Ove il Fornitore pubblichi una traduzione del presente documento in altra lingua, in caso di contrasto prevale la versione italiana. / Where the Provider publishes a translation of this document into another language, the Italian version prevails in case of any discrepancy.
Il titolare del trattamento è FD CONSULTING S.R.L., Via Giuseppe di Vittorio 9, 40018 San Pietro in Casale (BO), Italia — P.IVA, C.F. e n. iscrizione al Registro delle Imprese di Bologna 04157171200 («FD Consulting», «noi»). Puoi contattarci per ogni questione relativa alla protezione dei dati a: info@fdconsultingsrl.com — PEC: fd.consulting.srl@pec.it. Per le segnalazioni di sicurezza: security@fdconsultingsrl.com.
Questa informativa descrive i trattamenti di dati personali di cui FD Consulting è titolare nell'erogazione del Servizio OPDesk (web app su https://app.opdesk.it, anche come PWA, app iOS, app Android, le pagine pubblicate su altri sottodomini di opdesk.it e destinate ai clienti dei nostri utenti, e servizi lato server collegati). Alcune parti di questa informativa — in particolare la sez. 3, lett. d-bis — riguardano persone che non sono utenti di OPDesk e non hanno un Account: a loro le informazioni sono rese direttamente sulla pagina che aprono, la quale rinvia a questo documento.
Quella pagina non sta su app.opdesk.it ma su area.opdesk.it, per una ragione di sicurezza: le sessioni degli utenti sono confinate per origine, e servire una pagina pubblica dalla stessa origine dell'applicazione le esporrebbe.
Non si applica ai dati che inserisci nel tuo Workspace (anagrafiche dei tuoi clienti, progetti, attività, note, documenti, contenuti di fatture elettroniche, messaggi alle funzioni AI, trascrizioni di appunti vocali): di quei dati sei tu il titolare e noi li trattiamo per tuo conto, quali responsabili del trattamento, secondo l'Accordo sul trattamento dei dati personali (https://app.opdesk.it/dpa.html, «DPA»). Se inserisci nel Workspace dati personali di terzi, spetta a te garantire un'idonea base giuridica e rendere agli interessati le informazioni dovute (art. 5.3 dei Termini).
Quando questa informativa parla dei tuoi clienti intende le persone fisiche i cui dati inserisci nel tuo Workspace, comunque tu le denomini nell'interfaccia: clienti, contatti, allievi, referenti di commessa. Il nome che scegli non muta né ciò che il Servizio fa né ciò che non fa.
a) Dati dell'Account. Email, nome, password (conservata solo in forma di hash), impostazioni di sicurezza (segreti per l'autenticazione a due fattori, recovery code, dispositivi attendibili), token di sessione. Se ti registri tramite Google o Apple, riceviamo dal fornitore i dati essenziali del profilo (email, nome). Se accedi con Apple conserviamo inoltre, cifrato, un token di autorizzazione rilasciato da Apple, che usiamo solo per revocare presso Apple il permesso dato a OPDesk quando elimini l'Account; viene cancellato insieme all'Account. Finalità: creazione e gestione dell'Account, autenticazione, sicurezza degli accessi. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR).
b) Dati di fatturazione e abbonamento. Per gli abbonamenti via web, i pagamenti sono gestiti da Stripe Payments Europe Ltd che opera quale nostro responsabile per l'elaborazione dei pagamenti e quale titolare autonomo per le finalità proprie (es. prevenzione delle frodi e obblighi regolatori): noi riceviamo i dati necessari alla gestione dell'abbonamento e alla fatturazione (email, nome, esito e metadati del pagamento), mai i dati completi della carta. Per gli acquisti in-app su iOS, l'abbonamento è gestito da Apple secondo le condizioni del tuo Apple ID; per gli acquisti in-app su Android è gestito da Google secondo le condizioni del tuo account Google Play. In entrambi i casi noi riceviamo un identificativo pseudonimo (app_user_id) e lo stato dell'abbonamento tramite RevenueCat, mai i dati del tuo metodo di pagamento. Finalità: gestione dell'abbonamento, fatturazione, adempimenti fiscali e contabili. Basi giuridiche: esecuzione del contratto (art. 6.1.b) e obbligo legale (art. 6.1.c).
