Privacy Policy

Titolare del trattamento è Digital Logistics S.r.l., P.IVA IT03031930351, con sede legale in Via Fratelli Cervi 80, 42124 Reggio Emilia (RE) — società che eroga il servizio SamBooks. Per qualsiasi richiesta relativa ai dati personali è possibile scrivere a info@sambooks.ai.

SamBooks raccoglie le seguenti categorie di dati:

• Dati di registrazione: nome, cognome, email, ragione sociale, P.IVA.
• Dati contabili e fiscali: fatture, movimenti bancari, prima nota — inseriti dall’utente o importati da AdE/SDI e banche (PSD2).
• Dati di utilizzo: log di accesso, azioni eseguite nell’applicazione, interazioni con l’assistente AI “Sam”.
• Cookie tecnici e, previo consenso, cookie analitici (vedi Cookie Policy).

Alcuni documenti caricati possono contenere incidentalmente dati particolari (es. fatture sanitarie): sono trattati come dati comuni a fini contabili, senza profilazione su categorie particolari.

• Erogazione del servizio SamBooks (base: esecuzione del contratto, art. 6.1.b GDPR).
• Adempimenti fiscali e legali (base: obbligo di legge, art. 6.1.c GDPR).
• Sicurezza e prevenzione frodi (base: legittimo interesse, art. 6.1.f GDPR).
• Comunicazioni di servizio e aggiornamenti normativi (base: legittimo interesse o consenso).
• Marketing diretto e cookie analitici: solo con consenso esplicito (art. 6.1.a GDPR).

I dati contabili e fiscali sono conservati per il periodo previsto dalla normativa fiscale italiana (minimo 10 anni dall’ultima registrazione, art. 2220 c.c. e DPR 600/73). I dati di utilizzo e le conversazioni con Sam sono conservati per 24 mesi; la telemetria analitica per 12 mesi. In caso di cancellazione dell’account, i dati possono essere esportati e vengono eliminati entro 90 giorni dalla richiesta, salvo gli obblighi di legge.

I dati non vengono ceduti a terzi per finalità commerciali. Per erogare il Servizio, SamBooks si avvale di fornitori che agiscono come responsabili del trattamento (sub-processor), selezionati con priorità alla residenza dei dati nell’Unione Europea. I principali sono:

• Infrastruttura: Hetzner (hosting e database, Germania), Amazon Web Services EMEA (email transazionali, archiviazione e Bedrock EU, Irlanda/UE), Vercel (hosting del sito, UE/USA con clausole SCC).
• Intelligenza artificiale: Mistral AI (assistente e OCR, Francia/Svezia, UE), Anthropic tramite Amazon Bedrock EU (canale Claude, solo regioni UE), in via condizionata OpenAI tramite Azure OpenAI EU; Langfuse (osservabilità, UE) e Linkup (ricerca web dell’assistente, solo query generiche senza dati del cliente, UE).
• Fatturazione e banca: Invoicetronic (trasmissione al Sistema di Interscambio, Italia), Enable Banking (accesso ai conti via PSD2, Finlandia/UE), OpenAPI S.p.A. (anagrafiche P.IVA, Italia).
• Analisi e monitoraggio: misurazione del traffico aggregata di prima parte, senza cookie e senza conservazione dell’indirizzo IP (base giuridica: legittimo interesse, non richiede consenso); PostHog (analytics di prodotto, funnel e registrazione di sessione con mascheramento dei campi, UE — solo previo consenso); Sentry (monitoraggio errori, senza dati identificativi, USA con SCC/DPF).
• Adempimenti obbligatori: Agenzia delle Entrate / SDI per gli adempimenti telematici.

I dati fiscali e bancari non lasciano l’Unione Europea. La lista aggiornata dei sub-processor è mantenuta da SamBooks e comunicata in caso di variazioni rilevanti.

I dati fiscali e bancari sono trattati esclusivamente nell’Unione Europea. Eventuali trasferimenti extra-UE riguardano solo infrastruttura accessoria (es. hosting del sito, monitoraggio errori senza dati identificativi) e avvengono con garanzie adeguate (Standard Contractual Clauses e/o Data Privacy Framework).

SamBooks utilizza un assistente AI (“Sam”) per supporto operativo, categorizzazione e suggerimenti. In conformità all’art. 50 dell’AI Act, ogni interazione e ogni output generato dall’AI nell’applicazione sono chiaramente segnalati. Nessuna operazione con effetto fiscale o bancario viene eseguita in modo automatizzato: è sempre richiesta la conferma esplicita dell’utente (supervisione umana — non si configura quindi un processo decisionale automatizzato ai sensi dell’art. 22 GDPR). Il sistema non rientra tra quelli ad “alto rischio” dell’AI Act.

Hai diritto di: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento (artt. 15-22 GDPR). I dati inseriti sono modificabili dall’area riservata; lo storico dei consensi è consultabile in SamBooks → Profilo → Consensi. Il diritto alla portabilità (art. 20) è garantito tramite l’export dei dati in formati standard e machine-readable (XML FatturaPA, CSV, JSON); su richiesta è inoltre disponibile un export aggregato completo di tutti i dati personali in un unico pacchetto (ZIP). Per esercitare i tuoi diritti puoi anche scrivere ainfo@sambooks.ai. Hai inoltre il diritto di presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Con il modulo Posta puoi collegare volontariamente la tua casella Outlook (Microsoft) o Gmail (Google) tramite autorizzazione OAuth, per leggere e inviare email e portare i documenti delle email in contabilità. SamBooks accede alla casella solo dopo il tuo consenso esplicito: sincronizza in cache i soli metadati (mittente, oggetto, data), mentre il corpo e gli allegati sono recuperati su richiesta e non conservati oltre la sessione. L’assistente Sam non legge la casella di propria iniziativa — vede solo ciò che condividi tu — e i contenuti delle email non vengono mai usati per addestrare modelli di intelligenza artificiale. Alla disconnessione della casella, i metadati e i token di accesso vengono eliminati. Protezione dei dati: le credenziali di accesso alla casella (token OAuth) sono cifrate a riposo con cifratura a livello di campo (Fernet) e ogni scambio di dati avviene su connessioni cifrate (TLS); i dati di ciascuna azienda sono isolati a livello di database tramite Row-Level Security e l’accesso è limitato al minimo necessario per erogare il servizio. Uso limitato dei dati Google (Limited Use): l’uso e il trasferimento da parte di SamBooks delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, inclusi i requisiti di Uso Limitato (Limited Use).

Questa informativa può essere aggiornata. Le modifiche rilevanti saranno notificate via email agli utenti registrati con almeno 15 giorni di preavviso.