Informativa sulla privacy

Questa informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 (Codice privacy) a chi visita il sito www.prynt.it, a chi ci scrive tramite il modulo di contatto o l'assistenza e agli utenti dell'applicazione Prynt (app.prynt.it, api.prynt.it).

1. Titolare del trattamento

Il titolare del trattamento è [RAGIONE SOCIALE], con sede legale in [SEDE LEGALE], P.IVA [P.IVA] (Prynt, noi). Per qualsiasi questione relativa ai dati personali puoi scrivere a [EMAIL PRIVACY].

Responsabile della protezione dei dati (DPO): [DPO — nominativo e contatti, oppure: "non nominato, in quanto non obbligatorio ai sensi dell'art. 37 GDPR"].

2. Quando Prynt è titolare e quando è responsabile

Prynt è un servizio che i clienti (imprese) usano per generare documenti a partire dai propri dati. Bisogna distinguere due situazioni:

• Dati dei clienti trattati nel servizio: i dati che un cliente carica o rende accessibili a Prynt (template, asset, dati letti dai suoi database al momento della generazione, documenti generati, registri delle esecuzioni). Per questi dati il titolare è il cliente e Prynt agisce come responsabile del trattamento (art. 28 GDPR) secondo l'Accordo sul trattamento dei dati. Se i tuoi dati compaiono nei documenti generati da un nostro cliente (ad esempio sei un suo cliente o fornitore), rivolgiti a lui per informazioni ed esercizio dei diritti.
• Dati trattati da Prynt per finalità proprie: i dati di navigazione del sito, le richieste di contatto, gli account degli utenti, la sicurezza della piattaforma, l'assistenza, le licenze e la fatturazione. Per questi Prynt è titolare ed è a loro che si riferisce questa informativa.

3. Dati trattati, finalità, basi giuridiche e conservazione

3.1 Navigazione del sito e dell'applicazione

Quando visiti www.prynt.it, app.prynt.it o api.prynt.it, il server che riceve le richieste (reverse proxy) registra dati tecnici come indirizzo IP, data e ora, indirizzo richiesto, codice di risposta, browser e sistema operativo (user agent) e pagina di provenienza.

• Finalità: fornire le pagine, garantire la sicurezza e prevenire abusi (ad esempio limitare tentativi di accesso ripetuti), diagnosticare malfunzionamenti.
• Base giuridica: legittimo interesse di Prynt alla sicurezza e al funzionamento del servizio (art. 6.1.f GDPR).
• Conservazione: [PERIODO CONSERVAZIONE LOG — es. 30 giorni], salvo necessità di accertare illeciti. I contatori usati per limitare i tentativi ripetuti sono tenuti solo in memoria per pochi minuti.

Il sito www.prynt.it è statico: non usa strumenti di analisi statistica, pixel di tracciamento, pubblicità o servizi esterni (font, script o immagini sono serviti dai nostri server).

3.2 Lingua del sito e geolocalizzazione dell'indirizzo IP

Quando apri www.prynt.it senza aver scelto una lingua, il sito viene mostrato in italiano a chi si trova in Italia, a San Marino o nella Città del Vaticano, e in inglese a tutti gli altri. Per conoscere il paese, il server cerca l'indirizzo IP della tua richiesta in un database di geolocalizzazione conservato sul nostro stesso server (DB-IP "IP to Country Lite"): nessun servizio esterno viene contattato.

Il tuo indirizzo IP viene usato solo per questa ricerca, in memoria, mentre la pagina viene servita: il rilevamento della lingua non lo salva, non lo registra nei log e non lo condivide, e conserva soltanto la lingua risultante. Quando il paese non può essere determinato, viene usata la lingua preferita dal tuo browser.

Se scegli una lingua con il selettore nell'intestazione o nel piè di pagina, il sito memorizza la tua scelta in un cookie tecnico chiamato prynt_locale (valore "en" o "it", valido un anno), che prevale sul rilevamento automatico. Il sito non usa cookie di analisi né pubblicitari. Dettagli nell'informativa cookie.

• Base giuridica: legittimo interesse a mostrare il sito nella lingua più adatta (art. 6.1.f GDPR).

Dati di geolocalizzazione IP: IP Geolocation by DB-IP, con licenza CC BY 4.0.

3.3 Modulo di contatto e richieste commerciali

Se ci scrivi tramite il modulo della pagina Contatti (richiesta di licenza, demo, partnership o altro), trattiamo: nome e cognome, azienda, email, telefono (facoltativo), paese, ruolo, argomento e testo del messaggio, lingua, pagina di provenienza e data e ora in cui hai preso visione di questa informativa. Non conserviamo l'indirizzo IP né il browser di chi invia il modulo. Conserviamo anche le risposte che ti inviamo, come storico della conversazione.

