Privacy policy

1. Chi tratta i dati, e in che ruolo

TAAC è un servizio di VIBOO S.R.L. («Viboo»), con sede legale in via Fra' Bevignate 34, 06122 Perugia (PG), codice fiscale e partita IVA 04044310540, REA PG-375857, PEC viboosrl@pec.it. Per le questioni sulla privacy si scrive a support@vibooapp.com (o, per le comunicazioni formali, alla PEC viboosrl@pec.it).

In TAAC ci sono due tipi di dati, e i ruoli sono diversi:

• Dati dell'account e del rapporto con Viboo (chi entra nella dashboard, dati di fatturazione, registri di sicurezza): per questi Viboo è titolare del trattamento.
• Dati che l'azienda cliente mette o fa arrivare in TAAC (messaggi di posta, PEC e WhatsApp dei suoi clienti, schede, note, appuntamenti, cose da fare): per questi il titolare del trattamento è l'azienda cliente, e Viboo agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR, secondo l'Accordo sul trattamento dei dati che fa parte dei Termini.

Se sei una persona che ha scritto a un'azienda che usa TAAC (per esempio un suo cliente), il titolare dei tuoi dati è quell'azienda: per esercitare i tuoi diritti rivolgiti a lei. Viboo la aiuterà a risponderti.

2. Quali dati trattiamo come titolare

• Dati dell'account: nome, indirizzo email o nome utente, ruolo nella squadra, impronta della password (mai la password in chiaro).
• Dati di sessione e sicurezza: un gettone di accesso conservato in un cookie tecnico, data e ora degli accessi, tentativi di accesso non riusciti con l'indirizzo usato, la data e la versione dei documenti accettati.
• Dati di fatturazione e contratto dell'azienda cliente e del suo referente. Se un acquisto si paga con una piattaforma di pagamento esterna, Viboo riceve solo l'esito e i dati dell'ordine: i dati della carta li tratta solo quella piattaforma.
• Dati tecnici di funzionamento: registri del server (indirizzo IP, data e ora, pagina richiesta, esito) tenuti dal fornitore di hosting per la sicurezza e la diagnosi dei guasti.
• Dati di consumo del servizio di intelligenza artificiale (numero di richieste, quantità di testo elaborata, costo), senza il contenuto delle richieste.

3. Perché, e su quale base giuridica

• Fornire il servizio, gestire l'account e il contratto: esecuzione del contratto (art. 6.1.b GDPR).
• Fatturazione e adempimenti fiscali e contabili: obbligo di legge (art. 6.1.c GDPR).
• Sicurezza del servizio, prevenzione degli accessi abusivi, prova dell'accettazione dei Termini: legittimo interesse di Viboo e dei suoi clienti (art. 6.1.f GDPR).
• Difesa in giudizio: legittimo interesse (art. 6.1.f) e, se necessario, art. 9.2.f GDPR.

Statistiche anonime e aggregate per migliorare TAAC e per le analisi interne di Viboo (per esempio quanti messaggi e compiti per settore, tempi di risposta, funzioni più usate, consumi): legittimo interesse di Viboo (art. 6.1.f GDPR) per la sola fase di aggregazione; il risultato non permette di risalire a nessuna persona né a nessuna azienda e non è più un dato personale.

Non usiamo i dati per pubblicità, profilazione commerciale o vendita a terzi, e non usiamo il contenuto dei messaggi e dei documenti per scopi nostri.

4. L'intelligenza artificiale

TAAC usa modelli di intelligenza artificiale per leggere i messaggi, riassumerli, proporre le cose da fare e rispondere alle domande. In conformità all'art. 50 del Regolamento (UE) 2024/1689 («AI Act»), chi usa la dashboard sa sempre quando parla con l'assistente e quando un testo è stato preparato da lui.

TAAC propone, non decide: ogni azione che cambia qualcosa (chiudere, rimandare, passare una cosa, segnare un pagamento) la conferma una persona. Non ci sono decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo sulle persone (art. 22 GDPR).

Il fornitore del modello (Anthropic) riceve il testo strettamente necessario a ogni richiesta. Secondo i suoi termini commerciali per l'uso tramite API, non usa questi dati per addestrare i propri modelli e li conserva per un periodo limitato, per sicurezza e prevenzione degli abusi.

I risultati dell'intelligenza artificiale possono contenere errori: vanno verificati prima di agire.

