Informativa sul trattamento dei dati personali
Il testo completo e versionato. La versione breve, con le stesse regole riassunte, resta sulla pagina Privacy.
Informativa ai sensi degli artt. 13-14 del Regolamento (UE) 2016/679 (GDPR).
Ultimo aggiornamento: 2026-10-19 (aggiunti: finalità M, centralino vocale e assistente AI per conto dei clienti; finalità N, misurazione di visite, campagne e acquisti solo con consenso; Microsoft Azure, operatore telefonico, Google e Meta tra i destinatari; conservazione di audio, trascrizioni e contatti del centralino) · Versione: v2
1. Chi siamo (Titolare del trattamento)
MSP In Cloud — Francesco Gruner (marchio "MSP In Cloud"), con sede in Via N.S. del Monte 38/20, 17100 Savona (SV), P.IVA IT01815200090, regime forfettario, REA SV - 221116, PEC comunicazioni@pec.francescogruner.it.
- Email di contatto per la privacy: privacy@mspincloud.com
- Responsabile della protezione dei dati (DPO): non è stato designato un Responsabile della protezione dei dati, non ricorrendo i casi previsti dall'art. 37 del GDPR. Per l'esercizio dei diritti e per ogni questione relativa al trattamento puoi rivolgerti direttamente al Titolare ai recapiti indicati sopra.
Doppio ruolo. Per i dati dei visitatori del sito, dei clienti e per la fatturazione MSP In Cloud agisce come Titolare del trattamento. Per i dati che il Cliente e i suoi utenti finali immettono nei servizi che ospitiamo per suo conto (Assistenti AI, VPS/server, hosting web/WordPress, email), MSP In Cloud agisce come Responsabile del trattamento e il Cliente è il Titolare: tali trattamenti sono disciplinati dall'Accordo sul trattamento dei dati (DPA) — vedi
docs/legal/DPA_RESPONSABILE.md.
Questa informativa riguarda i trattamenti in cui siamo Titolari. Per i trattamenti "per conto del cliente" (Responsabile) vale il DPA e il presente documento li descrive solo per trasparenza.
2. Quali dati trattiamo, per quali finalità e su quale base giuridica
| # | Finalità | Categorie di dati | Base giuridica (art. 6 GDPR) |
|---|---|---|---|
| A | Registrazione account e gestione del rapporto contrattuale (creazione account, ordini, area clienti) | anagrafici (nome, cognome, ragione sociale), contatto (email, telefono, indirizzo), credenziali, P.IVA/CF | art. 6.1.b (esecuzione del contratto) |
| B | Fatturazione, contabilità, adempimenti fiscali (fatturazione elettronica SdI, conservazione) | dati fiscali, dati di pagamento (tokenizzati dal gateway), importi | art. 6.1.c (obbligo legale) |
| C | Erogazione dei servizi (provisioning e gestione di Assistenti AI, VPS, hosting/WordPress, email, domini) | dati account + dati tecnici di servizio (IP, log operativi, metriche) | art. 6.1.b |
| D | Assistenza e supporto (ticket, chat, email di supporto) | contenuto delle richieste, contatto, dati account | art. 6.1.b / 6.1.f (interesse legittimo a fornire supporto) |
| E | Sicurezza dei sistemi e prevenzione abusi (log accessi, CrowdSec/WAF, anti-frode, log Amministratore di Sistema) | IP, log di accesso, eventi di sicurezza, user-agent | art. 6.1.f (interesse legittimo alla sicurezza della rete e dei sistemi — cfr. Considerando 49) e art. 6.1.c dove imposto |
| F | Comunicazioni di servizio (avvisi tecnici, scadenze, modifiche contrattuali) | email, dati account | art. 6.1.b / 6.1.f |
| G | Marketing diretto via email verso clienti su prodotti analoghi (se attivato) | email, preferenze | art. 6.1.f (soft opt-in) con opt-out sempre disponibile; per non-clienti art. 6.1.a (consenso) |