c) Comunicazioni di servizio. Email transazionali e comunicazioni necessarie al rapporto: verifica dell'indirizzo, avvisi di sicurezza, promemoria di rinnovo, preavvisi di modifica, avvisi che precedono la cancellazione dei dati. Base giuridica: esecuzione del contratto e adempimento degli obblighi di legge. NON SVOLGIAMO ATTIVITÀ DI MARKETING e non cediamo i tuoi dati a terzi per finalità commerciali.
d) Log di sicurezza. Registriamo gli eventi rilevanti per la sicurezza del tuo Account (accessi riusciti e falliti, autenticazione a due fattori, reset della password, gestione dei dispositivi, rotazione delle chiavi), con indicazione di chi, cosa e quando. Finalità: sicurezza del Servizio, prevenzione e accertamento di accessi abusivi. Base giuridica: legittimo interesse (art. 6.1.f) alla sicurezza della rete e dei sistemi, riconosciuto anche dal considerando 49 GDPR. Per lo stesso fine annotiamo in un registro tecnico separato i cambi di password, di indirizzo email e di secondo fattore, con le modalità e per il tempo indicati alla sez. 6.
d-ter) Registro tecnico delle richieste al server. Il server che eroga il Servizio annota ogni richiesta HTTP che riceve: indirizzo IP di provenienza, agente utente, data e ora, indirizzo richiesto ed esito della richiesta. È il registro del proxy che sta davanti all'applicazione e riguarda tutte le richieste a opdesk.it e ai suoi sottodomini, comprese quelle di chi non ha un Account (è lo stesso registro di cui alla lettera d-bis, punto 1). Non contiene il corpo delle richieste, e quindi né le tue credenziali né i contenuti del tuo Workspace. Finalità: sicurezza della rete e dei sistemi, diagnosi dei guasti, accertamento degli abusi. Base giuridica: legittimo interesse (art. 6.1.f), considerando 49 GDPR. Conservazione: 14 giorni, con rotazione automatica.
d-bis) Registrazioni tecniche degli accessi alle pagine destinate ai tuoi clienti. Se attivi la pagina in sola lettura con cui un tuo cliente consulta il proprio storico (sez. 4, lett. f), ogni richiesta a quella pagina lascia due registrazioni tecniche distinte e tenute separate, di cui siamo titolari noi, non tu:
Nessuna delle due registrazioni contiene il contenuto della pagina, né il collegamento individuale o il fattore di verifica in chiaro: il collegamento non viaggia nell'indirizzo della pagina — è trasmesso in una parte dell'indirizzo che i browser non inviano al server — e nella chiamata di verifica viaggia nel corpo della richiesta, che non viene registrato; sui nostri sistemi ne esiste soltanto l'impronta crittografica. Il contatore registra i tentativi, non le consultazioni riuscite: la riga che lega un indirizzo a un collegamento viene cancellata nel momento in cui l'accesso va a buon fine, perché la sua funzione è fermare chi sbaglia, non tenere il conto di quando il tuo cliente guarda la propria pagina. Entrambe le registrazioni risiedono sul server che serve la pagina, ubicato in Germania, e non sono trasmesse a terzi né fuori dall'Unione europea.
Queste registrazioni non sono consultabili dal tuo Workspace e non compaiono nel registro degli eventi del tuo Account (sez. 3, lett. d); le informazioni che vi sono contenute ti sono comunicate soltanto quando ciò è indispensabile per informarti di una violazione dei dati personali che ti riguarda, o per adempiere un obbligo di legge. Finalità: impedire che chi entri in possesso del collegamento possa indovinare per tentativi il fattore di verifica, individuare e fermare i tentativi automatizzati, accertare e ricostruire gli abusi. Base giuridica: legittimo interesse (art. 6.1.f) alla sicurezza della rete e dei sistemi, riconosciuto anche dal considerando 49 GDPR: senza queste registrazioni la pagina non potrebbe difendersi, e l'interesse di chi vi accede coincide con il nostro. Sulla pagina non usiamo cookie, né strumenti di misurazione o tracciamento, e non conserviamo nulla nel dispositivo di chi la apre: dopo una ricarica il fattore di verifica va reinserito.
Non usiamo questi dati per risalire all'identità di chi ha aperto la pagina, e non conserviamo altre informazioni a tale scopo (art. 11, par. 1, GDPR). Chi intenda esercitare i propri diritti su queste registrazioni potrà doverci fornire gli elementi minimi necessari a individuarle.