5. A chi arrivano i dati

I dati non si diffondono. Li trattano, come responsabili o sub-responsabili e solo per far funzionare TAAC:

• Supabase Inc. — database, con i dati conservati nella regione Unione europea (Irlanda).
• Vercel Inc. — hosting dell'applicazione e consegna delle pagine; le funzioni che elaborano i dati girano nella regione Unione europea (Irlanda).
• Anthropic PBC — modelli di intelligenza artificiale.
• Meta Platforms Ireland Ltd. (WhatsApp Business Platform), solo se l'azienda cliente collega WhatsApp: vedi il punto 6-bis.
• I gestori di posta e PEC scelti dall'azienda cliente, solo per leggere le caselle che l'azienda stessa collega.
• Google LLC (Gmail e Google Drive) e Microsoft (Outlook), solo se l'azienda cliente collega un account con «Accedi con Google» o «Accedi con Microsoft»: vedi il punto 6.
• La piattaforma di pagamento eventualmente usata per acquistare il Servizio o crediti aggiuntivi, come titolare autonomo, secondo le proprie condizioni.

Il riconoscimento della voce, quando si usa il microfono, lo fa il browser di chi parla (per esempio Chrome o Edge inviano l'audio ai servizi di Google o Microsoft, Safari a quelli di Apple), secondo le condizioni di quel browser: Viboo non riceve l'audio, ma solo il testo trascritto.

L'elenco aggiornato dei sub-responsabili è disponibile su richiesta a support@vibooapp.com.

6. Gmail, Google Drive e i dati degli account Google

L'azienda cliente può collegare a TAAC una casella Gmail e il suo Google Drive con «Accedi con Google». Lo decide l'azienda, da Impostazioni, e può scollegarli quando vuole. Questo punto spiega cosa fa TAAC con i dati che riceve dalle API di Google.

Quali dati e perché:

• Gmail: TAAC legge i messaggi in arrivo nella casella collegata, per mostrarli nelle Conversazioni, riassumerli e proporre le cose da fare. Manda le risposte e i messaggi che una persona dell'azienda scrive o conferma in TAAC, e ne salva una copia nella cartella dei messaggi inviati della stessa casella. TAAC non cancella mai messaggi e non cambia le impostazioni della casella.
• Google Drive: TAAC mostra le cartelle e i file del Drive nella sezione Documentazione, li apre in anteprima, li collega a un cliente, a una pratica o a un compito e li allega alle mail. Su richiesta di una persona dell'azienda crea cartelle, carica file, li rinomina, li sposta e li mette nel cestino del Drive. Ne legge il contenuto quando una persona chiede all'assistente di leggerlo. TAAC non fa nessuna di queste cose da solo, e non cancella mai in modo definitivo.
• L'indirizzo email dell'account Google, per sapere quale casella o quale Drive è collegato.

I messaggi letti e i file copiati sono conservati nel database di TAAC, nell'Unione europea, insieme agli altri dati dell'azienda cliente, e trattati da Viboo come responsabile del trattamento (vedi l'Accordo sul trattamento dei dati). Il permesso rilasciato da Google è conservato cifrato con AES-256-GCM e usato solo sul server.

Intelligenza artificiale: il testo dei messaggi e i nomi dei file, e il contenuto di un file solo quando una persona lo chiede, possono essere inviati al modello di intelligenza artificiale (Anthropic) per svolgere le funzioni descritte qui, alle condizioni del punto 4. Questi dati non sono usati, né da Viboo né da Anthropic, per addestrare, sviluppare o migliorare modelli di intelligenza artificiale generici.

Uso limitato. L'uso delle informazioni ricevute dalle API di Google, e il loro trasferimento a qualsiasi altra applicazione, rispettano le Norme sui dati utente dei servizi API di Google (Google API Services User Data Policy), compresi i requisiti di uso limitato (Limited Use). In particolare:

• i dati di Google sono usati solo per offrire e migliorare le funzioni di TAAC visibili all'azienda cliente e descritte in questo punto; le statistiche del punto 3 li comprendono solo in forma aggregata e anonima, senza contenuti, e solo per migliorare TAAC;
• non sono venduti, non sono usati per pubblicità, profilazione o ricerche di mercato, e non sono usati per valutare il merito creditizio;
• sono trasferiti a terzi solo quando serve a far funzionare TAAC (i fornitori del punto 5), per rispettare la legge, o nell'ambito di una fusione o cessione con le stesse garanzie;
• nessuna persona li legge, salvo con il consenso dell'azienda cliente per un caso specifico (per esempio una richiesta di assistenza), per motivi di sicurezza, o se lo impone la legge.

In English: TAAC's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Come revocare l'accesso: scollegando Gmail o Google Drive da Impostazioni, TAAC cancella subito il permesso che conservava e smette di leggere. L'accesso si può revocare in ogni momento anche dall'account Google, alla pagina myaccount.google.com/permissions. I dati già copiati in TAAC si cancellano su richiesta a support@vibooapp.com, o alla fine del contratto come previsto al punto 8.

