Privacy Policy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

La presente informativa si applica ai trattamenti effettuati tramite il sito martes-ai.com e tramite i servizi resi disponibili su sottodomini e domini collegati del medesimo Titolare, tra cui guida.riccardobelli.ai e la piattaforma AudiTes (punto 12). L'utente che compila un modulo su uno di questi domini e apre l'informativa privacy collegata trova qui la disciplina del trattamento dei propri dati, anche quando il dominio del modulo è diverso da quello su cui l'informativa è pubblicata.

2. Dati personali raccolti

2.1 Dati forniti volontariamente dall'utente

Tramite il modulo di contatto raccogliamo:

• Nome e cognome, indirizzo email e, se indicato, numero di telefono
• Denominazione aziendale, sito web, fatturato annuo e dimensioni dell'azienda
• Ruolo, servizio di interesse e descrizione del progetto
• Il canale da cui l'utente ha conosciuto Martes AI

Tramite il modulo per ricevere i template raccogliamo l'indirizzo email. Tramite il calendario per prenotare una chiamata (Cal.com) raccogliamo nome, indirizzo email ed eventuali note inserite dall'utente. I dati della prenotazione vengono registrati anche nel CRM Prisma del Titolare, che gira su infrastruttura Cloudflare (punto 4).

Chi si iscrive riceve anche la newsletter. Le sue email contengono un pixel di tracciamento, cioè un'immagine invisibile che ci dice se la mail è stata aperta e su quali link si è cliccato, come i video YouTube allegati. Ci serve a capire quali argomenti interessano e a migliorare i contenuti. Il consenso al pixel si dà insieme a quello per ricevere la newsletter. Chi vuole continuare a riceverla senza pixel lo sceglie dalla pagina «Disiscriviti», raggiungibile dal link in fondo a ogni mail: da quel momento le sue mail partono senza pixel e con i link diretti.

Per ogni modulo che richiede il consenso conserviamo inoltre, come prova ai sensi dell'art. 7 GDPR, il testo e la versione del consenso prestato, la data e l'ora, l'indirizzo IP e lo user agent del browser.

2.2 Dati raccolti automaticamente

Durante la navigazione sul sito martes-ai.com, previo consenso dell'utente, possono essere raccolti automaticamente tramite Google Analytics 4:

• Indirizzo IP (anonimizzato)
• Tipo di browser e sistema operativo
• Pagine visitate e tempo di permanenza
• Provenienza geografica (a livello di paese/regione)
• Sorgente di traffico

Solo se l'utente accetta i cookie di marketing:

• il Meta Pixel (Meta Platforms Ireland Limited) registra le pagine visitate e le prenotazioni, per misurare l'efficacia delle campagne pubblicitarie su Facebook e Instagram e mostrare annunci pertinenti
• il sito memorizza sul dispositivo la provenienza della prima e dell'ultima visita (campagna, link o sito esterno di provenienza), che viene poi allegata alle richieste inviate tramite i moduli e alle prenotazioni

Anche senza consenso di marketing, alle richieste inviate tramite i moduli vengono allegati la pagina da cui sono inviate, la pagina di provenienza e gli eventuali parametri di campagna presenti nell'indirizzo di quella pagina. Queste informazioni non vengono salvate sul dispositivo. Per maggiori dettagli sui cookie utilizzati, si rimanda alla Cookie Policy.

Alcune risorse del sito sono ospitate da fornitori terzi, che per poterle consegnare ricevono l'indirizzo IP del dispositivo, la pagina di provenienza e i dati tecnici del browser: Google Fonts (Google Ireland Limited), che fornisce i caratteri tipografici su tutte le pagine; YouTube (Google Ireland Limited) nella modalità senza cookie del dominio youtube-nocookie.com, insieme al dominio i.ytimg.com per le immagini di anteprima, per i video incorporati nelle pagine; Cal.com, che fornisce il calendario di prenotazione nelle pagine che lo contengono. Google Fonts e le immagini di anteprima dei video non installano cookie. Il player di YouTube viene caricato al clic sull'anteprima e, nella pagina dedicata alla formazione aziendale, si avvia in automatico in modalità silenziosa: in entrambi i casi il dominio utilizzato è youtube-nocookie.com, che non installa cookie di profilazione. Lo script che rileva la provenienza della visita è ospitato sul dominio riccardobelli.com, anch'esso riconducibile al Titolare, e viene caricato soltanto dopo il consenso ai cookie di marketing. Su tutte le pagine viene caricata anche la libreria Google Tag Manager (gtag.js, Google Ireland Limited), che gestisce Google Analytics con la modalità di consenso di Google: finché l'utente non accetta i cookie analitici non installa cookie. Alcune immagini degli articoli e dei casi studio sono ospitate su ImgBB e sulla rete di distribuzione di Hostinger, che ricevono l'indirizzo IP e i dati tecnici del browser per consegnarle.