Diritto di opposizione. Chi apre quella pagina ha diritto di opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, a questo trattamento fondato sul nostro legittimo interesse (art. 21 GDPR), scrivendo a info@fdconsultingsrl.com; ha inoltre diritto di chiedere l'accesso, la rettifica, la cancellazione e la limitazione di questi dati e di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato in cui risiede o lavora. Le stesse informazioni sono rese, in forma sintetica e con rinvio a questa informativa, sulla pagina stessa.
e) Registrazioni a fini di prova e adempimento (log legali). Conserviamo: il log delle approvazioni delle clausole contrattuali mediante codice monouso (clausole approvate, versione e impronta informatica del testo, data e ora, indirizzo IP e user-agent), incluse le registrazioni tecniche relative al funzionamento del modulo di approvazione e le accettazioni dei Termini di servizio e del DPA e la presa visione dell'Informativa privacy rese alla creazione dell'Account o al primo accesso successivo, con identificativo dell'utente, indirizzo email, data e ora, indirizzo IP, dispositivo, versione e impronta di ciascun testo; il registro dei recessi e delle richieste di esecuzione anticipata; la prova delle scelte di configurazione della pagina di consultazione di cui alla sez. 4, lett. f, punto (iii) — quale fattore di verifica e quale canale hai scelto, in quale giorno e ora, con quale tuo indirizzo email e quale versione del testo informativo che avevi davanti; la prova del consenso all'invio del tuo indirizzo email a Have I Been Pwned (lett. i); dopo l'eliminazione dell'Account, una registrazione contabile minima delle operazioni di fatturazione. Finalità: prova della conclusione del contratto e delle approvazioni rese, gestione dei recessi, adempimenti contabili e fiscali, accertamento, esercizio e difesa di diritti in sede giudiziaria. Basi giuridiche: obbligo legale (art. 6.1.c) per i profili contabili e di tutela del consumatore; legittimo interesse (art. 6.1.f) alla difesa in giudizio per il resto. Queste registrazioni sopravvivono all'eliminazione dell'Account (v. sez. 6).
f) Funzioni di intelligenza artificiale. Quando usi l'assistente o la trascrizione degli appunti vocali, i contenuti che invii (messaggi di chat, audio) sono trasmessi al fornitore di modelli configurato per il tuo Workspace. Questi contenuti appartengono ai Dati del Workspace: li trattiamo per tuo conto secondo il DPA. Qui rilevano tre punti di trasparenza: (i) l'audio degli appunti vocali non è conservato sui nostri server — resta solo il testo trascritto; (ii) i fornitori integrati nel piano operano con condizioni che escludono l'uso dei contenuti per addestrare modelli; (iii) se configuri una tua chiave API (OpenAI o Anthropic), il rapporto con il fornitore del modello è diretto tra te e il fornitore, alle sue condizioni: custodiamo la chiave cifrata e la usiamo solo per erogarti il Servizio.
f-bis) Segnalazioni sui contenuti dell'assistente. Se segnali una risposta dell'assistente o il riassunto di un appunto vocale con l'icona a bandierina, registriamo: il tuo identificativo e il tuo indirizzo email, il Workspace, la data, l'origine della segnalazione (chat o appunto vocale), il motivo che indichi, il commento che scrivi, il riferimento al contenuto e alla conversazione segnalati e un estratto del testo segnalato. Commento ed estratto sono limitati a 2.000 caratteri ciascuno e possono contenere dati del tuo Workspace: segnalandoli ce li comunichi per questa sola finalità. Finalità: esaminare la segnalazione e correggere i filtri e le istruzioni dell'assistente. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f, GDPR) alla sicurezza e alla correttezza delle funzioni AI. Dell'arrivo di una segnalazione riceviamo un avviso per email, tramite il nostro fornitore di email transazionale (sez. 4, lett. a), che riporta solo motivo, data e identificativi: commento ed estratto restano nel nostro database e non sono trasmessi a terzi, fornitori di modelli compresi.
g) Analytics di prodotto. Utilizziamo PostHog per raccogliere eventi d'uso dell'applicazione (funzioni utilizzate, eventi tecnici), allo scopo di migliorare il Servizio. Base giuridica: il tuo consenso (art. 6, par. 1, lett. a, GDPR; il legittimo interesse ex art. 6.1.f non è invocato: puoi usare il Servizio anche senza acconsentire), che puoi revocare in ogni momento dalle impostazioni.
