Informativa sulla privacy — RispostaSubito

1. Chi siamo (Titolare del trattamento)

RispostaSubito è un servizio di RispostaSubito di Casella Ezio, con sede in Viale C.A. Dalla Chiesa 18, Sc. A Int. 4, 88814 Melissa (KR), P.IVA 04077430793 (di seguito "noi" o il "Titolare").

Contatti per ogni questione relativa ai dati personali: privacy@rispostasubito.it.

RispostaSubito aiuta le attività locali (ristoranti, bar, hotel e simili) a monitorare le recensioni pubblicate sul proprio profilo Google Business e a rispondere con l'aiuto di un sistema di intelligenza artificiale, tramite notifiche su Telegram o email.

Questa informativa ha due parti, perché trattiamo dati in due ruoli diversi:

• Parte A — i dati che trattiamo come Titolare: visitatori del sito, utenti del tool gratuito, iscritti alla lista d'attesa, clienti del servizio.
• Parte B — i dati che trattiamo come Responsabile del trattamento per conto dei nostri clienti: i contenuti delle recensioni dei loro locali (che possono includere dati di chi le ha scritte).

PARTE A — Trattamenti di cui siamo Titolare

2. Navigazione sul sito

Dati trattati: dati tecnici di connessione (indirizzo IP, user agent, data/ora delle richieste), registrati nei log del server.

Finalità e base giuridica: sicurezza, prevenzione di abusi e corretto funzionamento del sito — legittimo interesse del Titolare (art. 6.1.f GDPR).

Conservazione: 90 giorni, salvo necessità di accertamento di abusi (termine proporzionato per finalità di sicurezza secondo il principio di minimizzazione).

Cookie: il sito non utilizza cookie di profilazione né strumenti di analisi di terze parti. Sono impiegati esclusivamente cookie/strumenti tecnici strettamente necessari, per i quali — secondo le Linee guida cookie e altri strumenti di tracciamento del Garante (provv. 10 giugno 2021) e l'art. 122 del Codice privacy — non è richiesto né consenso né banner.

3. Tool gratuito "genera la risposta"

Come funziona: l'utente incolla il testo di una recensione, indica un punteggio e, facoltativamente, il nome del locale; il sistema genera una proposta di risposta.

Dati trattati: il testo incollato (che può contenere dati personali di terzi, ad es. il nome dell'autore della recensione), il punteggio, l'eventuale nome del locale, l'indirizzo IP (usato per limitare gli abusi).

Attenzione: invitiamo a non incollare dati personali non necessari (ad es. nomi, contatti, recapiti). L'utente è responsabile dei contenuti che inserisce.

Finalità e base giuridica: erogare la funzione richiesta dall'utente — esecuzione di misure precontrattuali/servizio richiesto (art. 6.1.b GDPR); prevenzione abusi — legittimo interesse (art. 6.1.f).

Trattamento tramite AI: il testo viene inviato al nostro fornitore di intelligenza artificiale (v. §8) al solo fine di generare la risposta. In base ai termini commerciali di tale fornitore, i contenuti inviati tramite API non sono utilizzati per addestrare i suoi modelli e sono conservati dal fornitore per un periodo limitato ai soli fini di sicurezza e prevenzione degli abusi. La risposta è una bozza: nessuna decisione automatizzata con effetti giuridici o similmente significativi viene presa (art. 22 GDPR non applicabile); la decisione se e come rispondere resta sempre umana.

Conservazione (nostra): registriamo estratti troncati di input e output per finalità di sicurezza e prevenzione degli abusi per 6 mesi; eventuali analisi finalizzate al miglioramento del servizio sono condotte esclusivamente su dati aggregati o anonimizzati. Non utilizziamo questi contenuti per finalità di marketing.

4. Lista d'attesa

Dati trattati: indirizzo email, data di iscrizione, pagina di provenienza.

Finalità e base giuridica: informarti della disponibilità del servizio e di aggiornamenti direttamente collegati al lancio — consenso (art. 6.1.a GDPR), espresso con la casella dedicata.

Revoca: puoi revocare il consenso in ogni momento scrivendo a privacy@rispostasubito.it; la revoca comporta la cancellazione dell'indirizzo dalla lista.

Conservazione: fino alla revoca o fino a 24 mesi dal lancio del servizio.

5. Clienti del servizio (account attivi)

Dati trattati:

• dati identificativi e di contatto (nome, email, nome dell'attività);
• identificativo della chat Telegram (per l'invio delle notifiche) o indirizzo email, a scelta del cliente;
• collegamento al profilo Google Business del cliente: l'autorizzazione avviene tramite il protocollo OAuth di Google; non conosciamo né conserviamo la password Google del cliente. I token OAuth che consentono l'accesso autorizzato al profilo sono conservati in forma cifrata — attualmente dal partner tecnico che opera il collegamento per nostro conto (Zernio, v. §8); al passaggio all'accesso diretto saranno conservati da noi in forma cifrata — e utilizzati esclusivamente per erogare il servizio (lettura delle recensioni e pubblicazione delle risposte da te approvate);
• preferenze di tono e configurazione del servizio;
• dati di fatturazione e pagamento (v. sotto).

