INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI

Privacy Policy di Prospect Flow

Questa informativa descrive in modo trasparente quali dati utilizza Prospect Flow, per quali finalità, come vengono protetti e quali scelte e diritti hanno distributori e prospect.

Ultimo aggiornamento: 4 settembre 2026

1. Titolare del trattamento e contatti

Safe IT Consulting di Massimiliano Diaco, Via Crocetta 707A, 47842 San Giovanni in Marignano (RN), Italia — P.IVA 08835660963 — C.F. DCIMSM74S12F205W.

Per richieste privacy, esercizio dei diritti, cancellazione dell’account o domande sull’uso dei dati Google: m.diaco@alimentiamolasalute.org.

2. Ruoli privacy nella piattaforma

Safe IT Consulting opera come titolare del trattamento per i dati necessari a gestire gli account dei distributori, l’accesso, la sicurezza, le integrazioni richieste dall’utente, l’assistenza e l’amministrazione tecnica di Prospect Flow.

Quando un distributore inserisce dati di prospect, note, attività, appuntamenti o messaggi per svolgere la propria attività, il distributore determina finalità e base giuridica del trattamento ed è normalmente il titolare di tali dati. In questo ambito Safe IT Consulting tratta i dati per conto del distributore, quale responsabile del trattamento ai sensi dell’articolo 28 GDPR, secondo le istruzioni e le condizioni descritte nei Termini di servizio.

Ogni distributore deve raccogliere e utilizzare i dati dei prospect in modo lecito, fornire la propria informativa quando richiesta e rispettare eventuali opposizioni, revoche e richieste degli interessati.

3. Dati trattati

Dati dei distributori e degli amministratori

nome, cognome, indirizzo email, identificativo account, ruolo, stato e posizione nella rete;
preferenze operative, profili di disponibilità, eventuale numero WhatsApp per i promemoria e link Zoom;
dati di autenticazione ricevuti dal sistema di accesso, dati di sessione e registri tecnici di sicurezza.

Dati dei prospect inseriti dai distributori

nome, email, telefono, fonte del contatto e fase della pipeline;
note, interessi, riepiloghi, attività, task, follow-up e dettagli organizzativi degli appuntamenti;
stato del consenso WhatsApp, relativa data e fonte, preferenze di contatto, identificativo telefonico in forma hash, messaggi inviati, allegati e stato tecnico di consegna;
richieste di incontro e risposte fornite attraverso i link personali.
email transazionali inviate ai prospect, relative risposte testuali, mittente, oggetto, data e metadati tecnici di consegna; per gli allegati ricevuti via email vengono registrati soltanto nome, tipo e dimensione, senza conservarne il contenuto.

Contenuti e dati di interazione

video, PDF, file di accompagnamento, titoli, descrizioni e metadati caricati dagli utenti autorizzati;
apertura del link personale, prima e ultima apertura, avanzamento e completamento dei video, velocità di riproduzione, apertura o completamento dei PDF e note lasciate dal prospect;
token di accesso ai link memorizzati in forma hash, scadenze, revoche, audit e notifiche applicative.

Dati tecnici

Indirizzo IP, informazioni sul browser e sul dispositivo, timestamp, cookie strettamente necessari, log di sicurezza, errori applicativi e dati indispensabili a prevenire abusi e garantire la disponibilità del servizio.

4. Google Calendar: dati richiesti e utilizzo

Il collegamento a Google Calendar è facoltativo e viene avviato dal distributore dalle impostazioni di Prospect Flow. L’app richiede soltanto gli ambiti necessari alle funzioni mostrate all’utente:

Ambito Google	Dati e finalità
`openid` e `userinfo.email`	Identificare l’account Google collegato e mostrarne l’indirizzo email al distributore.
`calendar.calendarlist.readonly`	Elencare nome, identificativo, ruolo di accesso e stato principale dei calendari, così che l’utente possa scegliere quali controllare e su quale salvare gli appuntamenti.
`calendar.freebusy`	Leggere soltanto gli intervalli liberi/occupati dei calendari selezionati per evitare sovrapposizioni e mostrare ai prospect fasce realmente disponibili, senza esporre i dettagli degli eventi di altri utenti.
`calendar.events.owned`	Mostrare all’utente autenticato gli eventi dei propri calendari e creare o aggiornare gli appuntamenti esclusivamente nei calendari di sua proprietà.