h) Notifiche push. Se attivi le notifiche, la consegna avviene tramite il servizio APNs di Apple (su iPhone e iPad) oppure Firebase Cloud Messaging di Google (su Android), che operano come titolari autonomi della relativa infrastruttura. Le notifiche non contengono i contenuti del tuo Workspace: viaggiano un testo generico e identificativi opachi, che soltanto l'applicazione — dopo averti autenticato — può tradurre in ciò che riguarda te.
i) Verifica dati. La funzione «Verifica dati» parte solo quando premi il pulsante, mai da sola, e controlla due cose. La prima: se l'indirizzo email con cui accedi a OPDesk compare in violazioni di dati note. Per farlo inviamo il tuo indirizzo, per intero, a Have I Been Pwned (haveibeenpwned.com, gestito da Superlative Enterprises Pty Ltd, Australia), che lo riceve come titolare autonomo: lo facciamo solo dopo avertelo chiesto, ogni volta, e con il tuo consenso esplicito. Non inviamo mai la tua password. Se non acconsenti, questo controllo non viene eseguito e restano disponibili i controlli sul dominio, se ce n'è uno da controllare. La seconda: la configurazione del dominio che indichi o, se non ne indichi uno, del dominio del tuo indirizzo email, quando non appartiene a un fornitore di posta. Per farlo interroghiamo server DNS pubblici (Quad9, Cloudflare, Google), ai quali arrivano dal nostro server il nome del dominio e i nomi collegati necessari al controllo (per esempio quelli della posta), senza alcun riferimento a te; e ci colleghiamo al sito di quel dominio, e ai siti verso cui rimanda, per leggerne la pagina iniziale e il certificato. Conserviamo l'esito dell'ultima verifica eseguita nel tuo Workspace — il tuo indirizzo, i nomi delle violazioni in cui compare, l'esito dei controlli sul dominio e il messaggio che prepariamo perché tu possa girarlo al tuo tecnico — e, per ogni consenso, la prova che lo hai dato: il tuo identificativo, il Workspace, la data e l'ora e l'impronta del testo che avevi davanti, senza il tuo indirizzo. Finalità: aiutarti a proteggere il tuo Account e i tuoi accessi. Basi giuridiche: esecuzione del contratto (art. 6, par. 1, lett. b, GDPR), trattandosi di una funzione del Servizio che si attiva solo su tua richiesta; per l'invio del tuo indirizzo a Have I Been Pwned, il tuo consenso esplicito (artt. 6, par. 1, lett. a, e 49, par. 1, lett. a, GDPR), che puoi negare senza conseguenze; per la prova del consenso, l'obbligo di poterlo dimostrare (art. 7, par. 1, GDPR) e il nostro legittimo interesse alla difesa in giudizio (art. 6, par. 1, lett. f).
I tuoi dati sono trattati dal personale autorizzato di FD Consulting e comunicati esclusivamente a: (a) i fornitori che trattano dati per nostro conto quali responsabili del trattamento (nonché sub-responsabili per i Dati del Workspace, ai sensi del DPA) — infrastruttura di hosting nell'Unione europea, fornitori di modelli AI del piano, servizi di email transazionale, analytics, gestione abbonamenti iOS e Android — il cui elenco aggiornato, con sedi e garanzie, è pubblicato nell'Allegato 3 del DPA (https://app.opdesk.it/dpa.html); (b) Stripe Payments Europe Ltd (pagamenti web), che tratta i dati per nostro conto quale responsabile per l'elaborazione dei pagamenti e quale titolare autonomo per le ulteriori finalità proprie, secondo la propria informativa; Apple (Sign in with Apple, App Store, notifiche push) e Google Ireland Limited (accesso con Google, distribuzione e acquisti tramite Google Play, consegna delle notifiche push su Android tramite Firebase Cloud Messaging), titolari autonomi per i rispettivi servizi; (c) autorità e soggetti pubblici, nei casi previsti dalla legge; (d) professionisti e consulenti vincolati alla riservatezza, ove necessario per la tutela dei nostri diritti. (e) altri utenti di OPDesk da te espressamente indicati, nel solo caso in cui tu attivi la condivisione di un calendario. La condivisione non è mai automatica — richiede il tuo invito e l'accettazione del destinatario — ed è revocabile in qualsiasi momento con effetto immediato. Per recapitare l'invito trattiamo l'indirizzo email che indichi, e al destinatario sono mostrati il nome del calendario e il tuo nome (o, in mancanza, il tuo indirizzo email). Scegli tu, invito per invito, quanto rendere visibile, fra tre possibilità:
In nessuna delle tre modalità sono condivise le note associate agli eventi, i dati anagrafici dei tuoi clienti, gli importi o gli altri tuoi calendari. La condivisione, in tutte e tre le modalità, resta in sola lettura: chi riceve non può creare, modificare o cancellare nulla nel tuo calendario.
