Vai al contenuto
MSP In Cloud
Menu
Privacy

Informativa sul trattamento dei dati

Come trattiamo i dati personali ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR). Infrastruttura primaria in Germania (UE) e servizi email premium in Italia.

Ultimo aggiornamento: 22/10/2026

Questa è la versione breve. Leggi il testo completo e versionato, con tutti i trattamenti, i sub-responsabili e i tempi di conservazione.

1. Titolare del trattamento

Titolare del trattamento è Francesco Gruner (marchio MSP In Cloud), P.IVA IT01815200090, con sede in Via N.S. del Monte 38/20, 17100 Savona (SV). Per contatti in materia di privacy scrivi a privacy@mspincloud.com.

Doppio ruolo

Per i dati dei visitatori, dei clienti e per la fatturazione siamo Titolari. Per i dati che il cliente e i suoi utenti immettono nei servizi che ospitiamo (Assistenti AI, VPS, hosting/WordPress, email) siamo Responsabili del trattamento e il cliente è Titolare: quei trattamenti sono regolati dall'Accordo sul trattamento dei dati (DPA).

2. Finalità e basi giuridiche

  • Gestione account e contratto: esecuzione del contratto (art. 6.1.b).
  • Fatturazione e adempimenti fiscali: obbligo legale (art. 6.1.c).
  • Erogazione dei servizi (Assistenti AI, VPS, hosting/WordPress, email, domini): esecuzione del contratto (art. 6.1.b).
  • Erogazione di MSP Studio (beta): gestione dei tuoi progetti, prompt e conversazioni con l'agente, codice generato, file di progetto, screenshot di verifica automatica: esecuzione del contratto (art. 6.1.b).
  • Telemetria d'uso AI per la fatturazione a consumo (conteggio token/richieste per scalare il credito e prevenire abusi): contatori, non il contenuto delle conversazioni: contratto (art. 6.1.b) e interesse legittimo (art. 6.1.f).
  • Custodia cifrata delle credenziali che ci affidi (chiavi API BYOK, credenziali dei connettori verso i tuoi sistemi, es. WordPress o database): cifrate a riposo (AES-256-GCM) e usate solo per eseguire le operazioni che richiedi: contratto (art. 6.1.b).
  • Assistenza e supporto: contratto / interesse legittimo (art. 6.1.b/f).
  • Sicurezza dei sistemi e prevenzione abusi (log accessi, WAF, log Amministratore di Sistema): interesse legittimo (art. 6.1.f) e obblighi di legge.
  • Comunicazioni di servizio ed eventuale marketing verso clienti: contratto / interesse legittimo, con opt-out sempre disponibile.
  • Misurazione di visite e campagne (Google Analytics 4, Meta Pixel) e, per gli acquisti, invio lato server dell'evento «acquisto» a Google (Measurement Protocol) e Meta (Conversions API): solo con il tuo consenso dato dal banner cookie (art. 6.1.a), revocabile in ogni momento da «Preferenze cookie». Dettagli nella Cookie Policy.
  • Centralino vocale con assistente AI per conto dei clienti che lo attivano: siamo responsabili del trattamento, il cliente è titolare (vedi la sezione Centralino vocale e assistente AI).

3. Categorie di dati

Dati anagrafici e di contatto, dati fiscali e di pagamento (tokenizzati dal gateway), credenziali, dati tecnici (IP, log). Nei servizi ospitati possono transitare i dati che tu e i tuoi utenti immettete: contenuti conversazionali/prompt degli Assistenti AI e di MSP Studio, codice e file di progetto, screenshot di verifica, contenuti email, dati di siti/database. Le credenziali che ci affidi (chiavi BYOK, connettori) sono conservate cifrate. Non richiediamo categorie particolari di dati per la gestione del rapporto.

4. Destinatari, sub-responsabili e trasferimenti extra-UE

I dati possono essere trattati per nostro conto da fornitori designati sub-responsabili. L'elenco aggiornato è pubblico e versionato.