| H | Cookie e tecnologie analoghe | vedi Cookie Policy | tecnici: interesse legittimo/necessità; non tecnici: consenso (art. 6.1.a) |
| I | Gestione richieste degli interessati e adempimenti privacy (esercizio diritti, registro violazioni) | dati necessari all'identificazione e alla risposta | art. 6.1.c |
| J | Erogazione di MSP Studio (beta) — generazione di applicazioni con AI: gestione dei progetti dell'utente | prompt e conversazioni di chat con l'agente, codice generato e file di progetto, screenshot di verifica automatica dell'app, variabili d'ambiente (le segrete: cifrate), log tecnici | art. 6.1.b |
| K | Telemetria d'uso AI per fatturazione (metering dei consumi: conteggio token/richieste per scalare il credito e prevenire abusi) | contatori di consumo per chiave/servizio (non il contenuto delle conversazioni), identificativi account | art. 6.1.b (fatturazione a consumo) / 6.1.f (prevenzione abusi) |
| L | Custodia credenziali di sistemi terzi collegati dall'utente (connettori MCP di MSP Studio: es. WordPress, database; chiavi BYOK) | credenziali/chiavi fornite dall'utente, cifrate a riposo (AES-256-GCM), usate solo per eseguire le operazioni richieste dall'utente | art. 6.1.b |
| M | Centralino vocale e assistente AI telefonico per conto del cliente (MSP In Cloud è responsabile; vedi §5-bis) | numero del chiamante e numero chiamato, voce (audio), trascrizione, contenuto della richiesta, eventuali dati sanitari comunicati dal chiamante, log tecnici | stabilita dal cliente titolare (art. 6.1.b/f; per i dati sanitari art. 9.2.h o consenso esplicito); MSP agisce ex art. 28 |
| N | Misurazione di visite, campagne e acquisti (Google Analytics 4, Meta Pixel; evento «acquisto» lato server via Google Measurement Protocol e Meta Conversions API) | pagine viste, identificativi dei cookie di misurazione, identificativo pseudonimo del cliente, importo e numero della fattura; per Meta anche email in forma cifrata (hash SHA-256), indirizzo IP e user-agent quando disponibili | consenso (art. 6.1.a) dato dal banner cookie, revocabile da «Preferenze cookie»; senza consenso non inviamo nulla |
Non svolgiamo decisioni automatizzate con effetti giuridici o similari sugli interessati ai sensi dell'art. 22 GDPR nell'ambito di questi trattamenti da Titolare. Gli Assistenti AI sono un servizio fornito al Cliente; il loro uso è disciplinato dal DPA e dai Termini AI.
3. Categorie particolari di dati
Non richiediamo categorie particolari di dati (art. 9) né dati giudiziari (art. 10) per la gestione del rapporto. Se il Cliente immette dati particolari all'interno dei servizi (es. contenuti caricati su una VPS, dati trattati da un Assistente AI), tali dati sono trattati come Responsabile secondo le istruzioni del Cliente-Titolare e il DPA; il Cliente è responsabile della liceità di tale immissione.
4. Come raccogliamo i dati
- Direttamente da te: registrazione, ordini, ticket, email.
- Automaticamente durante l'uso: log tecnici, IP, cookie (vedi Cookie Policy).
- Da terzi: gateway di pagamento (esito transazioni), servizi anti-frode/reputazione IP.
5. Destinatari e sub-fornitori (chi tratta i dati per noi)
I dati possono essere trattati, per nostro conto e su nostra istruzione, da fornitori designati Responsabili/sub-responsabili. L'elenco aggiornato dei sub-responsabili usati per l'erogazione dei servizi è pubblico e versionato: vedi pagina "Sub-responsabili" e docs/legal/SUBPROCESSOR_LIST.md. In sintesi:
- Contabo GmbH (Germania, UE) — infrastruttura hosting/VPS/server. Dati in UE.
- Qboxmail (Italia, UE) — infrastruttura email premium. Dati in UE.