2.3 Dati raccolti tramite WhatsApp Business API

Nell'ambito dei servizi Ambra, raccogliamo e trattiamo i seguenti dati trasmessi tramite la piattaforma WhatsApp Business (Meta Platforms), nel rispetto delle WhatsApp Business Platform Policies:

• Numero di telefono dell'utente
• Contenuto dei messaggi inviati e ricevuti
• Timestamp dei messaggi
• Nome del profilo WhatsApp (se disponibile)

Tali dati sono trattati esclusivamente per conto dei clienti business di Martes AI S.R.L. che utilizzano il servizio Ambra, e non vengono utilizzati per finalità diverse da quelle indicate nel presente documento.

2.4 Dati raccolti tramite il questionario di autovalutazione AI

Il questionario di autovalutazione disponibile su guida.riccardobelli.ai permette all'utente di ricevere un report personalizzato sull'adozione dell'intelligenza artificiale nella propria azienda. Nell'ambito di questo servizio raccogliamo:

• Da otto a nove risposte a scelta multipla relative all'azienda dell'utente: settore di attività, numero di persone che lavorano al computer, numero di persone che utilizzano strumenti di intelligenza artificiale, strumenti già in uso, aree aziendali da cui iniziare, clima interno rispetto all'intelligenza artificiale, software su cui si svolge il lavoro, modalità con cui è stata misurata l'ultima formazione svolta
• Fino a tre descrizioni delle attività ripetitive svolte in azienda, con la relativa fascia di ore settimanali. Queste descrizioni sono in testo libero: il contenuto è scritto direttamente dall'utente e può riguardare la propria azienda in forma non strutturata
• Ulteriori campi facoltativi in testo libero: settore di attività quando l'utente sceglie l'opzione "Altro", nome del CRM, nome del gestionale, software principale utilizzato
• Denominazione aziendale e indirizzo email
• Indirizzo IP e user agent del browser, conservati in chiaro all'interno del record di consenso come prova del consenso prestato ai sensi dell'art. 7 GDPR

Il consenso è raccolto tramite una casella di spunta non preselezionata, che rinvia alla presente informativa. Il testo di ciascuna versione del consenso è registrato dal Titolare a fini di prova.

2.5 Dati raccolti tramite Google API

Nell'ambito del servizio Ambra, quando il Cliente collega il proprio account Google, accediamo ai seguenti dati tramite le API Google:

• Google Calendar: eventi del calendario (lettura e scrittura) per la gestione automatizzata degli appuntamenti
• Google Sheets: i dati contenuti nei soli fogli di calcolo che il Cliente sceglie esplicitamente tramite il selettore file di Google (Google Picker), o che l'applicazione crea su sua richiesta (lettura e scrittura), per l'importazione dei contatti e la sincronizzazione con il CRM integrato
• Ambito dell'autorizzazione: l'autorizzazione richiesta è limitata all'ambito drive.file, che dà accesso ai soli file creati dall'applicazione o scelti dal Cliente tramite il Google Picker. Non accediamo all'elenco, ai metadati o al contenuto degli altri file presenti nel Drive del Cliente

Tali dati sono trattati esclusivamente per conto del Cliente che ha autorizzato l'integrazione e per le finalità sopra indicate.

I dati ricevuti dalle API Google non vengono:

• venduti, ceduti o trasferiti a terzi per finalità diverse dall'erogazione del servizio
• utilizzati per finalità pubblicitarie o di profilazione
• utilizzati per sviluppare, migliorare o addestrare modelli di intelligenza artificiale o machine learning, generalizzati o personalizzati
• trasferiti a servizi di terze parti che utilizzano tali dati per addestrare i propri modelli AI/ML

L'utilizzo dei dati ricevuti dalle API Google Workspace è conforme alla Google API Services User Data Policy, incluse le restrizioni d'uso limitato (Limited Use requirements).

