Informativa privacy

Titolare del trattamento è Digital Logistics S.r.l., P.IVA IT03031930351, con sede legale in Via Fratelli Cervi 80, 42124 Reggio Emilia (RE) — società che eroga il servizio SamBooks. Per qualsiasi richiesta relativa ai dati personali è possibile scrivere a info@sambooks.ai. Digital Logistics S.r.l. è titolare dei dati che raccoglie per gestire la registrazione e l’uso dell’account, la fatturazione dell’abbonamento, la sicurezza del servizio e i contatti con utenti e potenziali clienti. Dei dati personali contenuti nei documenti e nelle registrazioni contabili che l’azienda cliente gestisce con SamBooks, come quelli dei suoi clienti, fornitori e dipendenti, il titolare è invece l’azienda cliente: Digital Logistics S.r.l. li tratta per suo conto, come responsabile del trattamento ai sensi dell’art. 28 GDPR, secondo l’Accordo sul trattamento dei dati personali. Chi vuole esercitare i propri diritti su questi dati si rivolge all’azienda cliente; le richieste che arrivano a SamBooks vengono inoltrate all’azienda.

SamBooks raccoglie le seguenti categorie di dati:

• Dati di registrazione: nome, cognome, email, ragione sociale, P.IVA.
• Dati contabili e fiscali: fatture, movimenti bancari, prima nota — inseriti dall’utente o importati da AdE/SDI e dai file di estratto conto bancario. I dati di terzi che contengono (clienti, fornitori, dipendenti dell’azienda) sono trattati per conto dell’azienda cliente, come indicato alla sezione 1.
• Dati di utilizzo: log di accesso, azioni eseguite nell’applicazione, interazioni con l’assistente AI “Sam”.
• Cookie tecnici e, previo consenso, cookie analitici e pubblicitari (vedi Informativa cookie).
• Dati inviati dai moduli pubblici del sito e dalla chat della landing (nome, email, telefono, azienda o studio e provincia, quando li scrivi tu): li usiamo per rispondere alla richiesta e per ricontattarti sul servizio.

Alcuni documenti caricati possono contenere incidentalmente dati particolari (es. fatture sanitarie): sono trattati come dati comuni a fini contabili, senza profilazione su categorie particolari.

• Erogazione del servizio SamBooks (base: esecuzione del contratto, art. 6.1.b GDPR).
• Adempimenti fiscali e legali (base: obbligo di legge, art. 6.1.c GDPR).
• Sicurezza e prevenzione frodi (base: legittimo interesse, art. 6.1.f GDPR).
• Comunicazioni di servizio e aggiornamenti normativi (base: legittimo interesse o consenso).
• Cookie analitici e pubblicitari, misurazione delle conversioni degli annunci e comunicazioni promozionali agli utenti registrati: solo con consenso esplicito (art. 6.1.a GDPR). Per le comunicazioni commerciali verso imprese e professionisti i cui contatti provengono da fonti pubbliche, vedi la sezione 10.

I dati dell’account e della fatturazione dell’abbonamento sono conservati per la durata del rapporto; le fatture emesse da SamBooks e le relative registrazioni per 10 anni, come prevede la normativa fiscale (art. 2220 c.c.). Il registro delle azioni degli utenti nell’applicazione è conservato per 12 mesi, quello delle azioni di Sam per 24 mesi, i registri tecnici delle chiamate ai modelli AI e del traffico del sito per 180 giorni; la telemetria analitica di prodotto per 12 mesi e le registrazioni di sessione per 30 giorni. I dati contabili che l’azienda cliente gestisce con SamBooks, comprese le conversazioni con Sam, restano disponibili per tutta la durata del contratto: la loro conservazione per i periodi di legge è un obbligo dell’azienda, che può esportarli in qualsiasi momento e per altri 30 giorni dopo la chiusura dell’account. Alla chiusura dell’account, o su richiesta dell’azienda, i dati vengono eliminati entro 90 giorni, salvo quelli che la legge impone a SamBooks di conservare; le copie di sicurezza del database si cancellano alla loro scadenza, entro 12 mesi.

