Informativa privacy, massima sicurezza e rispetto dei tuoi dati

Questa informativa spiega quali dati personali trattiamo, perché, per quanto tempo e con chi li condividiamo, quando visiti www.infomail.it, provi l’AI Email Editor, ci scrivi o usi la piattaforma Infomail. È resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del Codice privacy (d.lgs. 196/2003).

1. Chi è il titolare del trattamento

Hoplo S.r.l., Via Fontana 25, 20122 Milano, P.IVA e C.F. 08450220010, che sviluppa e gestisce Infomail.

Per qualsiasi domanda sui tuoi dati scrivi a privacy@hoplo.com o via PEC a hoplo@legalmail.it.

2. Se sei iscritto alla newsletter di un nostro cliente

Le aziende che usano Infomail caricano le proprie liste e decidono a chi scrivere: per quei dati il titolare è l’azienda che ti scrive, e Hoplo li tratta solo per suo conto, come responsabile del trattamento (art. 28 GDPR), secondo l’accordo di nomina.

Per sapere perché ricevi quelle email, o per esercitare i tuoi diritti, rivolgiti all’azienda mittente: il suo nome e i suoi contatti sono nell’email. Per smettere di riceverle usa il link di disiscrizione in fondo al messaggio. Se ci scrivi a privacy@hoplo.com, inoltriamo la tua richiesta al cliente e lo aiutiamo a rispondere. Se pensi di aver ricevuto email senza aver dato il consenso, leggi la nostra policy antispam.

Il resto di questa informativa riguarda i dati che trattiamo come titolari.

3. Quali dati trattiamo, perché e per quanto tempo

3.1 Navigazione sul sito www.infomail.it

Dati. Il server registra le richieste che arrivano al sito: indirizzo IP accorciato (gli ultimi numeri vengono tolti prima della registrazione), data e ora, pagina richiesta, pagina di provenienza, browser e sistema operativo (user agent).

Perché. Per far funzionare il sito, proteggerlo da abusi e attacchi e capire quali programmi automatici (motori di ricerca e assistenti AI) lo visitano.

Base giuridica. Il nostro legittimo interesse alla sicurezza e al funzionamento del sito (art. 6.1.f GDPR).

Per quanto. 30 giorni, poi i file vengono cancellati. Teniamo solo conteggi aggregati, senza indirizzi IP.

3.2 Statistiche di visita

Per contare le visite usiamo Umami, installato sui nostri server: non usa cookie, non ti segue su altri siti e non condivide i dati con nessuno. Raccoglie la pagina visitata, la pagina di provenienza, il tipo di browser, sistema operativo e dispositivo, la lingua, il Paese ricavato dall’IP (che non viene conservato) e alcuni eventi senza dati personali, come il clic su un pulsante o il download di un file.

Base giuridica. Legittimo interesse a misurare e migliorare il sito (art. 6.1.f GDPR). Le statistiche sono solo aggregate e non servono a profilarti; per questo, secondo le linee guida del Garante sui cookie, non serve il consenso. Per quanto: le statistiche restano nel nostro database, in forma aggregata e senza dati che ti identificano, finché ci servono a confrontare l’andamento del sito. Dettagli nell’informativa cookie.

3.3 Strumenti gratuiti del sito

Il controllo del dominio interroga direttamente dal tuo browser i servizi DNS pubblici di Google (dns.google) e Cloudflare (cloudflare-dns.com): ricevono il dominio che scrivi e, come ogni server che il browser contatta, il tuo indirizzo IP. Il tester dell’oggetto, il controllo del pixel e lo strumento palette lavorano nel tuo browser: quello che scrivi non arriva ai nostri server.

3.4 Richieste di assistenza e di informazioni

Dati. Nome, azienda, email, telefono (se lo indichi), argomento e testo del messaggio, la pagina da cui scrivi, indirizzo IP e user agent. Gli stessi dati, se ci scrivi per email o ci telefoni.

Perché. Per rispondere alla richiesta e, se serve, per le comunicazioni che ne seguono. IP e user agent servono a bloccare gli invii automatici e gli abusi.

Base giuridica. Misure precontrattuali o esecuzione del contratto su tua richiesta (art. 6.1.b GDPR); per IP e user agent, il legittimo interesse alla sicurezza (art. 6.1.f).

Per quanto. Per il tempo necessario a gestire la richiesta e i contatti che ne seguono; se la richiesta porta a un contratto, valgono i tempi del punto 3.6. Puoi chiederci di cancellarli in qualsiasi momento (punto 8).

3.5 Prova dell’AI Email Editor (prova.infomail.it)

Dati.