3. Finalità e base giuridica del trattamento

I dati personali sono trattati per le seguenti finalità:

4. Destinatari dei dati

I dati personali possono essere comunicati a:

• Google Ireland Limited (Google Analytics 4), per l'analisi statistica del traffico web, previo consenso
• Meta Platforms Ireland Limited (Meta Pixel), per la misurazione delle campagne pubblicitarie, previo consenso ai cookie di marketing
• Netlify, hosting del sito e delle funzioni che ricevono i moduli di contatto e dei template
• Cal.com, gestione del calendario per la prenotazione delle chiamate
• Google Ireland Limited (Google Fonts), consegna dei caratteri tipografici del sito; riceve l'indirizzo IP e i dati tecnici del browser necessari a servire i file, senza installare cookie
• Google Ireland Limited (YouTube, modalità senza cookie, e i.ytimg.com per le anteprime), riproduzione dei video incorporati nelle pagine del sito
• Google Ireland Limited (Google Tag Manager), caricamento della libreria che gestisce Google Analytics nella modalità di consenso
• ImgBB e Hostinger International Ltd, servizi che ospitano alcune immagini degli articoli e dei casi studio
• Prisma, il CRM sviluppato e gestito dal Titolare, in cui vengono archiviati i dati inviati tramite il modulo di contatto, le prenotazioni delle chiamate e una copia delle prove di consenso. Prisma gira su infrastruttura Cloudflare (Worker e database D1)
• Make, piattaforma di automazione con server nell'Unione Europea, che inoltra le iscrizioni per ricevere i template
• Kit, invio dei template richiesti e delle comunicazioni correlate a chi si è iscritto
• Amazon Web Services EMEA SARL (Amazon SES, regione Irlanda), consegna delle email della newsletter; riceve l'indirizzo email del destinatario
• Meta Platforms Ireland Limited (WhatsApp Business API), per la trasmissione dei messaggi tramite la piattaforma WhatsApp Business, nell'ambito del servizio Ambra
• Cloudflare, fornitore dell'infrastruttura su cui girano le applicazioni del Titolare: il CRM Prisma, i servizi Ambra, l'applicazione (Worker) che eroga il questionario di autovalutazione AI la piattaforma AudiTes (punto 12) e la piattaforma della newsletter, con gli indirizzi degli iscritti, le aperture e i clic, con i relativi database D1, le cui istanze sono configurate con regione primaria nell'Unione Europea. Cloudflare fornisce inoltre il servizio Turnstile per la protezione dei moduli contro l'invio automatizzato
• OpenRouter, instradamento delle richieste verso il modello di intelligenza artificiale Deepseek, utilizzato per generare due paragrafi del report. Vengono trasmesse le risposte al questionario, comprese le descrizioni in testo libero delle attività ripetitive. La denominazione aziendale e l'indirizzo email non vengono trasmessi al modello. Per la piattaforma AudiTes, OpenRouter instrada le richieste verso il modello descritto al punto 12.5
• Airtable, archiviazione del contatto completo, inclusi denominazione aziendale e indirizzo email (questionario di autovalutazione AI), delle iscrizioni alla lista d'attesa e del registro delle prove di consenso
• Resend, che si avvale di Amazon SES per la consegna, invio del messaggio email contenente il collegamento al report; riceve l'indirizzo email del destinatario. Invia anche le email della piattaforma AudiTes (punto 12.6)
• Google Ireland Limited (Google Calendar API, Google Sheets API), per la sincronizzazione degli eventi di calendario e dei soli fogli di calcolo scelti dal Cliente, su autorizzazione esplicita del Cliente tramite OAuth
• Consulenti legali e fiscali del Titolare, per l'adempimento di obblighi di legge
• Fornitori di servizi tecnici (hosting, email) strettamente necessari all'erogazione del servizio

I dati non vengono venduti, ceduti o diffusi a terzi per finalità diverse da quelle indicate.

5. Trasferimento dei dati extra-UE

Google Analytics, Google Fonts e YouTube potrebbero comportare il trasferimento di dati verso server situati negli Stati Uniti. Tale trasferimento avviene sulla base della decisione di adeguatezza della Commissione Europea relativa al Data Privacy Framework UE-USA, che garantisce un livello di protezione adeguato ai sensi dell'art. 45 GDPR.