- OpenAI e Anthropic (USA) — modelli linguistici per gli Assistenti AI e MSP Studio. Trasferimento extra-UE con Clausole Contrattuali Standard (SCC) ed eventuale copertura Data Privacy Framework; vedi TIA.
- OpenRouter (USA) — router di modelli AI, quando usato (opzione); i prompt possono transitare verso i provider a valle instradati da OpenRouter. SCC + TIA. ⚠️ DA VALIDARE (avvocato): catena di sub-fornitori a valle di OpenRouter.
- z.ai / Zhipu (GLM) (Cina) e MiniMax (Cina, entità internazionale Singapore) — modelli linguistici opzionali ad alto rischio di trasferimento, mai default; isolati dai dati personali ove possibile, con SCC e TIA rafforzata; vedi
docs/legal/SUBPROCESSOR_LIST.mdedocs/legal/TIA.md. ⚠️ DA VALIDARE (avvocato): entità contrattuale MiniMax e relativo DPA. - Stripe e PayPal — elaborazione pagamenti (dati carta gestiti direttamente dal gateway, a noi arrivano esiti e riferimenti tokenizzati); per l'elaborazione delle transazioni e l'antifrode operano di regola come titolari autonomi. ⚠️ DA VALIDARE (avvocato): qualificazione Responsabile vs titolare autonomo per ciascun gateway.
- Fatture in Cloud (TeamSystem) (Italia, UE) — fatturazione elettronica/SdI.
- Microsoft Ireland Operations Ltd (Microsoft Azure) — solo per il centralino vocale con assistente AI (finalità M): Azure AI Speech nella regione Italy North (Milano, Italia, UE) e Azure OpenAI nella zona dati UE (Svezia). Sub-responsabile. Dati in UE.
- Operatore telefonico — quando è attiva una linea telefonica esterna per il centralino, instradamento delle chiamate come responsabile del trattamento.
- Google (Google Analytics 4, Measurement Protocol) e Meta Platforms Ireland (Meta Pixel, Conversions API) — misurazione (finalità N), solo con consenso; possibile trasferimento negli USA con EU-US Data Privacy Framework e SCC.
Nota BYOK / abbonamento proprio. Se scegli di usare una tua chiave API (BYOK: Anthropic, OpenAI, OpenRouter, GLM/Zhipu, MiniMax) o il tuo abbonamento Codex/ChatGPT, i contenuti inviati ai modelli sono trattati dal provider che hai scelto tu, in base al TUO contratto con quel provider: in quel flusso il provider non è un nostro sub-responsabile e non ne controlliamo le condizioni. Custodiamo la chiave cifrata per tuo conto (finalità L).
Possiamo inoltre comunicare dati a autorità quando richiesto per legge, e ai nostri consulenti (commercialista, legale) vincolati a riservatezza.
5-bis. Centralino vocale e assistente AI (finalità M)
Per i clienti che lo attivano, MSP In Cloud gestisce un centralino con assistente vocale basato su intelligenza artificiale: risponde alle telefonate per conto del cliente, fornisce informazioni, raccoglie le richieste e, se previsto, prende appuntamenti.
Chi è titolare e chi è responsabile
Per i dati di chi telefona al cliente (chiamanti) il titolare del trattamento è il cliente che ha attivato il centralino (per esempio lo studio o l'azienda chiamata). MSP In Cloud tratta questi dati per conto del cliente, come responsabile del trattamento (art. 28 GDPR), secondo il contratto e l'Accordo sul trattamento dei dati (DPA). Per i dati del cliente (account, contratto, fatturazione) MSP In Cloud resta titolare come descritto nel resto di questa informativa.
Avviso al chiamante
All'inizio di ogni chiamata l'assistente informa che si sta parlando con un assistente basato su intelligenza artificiale (art. 50 Regolamento UE 2024/1689, AI Act), che la conversazione viene registrata e trascritta per le finalità indicate qui sotto, dove trovare l'informativa e, quando il servizio lo prevede, come chiedere di parlare con una persona.