  • Infrastruttura hosting (VPS, server, storage, servizi gestiti): Germania (UE): dati in UE, nessun trasferimento extra-UE. Il dettaglio del fornitore è disponibile su richiesta contrattuale.
  • Infrastruttura email premium: Italia (UE): dati in UE, nessun trasferimento extra-UE.
  • Cloudflare, Inc. (USA): rete di distribuzione dei contenuti (CDN), protezione DDoS/WAF e certificati per i siti ospitati che la usano; tratta gli indirizzi IP e i dati delle richieste dei visitatori di quei siti. Trasferimento coperto dal Data Privacy Framework UE-USA e, in subordine, dalle Clausole Contrattuali Standard previste dal DPA di Cloudflare.
  • Wasabi Technologies (archiviazione cloud): conservazione dei backup cifrati di siti, posta e database dei clienti e del servizio Backup gestito delle VPS, in data center UE (Paesi Bassi e Italia: Amsterdam, regione eu-central-1, e Milano, regione eu-south-1). I backup sono cifrati da noi prima dell'invio: il fornitore non accede ai contenuti in chiaro.
  • Nubo: inferenza dei modelli selezionabili tramite Scaleway (Francia) e TensorX (Irlanda/Finlandia); eventuali modelli di riserva restano su percorsi UE verificati, inclusa Nebius (Finlandia). Il nome del modello identifica il suo autore, che può essere diverso dal fornitore che elabora prompt e risposte. Per TensorX il DPA indica elaborazione UE senza conservazione dei contenuti; i dati di account e assistenza seguono condizioni e sub-responsabili distinti.
  • OpenAI, Anthropic e Google/Gemini (USA): modelli AI per generazione di testo e immagini negli Assistenti AI e in MSP Studio (funzioni realtime audio/video in preparazione): trasferimento con Clausole Contrattuali Standard (SCC) ed eventuale Data Privacy Framework, con valutazione d'impatto (TIA).
  • Amazon Web Services (Bedrock, Svezia/UE, Stoccolma eu-north-1): infrastruttura di inferenza per l'instradamento europeo dei modelli Claude, senza conservazione dei prompt, in attivazione: dati in UE.
  • OpenRouter (USA): router di modelli AI, quando usato come opzione: SCC + TIA.
  • Collegamenti diretti a z.ai / GLM (Cina) e MiniMax (Cina), distinti dai modelli ospitati in UE: opzioni AI ad alto rischio di trasferimento, mai default: SCC + TIA rafforzata, isolati/non usati per dati personali ove possibile.
  • Stripe e PayPal: elaborazione dei pagamenti (i dati carta sono gestiti direttamente dal gateway; per le transazioni operano di regola come titolari autonomi).
  • Fatture in Cloud (TeamSystem, Italia/UE): fatturazione elettronica.
  • Microsoft Ireland Operations Ltd (Microsoft Azure), solo per il centralino vocale con assistente AI: Azure AI Speech per trascrizione e sintesi vocale nella regione Italy North (Milano, Italia, UE) e Azure OpenAI nella zona dati UE (Svezia) per comprendere e generare le risposte. Microsoft agisce come sub-responsabile: dati elaborati in UE, nessun trasferimento extra-UE.
  • Google (Google Analytics 4) e Meta Platforms Ireland (Meta Pixel, Conversions API): misurazione di visite, campagne e acquisti, solo con il tuo consenso; possibile trasferimento negli USA con Data Privacy Framework e SCC.

Se usi una tua chiave (BYOK) o il tuo abbonamento: i contenuti inviati ai modelli AI sono trattati dal fornitore che hai scelto tu (Anthropic, OpenAI, Google/Gemini, OpenRouter, GLM/Zhipu, MiniMax, xAI o l'abbonamento Codex/ChatGPT), in base al tuo contratto con quel fornitore: in quel flusso non è un nostro sub-responsabile e non ne controlliamo le condizioni. Noi custodiamo la tua chiave cifrata.

Vedi l'elenco completo dei sub-responsabili →

Ricerca web di Nubo

Per cercare informazioni online Nubo usa SearXNG, ospitato sulla nostra infrastruttura UE. Il servizio inoltra le parole della ricerca ai motori configurati: Google CSE, Brave, DuckDuckGo e Startpage. I motori possono elaborare le query fuori dallo Spazio economico europeo; questo percorso è distinto dall’inferenza AI nel gateway UE. Non viene inviata la conversazione completa al motore di ricerca. Evita dati personali o riservati non necessari nelle query.

Modalità vocale opzionale di Nubo

La dettatura si attiva espressamente nelle impostazioni di Nubo e usa il credito del servizio: l’audio passa attraverso il gateway MSP verso Scaleway a Parigi, con TensorX nell’Unione europea come riserva. Il testo riconosciuto resta una bozza da verificare prima dell’invio. Memoria, strumenti e ragionamento restano gestiti da Hermes tramite il gateway MSP europeo.