Anche Meta Platforms (Meta Pixel), Netlify, Cal.com, Kit e ImgBB possono trattare dati su server situati negli Stati Uniti. Il trasferimento avviene sulla base del Data Privacy Framework UE-USA (art. 45 GDPR) per i fornitori che vi aderiscono e, in mancanza, delle Clausole Contrattuali Tipo adottate dalla Commissione Europea (art. 46, par. 2, lett. c, GDPR).

I dati trasmessi tramite WhatsApp Business API sono soggetti alla Privacy Policy di Meta Platforms Ireland Limited. Meta aderisce al Data Privacy Framework UE-USA, garantendo un livello di protezione adeguato per i trasferimenti di dati verso gli Stati Uniti.

I fornitori Cloudflare, OpenRouter, Airtable e Resend sono stabiliti al di fuori dell'Unione Europea, e il ricorso a tali fornitori comporta un trasferimento di dati personali verso paesi terzi. Il trasferimento avviene sulla base della decisione di adeguatezza della Commissione Europea relativa al Data Privacy Framework UE-USA ai sensi dell'art. 45 GDPR per i fornitori che vi aderiscono, e, in mancanza, sulla base delle Clausole Contrattuali Tipo adottate dalla Commissione Europea ai sensi dell'art. 46, par. 2, lett. c) GDPR. Le istanze dei database D1 utilizzate dal Titolare, comprese quelle del CRM Prisma e quella in cui sono archiviate le risposte al questionario, sono configurate con regione primaria nell'Unione Europea, e i dati vi restano archiviati; il database e l'archivio dei file della piattaforma AudiTes sono creati in giurisdizione UE. Cloudflare, in quanto fornitore, può accedervi dal proprio personale autorizzato secondo le condizioni contrattuali e le Clausole Contrattuali Tipo sottoscritte. Le richieste inviate al modello Deepseek tramite OpenRouter, e quelle della piattaforma AudiTes (punto 12.5), possono invece essere elaborate su infrastruttura situata al di fuori dell'Unione Europea.

6. Misure di protezione dei dati

Martes AI S.R.L. adotta misure tecniche e organizzative adeguate per proteggere i dati personali trattati, in conformità all'art. 32 del GDPR:

6.1 Crittografia

• In transito: tutte le comunicazioni tra client, server e servizi terzi avvengono tramite protocollo TLS 1.2 o superiore (HTTPS). Nessun dato viaggia in chiaro.
• A riposo: i dati archiviati nei database e negli storage del Titolare sono protetti da crittografia a livello di infrastruttura (AES-256), gestita dal provider di hosting (Cloudflare, Inc.).

6.2 Controllo degli accessi

• Isolamento multi-tenant: ogni cliente business accede esclusivamente ai propri dati. L'isolamento è garantito a livello applicativo tramite identificativo univoco del cliente, verificato su ogni richiesta.
• Autenticazione: l'accesso alla piattaforma richiede credenziali univoche (email e password). Le sessioni sono protette da token firmati digitalmente (JWT) con scadenza temporale.
• Autorizzazione OAuth: l'accesso ai dati Google (Calendar e Sheets) avviene esclusivamente previa autorizzazione esplicita dell'utente tramite il protocollo OAuth 2.0. I token di accesso sono conservati in storage cifrato e non sono mai esposti al frontend.

6.3 Gestione dei token e delle credenziali

• I refresh token OAuth vengono archiviati in uno storage chiave-valore cifrato, separato dal database principale.
• Le credenziali di accesso alle API di terze parti (Meta, Google) sono gestite tramite variabili d'ambiente protette, mai incluse nel codice sorgente.
• Le password degli utenti sono memorizzate come hash crittografici (scrypt) e non sono mai conservate o trasmesse in chiaro.

6.4 Minimizzazione dei dati

Il Titolare raccoglie e tratta esclusivamente i dati strettamente necessari all'erogazione del servizio. In particolare, l'accesso ai dati Google è limitato alle sole operazioni dichiarate (creazione e gestione degli eventi di calendario, lettura e scrittura dei soli fogli di calcolo scelti dal Cliente tramite il Google Picker) e non si estende ad altri file o dati dell'account Google dell'utente.

6.5 Accesso del personale

L'accesso ai sistemi di produzione e ai dati dei clienti è limitato al personale tecnico autorizzato del Titolare, esclusivamente per finalità di manutenzione e supporto. Nessun dipendente o collaboratore ha accesso diretto ai dati Google degli utenti finali al di fuori delle operazioni automatizzate della piattaforma.