Finalità e basi giuridiche: erogazione del servizio in abbonamento — contratto (art. 6.1.b); fatturazione e adempimenti fiscali — obbligo legale (art. 6.1.c); comunicazioni di servizio (avvisi tecnici, modifiche) — contratto (art. 6.1.b).

Pagamenti: i pagamenti sono gestiti da Stripe; non conserviamo i dati completi delle carte. In quanto soggetti in regime forfettario, emettiamo fattura elettronica tramite A-Cube trasmessa al Sistema di Interscambio (SdI) dell'Agenzia delle Entrate, come previsto dall'obbligo generalizzato in vigore dal 1° gennaio 2024.

Conservazione: dati dell'account per la durata del contratto e fino a 12 mesi dalla chiusura; documenti fiscali per 10 anni (obbligo di legge, art. 2220 c.c. e normativa tributaria). Alla chiusura dell'account l'autorizzazione al profilo Google Business viene revocata e i relativi token OAuth eliminati.

6. Comunicazioni Telegram

Se scegli Telegram come canale, le notifiche del servizio (recensioni, bozze di risposta, report) transitano tramite la piattaforma Telegram. Telegram agisce come autonomo titolare del proprio servizio di messaggistica secondo la propria informativa. Trattiamo l'identificativo della tua chat al solo fine di recapitarti i messaggi del servizio.

Avvertenza: Telegram è gestito da società con sede al di fuori dell'Unione Europea (Emirati Arabi Uniti e Isole Vergini Britanniche), Paesi per i quali non sussiste una decisione di adeguatezza della Commissione UE; l'invio dei messaggi comporta quindi un trasferimento verso un Paese terzo, che avviene sulla base della tua libera scelta di questo canale e resta soggetto alla policy di Telegram. Chi preferisce mantenere le comunicazioni nell'ambito di fornitori UE può scegliere in alternativa il canale email.

PARTE B — Trattamenti di cui siamo Responsabile per conto dei clienti

7. Recensioni e risposte

Quando un cliente attiva il servizio, trattiamo per suo conto i contenuti delle recensioni pubblicate sul suo profilo Google Business: testo, punteggio, nome pubblico e data indicati dall'autore della recensione. Su questi dati:

• Titolare del trattamento è il cliente (l'attività recensita), che li tratta per gestire la propria reputazione e rispondere ai propri clienti;
• noi agiamo come Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base dell'accordo sul trattamento dei dati (DPA) accettato dal cliente all'attivazione;
• l'accesso alle recensioni e la pubblicazione delle risposte avvengono tramite le API ufficiali di Google Business, con l'autorizzazione OAuth del cliente. Non effettuiamo scraping né automazione non autorizzata sulle pagine Google. Attualmente il collegamento tecnico è operato per nostro conto da un partner tecnico (Zernio, v. §8) — il quale a sua volta accede esclusivamente tramite le medesime API ufficiali di Google, con l'autorizzazione del cliente e senza scraping — presso il quale il cliente ha concesso l'autorizzazione OAuth; al completamento dell'approvazione di Google il servizio accederà in via diretta, con l'OAuth concesso direttamente a RispostaSubito;
• le recensioni sono dati resi pubblici dai loro autori sulla piattaforma Google; noi li leggiamo, generiamo bozze di risposta e — solo con l'autorizzazione e secondo le impostazioni scelte dal cliente — pubblichiamo le risposte a nome del cliente sul suo profilo;
• le informazioni previste dall'art. 14 GDPR verso gli autori delle recensioni sono rese dal cliente titolare nell'ambito della propria informativa; trattandosi di dati già resi pubblici dall'interessato sulla piattaforma, può inoltre rilevare l'esenzione di cui all'art. 14.5.b GDPR (informazione impossibile o con sforzo sproporzionato), ferme le misure appropriate. Il nostro trattamento si limita a quanto necessario per il servizio.

Sub-responsabili: per generare le bozze utilizziamo il fornitore AI indicato al §8. L'elenco aggiornato e nominativo dei sub-responsabili è disponibile su richiesta e nel DPA.

Conservazione per conto del cliente: per la durata del contratto; alla chiusura, cancellazione o anonimizzazione entro 30 giorni, salvo obblighi di legge.

Uso dei dati ottenuti dalle API di Google (Google API Limited Use)

L'uso e il trasferimento da parte di RispostaSubito delle informazioni ricevute dalle API di Google aderiscono alla Google API Services User Data Policy, inclusi i requisiti di Uso Limitato (Limited Use).

RispostaSubito's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

Policy di riferimento: developers.google.com/terms/api-services-user-data-policy.