Per gli eventi dei calendari posseduti dall’utente autenticato possono essere elaborati identificativo, calendario, titolo, descrizione, luogo o link, data e ora, stato libero/occupato e collegamento all’evento. Per gli altri calendari selezionati viene elaborata soltanto la disponibilità libera/occupata. Prospect Flow crea e aggiorna gli appuntamenti confermati, ma non elimina eventi da Google Calendar. Prospect Flow conserva l’email dell’account collegato, l’elenco e gli identificativi dei calendari scelti, l’identificativo degli eventi creati e i token OAuth necessari a mantenere la sincronizzazione. I token di accesso e aggiornamento sono cifrati prima della memorizzazione.

Prospect Flow non vende i dati Google, non li usa per pubblicità, profilazione commerciale, valutazioni creditizie o addestramento di modelli di intelligenza artificiale. L’accesso umano ai dati Google è escluso, salvo consenso esplicito dell’utente per assistenza su dati specifici, necessità di sicurezza o obblighi di legge.

Google API Services User Data Policy — Limited Use

L’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di Prospect Flow avvengono nel rispetto della Google API Services User Data Policy, inclusi i requisiti di Limited Use.

5. Finalità e basi giuridiche

Finalità	Base giuridica
Creare e gestire l’account, fornire CRM, contenuti, appuntamenti, notifiche e assistenza.	Esecuzione del contratto o di misure richieste dall’utente, art. 6.1(b) GDPR.
Collegare Google Calendar o WhatsApp su richiesta dell’utente e mantenere le relative funzioni.	Esecuzione del servizio richiesto, art. 6.1(b); consenso quando richiesto dalla normativa, art. 6.1(a).
Proteggere account e infrastruttura, prevenire abusi, conservare audit e risolvere errori.	Legittimo interesse alla sicurezza e affidabilità, art. 6.1(f).
Adempiere obblighi amministrativi, fiscali, giudiziari o richieste delle autorità.	Obbligo legale, art. 6.1(c).
Trattare i dati dei prospect per conto del distributore.	Istruzioni documentate del distributore titolare, art. 28 GDPR; la base giuridica verso il prospect è determinata dal distributore.

Il conferimento dei dati necessari all’account e alle funzioni richieste è indispensabile per usare tali funzioni. Le integrazioni Google Calendar e WhatsApp restano facoltative e possono essere scollegate.

6. Destinatari, fornitori e trasferimenti

I dati sono accessibili soltanto a persone autorizzate e, nella misura necessaria, a fornitori tecnici che supportano il servizio, tra cui:

servizi OpenAI e infrastruttura Cloudflare utilizzati per accesso, distribuzione dell’applicazione, database, archiviazione e sicurezza;
Google, quando l’utente collega Google Calendar;
Meta/WhatsApp e il servizio tecnico di collegamento WhatsApp, quando l’utente attiva e usa tali funzioni;
Brevo per l’invio delle email transazionali, Cloudflare per la ricezione tecnica delle risposte, e fornitori di videoconferenza e riproduzione di contenuti, come Zoom, Vimeo o YouTube, quando la relativa funzione viene utilizzata;
consulenti o autorità quando necessario per obblighi di legge o tutela dei diritti.

I fornitori che trattano dati per conto del titolare sono vincolati, ove applicabile, da accordi conformi all’articolo 28 GDPR. Alcuni servizi possono comportare trasferimenti fuori dallo Spazio Economico Europeo. In tali casi vengono utilizzati i meccanismi previsti dal GDPR, come decisioni di adeguatezza o clausole contrattuali standard, insieme a misure supplementari quando necessarie.