I dati non vengono ceduti a terzi per finalità commerciali. Per erogare il Servizio, SamBooks si avvale di fornitori che agiscono come responsabili del trattamento (sub-processor), selezionati con priorità alla residenza dei dati nell’Unione Europea. I principali sono:

• Infrastruttura: Hetzner (hosting, database e archiviazione dei file, Germania; copie di sicurezza anche in Finlandia), Amazon Web Services EMEA (email transazionali e modelli Claude su Amazon Bedrock, UE), Vercel (hosting del sito, UE/USA con clausole SCC), Cloudflare (protezione anti-bot dei moduli pubblici, UE/USA con clausole SCC), Google Maps Platform (suggerimenti per completare un indirizzo mentre lo si digita: riceve solo il testo scritto nel campo, UE/USA con Data Privacy Framework).
• Intelligenza artificiale: Google Cloud (Vertex AI, modelli Gemini — endpoint multi-region UE: l’elaborazione resta nell’Unione Europea e i contenuti non sono usati per addestrare i modelli), Mistral AI (assistente, OCR e trascrizione della dettatura vocale, Francia/Svezia, UE), Anthropic tramite Amazon Bedrock EU (canale Claude di riserva, solo regioni UE); Voyage AI (MongoDB, Inc., USA — ricerca semantica sui testi normativi: riceve la sola domanda posta all’assistente e i testi di legge pubblici, mai fatture, importi o anagrafiche; trasferimento con clausole contrattuali standard); Langfuse (osservabilità, UE) e Linkup (ricerca web dell’assistente, solo query generiche senza dati del cliente, UE).
• Fatturazione e pagamenti: Invoicetronic (trasmissione al Sistema di Interscambio, Italia), OpenAPI S.p.A. (anagrafiche P.IVA, Italia), Stripe (pagamento dell’abbonamento: i dati di pagamento, della carta o del conto, sono trattati direttamente da Stripe, certificata PCI DSS — UE e USA con clausole contrattuali standard).
• Analisi e monitoraggio: misurazione del traffico aggregata di prima parte, senza cookie e senza conservazione dell’indirizzo IP, inclusa la velocità delle pagine, cioè i tempi di caricamento e di risposta ai clic e la stabilità dell’impaginazione misurati dal browser durante la visita (base giuridica: legittimo interesse, non richiede consenso); PostHog (analytics di prodotto legati all’account in forma pseudonima, compresi funnel, velocità delle pagine, mappe di calore e registrazione di sessione con i dati sensibili mascherati nel browser, UE — solo previo consenso); Sentry (monitoraggio errori, senza dati identificativi, USA con SCC/DPF).
• Adempimenti obbligatori: Agenzia delle Entrate / SDI per gli adempimenti telematici.

I dati fiscali e bancari non lasciano l’Unione Europea. L’elenco dei fornitori che trattano i dati delle aziende clienti per conto di SamBooks è l’Allegato IV dell’Accordo sul trattamento dei dati personali.

I dati contabili, fiscali e bancari sono trattati esclusivamente nell’Unione Europea, compresa l’elaborazione dell’assistente AI (Google Cloud Vertex AI su endpoint multi-region UE, Mistral AI in Francia/Svezia, Amazon Bedrock UE). Avvengono al di fuori dell’Unione Europea, con garanzie adeguate (Standard Contractual Clauses e/o Data Privacy Framework): l’hosting del sito (Vercel), il monitoraggio degli errori senza dati identificativi (Sentry), i suggerimenti di Google Maps Platform per completare un indirizzo (solo il testo scritto nel campo) e — limitatamente al testo della domanda posta all’assistente e ai testi normativi pubblici usati per rispondere — la ricerca semantica di Voyage AI (MongoDB, Inc., USA). A Voyage non vengono mai inviati fatture, importi, anagrafiche o movimenti bancari. Con il consenso ai cookie di marketing, Meta e Google possono trattare negli Stati Uniti i dati descritti alla sezione 11, con le stesse garanzie (Data Privacy Framework e/o clausole contrattuali standard).

