Ultimo aggiornamento: ottobre 2026 · Conforme al GDPR (Reg. UE 2016/679)
Titolare del trattamento dei dati personali è Andrea Troisi, contattabile all'indirizzo: privacy@bolleflow.it
Non è stato nominato un Responsabile della Protezione dei Dati (DPO): il trattamento non rientra nei casi in cui l'art. 37 GDPR lo rende obbligatorio. Le richieste privacy vanno all'indirizzo sopra.
BolleFlow tratta due categorie di dati con due ruoli diversi, ed è la distinzione che conta per un cliente aziendale:
L'atto di nomina a responsabile richiesto dall'art. 28 GDPR è disponibile qui: Accordo sul trattamento dei dati (DPA). Si applica automaticamente a ogni cliente che usa il Servizio, senza bisogno di firmarlo separatamente; una copia firmata su richiesta a privacy@bolleflow.it.
Quando il cliente collega la propria casella, leggiamo solo i messaggi necessari a individuare i documenti da elaborare. Non usiamo i documenti dei clienti per addestrare modelli, né nostri né di terzi, salvo che il cliente aderisca al Programma di miglioramento (facoltativo, revocabile): in quel caso, dai documenti ricevuti dopo l'adesione, produciamo una copia anonimizzata sulla nostra infrastruttura in UE, senza dati identificativi e senza legame con l'account. La copia non ancora anonimizzata è conservata al massimo 30 giorni. Dettagli nella sezione 5-bis del DPA.
| Finalità | Base giuridica |
|---|---|
| Erogazione del Servizio | Esecuzione del contratto (Art. 6(1)(b) GDPR) |
| Trattamento dei documenti caricati | Istruzione del cliente titolare (Art. 28 GDPR) |
| Programma di miglioramento: anonimizzazione dei documenti dei clienti aderenti | Istruzione del cliente titolare (Art. 28 GDPR); la copia anonima non è più dato personale (Cons. 26 GDPR) |
| Fatturazione e adempimenti fiscali | Obbligo legale (Art. 6(1)(c) GDPR) |
| Comunicazioni di servizio (email transazionali) | Esecuzione del contratto |
| Comunicazioni commerciali (newsletter) | Consenso (Art. 6(1)(a) GDPR) |
| Statistiche di utilizzo del sito | Consenso (Art. 6(1)(a) GDPR) |
| Sicurezza e prevenzione frodi | Legittimo interesse (Art. 6(1)(f) GDPR) |
Per erogare il Servizio ci avvaliamo dei fornitori elencati sotto, tutti nominati responsabili o sub-responsabili con contratto ex art. 28 GDPR. I dati non vengono venduti a terzi.
| Fornitore | A cosa serve | Dove / garanzia |
|---|---|---|
| Google Ireland / Google LLC | Modelli AI Gemini per l'estrazione, autenticazione OAuth, lettura della casella Gmail e scrittura su Google Drive quando il cliente le collega | UE / USA — SCC + EU-US Data Privacy Framework |
| Microsoft Ireland | Lettura della casella Outlook/Microsoft 365 e scrittura su OneDrive quando il cliente le collega; Microsoft Clarity per l'analisi delle sessioni, solo previo consenso | UE / USA — SCC + EU-US Data Privacy Framework |
| TeamSystem S.p.A. (Fatture in Cloud) | Consegna dei documenti estratti nel gestionale, quando il cliente lo collega | Italia |
| Stripe Payments Europe Ltd. | Pagamenti e fatturazione degli abbonamenti | UE / USA — SCC + EU-US Data Privacy Framework |
| Brevo SAS | Email transazionali e comunicazioni commerciali | UE (Francia) |
| Render Services Inc. | Hosting dell'applicazione e del database | UE (Francoforte) — SCC |
| Amazon Web Services | Storage cifrato dei documenti (S3) | UE — SCC |
| Functional Software Inc. (Sentry) | Rilevazione degli errori applicativi | USA — SCC |
| Supabase Inc. | Archivio delle iscrizioni alla newsletter | UE — SCC |
I fornitori che dipendono da una scelta del cliente — casella email, cartella cloud, gestionale — vengono attivati solo quando il cliente li collega. Le modifiche all'elenco sono comunicate con almeno 30 giorni di preavviso, come previsto dal DPA.
L'elaborazione e lo storage avvengono su infrastruttura nell'Unione Europea. Alcuni fornitori sono società statunitensi o loro controllate: in quei casi il trasferimento è coperto dalle Clausole Contrattuali Standard della Commissione Europea e, dove il fornitore vi aderisce, dalla decisione di adeguatezza EU-US Data Privacy Framework. Il Privacy Shield, citato in versioni precedenti di questa informativa, è invalidato dal 2020 e non costituisce più una base valida.
Hai diritto di:
Per esercitare i tuoi diritti: privacy@bolleflow.it. Rispondiamo entro 30 giorni. Se la richiesta riguarda dati contenuti nei documenti di un cliente, la inoltriamo al cliente titolare: non possiamo dar seguito da soli a una richiesta su dati che trattiamo per conto altrui.
Il Servizio usa cookie tecnici necessari al funzionamento (autenticazione, preferenze di interfaccia, memoria del consenso), che non richiedono consenso.
Sulle pagine pubbliche, solo dopo consenso esplicito dal banner, attiviamo Google Analytics 4 (statistiche aggregate, IP anonimizzato) e Microsoft Clarity (registrazione delle sessioni di navigazione sul sito pubblico, per capire dove la pagina non si capisce). Rifiutando, nessuno dei due viene caricato e il sito funziona ugualmente. Il consenso è revocabile in ogni momento cancellando i dati del sito dal browser. Dettagli nella Cookie Policy.
In caso di violazione dei dati personali informiamo il cliente senza ingiustificato ritardo, con le informazioni che gli servono per la notifica al Garante entro 72 ore.
Il Servizio è rivolto a imprese e professionisti e non è destinato a minori di 18 anni. Non raccogliamo consapevolmente dati di minori.
Modifiche sostanziali alla presente Policy saranno comunicate via email con almeno 30 giorni di preavviso.