• Finalità: rispondere alla richiesta, preparare un'offerta o una licenza, dare seguito ai contatti commerciali da te richiesti.
• Base giuridica: esecuzione di misure precontrattuali adottate su tua richiesta (art. 6.1.b GDPR) e legittimo interesse a gestire i rapporti commerciali con le imprese (art. 6.1.f GDPR).
• Conservazione: [PERIODO CONSERVAZIONE CONTATTI — es. 24 mesi dall'ultimo contatto], poi i dati vengono cancellati, salvo che la richiesta si traduca in un contratto (in tal caso vale il punto 3.6).
• Non ti iscriviamo a newsletter né ti inviamo comunicazioni promozionali senza un consenso separato.

3.4 Account dell'applicazione

Per registrarti e usare l'applicazione trattiamo: email, nome visualizzato, lingua, password (conservata solo come impronta crittografica non reversibile), dati dell'autenticazione a due fattori (il segreto è cifrato, i codici di recupero sono conservati solo come impronte), sessioni attive (indirizzo IP, browser, date di creazione e ultimo uso), dispositivi ricordati dopo la verifica a due fattori, appartenenza a organizzazioni e workspace con i relativi ruoli, inviti ricevuti e inviati.

• Finalità: creare e gestire l'account, autenticarti, consentirti di usare le organizzazioni di cui fai parte, inviarti le email di servizio (verifica dell'indirizzo, reimpostazione della password, inviti, avvisi di sicurezza).
• Base giuridica: esecuzione del contratto o di misure precontrattuali (art. 6.1.b GDPR); per gli utenti invitati da un cliente, legittimo interesse di Prynt e del cliente a fornire il servizio agli utenti autorizzati (art. 6.1.f GDPR).
• Conservazione: finché l'account esiste. Le sessioni scadono dopo 12 ore di inattività o 24 ore (30 giorni se scegli "ricordami") e i loro dati vengono cancellati 7 giorni dopo la scadenza; i dispositivi ricordati valgono 30 giorni. Quando elimini l'account i dati vengono cancellati; nelle voci di audit restano gli eventi senza i tuoi dati identificativi.

3.5 Sicurezza, registri di audit e prevenzione degli abusi

Registriamo le operazioni rilevanti per la sicurezza e per i clienti (accessi, modifiche di ruoli e impostazioni, creazione e revoca di chiavi API, pubblicazione di template, esportazioni ed eliminazioni, accessi ai dati da parte delle query) con l'utente o la chiave API che le ha eseguite, l'indirizzo IP e la data. Gli accessi ai dati sono registrati senza i valori letti.

• Finalità: proteggere account e dati, ricostruire incidenti, fornire ai clienti il registro di audit della propria organizzazione, difendere i diritti di Prynt.
• Base giuridica: legittimo interesse alla sicurezza (art. 6.1.f GDPR) e obblighi di sicurezza dell'art. 32 GDPR.
• Conservazione: per tutta la vita dell'organizzazione a cui si riferiscono (sono cancellati con l'organizzazione); quando un account viene eliminato, nelle voci di audit nome, email e IP vengono rimossi. I registri delle operazioni degli operatori di piattaforma sono conservati per [PERIODO CONSERVAZIONE AUDIT PIATTAFORMA].

3.6 Licenze, fatturazione e rapporto contrattuale

Per i clienti trattiamo i dati del referente e dell'azienda: nome o ragione sociale, email del contatto, dati di fatturazione (partita IVA, codice fiscale, codice destinatario SDI o PEC, indirizzo, email di fatturazione), condizioni della licenza e dati di utilizzo del servizio (numero di documenti e risorse), comunicazioni relative al contratto. La chiave di licenza è conservata solo come impronta crittografica.

• Finalità: gestire licenze, ordini, fatture, pagamenti e adempimenti fiscali.
• Base giuridica: esecuzione del contratto (art. 6.1.b GDPR) e obblighi di legge (art. 6.1.c GDPR).
• Conservazione: per la durata del contratto e, per i documenti contabili e fiscali, per 10 anni (art. 2220 c.c.).

Se in futuro il servizio sarà acquistabile online con pagamento elettronico, i dati di pagamento saranno trattati direttamente dal fornitore dei pagamenti (ad esempio Stripe) e Prynt non vedrà i dati completi della carta; questa informativa sarà aggiornata prima dell'attivazione.

3.7 Richieste di assistenza

Se usi la funzione "Contatta il supporto" dell'applicazione o scrivi a [EMAIL SUPPORTO], trattiamo il tuo nome ed email, l'organizzazione e il workspace da cui scrivi, l'argomento e il messaggio, la pagina dell'applicazione, la versione dell'applicazione e il browser, e le risposte che ti inviamo.

• Finalità: rispondere e risolvere il problema segnalato.
• Base giuridica: esecuzione del contratto (art. 6.1.b GDPR) e legittimo interesse a migliorare il servizio (art. 6.1.f GDPR).
• Conservazione: [PERIODO CONSERVAZIONE ASSISTENZA — es. 24 mesi dalla chiusura della richiesta].