7. Periodo di conservazione

• Dati del form di contatto e delle prenotazioni: conservati per il tempo necessario a gestire la richiesta e, in caso di rapporto contrattuale, per la durata del contratto e i 10 anni successivi (obblighi fiscali).
• Dati della newsletter (indirizzo email, aperture e clic): conservati finché l'iscritto non si disiscrive. Dopo la disiscrizione resta solo l'indirizzo, per non scrivergli più.
• Dati analitici (Google Analytics): conservati per 14 mesi dalla raccolta, in forma aggregata e anonimizzata.
• Provenienza memorizzata sul dispositivo: 180 giorni per la prima visita, 30 giorni per l'ultima, oppure fino alla revoca del consenso di marketing, che la cancella. I cookie del Meta Pixel hanno la durata indicata nella Cookie Policy.
• Dati contrattuali: conservati per 10 anni dalla cessazione del rapporto contrattuale.
• Dati WhatsApp (messaggi e metadati): conservati per la durata del contratto con il cliente business e cancellati entro 30 giorni dalla cessazione del rapporto.
• Dati del questionario di autovalutazione AI: le risposte, le descrizioni in testo libero, la denominazione aziendale e l'indirizzo email sono conservati nel database e nell'archivio contatti fino alla cancellazione da parte del Titolare o su richiesta dell'interessato.
• Report generato: resta raggiungibile al proprio indirizzo web a tempo indeterminato. Si tratta di una scelta relativa al servizio, che consente al destinatario di riaprire il report e di condividerlo. L'interessato può chiederne la rimozione in qualsiasi momento scrivendo a contact@martes-ai.com.
• Record di consenso (testo del consenso, indirizzo IP, user agent, data e ora): conservato come prova del consenso ai sensi dell'art. 7 GDPR per tutta la durata del trattamento e per il tempo successivo necessario a far valere o difendere un diritto in sede giudiziaria.
• Dati Google (calendario e fogli di calcolo scelti dal Cliente): conservati per la durata dell'integrazione attiva. In caso di disconnessione dell'account Google o cessazione del servizio, i dati sincronizzati vengono eliminati entro 30 giorni.
• Dati della piattaforma AudiTes: allegati, risposte e dati delle persone hanno i tempi indicati al punto 12.7.

8. Diritti dell'interessato

Ai sensi degli articoli 15-22 del GDPR, l'interessato ha diritto di:

• Accesso (art. 15): ottenere conferma dell'esistenza del trattamento e accedere ai propri dati
• Rettifica (art. 16): ottenere la correzione di dati inesatti o l'integrazione di dati incompleti
• Cancellazione (art. 17): ottenere la cancellazione dei dati, nei casi previsti dalla legge
• Limitazione (art. 18): ottenere la limitazione del trattamento
• Portabilità (art. 20): ricevere i dati in formato strutturato e trasmetterli a un altro titolare
• Opposizione (art. 21): opporsi al trattamento dei dati
• Revoca del consenso: revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca

Per esercitare i propri diritti, inviare una richiesta a contact@martes-ai.com. La risposta sarà fornita entro 30 giorni.

9. Cancellazione dei dati

L'utente può richiedere la cancellazione dei propri dati personali in qualsiasi momento. Per gli utenti del servizio Ambra (WhatsApp Business), la richiesta di cancellazione comporta l'eliminazione di:

• Numero di telefono e dati identificativi
• Storico delle conversazioni WhatsApp
• Metadati associati ai messaggi

Per richiedere la cancellazione dei dati, inviare una email a contact@martes-ai.com con oggetto "Richiesta cancellazione dati". La cancellazione sarà completata entro 30 giorni dalla ricezione della richiesta, salvo obblighi legali di conservazione.

Nota: la cancellazione dei dati potrebbe rendere impossibile la continuazione del servizio.

10. Diritto di reclamo

L'interessato che ritenga che il trattamento dei propri dati personali violi il GDPR ha il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it).

11. Conferimento dei dati

Il conferimento dei dati personali tramite il form di contatto è facoltativo. Tuttavia, il mancato conferimento dei dati contrassegnati come obbligatori potrebbe rendere impossibile la gestione della richiesta. Il conferimento dei dati nell'ambito del servizio Ambra è necessario per l'erogazione del servizio stesso.

