Informativa sul trattamento dei dati personali

1. Chi siamo e i ruoli GDPR

DeskNexo è gestito da YecoAI di Marco Nasi. Operiamo in due ruoli distinti sotto GDPR, UK GDPR, nLPD svizzera e leggi privacy USA. Non siamo titolari unici di ogni trattamento.

• Titolare per i dati dei visitatori del sito, dei lead demo e degli account del pannello (identità, metadati di fatturazione, log, cookie e — solo se aderisci alla Beta — testo dei ticket già mascherato usato per migliorare DeskNexo). Questo trattamento è descritto in questa informativa.
• Responsabile / service provider per i dati dei tuoi clienti hosting nei ticket WHMCS su tua istruzione. Tu sei titolare / business. Quel trattamento è regolato dal DPA (inclusi addenda UK, Svizzera e USA).

2. Dati che raccogliamo come titolare

2.1 Ci fornisci

• Account: nome, email, ragione sociale.
• Dati di fatturazione (le carte sono gestite da Stripe, non memorizzate da noi).
• Messaggi a support@ o PEC.
• File di knowledge base che carichi sul tenant.

2.2 Raccolti automaticamente

• Uso del pannello (funzioni, volumi ticket, esiti agente).
• Log di sicurezza: IP, user-agent, orari.
• Cookie e storage simile su https://desknexo.com — vedi Cookie Policy.

2.3 Trattati come responsabile (non con le basi di questa informativa)

Il contenuto dei ticket degli utenti finali è trattato per classificare, diagnosticare, agire sulle VM e rispondere, secondo il DPA e le tue policy (Copilot / Autopilot).

3. Basi giuridiche (art. 6 GDPR) — trattamenti da titolare

• Art. 6(1)(b) contratto: account, fatturazione, erogazione di DeskNexo.
• Art. 6(1)(c) obbligo di legge: scritture fiscali e contabili italiane.
• Art. 6(1)(a) consenso: cookie non necessari (GA4) e marketing opzionale.
• Art. 6(1)(f) legittimo interesse: sicurezza, frodi, metriche aggregate. Solo Beta: miglioramento di DeskNexo su testo ticket dopo Yeco-PII (adesione alla Beta). Non usiamo la “navigazione continuata” come consenso.

4. Yeco-PII (descrizione accurata)

Yeco-PII è il modello di rilevazione PII integrato in DeskNexo. È esso stesso un sistema automatico: deve trattare il testo del ticket (che può contenere dati personali) per rilevarli e mascherarli. Anche la conservazione cifrata dei ticket originali è trattamento (art. 4(2) GDPR).

Dopo Yeco-PII, i sistemi a valle (modelli linguistici, riepiloghi operativi giornalieri/periodici di richieste fallite e metriche, job di miglioramento Beta) ricevono testo mascherato. A quei sistemi non vengono inviati i dati personali mascherati. Il personale YecoAI non legge le conversazioni dei ticket.

5. Destinatari e trasferimenti extra-UE

Non vendiamo dati personali. I destinatari sono nell’elenco sub-responsabili e sotto. I trasferimenti extra-SEE/UK/CH usano: SCC UE; UK International Data Transfer Addendum alle SCC (e/o UK IDTA); SCC riconosciute in Svizzera con addendum svizzero; Data Privacy Framework UE-USA, UK-USA e CH-USA se l’importatore è certificato. Non usiamo il Privacy Shield.

6. Conservazione

• Account e fatture: durata del contratto + 10 anni (normativa fiscale italiana).
• Dati ticket come responsabile: secondo DPA / tue impostazioni; default 90 giorni dalla chiusura.
• Audit log: fino a 5 anni, con identificativi minimizzati ove possibile per onorare la cancellazione.
• GA4: secondo le impostazioni Google dopo il consenso; senza consenso non viene caricato.

7. I tuoi diritti (artt. 15–22)

Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione all’art. 6(1)(f), revoca del consenso, reclamo al Garante. Per decisioni automatizzate con effetti giuridici o analoghi su di te come titolare di account, puoi chiedere revisione umana. Le azioni sulle VM dei tuoi clienti restano tua responsabilità di titolare (vedi Termini, AI Act e art. 22).

Scrivi a [email protected] o PEC [email protected]. Rispondiamo entro 30 giorni. Non è nominato un DPO (soglie art. 37 non integrate per questa ditta). Quel contatto è il punto privacy, non un DPO.