Separatamente puoi collegare una tua chiave OpenAI per leggere le risposte e, quando la dettatura europea è disattivata, trascrivere audio. Solo questo collegamento opzionale può comportare trattamento extra-UE secondo le condizioni del tuo account OpenAI. Un errore della dettatura europea non attiva OpenAI automaticamente. Puoi disattivare la dettatura o rimuovere la chiave separatamente; la chat scritta continua a funzionare.

La chiave è salvata cifrata e separata per il tuo servizio. Il broker vocale non archivia registrazioni, audio sintetizzato o testi letti; mantiene identificativi tecnici delle ultime richieste e contatori per impedire duplicati e applicare i limiti. La trascrizione entra nella cronologia della chat solo quando la invii. La rimozione della chiave non elimina i messaggi già inviati o i dati trattati da OpenAI secondo le sue condizioni.

Informazioni OpenAI sul trattamento dei dati API.

Centralino vocale e assistente AI

Per i clienti che lo attivano, MSP In Cloud gestisce un centralino con assistente vocale basato su intelligenza artificiale: risponde alle telefonate per conto del cliente, fornisce informazioni, raccoglie le richieste e, se previsto, prende appuntamenti.

Chi è titolare e chi è responsabile

Per i dati di chi telefona al cliente (chiamanti) il titolare del trattamento è il cliente che ha attivato il centralino (per esempio lo studio o l'azienda chiamata). MSP In Cloud tratta questi dati per conto del cliente, come responsabile del trattamento (art. 28 GDPR), secondo il contratto e l'Accordo sul trattamento dei dati (DPA). Per i dati del cliente (account, contratto, fatturazione) MSP In Cloud resta titolare come descritto nel resto di questa informativa.

Avviso al chiamante

All'inizio di ogni chiamata l'assistente informa che si sta parlando con un assistente basato su intelligenza artificiale (art. 50 Regolamento UE 2024/1689, AI Act), che la conversazione viene registrata e trascritta per le finalità indicate qui sotto, dove trovare l'informativa e, quando il servizio lo prevede, come chiedere di parlare con una persona.

Quali dati

  • Numero di telefono del chiamante, numero chiamato, data, ora e durata della chiamata.
  • Voce (audio della chiamata) e trascrizione testuale della conversazione.
  • Le informazioni che il chiamante comunica: per esempio nome, recapiti, motivo della chiamata, preferenze per un appuntamento.
  • Il chiamante può comunicare anche categorie particolari di dati (art. 9 GDPR), per esempio informazioni sulla salute quando chiama uno studio medico, dentistico o veterinario: l'assistente è istruito a chiedere solo ciò che serve per gestire la richiesta.
  • Dati tecnici della chiamata (identificativi di sessione, log di instradamento e di errore).

La voce è usata solo per trascrivere e comprendere la conversazione: non è usata per riconoscere o identificare le persone in modo biometrico.

Finalità e basi giuridiche

Le finalità sono stabilite dal cliente titolare; MSP In Cloud le esegue per suo conto:

  • rispondere alla chiamata, dare informazioni, raccogliere la richiesta e, se previsto, fissare un appuntamento (misure precontrattuali o contrattuali, art. 6.1.b, o interesse legittimo del titolare, art. 6.1.f; per i dati sanitari la base stabilita dal titolare, art. 9.2.h o consenso esplicito);
  • trasmettere al cliente un riepilogo della richiesta;
  • controllo di qualità e sicurezza del servizio: verificare che l'assistente abbia capito e risposto correttamente, correggere gli errori e prevenire abusi (interesse legittimo, art. 6.1.f).

L'assistente non prende decisioni che producono effetti giuridici o effetti analoghi sul chiamante (art. 22 GDPR): le richieste complesse sono passate al personale del cliente.

Conservazione

  • Audio e trascrizioni: 24 ore, solo per il controllo di qualità, poi cancellazione automatica.
  • Contatti e richieste raccolti durante la chiamata (per esempio nome, recapito, motivo, appuntamento): fino a 30 giorni nei nostri sistemi, poi cancellati; restano solo nei sistemi del cliente secondo le sue regole.
  • Log tecnici senza contenuto della conversazione: da 30 giorni a 12 mesi, come gli altri log di sicurezza.

