INFORMATIVA SULLA PRIVACY

ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR)

Ultimo aggiornamento: 12 aprile 2026

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

• Nome: Michele Bogoni
• P.IVA: 04555040239
• Sede legale: Via Novella, 5/E – 37032 Monteforte d'Alpone (VR)
• Email: info@truereply.it

Per qualsiasi richiesta relativa al trattamento dei dati personali, l'utente può contattare il Titolare all'indirizzo email sopra indicato.

2. Tipologie di dati raccolti

2.1 Dati degli utenti registrati (Clienti TrueReply)

Al momento della registrazione e durante l'utilizzo del servizio, raccogliamo:

• Dati identificativi: nome, cognome, indirizzo email
• Dati di autenticazione: password (hash crittografico tramite Firebase Authentication)
• Dati di fatturazione: elaborati e conservati da Stripe Inc. TrueReply non memorizza né ha accesso ai dati delle carte di credito
• Dati di utilizzo: numero di conversazioni, messaggi, minuti voce consumati, configurazione del chatbot
• Contenuti caricati: documenti, URL e testi caricati nella knowledge base del chatbot

2.2 Dati dei visitatori dei siti dei clienti (Utenti finali del chatbot)

Quando un visitatore interagisce con un chatbot TrueReply installato sul sito di un nostro cliente, raccogliamo:

• Messaggi di chat: il contenuto della conversazione con il chatbot
• Identificativo visitatore anonimo: un ID casuale generato dal browser e memorizzato localmente (localStorage) per garantire la continuità della sessione
• Identificativo di sessione: un UUID casuale generato per ogni sessione di chat
• URL della pagina: la pagina web su cui si trova il visitatore al momento dell'interazione
• Tipo di dispositivo: mobile o desktop
• Dati di contatto volontariamente forniti: nome, email, telefono o altre informazioni che il visitatore sceglie di condividere durante la conversazione (lead capture)
• Dati di chiamata vocale (se attivo): numero del chiamante, durata della chiamata, trascrizione della conversazione

2.3 Dati raccolti sul sito truereply.it

Navigando sul sito truereply.it, raccogliamo dati tramite:

• Google Analytics 4: dati di navigazione anonimizzati (pagine visitate, durata sessione, origine del traffico, tipo di dispositivo)
• Meta Pixel (Facebook): dati di navigazione per finalità di remarketing e analisi delle conversioni pubblicitarie
• Microsoft Clarity: registrazioni anonime delle sessioni, heatmap e dati di interazione con la pagina per migliorare l'esperienza utente
• Brevo (Sendinblue): indirizzo email, in caso di iscrizione volontaria alla newsletter

3. Finalità e base giuridica del trattamento

4. Modalità del trattamento

I dati personali sono trattati con strumenti informatici e telematici, con logiche strettamente correlate alle finalità sopra indicate e, comunque, in modo da garantire la sicurezza e la riservatezza dei dati stessi.

Trattamento tramite intelligenza artificiale: i messaggi inviati dagli utenti finali al chatbot vengono elaborati da modelli di intelligenza artificiale di terze parti (Anthropic Claude per la chat testuale, Google Gemini per la voce) al fine di generare risposte pertinenti. I messaggi vengono inviati ai fornitori AI esclusivamente per l'elaborazione in tempo reale e non vengono utilizzati per l'addestramento dei modelli. Le conversazioni vengono salvate su database Firestore per consentire al cliente di monitorare le interazioni.

Trattamento tramite embeddings: i documenti caricati nella knowledge base vengono trasformati in rappresentazioni numeriche (embeddings) tramite OpenAI per consentire la ricerca semantica. I testi originali non vengono conservati da OpenAI.

5. Responsabili del trattamento e destinatari dei dati

Per l'erogazione del servizio, il Titolare si avvale dei seguenti sub-responsabili del trattamento:

6. Trasferimento dei dati al di fuori dell'UE

Alcuni dei sub-responsabili sopra indicati hanno sede negli Stati Uniti d'America. Il trasferimento dei dati verso tali soggetti avviene sulla base delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46.2.c del GDPR, nonché del Data Privacy Framework UE-USA ove applicabile.

Il database principale (Firestore) è ospitato nella regione UE (eur3 – europe-west) e i dati vi risiedono stabilmente. L'invio ai fornitori AI statunitensi avviene esclusivamente per l'elaborazione in tempo reale delle richieste e non comporta la conservazione permanente dei dati da parte di tali fornitori.

7. Periodo di conservazione dei dati

• Dati dell'account: conservati per tutta la durata del rapporto contrattuale e per 10 anni successivi alla cessazione, per adempimenti fiscali e legali
• Conversazioni del chatbot: conservate per la durata dell'abbonamento del cliente. Alla cancellazione dell'account, vengono eliminate entro 30 giorni
• Dati di lead capture: conservati per la durata dell'abbonamento del cliente e accessibili tramite la dashboard o Google Sheets
• Registrazioni vocali e trascrizioni: conservate per la durata dell'abbonamento del cliente
• Dati di navigazione (GA4, Clarity, Meta Pixel): secondo le policy di conservazione dei rispettivi fornitori (tipicamente 14–26 mesi)
• Dati newsletter (Brevo): fino alla revoca del consenso da parte dell'interessato
• Dati di sessione del widget (localStorage): 30 minuti di inattività (sessione); il visitor ID persiste fino alla cancellazione manuale dei dati del browser da parte dell'utente

8. Diritti dell'interessato

Ai sensi degli articoli 15–22 del GDPR, l'interessato ha il diritto di:

• Accesso: ottenere la conferma dell'esistenza di dati personali che lo riguardano e la loro comunicazione in forma intelligibile
• Rettifica: ottenere la correzione di dati inesatti o l'integrazione di dati incompleti
• Cancellazione: ottenere la cancellazione dei propri dati personali nei casi previsti dal GDPR
• Limitazione: ottenere la limitazione del trattamento nei casi previsti dal GDPR
• Portabilità: ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico
• Opposizione: opporsi al trattamento dei propri dati per motivi legati alla propria situazione particolare
• Revoca del consenso: revocare in qualsiasi momento il consenso prestato, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca

Per esercitare i propri diritti, l'interessato può inviare una richiesta a info@truereply.it. Il Titolare risponderà entro 30 giorni dal ricevimento della richiesta.