(f) i tuoi clienti finali, quando attivi le funzioni che portano un messaggio fino a loro. Il contenuto di ciò che arriva loro — il tuo nome o marchio, il tuo recapito, l'indirizzo della sede, i dati dell'appuntamento — è contenuto del tuo Workspace, che noi trasportiamo su tua istruzione quali responsabili del trattamento ai sensi del DPA. Di nostro, in questa comunicazione, esce una cosa sola di cui siamo titolari noi: la circostanza che il messaggio provenga dalla nostra infrastruttura e che tu ti avvalga di OPDesk. Accade in tre casi, e ciascuno dipende da una tua attivazione:
In tutti e tre i casi, che cosa il tuo cliente veda e con quale testo lo raggiunga il messaggio lo decidi tu dalle impostazioni del Workspace: sono tuoi dati e tue istruzioni, e su di essi il nostro ruolo è quello di responsabile del trattamento ai sensi del DPA. La pagina di cui al punto (iii) è uno strumento che metti a disposizione dei tuoi clienti e non esaurisce il diritto di accesso di cui all'art. 15 GDPR, che essi continuano a esercitare nei tuoi confronti quali titolari dei dati che li riguardano.
(g) Have I Been Pwned (Superlative Enterprises Pty Ltd, Australia), titolare autonomo, nel solo caso in cui tu avvii la funzione Verifica dati e acconsenta all'invio del tuo indirizzo email (sez. 3, lett. i).
I dati del Servizio sono conservati su infrastruttura ubicata nell'Unione europea. Alcuni fornitori indicati alla sezione 4 sono stabiliti negli Stati Uniti: i relativi trasferimenti avvengono sulla base di una decisione di adeguatezza (art. 45 GDPR — EU-U.S. Data Privacy Framework, per i fornitori certificati) oppure delle clausole contrattuali tipo approvate dalla Commissione europea (art. 46, par. 2, lett. c, GDPR), integrate ove necessario da misure supplementari. Puoi chiederci copia delle garanzie applicabili scrivendo a info@fdconsultingsrl.com; l'elenco fornitore per fornitore è nell'Allegato 3 del DPA.
Il gestore di Have I Been Pwned è stabilito in Australia e conserva i dati negli Stati Uniti. Per questo destinatario non esistono né una decisione di adeguatezza né garanzie contrattuali: il trasferimento del tuo indirizzo email avviene soltanto con il tuo consenso esplicito, chiesto prima di ogni verifica dopo averti informato dei rischi (art. 49, par. 1, lett. a, GDPR).
Dati dell'Account e del Workspace: per la durata del rapporto. Se elimini l'Account dall'app (Profilo → «Elimina account»), la cancellazione è immediata e irreversibile; puoi in alternativa richiederla scrivendo dall'indirizzo email registrato a info@fdconsultingsrl.com. Alla cessazione dell'abbonamento, i dati restano disponibili in sola esportazione per 30 giorni — con avviso su supporto durevole prima della cancellazione; se l'avviso non risulta consegnato all'esito di almeno tre tentativi su più canali nell'arco di almeno 30 giorni, procediamo alla cancellazione decorsi ulteriori 60 giorni dall'ultimo tentativo — e poi sono cancellati. Le copie residue nei backup cifrati sono eliminate con la rotazione periodica dei backup. Per poter ripristinare il Servizio da una copia di sicurezza senza far tornare ciò che nel frattempo è stato eliminato o sostituito, conserviamo separatamente dal database e dalle copie di sicurezza, salvo il tempo necessario all'invio, cifrato, un registro tecnico: per ogni eliminazione i soli identificativi tecnici della voce, senza alcun contenuto; per ogni cambio di password, di indirizzo email o di secondo fattore, il tuo identificativo e il nome del dato cambiato, mai il valore. Ogni riga si cancella quando non esistono più copie di sicurezza anteriori.
Log di sicurezza dell'Account (sez. 3, lett. d): 90 giorni.