• Quello che scrivi all’AI, i file che carichi (immagini, documenti Word, testo) e le email che vengono generate.
• Un identificativo tecnico della sessione, conservato in un cookie e nella memoria del browser, e un registro d’uso della prova (pagine, pulsanti, errori, tempi) in cui non compaiono il tuo nome né la tua email: il visitatore è indicato da un codice non reversibile.
• Se chiedi di scaricare il template: nome, cognome, email di lavoro, azienda, ruolo e telefono (facoltativi), il consenso alle comunicazioni commerciali se lo dai, indirizzo IP e user agent.

Perché. Per farti provare il servizio, mandarti il link di download, prevenire abusi (la prova è gratuita e attira chi cerca di sfruttarla), capire come viene usata per migliorarla e, solo se hai dato il consenso, mandarti comunicazioni commerciali.

Base giuridica. L’esecuzione del servizio di prova che richiedi (art. 6.1.b GDPR); il legittimo interesse a prevenire abusi e a migliorare la prova (art. 6.1.f); il tuo consenso per le comunicazioni commerciali (art. 6.1.a), che puoi revocare quando vuoi.

Intelligenza artificiale. I testi e i file che invii vengono elaborati da modelli di intelligenza artificiale di terzi, attraverso OpenRouter (punti 5 e 6). OpenRouter non conserva le richieste e non le usa per addestrare modelli, e le inoltra solo a fornitori che non usano i dati per l’addestramento; alcuni fornitori possono comunque conservarli secondo le proprie condizioni. Per questo non caricare dati personali di altre persone né informazioni riservate: la prova serve a costruire un’email di esempio. I contenuti generati dall’AI possono essere inesatti: rileggili prima di usarli.

Per quanto.

• Registro d’uso: 180 giorni, poi si cancella in automatico.
• Link di download: valgono 7 giorni e si cancellano 7 giorni dopo la scadenza.
• Sessioni, messaggi, file caricati, template generati e dati del modulo di download: finché servono a gestire la prova e i contatti che ne seguono. Puoi chiederci di cancellarli in qualsiasi momento (punto 8).
• Dati per le comunicazioni commerciali: finché non revochi il consenso.

3.6 Clienti della piattaforma Infomail

Dati.

• Registrazione e account: nome, cognome, email, password (conservata cifrata), azienda, eventuale numero di cellulare per la verifica via SMS, utenti invitati nel workspace.
• Fatturazione: ragione sociale, indirizzo, partita IVA e codice fiscale, codice SDI o PEC, piano e storico dei pagamenti. I dati della carta li raccoglie e conserva direttamente Stripe: noi non li vediamo.
• Uso della piattaforma: accessi, indirizzo IP, browser, azioni svolte nell’account, log tecnici.
• Contenuti delle campagne (testi, immagini, link), che controlliamo con sistemi automatici contro spam e phishing (punto 4).
• Richieste all’assistenza.

Perché e con quale base giuridica.

• Fornire il servizio, gestire l’account, l’assistenza e la fatturazione: esecuzione del contratto (art. 6.1.b GDPR).
• Adempimenti fiscali e contabili: obbligo di legge (art. 6.1.c).
• Prevenire frodi, spam e phishing, verificare la reputazione dei domini di invio, proteggere la piattaforma, i nostri clienti e i destinatari: legittimo interesse (art. 6.1.f).
• Migliorare il servizio con statistiche sull’uso: legittimo interesse (art. 6.1.f).
• Mandarti novità e offerte su Infomail: il tuo consenso, se l’hai dato alla registrazione (art. 6.1.a), oppure, per servizi analoghi a quelli che hai acquistato, il «soft spam» dell’art. 130, comma 4, del Codice privacy. In ogni email puoi opporti con un clic.

Per quanto.

• Dati dell’account: per tutta la durata del contratto. Quando chiedi di chiudere l’account li cancelliamo, salvo quelli che dobbiamo conservare per legge.
• Documenti fiscali e contabili: 10 anni (art. 2220 del Codice civile).
• Log dei server della piattaforma: 30 giorni. Il registro delle attività svolte nell’account (accessi, IP, browser) resta finché l’account è attivo.
• Dati per il marketing: finché non revochi il consenso o ti opponi.

4. Decisioni automatizzate

Per proteggere destinatari e reputazione degli invii, la piattaforma controlla le campagne prima della spedizione con regole automatiche e, quando le regole lo segnalano, con modelli di intelligenza artificiale: verifica link, domini e contenuti contro spam e phishing. Un controllo può fermare una campagna finché una persona del nostro staff non la verifica e, se è tutto in regola, la sblocca; la sospensione di un account la decide sempre una persona. Puoi chiederci di riesaminare qualsiasi blocco scrivendo all’assistenza.