3.8 Email di servizio

Le email (verifica dell'indirizzo, inviti, reimpostazione della password, avvisi di licenza e di utilizzo, risposte ai contatti) vengono messe in una coda interna e inviate tramite il fornitore di posta indicato nell'elenco dei sub-responsabili. Il contenuto del messaggio viene cancellato dalla coda appena inviato; il destinatario e il tipo di email restano per 14 giorni per diagnosticare eventuali mancate consegne.

3.9 Assistente AI del Designer

L'assistente AI è facoltativo e funziona solo con una chiave API di OpenAI dell'utente. Se lo attivi trattiamo la chiave (conservata cifrata e mai più mostrata: ne vediamo solo gli ultimi quattro caratteri), il modello scelto, la scelta sulla condivisione delle righe di esempio e contatori aggregati di utilizzo (numero di richieste, chiamate al modello e token per utente e giorno). Non conserviamo il contenuto delle richieste né delle risposte.

Quando usi l'assistente, le tue richieste, la struttura del template aperto e i nomi di tabelle e colonne dei data source (e, solo se lo consenti nel profilo, alcune righe di esempio dei risultati delle query di prova) vengono inviati a OpenAI con la tua chiave, nell'ambito del tuo rapporto contrattuale con OpenAI e delle sue condizioni (incluse quelle su conservazione e trasferimenti fuori dallo SEE). Per questi dati OpenAI non è un nostro fornitore: Prynt li trasmette su tua istruzione. Per i dati della tua organizzazione contenuti nei template e nei data source vale quanto indicato al punto 2 e nel DPA.

• Finalità: fornire la funzione su tua richiesta; i contatori servono a prevenire abusi e a dimensionare il servizio.
• Base giuridica: esecuzione del contratto (art. 6.1.b GDPR); legittimo interesse alla sicurezza del servizio per i contatori (art. 6.1.f GDPR).
• Conservazione: la chiave e le preferenze finché non le rimuovi o elimini l'account; i contatori aggregati [PERIODO CONSERVAZIONE CONTATORI AI — es. 24 mesi].

4. Natura del conferimento

I dati richiesti per l'account, il contratto e l'assistenza sono necessari: senza non possiamo fornire il servizio o rispondere. Nel modulo di contatto sono facoltativi i campi indicati come tali (ad esempio il telefono). I dati di navigazione sono raccolti automaticamente dal funzionamento del sito.

5. Destinatari dei dati

I dati sono trattati dal personale di Prynt autorizzato e istruito, nei limiti delle sue mansioni. Possono essere comunicati a:

• fornitori che trattano dati per nostro conto come responsabili (hosting, invio delle email, archiviazione dei backup cifrati), elencati nell'elenco dei sub-responsabili;
• consulenti (ad esempio commercialista, legale) vincolati alla riservatezza, per gli adempimenti di legge e la tutela dei diritti;
• autorità, quando richiesto dalla legge.

All'interno di un'organizzazione cliente, gli owner e gli amministratori vedono i dati dei membri (nome, email, ruolo, attività registrate nel registro di audit dell'organizzazione).

I dati non vengono diffusi né venduti.

6. Trasferimenti fuori dallo Spazio economico europeo

Il servizio è ospitato nell'Unione europea e i nostri fornitori principali trattano i dati nello Spazio economico europeo. Se un fornitore dovesse trattare dati fuori dallo SEE, il trasferimento avverrà solo sulla base di una decisione di adeguatezza della Commissione europea (ad esempio l'EU-U.S. Data Privacy Framework) o delle clausole contrattuali tipo approvate dalla Commissione, e l'elenco dei sub-responsabili lo indicherà.

7. Sicurezza

Adottiamo misure tecniche e organizzative adeguate: connessioni cifrate (HTTPS), password conservate con funzioni di hash, autenticazione a due fattori, cifratura delle credenziali dei database dei clienti, isolamento dei dati per workspace nel database, controlli di accesso e registri di audit, backup giornalieri cifrati conservati fuori dal server. Il dettaglio è nell'Allegato 2 dell'Accordo sul trattamento dei dati.

8. I tuoi diritti

Hai diritto di chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità e di opporti ai trattamenti basati sul legittimo interesse (artt. 15-22 GDPR). Non effettuiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici nei tuoi confronti.

Nell'applicazione puoi esercitare molti diritti da solo: Account → Privacy per scaricare i tuoi dati in formato JSON o eliminare l'account; gli owner possono esportare o eliminare la propria organizzazione da Impostazioni → Dati e privacy. Per tutto il resto scrivi a [EMAIL PRIVACY]: rispondiamo entro un mese (prorogabile nei casi previsti dall'art. 12 GDPR).

Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo del Paese in cui risiedi o lavori.

9. Minori

Il servizio è destinato a imprese e professionisti e non è rivolto ai minori di 18 anni.

10. Modifiche

Possiamo aggiornare questa informativa. La versione in vigore è sempre pubblicata su questa pagina con la data dell'ultimo aggiornamento; in caso di modifiche rilevanti avvisiamo gli utenti registrati via email o nell'applicazione.