6-bis. WhatsApp e i dati ricevuti da Meta

L'azienda cliente può collegare a TAAC il proprio numero WhatsApp Business, con il pulsante «Collega con Facebook» (WhatsApp Business Platform di Meta, con l'app TAAC di Viboo) oppure inserendo a mano i dati della propria app su Meta. Lo decide l'azienda, da Impostazioni, e può scollegarlo quando vuole. Questo punto spiega cosa fa TAAC con i dati che riceve da Meta.

Quali dati e perché:

• Dati del collegamento: l'identificativo dell'account WhatsApp Business (WABA) e del numero, il numero di telefono e il nome visualizzato dell'azienda, e il permesso (token) che Meta rilascia a TAAC. Servono per ricevere e mandare i messaggi del numero giusto e per sapere a quale azienda appartengono.
• Messaggi: il testo e gli allegati dei messaggi che i clienti dell'azienda mandano al numero collegato, con il numero di telefono e il nome del profilo di chi scrive, data e ora e lo stato di consegna e lettura dei messaggi mandati. TAAC li mostra nelle Conversazioni, li riassume e propone le cose da fare.
• Risposte: TAAC manda solo i messaggi che una persona dell'azienda scrive o conferma in TAAC. Se un cliente non scrive da più di 24 ore, si possono mandare solo modelli di messaggio approvati da Meta.
• Se l'azienda usa anche l'app WhatsApp Business sul telefono («coesistenza»), e solo se lo sceglie durante il collegamento: anche i messaggi che manda dall'app, da quando è collegata. Meta può mandare a TAAC i contatti della rubrica dell'app: oggi TAAC non li conserva. La cronologia delle chat precedenti al collegamento non viene importata.

I messaggi e i contatti sono conservati nel database di TAAC, nell'Unione europea, insieme agli altri dati dell'azienda cliente, e trattati da Viboo come responsabile del trattamento (vedi l'Accordo sul trattamento dei dati). Il token di Meta è conservato cifrato con AES-256-GCM e usato solo sul server. I messaggi che arrivano a TAAC da Meta sono accettati solo se portano la firma dell'app di Viboo.

Intelligenza artificiale: il testo dei messaggi può essere inviato al modello di intelligenza artificiale (Anthropic) per le funzioni descritte qui, alle condizioni del punto 4, e non è usato per addestrare modelli.

Cosa TAAC non fa: non vende i dati ricevuti da Meta, non li usa per pubblicità, profilazione o per costruire elenchi di contatti da usare fuori dall'azienda cliente, non li condivide con altri clienti di TAAC e non manda messaggi senza l'azione di una persona dell'azienda. L'uso rispetta i Termini della piattaforma Meta (Meta Platform Terms), i Termini di WhatsApp Business e le Policy di WhatsApp Business e di messaggistica.

Restano dell'azienda cliente, come titolare: l'informativa ai propri clienti, il consenso (opt-in) di chi riceve messaggi su WhatsApp quando è l'azienda a scrivere per prima, e il rispetto delle policy di WhatsApp Business. Meta tratta i dati che passano dalla sua piattaforma secondo le proprie condizioni, accettate dall'azienda cliente durante il collegamento.

Come scollegare: da Impostazioni, «Scollega» su WhatsApp. TAAC cancella subito il token che conservava e smette di ricevere e mandare messaggi per quel numero. L'accesso si può togliere anche da Meta, nelle impostazioni dell'account WhatsApp Business su Meta Business Suite o, per la persona che ha collegato, da Facebook → Impostazioni → Integrazioni aziendali. Per cancellare anche i messaggi già arrivati, vedi il punto 11-bis.

7. Dati fuori dall'Unione europea

Alcuni fornitori hanno sede negli Stati Uniti. I trasferimenti avvengono solo con le garanzie degli articoli 44-49 GDPR: la decisione di adeguatezza della Commissione europea sul EU-U.S. Data Privacy Framework (10 luglio 2023) per i fornitori certificati, oppure le Clausole contrattuali tipo approvate dalla Commissione (decisione 2021/914) e le misure supplementari previste dai loro accordi.

8. Per quanto tempo

• Account: per tutta la durata del contratto; poi cancellati entro 30 giorni, salvo quanto serve per legge.
• Dati di fatturazione: 10 anni, come chiede la legge (art. 2220 c.c.).
• Sessioni: finché si usa TAAC, e 30 giorni dopo l'ultimo utilizzo; tentativi di accesso non riusciti: il tempo necessario a bloccare i tentativi ripetuti.
• Prova di accettazione dei Termini: per la durata del contratto e i 10 anni successivi (prescrizione ordinaria).
• Dati che l'azienda cliente mette in TAAC, comprese le conversazioni con l'assistente, ciò che l'assistente ricorda su richiesta e il registro delle azioni fatte con l'assistente: per la durata del contratto, secondo le sue istruzioni (le singole conversazioni e i singoli ricordi si cancellano dalla dashboard); alla fine, restituiti su richiesta e poi cancellati, come previsto dall'Accordo sul trattamento.