L'interessato ha inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Ruolo di TrueReply nel trattamento dei dati degli utenti finali

TrueReply agisce in qualità di Responsabile del trattamento (Data Processor) per conto dei propri clienti (Titolari del trattamento) relativamente ai dati degli utenti finali che interagiscono con i chatbot. Il cliente che installa il chatbot TrueReply sul proprio sito web è responsabile di informare i propri visitatori circa il trattamento dei dati personali tramite il chatbot, nel rispetto del GDPR.

10. Dati Google (Google API Services)

TrueReply si integra con Google Calendar tramite le Google API Services, previo esplicito consenso dell'utente durante un flusso OAuth 2.0. Questa sezione descrive quali dati riceviamo, come li usiamo, come li proteggiamo e come l'utente può revocarli in qualsiasi momento.

10.1 Ambiti (scope) richiesti

Richiediamo sempre l'ambito minimo strettamente necessario alla funzionalità. Non richiediamo calendar completo né calendar.settings.

10.2 Come usiamo i dati Google

• Availability lookup: quando un visitatore del sito chatta col bot del cliente e chiede un appuntamento, TrueReply interroga in tempo reale l'endpoint freeBusy del calendario selezionato per calcolare gli slot liberi coerenti con le fasce orarie configurate dal cliente. Non persistiamo il free/busy.
• Event creation: alla conferma di un appuntamento, TrueReply crea l'evento sul calendario del cliente tramite events.insert. Il contenuto dell'evento (titolo, descrizione, partecipanti) è derivato esclusivamente dai dati forniti dal visitatore e dal template configurato dal cliente.
• Event read-back: se il chatbot deve confermare un appuntamento già prenotato, interroghiamo events.get con l'ID dell'evento.

Non usiamo i dati Google per finalità pubblicitarie, non li vendiamo, non li condividiamo con terze parti, non li usiamo per addestrare modelli di machine learning.

10.3 Conservazione e protezione dei dati Google

• I refresh token OAuth sono cifrati at-rest tramite envelope encryption: AES-256-GCM con Data Encryption Key random generata per ciascun token, a sua volta wrappata con Google Cloud KMS (keyring truereply-secrets, chiave oauth-tokens, rotazione 90 giorni). Solo la nostra Cloud Function backend possiede il permesso IAM di decifrare la DEK.
• Gli access token sono memorizzati in cache temporanea per la durata della loro validità (tipicamente un'ora) e mai persistiti più del necessario.
• Tutti i dati Google in transito viaggiano esclusivamente su TLS 1.2+ (HTTPS).
• Gli eventi creati e gli slot letti non sono persistiti nel nostro database: vivono solo nel calendario Google dell'utente.
• L'accesso ai dati Google è limitato alla Cloud Function backend di TrueReply (europe-west1). Il servizio voce (Cloud Run) non possiede mai i token né li decifra: chiama endpoint interni autenticati che restituiscono solo il risultato aggregato dell'operazione.

10.4 Limited Use disclosure

TrueReply's use and transfer of information received from Google APIs to any other app will adhere to Google API Services User Data Policy, including the Limited Use requirements.

10.5 Revoca e cancellazione

L'utente può revocare l'accesso ai suoi dati Google in qualsiasi momento:

• dalla dashboard TrueReply: Integrazioni → Google Calendar → Disconnetti (invalida il refresh token lato Google e cancella il record calendarConnector da Firestore).
• direttamente da Google: myaccount.google.com/permissions.

Alla disconnessione, il refresh token cifrato viene rimosso entro pochi secondi dal nostro Firestore. Eventuali access token residui scadono automaticamente entro un'ora.

10.6 Contatto per dati Google

Per domande sul trattamento dei dati Google: info@truereply.it.

11. Misure di sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza commensurato al rischio, tra cui:

• Crittografia dei dati in transito (HTTPS/TLS) e a riposo (crittografia Firebase/Google Cloud)
• Autenticazione tramite Firebase Authentication con hash crittografico delle password
• Elaborazione dei pagamenti tramite Stripe (certificato PCI DSS Level 1), senza transito o memorizzazione dei dati delle carte sui server TrueReply
• Isolamento dei dati per tenant: ogni cliente accede esclusivamente ai propri dati tramite regole di sicurezza Firestore
• Rate limiting sugli endpoint pubblici per la protezione da abusi
• Widget in Shadow DOM per l'isolamento dal contesto della pagina ospitante

12. Modifiche alla presente informativa

Il Titolare si riserva il diritto di apportare modifiche alla presente informativa in qualsiasi momento. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento. Si invita l'utente a consultare periodicamente questa pagina.

13. Contatti

Per qualsiasi domanda relativa alla presente informativa o al trattamento dei dati personali, è possibile contattare il Titolare scrivendo a: info@truereply.it