Informativa privacy

1. Chi tratta i dati

Titolare del trattamento per i dati degli studi che usano il servizio, dei loro collaboratori e di chi visita il sito è ArcLightVideo Agency di Davide Bandini, Via Luigi Tellarini 32, 48027 Solarolo (RA), P.IVA 02819630399, [email protected].

Per i dati dei clienti di uno studio (e di chi riceve da lui un link di visione) il titolare è lo studio: Consegna.video li tratta solo per suo conto e secondo le sue istruzioni, come responsabile del trattamento (art. 28 GDPR), alle condizioni dei Termini di servizio. Per quei dati bisogna rivolgersi prima di tutto allo studio.

2. Quali dati

Account dello studio: nome dello studio, email, password (conservata solo come impronta cifrata), dati dei collaboratori e dei loro ruoli, piano e spazio usato.

Clienti e progetti: nomi, email e recapiti dei clienti, codici di accesso, video, documenti, messaggi in chat, commenti e approvazioni, appuntamenti e prenotazioni.

Firme: per le firme elettroniche il nome del firmatario, l'email a cui arriva il codice, l'indirizzo IP, data e ora e l'impronta del documento firmato; per la firma qualificata anche i dati di identificazione gestiti da InfoCert.

Pagamenti: importi, stati e riferimenti dei pagamenti. I dati delle carte li tratta Stripe sul conto dello studio: Consegna.video non li vede e non li conserva.

Link di visione: il nome indicato da chi crea il link, il numero di aperture e l'ultima apertura; nel video può comparire una filigrana con il nome di chi guarda e l'ora.

Funzioni facoltative dello studio: calendari collegati (Google, iCloud/CalDAV, feed ICS, con credenziali conservate cifrate), registro viaggi (indirizzi e percorsi), presenze degli operatori (orari e, se l'operatore la consente, la posizione al momento della timbratura), rubrica e campagne email verso contatti commerciali.

Dati tecnici: indirizzo IP e dati del browser nelle richieste, usati per sicurezza, limiti anti-abuso e diagnosi degli errori.

3. Perché e su quale base

Per fornire il servizio richiesto e gestire il rapporto con lo studio (esecuzione del contratto, art. 6.1.b GDPR).

Per adempiere obblighi di legge, per esempio fiscali e contabili (art. 6.1.c).

Per la sicurezza del servizio, la prevenzione di abusi e la prova delle firme e delle approvazioni (legittimo interesse, art. 6.1.f).

Per le funzioni facoltative, quando lo studio o l'interessato le attivano (per esempio la posizione nelle timbrature, che il browser chiede ogni volta).

Non vendiamo i dati, non li usiamo per pubblicità e non facciamo profilazione.

4. Per quanto tempo

I dati dell'account e dei progetti restano finché lo studio usa il servizio; i contenuti vengono cancellati dopo la chiusura dell'account o quando lo studio li elimina.

I dati legati a firme e pagamenti possono essere conservati più a lungo quando servono come prova o per obblighi di legge (per i documenti fiscali fino a 10 anni).

I dati tecnici delle richieste si conservano per il tempo breve necessario alla sicurezza e alla diagnosi.

5. A chi arrivano

Solo ai fornitori che servono a far funzionare il servizio, nominati responsabili o sub-responsabili del trattamento: il provider del server su cui gira il portale, Cloudflare (archiviazione dei video e dei file su R2 e distribuzione), il servizio di posta usato per le email, Stripe (pagamenti, sul conto dello studio), InfoCert (firma elettronica qualificata), Telegram (notifiche allo studio, se le attiva), Google e i servizi CalDAV (calendari, se lo studio li collega), OpenStreetMap/Nominatim e OSRM (indirizzi e percorsi dei viaggi).

Se lo studio collega da sé altri servizi (per esempio Claude tramite i token API), i dati che quei servizi leggono sono trattati secondo le loro condizioni.

Alcuni di questi fornitori possono trattare dati fuori dall'Unione europea; in quel caso il trasferimento avviene con le garanzie previste dal GDPR (decisioni di adeguatezza o clausole contrattuali standard).

6. Il connettore per ChatGPT e Claude

Lo studio può collegare il portale a un assistente AI (ChatGPT, Claude o un altro client MCP) dal connettore all'indirizzo /api/mcp. Il collegamento si autorizza con email e password dello studio (OAuth) e crea un token API che lo studio vede e revoca in qualsiasi momento da Token API.

Il connettore agisce solo quando l'utente lo chiede all'assistente, e solo con i permessi del ruolo di chi l'ha collegato: può leggere e modificare clienti, progetti, step, documenti, ruoli e tariffe e registro viaggi dello studio. Non legge i video né le chiavi per vederli, non vede password né dati delle carte, non tocca i pagamenti e non manda mail ai clienti (il modulo Contatti, dove esiste, spedisce solo su richiesta esplicita).

I dati che il connettore restituisce all'assistente vengono trattati dal fornitore dell'assistente (per esempio OpenAI o Anthropic) secondo le sue condizioni: lo studio decide se e come usarlo.

7. Cookie

Usiamo solo cookie tecnici, necessari al funzionamento: la sessione di accesso, il permesso di guardare il video di un link di visione, la lingua e il tema chiaro/scuro scelti. Il browser conserva anche qualche preferenza locale (per esempio i calendari nascosti). Niente cookie di profilazione o di statistica di terze parti, quindi non serve il banner del consenso.

8. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento basato sul legittimo interesse, scrivendo a [email protected]. Se i dati sono di un cliente di uno studio, inoltriamo la richiesta allo studio, che ne è titolare.

Hai anche il diritto di presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Sicurezza e modifiche

I video sono cifrati e si guardano solo con permessi temporanei, le password sono conservate solo come impronte, le credenziali dei calendari collegati sono cifrate e ogni studio vede solo i propri dati.

Possiamo aggiornare questa informativa; la data in alto indica l'ultima versione.