SamBooks utilizza un assistente AI (“Sam”) per supporto operativo, categorizzazione e suggerimenti. In conformità all’art. 50 dell’AI Act, ogni interazione e ogni output generato dall’AI nell’applicazione sono chiaramente segnalati. L’assistente non esegue operazioni con effetto fiscale o bancario senza la conferma esplicita dell’utente (supervisione umana — non si configura quindi un processo decisionale automatizzato ai sensi dell’art. 22 GDPR). Fanno eccezione solo gli invii automatici che l’utente stesso attiva e programma, come quelli delle fatture ricorrenti. Il sistema non rientra tra quelli ad “alto rischio” dell’AI Act.

Dettatura vocale nella chat. Se usi il microfono della chat di Sam, il browser registra la tua voce dal clic che avvia la dettatura fino alla sua chiusura (con un clic, dopo 15 secondi di silenzio o se la scheda passa in secondo piano) e comunque per non più di 2 minuti. L’audio passa da SamBooks a Mistral AI, su server nell’Unione europea, al solo scopo di trascriverlo in testo. SamBooks non lo conserva: resta in memoria per il tempo della trascrizione e poi viene eliminato, e non lo usiamo per riconoscerti o identificarti. Mistral non lo usa per addestrare i suoi modelli e può conservarlo fino a 30 giorni solo per controllare gli abusi del servizio. Il testo trascritto compare nel campo del messaggio ed entra nella chat solo se decidi di inviarlo. Base giuridica: esecuzione del contratto, come per il resto della chat.

Hai diritto di: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento (artt. 15-22 GDPR). I dati inseriti sono modificabili dall’area riservata; lo storico dei consensi è consultabile in SamBooks → Impostazioni utente → Consensi. Il diritto alla portabilità (art. 20) è garantito tramite l’export dei dati in formati standard e machine-readable (XML FatturaPA, CSV, JSON); su richiesta è inoltre disponibile un export aggregato completo di tutti i dati personali in un unico pacchetto (ZIP). Per esercitare i tuoi diritti puoi anche scrivere a info@sambooks.ai. Per i dati contenuti nei documenti contabili di un’azienda cliente, di cui SamBooks è responsabile del trattamento, i diritti si esercitano verso l’azienda (sezione 1). Hai inoltre il diritto di presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Con il modulo Posta puoi collegare volontariamente la tua casella Outlook (Microsoft) o Gmail (Google) tramite autorizzazione OAuth, per leggere e inviare email e portare i documenti delle email in contabilità. SamBooks accede alla casella solo dopo il tuo consenso esplicito: sincronizza in cache i soli metadati (mittente, destinatari, oggetto, data ed elenco degli allegati), mentre il corpo e gli allegati sono recuperati su richiesta e non conservati oltre la sessione. L’assistente Sam non legge la casella di propria iniziativa — vede solo ciò che condividi tu — e i contenuti delle email non vengono mai usati per addestrare modelli di intelligenza artificiale. Alla disconnessione della casella, i metadati e i token di accesso vengono eliminati. Protezione dei dati: le credenziali di accesso alla casella (token OAuth) sono cifrate a riposo con cifratura a livello di campo (Fernet) e ogni scambio di dati avviene su connessioni cifrate (TLS); i dati di ciascuna azienda sono isolati a livello di database tramite Row-Level Security e l’accesso è limitato al minimo necessario per erogare il servizio. Uso limitato dei dati Google (Limited Use): l’uso e il trasferimento da parte di SamBooks delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, inclusi i requisiti di Uso Limitato (Limited Use).