In particolare, i dati ottenuti tramite le API di Google NON sono:

• usati o trasferiti per finalità pubblicitarie (incluse pubblicità di retargeting, personalizzata o basata su interessi);
• usati per determinare il merito creditizio o per finalità di prestito;
• venduti o ceduti a data broker, intermediari o rivenditori di informazioni;
• usati per addestrare, mettere a punto o migliorare modelli di intelligenza artificiale o machine learning generalizzati o non personalizzati, né nostri né di terzi: l'invio al fornitore AI serve unicamente a generare la bozza di risposta per il cliente, senza alcun uso per l'addestramento dei modelli;
• letti da persone fisiche, salvo che: (a) il cliente abbia prestato consenso esplicito; (b) per finalità di sicurezza (es. indagine su abusi) o di conformità a obblighi di legge; (c) i dati siano aggregati e resi anonimi e usati per operazioni interne.

Impegno positivo: i dati ottenuti tramite le API di Google sono usati esclusivamente per fornire e migliorare le funzionalità visibili all'utente nell'interfaccia del servizio — lettura delle recensioni, generazione delle bozze, pubblicazione delle risposte approvate dal cliente, report — e non costruiamo database né copie permanenti dei dati Google oltre a quanto necessario all'erogazione del servizio (v. i tempi di conservazione ai §5 e §7).

8. Destinatari dei dati (fornitori)

Il servizio si avvale di fornitori terzi selezionati per l'integrazione con le piattaforme e il funzionamento del servizio, nominati ove necessario responsabili/sub-responsabili del trattamento. Attualmente:

• Zernio — integrazione piattaforme (temporaneo);
• Anthropic PBC (USA) — generazione testi (bozze di risposta con intelligenza artificiale);
• Aruba S.p.A. (Italia) — hosting del server e dell'infrastruttura;
• Stripe — gestione dei pagamenti;
• A-Cube (Italia, UE) — fatturazione elettronica (SdI);
• Zoho (datacenter UE) — casella di posta elettronica;
• Telegram — recapito delle notifiche, quale autonomo titolare di messaggistica (v. §6);
• Google — piattaforma su cui risiedono i profili Google Business dei clienti e verso cui avviene il collegamento OAuth (attualmente tramite il partner tecnico sopra indicato; in via diretta dopo l'approvazione di Google).

L'elenco è aggiornabile: è mantenuto e reso disponibile su richiesta l'elenco aggiornato dei responsabili/sub-responsabili. Non vendiamo né cediamo dati personali a terzi per finalità di marketing.

9. Trasferimenti extra-UE

Alcuni fornitori hanno sede negli Stati Uniti (in particolare il fornitore AI, il gestore dei pagamenti e Google). Per tali trasferimenti la garanzia principale e autoportante su cui ci basiamo sono le Clausole Contrattuali Standard (SCC) adottate dalla Commissione UE (art. 46.2.c GDPR), incorporate nei rispettivi accordi sul trattamento dei dati; in aggiunta, ove il fornitore risulti certificato, opera la decisione di adeguatezza EU-US Data Privacy Framework (art. 45 GDPR). Alla data della presente versione:

• Anthropic PBC — SCC (Modulo 3, responsabile→sub-responsabile) nella propria DPA; risulta inoltre certificata EU-US DPF;
• Stripe — certificata EU-US DPF (stato attivo) e SCC nella propria DPA;
• Google LLC — certificata EU-US DPF.

Per Telegram (canale scelto dall'utente, gestito da società extra-UE senza decisione di adeguatezza), v. l'avvertenza al §6: il trasferimento avviene sulla base della scelta dell'utente del canale, con disponibilità dell'alternativa email.

10. Sicurezza

Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR), tra cui: connessioni cifrate (HTTPS/TLS), cifratura a riposo delle credenziali/segreti, accessi limitati e autenticazione a chiave, backup cifrati e conservati fuori sede, registrazione degli eventi. In caso di violazione dei dati personali che presenti un rischio per i diritti degli interessati, provvederemo alle notifiche previste dagli artt. 33-34 GDPR.

11. Diritti degli interessati

Puoi esercitare in ogni momento i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso (senza pregiudicare la liceità del trattamento precedente). Scrivi a privacy@rispostasubito.it: risponderemo entro un mese. Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del tuo Paese UE.

Se la tua richiesta riguarda una recensione o una risposta pubblicata sul profilo di un'attività nostra cliente, la inoltreremo senza ritardo al cliente titolare, assistendolo nel riscontro.

12. Natura del conferimento

Il conferimento dei dati richiesti per la lista d'attesa e per l'attivazione del servizio è necessario per le rispettive finalità: in mancanza, non potremo iscriverti o erogare il servizio. L'uso del tool gratuito non richiede alcuna registrazione.

13. Minori

Il servizio è rivolto ad attività economiche e a maggiorenni. Non raccogliamo consapevolmente dati di minori di 18 anni.

14. Modifiche

Potremo aggiornare questa informativa; la versione vigente, con la data, è sempre pubblicata su questa pagina. In caso di modifiche sostanziali ne daremo notizia ai clienti attivi.

Ultimo aggiornamento: 25 agosto 2026