7. Tempi di conservazione

Account e configurazioni: per tutta la durata dell’account e successivamente per il tempo necessario a chiusura, sicurezza, contestazioni e obblighi di legge.
Dati dei prospect e contenuti: finché il distributore li mantiene nella propria area o fino alla cancellazione del record, dell’account o a un’istruzione documentata del distributore, fatti salvi obblighi di conservazione.
Dati Google e token OAuth: fino alla disconnessione di Google Calendar, alla revoca dell’autorizzazione o alla cancellazione dell’account; alla disconnessione i token locali e la configurazione della connessione vengono eliminati.
Link personali e tracciamento: per la validità del link e successivamente finché necessari allo storico operativo collegato al prospect, salvo cancellazione o revoca.
Messaggi e prova del consenso WhatsApp: per il periodo necessario a documentare comunicazioni, preferenze e opposizioni e, se applicabile, per i termini di prescrizione. Il registro minimo di soppressione può essere conservato anche dopo la cancellazione del prospect per evitare nuovi contatti contrari alla preferenza espressa.
Email e risposte: finché restano necessarie allo storico operativo del prospect o fino alla cancellazione del relativo record, salvo obblighi di conservazione.
Log tecnici e audit: per il periodo proporzionato a sicurezza, diagnosi, prevenzione abusi e responsabilità.

Le copie di sicurezza vengono sovrascritte secondo i cicli tecnici del servizio. Alla scadenza, i dati sono cancellati o resi anonimi, salvo necessità di conservazione previste dalla legge.

8. Sicurezza

Prospect Flow utilizza controllo degli accessi per ruolo, separazione dei dati dei distributori, connessioni HTTPS, token dei link memorizzati in forma hash, cifratura dei token recuperabili, cifratura dei token Google, segreti protetti, registrazione degli eventi rilevanti e misure di limitazione contro abusi. Nessun sistema può garantire rischio zero; le misure vengono aggiornate in funzione della natura dei dati, dello stato della tecnica e dei rischi ragionevolmente prevedibili.

10. Diritti e modalità di esercizio

Nei casi previsti dagli articoli 15–22 GDPR, l’interessato può chiedere accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e revoca del consenso senza pregiudicare i trattamenti già effettuati. Le richieste possono essere inviate a m.diaco@alimentiamolasalute.org. Potrà essere richiesta una verifica proporzionata dell’identità.

Per dati inseriti da un distributore riguardanti un prospect, la richiesta può essere rivolta direttamente al distributore titolare; Safe IT Consulting collaborerà con il distributore per dare seguito alla richiesta.

L’interessato può inoltre proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo competente.

11. Revoca e cancellazione dei dati Google

In Prospect Flow aprire Impostazioni → Google Calendar → Scollega: l’app tenta la revoca presso Google ed elimina localmente token e configurazione della connessione.
L’utente può inoltre revocare Prospect Flow dalla pagina delle connessioni del proprio Account Google.
Per richiedere cancellazione dell’account e dei dati associati, scrivere a m.diaco@alimentiamolasalute.org.

12. Minori e decisioni automatizzate

Prospect Flow è destinato a distributori maggiorenni e non è progettato per l’uso diretto da parte di minori. L’app non adotta decisioni esclusivamente automatizzate che producano effetti giuridici o analogamente significativi. Metriche e classifiche presenti nella piattaforma sono indicatori operativi di attività e non valutazioni automatizzate della persona.

13. Aggiornamenti dell’informativa

Questa informativa può essere aggiornata per evoluzioni funzionali, normative o dei fornitori. Le modifiche sostanziali che incidono sull’uso dei dati Google o sulle finalità saranno comunicate agli utenti e, quando necessario, sottoposte a nuovo consenso prima del relativo trattamento.