Esito di Verifica dati (sez. 3, lett. i): fino alla verifica successiva eseguita nel Workspace, che lo sostituisce, e comunque fino all'eliminazione dell'Account.
Prova del consenso all'invio dell'indirizzo (sez. 3, lett. i): cinque anni dal consenso, anche dopo l'eliminazione dell'Account o, se è in corso una contestazione, fino alla sua definizione, termine corrispondente alla prescrizione delle azioni che possono fondarsi sul trattamento (art. 28 L. 689/1981; art. 2947 c.c.).
Registro tecnico delle richieste al server (sez. 3, lett. d-ter): 14 giorni, con rotazione automatica.
Registrazioni tecniche degli accessi alle pagine destinate ai tuoi clienti (sez. 3, lett. d-bis): 14 giorni per il registro del server, 90 giorni per il contatore anti-abuso, in entrambi i casi con cancellazione automatica allo scadere del termine.
Audio degli appunti vocali: mai conservato sui nostri server.
Segnalazioni sui contenuti dell'assistente (sez. 3, lett. f-bis): dodici mesi dalla segnalazione, con cancellazione automatica, e comunque fino all'eliminazione dell'Account.
Registrazioni a fini di prova e adempimento (sez. 3.e): 10 anni dalla cessazione del rapporto, termine corrispondente alla prescrizione ordinaria dei diritti contrattuali (art. 2946 c.c.) e agli obblighi di conservazione delle scritture (art. 2220 c.c.). Fra queste, la prova delle scelte di configurazione della pagina di consultazione è l'unica registrazione che sopravvive all'eliminazione dell'Account pur riguardando una funzione del Workspace: resta per la durata del rapporto e si cancella automaticamente decorsi dieci anni dalla cessazione. Le accettazioni di cui alla stessa lettera e) seguono il medesimo termine e conservano il tuo identificativo e il tuo indirizzo email anche dopo l'eliminazione dell'Account: senza il legame con chi le ha rese, la registrazione non varrebbe come prova.
Dati di fatturazione: 10 anni, per gli obblighi contabili e fiscali.
Puoi esercitare in ogni momento i diritti di cui agli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione del trattamento, portabilità, opposizione ai trattamenti fondati sul legittimo interesse, revoca del consenso (senza pregiudizio per la liceità del trattamento anteriore). Molte operazioni sono disponibili in autonomia nell'app: modifica dei dati, esportazione completa in formato JSON, gestione dei dispositivi, eliminazione dell'Account. Per il resto scrivi a info@fdconsultingsrl.com: rispondiamo senza ingiustificato ritardo e comunque entro un mese. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato membro in cui risiedi o lavori. I medesimi diritti spettano anche a chi non è utente di OPDesk e non ha un Account, con riferimento ai dati che lo riguardano di cui siamo titolari — in particolare le registrazioni tecniche degli accessi alle pagine destinate ai clienti dei nostri utenti (sez. 3, lett. d-bis): può esercitarli scrivendo a info@fdconsultingsrl.com, e per i trattamenti fondati sul nostro legittimo interesse può in qualsiasi momento opporsi ai sensi dell'art. 21 GDPR. Per i dati che il professionista conserva nel proprio Workspace, invece, il titolare del trattamento è il professionista stesso, ed è a lui che tali diritti vanno indirizzati.
Il Servizio non adotta nei tuoi confronti decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano significativamente sulla tua persona (art. 22 GDPR): l'assistente AI non decide nulla che ti riguardi, esegue sul tuo archivio le operazioni che gli chiedi tu, e i contenuti che genera sono ausili operativi. Le eliminazioni e le modifiche in blocco richiedono sempre la tua conferma esplicita; quali altre operazioni la richiedano è indicato nell'art. 5 della Policy di uso accettabile.
Il conferimento dei dati dell'Account è necessario per usare il Servizio: senza, non possiamo erogarlo. Il consenso agli analytics è invece facoltativo e la sua mancanza non limita alcuna funzionalità. Anche il consenso all'invio del tuo indirizzo a Have I Been Pwned è facoltativo: senza, quel solo controllo non viene eseguito (sez. 3, lett. i). Il Servizio è riservato a chi ha almeno 18 anni.
Possiamo aggiornare questa informativa per riflettere modifiche del Servizio o del quadro normativo. La versione vigente, con numero e data di efficacia, è sempre pubblicata su https://app.opdesk.it/privacy.html; le modifiche sostanziali ti sono comunicate tramite l'app o via email.