12. Piattaforma AudiTes

Questo punto riguarda la piattaforma AudiTes di Martes AI, oggi all'indirizzo martes-auto-audit-web.martes-ai.workers.dev. Ci si entra con un link personale, che riceve chi è stato indicato da un'azienda che ha chiesto a Martes AI un audit dei propri processi di lavoro. La piattaforma fa una domanda alla volta sui lavori ripetitivi della persona: quali sono, quanto durano, quanto spesso si ripetono, come si svolgono e cosa fa perdere tempo.

Il Titolare del trattamento è Martes AI S.R.L., con i dati di contatto indicati al punto 1. Per tutto quello che questo punto non dice valgono gli altri punti dell'informativa, in particolare le misure di protezione (punto 6), i diritti (punto 8) e il reclamo (punto 10).

12.1 Quali dati trattiamo

• Nome e cognome, ruolo, reparto e, se lo abbiamo, l'indirizzo email.
• Le risposte alle domande sul proprio lavoro: i lavori svolti, i passaggi, i programmi usati, la durata e la frequenza stimate, cosa va storto o fa perdere tempo.
• Dei colleghi con cui la persona lavora: ruolo, reparto, il tipo di rapporto di lavoro e per cosa si sentono. Nome e cognome solo se la persona sceglie di indicarli.
• I file che la persona sceglie di allegare, che possono contenere dati di altre persone.
• Data e ora delle risposte e dei file caricati.
• I dati tecnici della connessione, come l'indirizzo IP e il tipo di browser, che il fornitore dell'infrastruttura tratta per far funzionare la piattaforma e proteggerla.

Nome, ruolo, reparto ed email ce li comunica l'azienda che ha richiesto l'audit. Tutto il resto lo scrive la persona che risponde, compresi i dati dei colleghi.

Dell'azienda usiamo anche il nome, il logo e una breve descrizione dell'attività e dei programmi che usa, così la piattaforma non chiede cose già note. Il logo compare in alto nella pagina ed è visibile solo alle persone invitate da quell'azienda.

Non chiediamo dati sanitari, opinioni politiche o religiose, appartenenza sindacale o altri dati delle categorie particolari dell'art. 9 GDPR, e chiediamo di non scriverli. Chiediamo anche di non inserire dati personali dei clienti (nomi, targhe, codici fiscali) se non servono e, negli allegati, di coprirli: basta un esempio con i dati coperti.

Questo punto vale anche come informativa per i colleghi nominati: i loro dati servono a capire come passa il lavoro tra persone e reparti, sono trattati per la stessa finalità, sono conservati per gli stessi tempi e danno gli stessi diritti (punti 12.3, 12.7 e 12.9).

12.2 Partecipazione

• Rispondere è facoltativo. Chi non partecipa, o si ferma a metà, non subisce alcuna conseguenza da parte di Martes AI.
• Le risposte servono a descrivere i processi di lavoro, non a valutare la persona che li racconta.
• Si può interrompere e riprendere dallo stesso link. Il link contiene un codice casuale ed è personale: chi lo ha può aprire le risposte, quindi non va inoltrato.

12.3 Finalità e base giuridica

Trattiamo i dati per mappare i processi di lavoro dell'azienda che ha richiesto l'audit e stimare il tempo che richiedono, allo scopo di preparare per quell'azienda una proposta di servizi.

La base giuridica è il legittimo interesse di Martes AI e dell'azienda richiedente a valutare e progettare i servizi che l'azienda ha chiesto (art. 6, par. 1, lett. f, GDPR).

12.4 Chi vede le risposte

L'azienda richiedente non ha accesso alla piattaforma. Le risposte, i tempi e i file di ogni persona li vede solo il personale autorizzato di Martes AI, da un'area riservata con accesso protetto.

All'azienda presentiamo i processi emersi e risultati aggregati per reparto o per processo. Non le consegniamo le risposte, i tempi o i file di una singola persona.

12.5 Intelligenza artificiale

Le domande della piattaforma sono generate da un sistema di intelligenza artificiale. Lo stesso sistema legge le risposte e gli allegati per formulare la domanda successiva e compilare la scheda di ogni lavoro.

Al sistema mandiamo il nome e la descrizione dell'azienda, il ruolo, le risposte e gli allegati. Non mandiamo nome, cognome ed email della persona, né i dati dei colleghi inseriti nella schermata dedicata. Il testo delle risposte però arriva così come è scritto: per questo chiediamo di non inserire dati di altre persone se non servono.

