai visitatori tramite CDN. I metadati dei modelli (nome, dimensione, formato, categorie) sono trattati per finalità di gestione della libreria.

16. Data Breach

In caso di violazione dei dati personali (data breach) ai sensi dell'art. 33 e 34 GDPR, il Titolare:

• Notificherà la violazione al Garante per la Protezione dei Dati Personali entro 72 ore dalla scoperta, salvo che la violazione non presenti rischi per i diritti e le libertà delle persone fisiche;
• Comunicherà la violazione agli Interessati senza ingiustificato ritardo qualora la violazione presenti un rischio elevato per i loro diritti e libertà;
• Documenterà ogni violazione nel Registro dei Data Breach interno.

17. Registro del Trattamento

Il Titolare mantiene un Registro delle attività di trattamento ai sensi dell'art. 30 GDPR, contenente tutte le informazioni richieste dalla normativa, disponibile su richiesta dell'Autorità Garante.

18. Modifiche alla presente Informativa

Il Titolare si riserva di modificare la presente Informativa in qualsiasi momento. Le modifiche sostanziali saranno comunicate agli Utenti registrati mediante notifica via email e/o avviso in piattaforma con almeno 30 giorni di preavviso. L'utilizzo continuato dei servizi dopo la comunicazione delle modifiche costituisce accettazione della versione aggiornata dell'Informativa.

La versione attuale dell'Informativa è sempre disponibile all'indirizzo /privacyall'interno della piattaforma Quario.

19. Legge Applicabile e Foro Competente

La presente Informativa è disciplinata dalla legge italiana e dal diritto dell'Unione Europea in materia di protezione dei dati personali. Per ogni controversia relativa all'interpretazione o applicazione della presente Informativa, sarà competente in via esclusiva il Foro del luogo di residenza o domicilio dell'Interessato, se situato nel territorio italiano, ai sensi dell'art. 33 del Codice del Consumo (D.Lgs. 206/2005), oppure il Foro di Milano in caso di controversie tra imprenditori.

20. Contatti

Per qualsiasi domanda o richiesta relativa alla presente Informativa o al trattamento dei dati personali:

• Privacy e protezione dati (EU): privacy.eu@quario.ai
• Supporto Italia: support-it@quario.ai
• Informazioni generali: info@quario.ai
• Sito web: www.quario.ai