Note legali
Informativa sulla privacy
In breve
- Raccogliamo il minimo indispensabile e lo conserviamo nell'Unione europea.
- Questo sito non usa cookie, statistiche o pixel di tracciamento. I font sono serviti dal nostro server.
- Non vendiamo mai i tuoi dati e non li usiamo mai per addestrare modelli di AI.
- Puoi vedere, esportare o cancellare i tuoi dati in qualsiasi momento scrivendo a privacy@kosmly.app.
1. Chi siamo
Il titolare del trattamento è Kosmly Ltd, società registrata in Inghilterra e Galles (n. [number]), sede legale [address], partita IVA [GB number] ("Kosmly", "noi"). Contatto: privacy@kosmly.app. Responsabile della protezione dei dati: [name and contact, if appointed].
Siamo registrati presso l'Information Commissioner's Office (ICO) del Regno Unito, numero [ZA000000]. Poiché offriamo i nostri servizi a persone nell'Unione europea, il nostro rappresentante nell'UE ai sensi dell'articolo 27 del GDPR è [name, address in an EU country, email].
Trattiamo i dati personali ai sensi dello UK GDPR e del Data Protection Act 2018 e, per le persone nell'UE e nel SEE, del GDPR (Regolamento 2016/679). In questa informativa "GDPR" indica entrambi.
2. Cosa copre questa informativa
Questa informativa riguarda kosmly.app, la lista d'attesa di Kosmly e gli account dei commercianti che usano Kosmly. Quando i nostri agenti trattano dati dei clienti del tuo negozio, il titolare sei tu e noi agiamo come tuo responsabile del trattamento. Quel trattamento è regolato dal nostro Accordo sul trattamento dei dati, non da questa informativa.
Visite dagli assistenti AI. Quando un visitatore arriva in un negozio da un assistente AI (per esempio ChatGPT, Perplexity, Gemini, Copilot o Claude), il plugin o l’app di Kosmly conta la visita: solo il giorno, l’assistente e la pagina di arrivo. Non viene impostato alcun cookie e non si conservano indirizzi IP né identificativi del visitatore, quindi il conteggio non contiene dati personali. I contatori vengono cancellati insieme all’account del negozio.
IndexNow. Quando una pagina cambia, il plugin WordPress e il modulo PrestaShop lo comunicano ai motori di ricerca tramite IndexNow (api.indexnow.org), inviando solo l’indirizzo pubblico della pagina. Nessun dato personale viene inviato.
Google Merchant Center (facoltativo). Se un commerciante collega il suo account Google Merchant Center, Orion legge solo i report sui prezzi: prezzi di mercato dei prodotti, senza dati personali. Il collegamento è facoltativo e il commerciante può scollegarlo quando vuole.
Recapito delle email. Quando un’email che inviamo viene respinta in modo definitivo o segnalata come spam, il nostro fornitore email (Brevo) ce lo comunica e smettiamo di scrivere a quell’indirizzo. Conserviamo solo un hash (SHA-256) dell’indirizzo e il motivo, non l’indirizzo stesso. Si tratta di dati personali pseudonimizzati, conservati per il nostro legittimo interesse a non inviare posta indesiderata e a rispettare le opposizioni; li conserviamo anche dopo la cancellazione dell’account, perché altrimenti potremmo scrivere di nuovo a quell’indirizzo.
3. Cosa raccogliamo, perché e per quanto tempo
| Finalità | Dati | Base giuridica (GDPR) | Conservazione |
|---|---|---|---|
| Lista d'attesa e novità sul lancio | Email, data e prova del doppio consenso | Consenso, art. 6(1)(a) | Fino alla disiscrizione, o 12 mesi dopo il lancio pubblico |
| Il tuo account Kosmly | Nome, email, URL del negozio, piattaforma, piano, impostazioni | Contratto, art. 6(1)(b) | Per tutta la durata dell'account, poi 30 giorni |
| Fatturazione e fatture | Dati aziendali, partita IVA, fatture | Obbligo legale, art. 6(1)(c) | 6 anni, come richiesto dalla legge fiscale britannica (HMRC) |
| Email dell'account (benvenuto, proposte in attesa, avvisi su piano e consumi, problemi tecnici) | Nome, email, lingua, URL del negozio | Contratto, art. 6(1)(b) | Per tutta la durata dell'account |
| Consigli di avvio (1, 3 e 7 giorni dopo l'iscrizione) | Nome, email, lingua | Legittimo interesse, art. 6(1)(f); disiscrizione con un clic in ogni email | Fino alla disiscrizione o alla chiusura dell'account |
| Brand Scan del tuo sito | Pagine pubbliche del sito (i recapiti vengono mascherati prima dell'analisi) | Contratto, art. 6(1)(b) | Per tutta la durata dell'account |
| Richieste di assistenza | Messaggi e allegati che ci invii | Contratto o legittimo interesse, art. 6(1)(b)/(f) | 24 mesi dalla chiusura della richiesta |
| Sicurezza del sito e del servizio | Indirizzo IP, browser, ora della richiesta | Legittimo interesse, art. 6(1)(f) | 30 giorni |
| Registri del servizio (sessioni di accesso, email inviate, uso dell'AI, storico delle azioni) | Token di sessione e dei link, indirizzo email e oggetto, modello, token e costo di ogni chiamata AI (nessun testo), chi ha fatto cosa e quando | Contratto e legittimo interesse, art. 6(1)(b)/(f) | Sessioni e link scaduti 1 giorno; email 90 giorni; uso dell'AI 90 giorni in dettaglio, poi totali mensili per 13 mesi; storico delle azioni e registro delle attività 24 mesi |
4. Cookie
kosmly.app non imposta cookie e non carica nulla da server di terzi, quindi non serve un banner dei cookie. Se un giorno aggiungeremo statistiche, useremo uno strumento senza cookie ospitato nell'UE oppure chiederemo prima il tuo consenso, e aggiorneremo questa pagina.