Dagli allegati il sistema estrae solo i fatti utili a descrivere il lavoro, con l'istruzione di non riportare nomi, targhe, codici fiscali e indirizzi. Quando mettiamo insieme i lavori raccontati da più persone della stessa azienda, al sistema mandiamo solo i nomi e le descrizioni dei lavori, senza le persone.

Le ore all'anno di ogni lavoro si calcolano con una formula fissa dalla durata e dalla frequenza indicate dalla persona. La piattaforma non dà valutazioni né punteggi alla persona, e né il sistema né Martes AI prendono decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici sulla persona o che incidano in modo analogo significativamente su di lei (art. 22 GDPR).

Il modello è raggiunto tramite OpenRouter (punto 12.6). Ogni richiesta ammette solo fornitori che non conservano i dati inviati (zero data retention) e che non li raccolgono per altri scopi, come l'addestramento dei modelli. Martes AI non usa questi dati per addestrare modelli di intelligenza artificiale.

12.6 A chi comunichiamo i dati

I dati sono trattati per conto di Martes AI, come responsabili del trattamento, da:

• Cloudflare, Inc., per l'infrastruttura su cui gira la piattaforma, il database e l'archivio dei file, entrambi creati in giurisdizione UE: i dati restano archiviati nell'Unione Europea
• OpenRouter, Inc. (Stati Uniti) e il fornitore che esegue il modello, scelto da OpenRouter tra quelli senza conservazione dei dati (oggi il modello usato è di OpenAI), per l'elaborazione con intelligenza artificiale descritta al punto 12.5. Queste richieste possono essere elaborate negli Stati Uniti
• Resend, Inc. (Stati Uniti), che si avvale di Amazon SES, per l'invio delle email. Se la persona chiede di farsi rimandare il link, Resend riceve nome, email e link personale. A fine audit invia a Martes AI un avviso con nome, ruolo e azienda della persona, il numero di lavori, le ore all'anno stimate e i nomi dei tre lavori più pesanti

Per i trasferimenti verso gli Stati Uniti vale quanto indicato al punto 5: Data Privacy Framework UE-USA (art. 45 GDPR) per i fornitori che vi aderiscono e, in mancanza, Clausole Contrattuali Tipo adottate dalla Commissione Europea (art. 46, par. 2, lett. c, GDPR). Per informazioni sulle garanzie adottate si può scrivere a contact@martes-ai.com.

12.7 Per quanto tempo

• Allegati: cancellati 90 giorni dopo l'ultima attività sull'audit (l'ultima risposta o l'ultimo file caricato), che l'audit sia finito o no. Un file che la persona toglie si cancella di norma la notte successiva.
• Persone, risposte e schede dei lavori: cancellate 24 mesi dopo l'ultima attività sull'audit, che l'audit sia finito o no.
• Se l'azienda richiedente diventa cliente di Martes AI: risposte e schede dei lavori restano per la durata del rapporto contrattuale. Alla sua conclusione si cancellano, oppure allo scadere dei 24 mesi dall'ultima attività se questo termine viene dopo.

12.8 Cookie e memoria del browser

La piattaforma usa un solo cookie, tecnico: sessione, che permette di riprendere l'audit dal punto in cui lo si è lasciato. Dura 30 giorni.

Nella memoria del browser salva la scelta tra tema chiaro e scuro (auto-audit:tema, finché non la si cancella) e, solo finché la scheda resta aperta, il testo di una risposta non ancora inviata (auto-audit:bozza:*).

Non usa cookie di analisi o di profilazione e non carica risorse da altri siti. Per questo non chiede il consenso. Il dettaglio è anche nella Cookie Policy.

12.9 Diritti

Chi risponde, e ogni collega nominato, può chiedere l'accesso ai propri dati, la rettifica, la cancellazione e la limitazione del trattamento, scrivendo a contact@martes-ai.com.

Diritto di opposizione. Ciascuno può opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, al trattamento basato sul legittimo interesse (art. 21 GDPR), scrivendo allo stesso indirizzo.

Resta il diritto di proporre reclamo al Garante per la protezione dei dati personali (punto 10).

13. Aggiornamenti

La presente Privacy Policy può essere aggiornata per riflettere modifiche normative o variazioni nei servizi offerti. La data dell'ultimo aggiornamento è indicata in cima alla pagina.