Digital Logistics S.r.l. può contattare via email imprese e professionisti per presentare SamBooks. Quali dati e da dove: denominazione, partita IVA, indirizzo, indirizzo email ordinario e, quando pubblicato, il nome del referente — raccolti dai registri camerali pubblici, dagli albi pubblici dei Dottori Commercialisti e degli Esperti Contabili, dai recapiti pubblicati sul sito dell’impresa o dal profilo professionale pubblico su LinkedIn. Non acquistiamo liste di contatti da terzi. Finalità e base giuridica: presentazione commerciale del servizio, sulla base del legittimo interesse del titolare a farsi conoscere presso imprese potenzialmente interessate (art. 6.1.f GDPR). Destinatari: Amazon Web Services (invio delle email), Verifalia (verifica che l’indirizzo esista, per non scrivere a caselle inesistenti), Linked Helper LLC (gestione dei contatti su LinkedIn e ricerca dell’email pubblica del profilo, USA con clausole contrattuali standard) e i fornitori di intelligenza artificiale indicati alla sezione 5, per l’individuazione del recapito pubblico e la classificazione delle risposte ricevute. Conservazione: i dati di contatto sono conservati finché resta l’interesse alla comunicazione; gli indirizzi di chi chiede di non essere più contattato sono conservati a tempo indeterminato in un elenco di esclusione, al solo scopo di impedire un nuovo contatto. I tuoi diritti: puoi opporti in qualsiasi momento e senza motivazione al trattamento per finalità di marketing (art. 21 GDPR) usando il link di disiscrizione presente in fondo a ogni email — l’effetto è immediato e definitivo — oppure scrivendo a info@sambooks.ai. Restano esercitabili tutti i diritti elencati alla sezione 8.

Pubblichiamo annunci su Meta (Facebook, Instagram) e su Google. Per sapere quali annunci funzionano, solo se accendi la categoria «Marketing e pubblicità» nel banner dei cookie: (a) il sito carica il Meta Pixel e il tag Google Ads, che registrano le pagine visitate e il clic sull'annuncio; (b) quando ci lasci i tuoi contatti dal modulo del sito o ti iscrivi alla prova, Meta e Google vengono informati che è avvenuta una richiesta o un'iscrizione: a Meta lo comunica il nostro server (Conversions API), insieme all'indirizzo IP, al tipo di browser e agli identificativi del clic sull'annuncio; a Google lo comunica il tag nel tuo browser dopo la richiesta e il nostro server (Data Manager API) dopo l'iscrizione, se arrivi da un annuncio Google, con l'identificativo del clic; l'email e il telefono, e per l'iscrizione a Meta anche nome e cognome, resi illeggibili con un codice hash SHA-256, si aggiungono solo per l'iscrizione alla prova (sono i dati dell'account che crei) o, per email e telefono, se nel modulo di contatto spunti l'apposita casella facoltativa, non spuntata in partenza; a Google, dopo l'iscrizione, arriva la sola email. Non inviamo mai dati contabili, fatture o importi. Base giuridica: il tuo consenso (art. 6.1.a GDPR e art. 122 del Codice privacy), che puoi revocare in qualsiasi momento da «Preferenze cookie» in fondo a ogni pagina; dopo la revoca non inviamo più nulla. Destinatari: Meta Platforms Ireland Ltd, che per la raccolta e la trasmissione dei dati tramite Pixel e Conversions API opera come contitolare insieme a noi (Corte di giustizia UE, causa C-40/17 «Fashion ID») e poi come titolare autonomo; Google Ireland Ltd, titolare autonomo secondo i «Google Ads Controller-Controller Data Protection Terms». Per i trattamenti che svolgono come titolari valgono le loro informative (Meta, Google). Conservazione: da parte nostra, il registro degli invii contiene solo l'esito tecnico e il riferimento alla richiesta, senza email né telefono, e segue la conservazione della richiesta o dell'account.

Questa informativa viene aggiornata quando cambiano i trattamenti o i fornitori. La versione in vigore è sempre quella pubblicata su questa pagina, con la data dell’ultimo aggiornamento indicata in alto.