5. Con chi condividiamo i dati
Solo con i fornitori che ci aiutano a far funzionare Kosmly, con un accordo scritto sul trattamento dei dati e solo per le finalità indicate sopra:
- Brevo (Sendinblue SAS, Francia): lista d'attesa ed email dell'account.
- Scaleway SAS (Parigi, Francia): hosting dell'applicazione, database e backup.
- Amazon Web Services EMEA SARL (Francoforte, Germania), Google Cloud EMEA Limited (Vertex AI, regioni UE), Microsoft Ireland Operations Limited (Azure OpenAI, Parigi), Mistral AI SAS (Francia) e Scaleway SAS (Parigi): i modelli di AI che fanno lavorare gli agenti, dentro l'UE, senza addestramento sui tuoi dati. Requesty Ltd instrada le chiamate verso di loro dal suo punto di accesso di Francoforte.
- DataForSEO OU (Estonia): dati di ricerca, riceve solo parole chiave e domini. Cloudflare, Inc.: DNS e hosting di questo sito.
- Paddle.com Market Ltd (Regno Unito): il nostro rivenditore per i pagamenti online. Paddle ti vende l'abbonamento come merchant of record, gestisce i dati di pagamento e l'IVA e agisce come titolare autonomo secondo la propria informativa. Non vediamo mai i dati completi della tua carta.
- I marketplace di app (Shopify, WordPress.org, PrestaShop Addons) quando installi o acquisti tramite loro.
L'elenco completo e aggiornato è nella nostra lista dei sub-responsabili. Non vendiamo mai dati personali.
6. Dove sono conservati i tuoi dati
Conserviamo e trattiamo i dati nell'Unione europea. La nostra società ha sede nel Regno Unito, che l'UE riconosce come paese con un livello di protezione adeguato, e il Regno Unito riconosce l'UE allo stesso modo, quindi i dati possono circolare tra i due lecitamente. Se un fornitore dovesse accedere ai dati da un altro paese, lo consentiamo solo in base a una decisione di adeguatezza (come l'EU-US Data Privacy Framework e la sua estensione britannica), alle Clausole contrattuali standard della Commissione europea o all'International Data Transfer Agreement o Addendum britannico, con una valutazione del rischio del trasferimento.
7. Intelligenza artificiale
Non usiamo i tuoi dati personali, né quelli dei tuoi clienti, per addestrare modelli di AI, e i nostri fornitori di AI non possono farlo per contratto. Kosmly non prende decisioni sulle persone che producono effetti giuridici o effetti simili significativi (art. 22 GDPR). Per saperne di più leggi la nostra dichiarazione di trasparenza sull'AI.
8. I tuoi diritti
Puoi chiederci di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento o esportarli, opporti al trattamento basato sul legittimo interesse e revocare il consenso in qualsiasi momento (ogni email ha un link per disiscriversi con un clic). Scrivi a privacy@kosmly.app. Rispondiamo entro un mese. Puoi anche presentare reclamo all'Information Commissioner's Office del Regno Unito (ico.org.uk) oppure, se ti trovi nell'UE, all'autorità di protezione dei dati del tuo paese (in Italia il Garante).
9. Sicurezza
Cifratura in transito e a riposo, accesso solo a chi ne ha bisogno con autenticazione a due fattori, registri degli accessi, backup cifrati in due sedi UE (Francia e Paesi Bassi) con una prova di ripristino ogni mese, e una procedura testata per le violazioni dei dati. I backup si conservano al massimo 35 giorni: i dati che cancelli spariscono da ogni backup entro 35 giorni. I dettagli sono nell'Allegato II del DPA.
10. Modifiche
Se modifichiamo questa informativa in modo rilevante, te lo diciamo via email prima che la modifica si applichi. La data in alto indica sempre la versione più recente.