Quali dati
- Numero di telefono del chiamante, numero chiamato, data, ora e durata della chiamata.
- Voce (audio della chiamata) e trascrizione testuale della conversazione.
- Le informazioni che il chiamante comunica: per esempio nome, recapiti, motivo della chiamata, preferenze per un appuntamento.
- Il chiamante può comunicare anche categorie particolari di dati (art. 9 GDPR), per esempio informazioni sulla salute quando chiama uno studio medico, dentistico o veterinario: l'assistente è istruito a chiedere solo ciò che serve per gestire la richiesta.
- Dati tecnici della chiamata (identificativi di sessione, log di instradamento e di errore).
La voce è usata solo per trascrivere e comprendere la conversazione: non è usata per riconoscere o identificare le persone in modo biometrico.
Finalità e basi giuridiche
Le finalità sono stabilite dal cliente titolare; MSP In Cloud le esegue per suo conto:
- rispondere alla chiamata, dare informazioni, raccogliere la richiesta e, se previsto, fissare un appuntamento (misure precontrattuali o contrattuali, art. 6.1.b, o interesse legittimo del titolare, art. 6.1.f; per i dati sanitari la base stabilita dal titolare, art. 9.2.h o consenso esplicito);
- trasmettere al cliente un riepilogo della richiesta;
- controllo di qualità e sicurezza del servizio: verificare che l'assistente abbia capito e risposto correttamente, correggere gli errori e prevenire abusi (interesse legittimo, art. 6.1.f).
L'assistente non prende decisioni che producono effetti giuridici o effetti analoghi sul chiamante (art. 22 GDPR): le richieste complesse sono passate al personale del cliente.
Conservazione
- Audio e trascrizioni: 24 ore, solo per il controllo di qualità, poi cancellazione automatica.
- Contatti e richieste raccolti durante la chiamata (per esempio nome, recapito, motivo, appuntamento): fino a 30 giorni nei nostri sistemi, poi cancellati; restano solo nei sistemi del cliente secondo le sue regole.
- Log tecnici senza contenuto della conversazione: da 30 giorni a 12 mesi, come gli altri log di sicurezza.
Chi tratta i dati per nostro conto
- Microsoft Ireland Operations Ltd (Microsoft Azure), sub-responsabile: Azure AI Speech per trascrizione e sintesi vocale nella regione Italy North (Milano, Italia, UE); Azure OpenAI nella zona dati UE (Svezia) per comprendere e generare le risposte.
- Infrastruttura server in Germania (UE) che ospita centralino, agenti vocali e archivio temporaneo.
- Quando è attiva una linea telefonica esterna, la linea è fornita da un operatore telefonico che agisce come responsabile del trattamento per l'instradamento delle chiamate.
Per questo servizio i dati sono elaborati nell'Unione Europea: nessun trasferimento verso Paesi extra-UE.
Diritti del chiamante
Il chiamante ha diritto di accesso, rettifica, cancellazione, limitazione, opposizione e, dove applicabile, portabilità (artt. 15-22 GDPR). Per esercitarli si rivolge al cliente titolare che gestisce il numero chiamato; MSP In Cloud lo assiste come responsabile. Se la richiesta arriva a privacy@mspincloud.com la inoltriamo al titolare senza ritardo. Poiché audio e trascrizioni sono cancellati dopo 24 ore, l'accesso alla registrazione è possibile solo entro quel termine. Resta sempre possibile il reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
6. Trasferimenti verso Paesi terzi (extra-UE/SEE)
I server infrastrutturali sono in Germania (UE): per l'hosting non c'è trasferimento extra-UE. Per gli Assistenti AI, l'uso di modelli di OpenAI/Anthropic (USA) e, se selezionato, z.ai/GLM (Cina) comporta un trasferimento extra-UE. Le garanzie adottate (art. 46 GDPR):
- USA: Clausole Contrattuali Standard (SCC, Modulo 3) + valutazione d'impatto sul trasferimento (TIA) + eventuale copertura EU-US Data Privacy Framework come garanzia aggiuntiva.