8. AI Act UE (trasparenza)

DeskNexo è un sistema di IA ai sensi del regolamento (UE) 2024/1689. YecoAI è il fornitore; tu sei deployer quando lo usi sul tuo helpdesk. Non è immesso come sistema ad alto rischio Allegato III. Le pratiche art. 5 sono vietate. Le persone fisiche che ricevono risposte dell’agente devono essere informate che interagiscono con un’IA (art. 50), salvo che sia ovvio. Devi configurare tale informativa. Copilot e Approvals supportano la sorveglianza umana; l’art. 22 GDPR resta tua responsabilità per decisioni che incidono in modo significativo sui tuoi clienti. Dettagli nei Termini e nella Documentazione.

9. Sicurezza

• TLS in transito; cifratura a riposo per credenziali e corpi ticket.
• Yeco-PII prima di modelli e riepiloghi a valle.
• Il personale non legge i thread. Violazione: se siamo titolari notifichiamo il Garante entro 72 ore (art. 33); se siamo responsabili notifichiamo te senza ingiustificato ritardo (obiettivo 48 ore).
• YecoAI tiene un registro art. 30 interno e una DPIA interna per i trattamenti da responsabile. Sono disponibili al Garante e ai Clienti secondo la clausola audit del DPA. Non sono un certificato pubblico. Tu devi tenere la tua DPIA e le informative da titolare.

10. Minori

Servizio B2B, non diretto a minori di 18 anni. Eventuali raccolte accidentali vengono cancellate.

11. Regno Unito

Se si applicano UK GDPR e Data Protection Act 2018 (account UK, o dati Utenti finali che ci istruisci a trattare e che riguardano il UK), vale lo stesso schema titolare/responsabile, leggendo GDPR come UK GDPR. I trasferimenti dal UK usano l’International Data Transfer Addendum ICO alle SCC UE (e/o UK IDTA) e, se certificato, il UK-US DPF. I cookie su questo sito seguono i PECR tramite il banner. Non abbiamo sede UK. Se l’art. 27 UK GDPR impone un rappresentante, lo nomineremo e lo indicheremo qui; fino ad allora il contatto è [email protected]. Reclami: ICO.

12. Svizzera

Se si applica la nLPD, tu sei titolare (responsable du traitement) dei ticket degli Utenti finali e YecoAI è responsabile (sous-traitant) secondo il DPA. I trasferimenti usano SCC riconosciute dall’IFPDT, con la Svizzera equiparata a uno Stato SEE per quelle clausole, e/o lo Swiss-US DPF se certificato. Non abbiamo sede in Svizzera. Se l’art. 14 nLPD impone un rappresentante, lo nomineremo e lo indicheremo qui; fino ad allora il contatto è [email protected]. Reclami: IFPDT.

13. Stati Uniti (CCPA/CPRA e leggi statali analoghe)

Non vendiamo né ‘share’ informazioni personali ai sensi del CPRA californiano (niente pubblicità comportamentale). Non usiamo dati sensibili per profilare oltre l’erogazione del Servizio. Sui ticket degli Utenti finali siamo service provider / processor rispetto a te (business/titolare): trattiamo solo su istruzioni documentate, non li combiniamo con altri dati salvo per erogare il Servizio, e ti avvisiamo se non possiamo più rispettare quei doveri. Tu inoltri le richieste dei consumatori sui dati End User; noi assistiamo come da DPA. Dati di sito e account di residenti in California: se ci si applica una soglia ‘business’ CPRA, puoi chiedere know/access, cancellazione, rettifica e opt-out da vendita/share (già il nostro default) a [email protected]. Nessuna discriminazione per l’esercizio dei diritti. Non onoriamo il DNT del browser; usa Impostazioni cookie. Diritti analoghi (Virginia, Colorado, Connecticut, Utah, Texas e altri Stati) sullo stesso modello. Non è un contratto consumer; COPPA non si applica (B2B 18+). Email di marketing, se hai optato, si revoca allo stesso indirizzo (CAN-SPAM).

14. Modifiche

Le modifiche sostanziali sono comunicate via email o nel pannello. Non consideriamo l’uso continuato come consenso GDPR. Se serve il consenso, lo chiediamo. Se ti opponi a un trattamento di legittimo interesse, puoi farlo ex art. 21 o cessare l’uso.

15. Contatti