9. Come proteggiamo i dati

Misure tecniche e organizzative adeguate al rischio (art. 32 GDPR), fra cui:

• connessioni cifrate (HTTPS/TLS) fra il browser, l'applicazione e il database;
• dati di ogni azienda cliente tenuti in uno spazio separato del database, a cui l'applicazione accede solo per l'azienda di chi è entrato;
• database e archivio dei file non raggiungibili dalle interfacce pubbliche: nessun permesso ai ruoli pubblici, credenziali conosciute solo dal server dell'applicazione; i file si aprono solo passando dall'applicazione, dopo il controllo dell'accesso;
• cifratura dei dati conservati da parte del fornitore del database;
• password delle persone conservate solo come impronta scrypt; password e token delle caselle e degli account collegati cifrati con AES-256-GCM e aperti solo sul server nel momento in cui servono;
• accesso alla dashboard con credenziali personali, ruoli separati fra titolare e collaboratori, blocco dei tentativi ripetuti, recupero della password con codice a tempo;
• registro delle azioni fatte con l'assistente e dei documenti accettati;
• dati conservati nell'Unione europea.

Nessun sistema collegato a Internet è sicuro in assoluto: le misure riducono il rischio, non lo eliminano. Per questo una parte della sicurezza dipende anche dall'azienda cliente: la custodia delle credenziali, la protezione delle caselle di posta e degli account collegati (per esempio con la verifica in due passaggi), e le copie dei propri documenti importanti. Gli impegni reciproci sono nei Termini (art. 3 e art. 7-bis).

In caso di violazione dei dati, Viboo informa l'azienda cliente senza ingiustificato ritardo, così che possa fare le notifiche previste dagli articoli 33 e 34 GDPR.

10. Cookie e memoria del browser

TAAC usa un solo cookie, tecnico e necessario: «taac_sessione», che tiene aperto l'accesso (scade dopo 30 giorni in cui TAAC non si usa). Nella memoria del browser restano solo preferenze come i versi dell'assistente accesi o spenti. Non ci sono cookie di profilazione, di statistica o di terze parti: per questo non serve un banner di consenso (art. 122 Codice privacy e Linee guida del Garante del 10 giugno 2021).

11. I tuoi diritti

Puoi chiedere in ogni momento l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione, la portabilità, e opporti al trattamento basato sul legittimo interesse (articoli 15-22 GDPR), scrivendo a support@vibooapp.com. Rispondiamo entro un mese.

Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), piazza Venezia 11, 00187 Roma.

11-bis. Come cancellare i dati

Chiunque può chiedere la cancellazione dei propri dati. Ecco come:

• Se sei un'azienda cliente di TAAC: i singoli clienti, messaggi, conversazioni con l'assistente e ricordi si cancellano dalla dashboard; scollegando Gmail, Google Drive o WhatsApp da Impostazioni il permesso conservato si cancella subito. Per cancellare tutti i dati dell'azienda, o quelli arrivati da un canale (per esempio tutti i messaggi WhatsApp), scrivi a support@vibooapp.com dall'indirizzo dell'account, indicando l'azienda: li cancelliamo entro 30 giorni e ti confermiamo per iscritto quando è fatto, salvo i dati che la legge ci obbliga a tenere (per esempio le fatture).
• Se hai collegato TAAC con il tuo account Facebook o Meta: puoi togliere l'app TAAC da Facebook → Impostazioni e privacy → Impostazioni → Integrazioni aziendali, e chiedere la cancellazione dei dati ricevuti scrivendo a support@vibooapp.com.
• Se sei una persona che ha scritto a un'azienda che usa TAAC (per esempio su WhatsApp o per email): il titolare dei tuoi dati è quell'azienda, e la richiesta va fatta a lei. Se ci scrivi a support@vibooapp.com indicando l'azienda e il numero o l'indirizzo con cui hai scritto, inoltriamo la richiesta all'azienda e la aiutiamo a darle seguito.

12. Modifiche

Versione 1.3 del 11 novembre 2026: aggiunti WhatsApp e i dati ricevuti da Meta (punto 6-bis) e le istruzioni per cancellare i dati (punto 11-bis). Nella versione 1.2: aggiornati i fornitori (punto 5), la conservazione (punto 8), le misure di sicurezza (punto 9) e aggiunte le statistiche anonime (punto 3). Se cambia in modo sostanziale, lo diciamo nella dashboard prima che le modifiche valgano.