Chi tratta i dati per nostro conto

  • Microsoft Ireland Operations Ltd (Microsoft Azure), sub-responsabile: Azure AI Speech per trascrizione e sintesi vocale nella regione Italy North (Milano, Italia, UE); Azure OpenAI nella zona dati UE (Svezia) per comprendere e generare le risposte.
  • Infrastruttura server in Germania (UE) che ospita centralino, agenti vocali e archivio temporaneo.
  • Quando è attiva una linea telefonica esterna, la linea è fornita da un operatore telefonico che agisce come responsabile del trattamento per l'instradamento delle chiamate.

Per questo servizio i dati sono elaborati nell'Unione Europea: nessun trasferimento verso Paesi extra-UE.

Diritti del chiamante

Il chiamante ha diritto di accesso, rettifica, cancellazione, limitazione, opposizione e, dove applicabile, portabilità (artt. 15-22 GDPR). Per esercitarli si rivolge al cliente titolare che gestisce il numero chiamato; MSP In Cloud lo assiste come responsabile. Se la richiesta arriva a privacy@mspincloud.com la inoltriamo al titolare senza ritardo. Poiché audio e trascrizioni sono cancellati dopo 24 ore, l'accesso alla registrazione è possibile solo entro quel termine. Resta sempre possibile il reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

5. Conservazione

  • Dati contrattuali: durata del rapporto + 10 anni; documenti fiscali: 10 anni.
  • Log accessi Amministratore di Sistema: almeno 6 mesi (Provv. Garante 27/11/2008).
  • Log tecnici/sicurezza: da 30 giorni a 12 mesi; backup cifrati secondo ciclo di rotazione.
  • Contenuti nei servizi: secondo le tue istruzioni; a fine rapporto, cancellazione o restituzione.
  • Progetti MSP Studio (prompt, codice, screenshot, variabili, credenziali connettori): finché il progetto esiste; eliminati alla cancellazione del progetto, salvo persistenza residua nei backup cifrati fino a fine ciclo di rotazione.
  • Telemetria dei consumi AI usata per la fatturazione: come i documenti contabili collegati.
  • Centralino vocale con assistente AI: audio e trascrizioni 24 ore (controllo di qualità), contatti e richieste raccolti fino a 30 giorni, poi cancellazione automatica.
  • Scelta sui cookie di misurazione: 6 mesi, poi te la chiediamo di nuovo.

6. I tuoi diritti

Hai diritto di accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso (artt. 15-22 GDPR). Per esercitarli scrivi all'indirizzo privacy indicato nell'informativa integrale; rispondiamo entro un mese. Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Se sei un utente finale di un nostro cliente (ad es. scrivi a un Assistente AI o a un sito che ospitiamo), per i tuoi diritti rivolgiti al cliente che gestisce quel servizio, in qualità di Titolare; noi lo assistiamo come Responsabile.

7. Riferimenti

Per domande sulla privacy puoi contattare il supporto.

Sub-responsabili Informativa AI
Tutte le note legali

Account personali collegati a Nubo

Puoi autorizzare separatamente Google o Microsoft, quando disponibili, per cercare e leggere email, consultare il calendario, trovare i metadati dei file e preparare email o appuntamenti. L’autorizzazione del provider è facoltativa e distinta dall’accesso a MSP In Cloud. Le password degli account non vengono richieste in chat.

Gli indirizzi e i servizi autorizzati sono associati al tuo Nubo. I token di rinnovo sono cifrati sul server MSP; il singolo assistente riceve soltanto l’accesso al proprio account. Le informazioni che chiedi di leggere entrano nel contesto del modello tramite il gateway MSP e possono restare nella cronologia e nei risultati delle automazioni. Sono usate per le funzionalità richieste, non per pubblicità, vendita di dati o addestramento di modelli generalisti. Le proposte di invio o creazione richiedono conferma nell’interfaccia.

Scollegando un account vengono eliminati i token attivi conservati da MSP per quel collegamento e annullate le proposte ancora in attesa. Puoi revocare anche il consenso nelle impostazioni Google o Microsoft. Lo scollegamento non cancella le conversazioni già salvate: puoi eliminarle da Nubo; restano applicabili i tempi di conservazione e delle copie di sicurezza descritti nell’informativa. Google e Microsoft applicano i propri contratti e percorsi geografici: il collegamento non garantisce che tutti i dati siano trattati esclusivamente in UE.

L’uso e il trasferimento dei dati ricevuti tramite le API Google sono limitati alle funzionalità autorizzate e devono rispettare la Google API Services User Data Policy, inclusi i requisiti Limited Use. Il rilascio pubblico delle autorizzazioni soggette a verifica dipende anche dall’approvazione del provider.