- Cina (z.ai): SCC + TIA rafforzata; per il rischio elevato (National Intelligence Law; assenza di decisione di adeguatezza) evitiamo/isoliamo z.ai dai dati personali. Vedi
docs/legal/TIA.md.
Puoi richiederci copia delle garanzie ai contatti in §1.
7. Per quanto tempo conserviamo i dati
Tempi sintetici (dettaglio in docs/legal/DATA_RETENTION.md):
| Dato | Conservazione |
|---|---|
| Dati contrattuali/account | durata del rapporto + 10 anni dalla cessazione (prescrizione/adempimenti civilistici) |
| Documenti fiscali/fatture | 10 anni (obbligo civilistico/fiscale) |
| Log accessi Amministratore di Sistema (ADS) | ≥ 6 mesi (Provv. Garante 27/11/2008) — tipicamente ~8 mesi |
| Log tecnici/sicurezza applicativi | da 30 giorni a 12 mesi secondo finalità |
| Backup cifrati | secondo ciclo di rotazione (vedi retention policy) |
| Contenuti/dati nei servizi (Assistenti AI, VPS, hosting, email) | secondo le istruzioni del Cliente-Titolare (DPA); alla cessazione, cancellazione/restituzione |
| Ticket di supporto | durata del rapporto + 12 mesi |
| Progetti MSP Studio (prompt/chat, codice, screenshot di verifica, variabili, credenziali connettori) | finché il progetto esiste; eliminati alla cancellazione del progetto (persistenza residua nei backup fino a fine ciclo di rotazione) |
| Telemetria consumi AI (metering per fatturazione) | come i documenti contabili collegati (fino a 10 anni per la parte fatturata); contatori operativi 12 mesi |
| Consensi marketing | fino a revoca + prova del consenso per il periodo necessario a difesa |
| Centralino AI: audio e trascrizioni delle chiamate | 24 ore (controllo di qualità), poi cancellazione automatica |
| Centralino AI: contatti e richieste raccolti durante la chiamata | fino a 30 giorni, poi cancellazione; restano nei sistemi del cliente titolare secondo le sue regole |
| Scelta sui cookie di misurazione (consenso o rifiuto) | 6 mesi, poi la scelta viene richiesta di nuovo |
8. I tuoi diritti (artt. 15-22 GDPR)
Hai diritto di: accesso (art. 15), rettifica (art. 16), cancellazione (art. 17), limitazione (art. 18), portabilità (art. 20), opposizione (art. 21) al trattamento basato su interesse legittimo o marketing, e revoca del consenso (art. 7.3) in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.
Per esercitarli scrivi a privacy@mspincloud.com. Risponderemo entro 1 mese (prorogabile di 2 mesi per richieste complesse, con avviso).
Puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del tuo Stato di residenza.
Se sei un utente finale di un nostro Cliente (es. scrivi all'Assistente AI o al sito di un cliente): per l'esercizio dei tuoi diritti rivolgiti al Cliente (Titolare) che gestisce quel servizio; noi lo assistiamo come Responsabile.
9. Natura del conferimento
Il conferimento dei dati per le finalità A, B, C è necessario per erogare il servizio: il mancato conferimento impedisce la conclusione/esecuzione del contratto. Il conferimento per finalità di marketing (G) è facoltativo.
10. Modifiche
Possiamo aggiornare questa informativa; la versione vigente è sempre pubblicata alla pagina /privacy. In caso di modifiche sostanziali informeremo i clienti via email o avviso in area clienti.
Documento tecnico-operativo. Riferimenti: GDPR artt. 13-14, 6, 9, 13-22, 28, 44-49; Provv. Garante 27/11/2008. Vedi docs/MSPIN_COMPLIANCE_EU_IT.md.