5. A chi comunichiamo i dati

I dati sono trattati dal nostro personale autorizzato e da fornitori che agiscono come nostri responsabili del trattamento, con un contratto ai sensi dell’art. 28 GDPR. Non vendiamo i dati e non li diffondiamo.

Fornitore	Cosa fa	Dove
Hetzner Online GmbH	Server del sito, della prova e della piattaforma, archiviazione dei file e backup	Unione europea (Germania, Finlandia)
Stripe	Pagamenti e dati delle carte	Irlanda (UE); può trasferire dati negli Stati Uniti
OpenRouter, Inc.	Smistamento delle richieste ai modelli di intelligenza artificiale, solo verso fornitori che non addestrano sui dati; non conserva le richieste	Stati Uniti
Fornitori dei modelli AI, scelti da OpenRouter per ogni richiesta (tra i modelli in uso: OpenAI, Anthropic, Google, DeepSeek, Alibaba Qwen, Z.ai GLM)	Elaborazione dei testi e delle immagini inviati all’AI	Fuori dall’UE: Stati Uniti e, secondo il fornitore che esegue il modello, altri Paesi, compresa la Cina
Google Ireland Ltd. (Google Workspace)	Posta elettronica dell’assistenza	UE, con possibili trasferimenti negli Stati Uniti
Google (Safe Browsing)	Controllo dei link delle campagne contro phishing e malware: riceve solo gli indirizzi dei link	Stati Uniti
Skebby	Invio dell’SMS con il codice di verifica del cellulare	Italia
Cloudflare (Turnstile)	Verifica anti-robot alla registrazione, quando è attiva	Stati Uniti
Amazon Web Services (Route 53)	Gestione dei DNS dei domini Infomail	Stati Uniti; non riceve dati dei clienti

L’elenco dei fornitori che trattano i dati delle liste dei clienti è nell’accordo di nomina.

Possiamo comunicare i dati anche a consulenti fiscali e legali, vincolati al segreto professionale, e alle autorità quando la legge lo impone.

6. Trasferimenti fuori dall’Unione europea

Alcuni fornitori del punto 5 trattano i dati fuori dall’Unione europea:

• Stripe, Google, Cloudflare e Amazon Web Services sono certificati al Data Privacy Framework UE-USA, la decisione di adeguatezza della Commissione europea.
• OpenRouter non è certificato: il trasferimento avviene con le clausole contrattuali standard della Commissione europea (modulo 2, art. 46 GDPR), contenute nel suo accordo sul trattamento dei dati.
• I fornitori dei modelli AI sono sub-responsabili di OpenRouter, che li sceglie per ogni richiesta secondo lo stesso accordo. Alcuni hanno sede in Paesi, come la Cina, per cui non esiste una decisione di adeguatezza: per questo ti chiediamo di non inviare all’AI dati personali non necessari.

Per una copia delle garanzie scrivi a privacy@hoplo.com.

7. Come proteggiamo i dati

Server nell’Unione europea; accesso ai server del sito e della prova solo con chiavi personali; autenticazione a due fattori disponibile per gli account; password conservate cifrate; token API e chiavi SMTP separati; indirizzi IP accorciati nei log del sito; accesso del personale ai dati limitato a chi ne ha bisogno per il proprio lavoro, in particolare per l’assistenza e la sicurezza.

8. I tuoi diritti

Puoi chiederci in qualsiasi momento di:

• sapere se trattiamo tuoi dati e averne copia (art. 15 GDPR);
• correggerli o completarli (art. 16);
• cancellarli (art. 17);
• limitarne il trattamento (art. 18);
• riceverli in un formato leggibile da una macchina, o farli trasmettere a un altro fornitore (art. 20);
• opporti ai trattamenti basati sul legittimo interesse e, sempre e senza motivare, al marketing (art. 21);
• revocare il consenso dato, senza conseguenze sui trattamenti fatti prima (art. 7).

Scrivi a privacy@hoplo.com o via PEC a hoplo@legalmail.it: rispondiamo entro un mese. Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali.

9. Minori

I nostri servizi sono rivolti ad aziende e professionisti e non sono destinati ai minori di 18 anni.

10. Modifiche

Aggiorniamo questa informativa quando cambiano i trattamenti o le norme: la data dell’ultimo aggiornamento è in cima alla pagina. Se le modifiche riguardano i clienti in modo rilevante, li avvisiamo per email.