Informativa sulla privacy

OmniMessage è un gateway di messaggistica offerto con il marchio GridStudio e fornito da la società del gruppo GridStudio indicata nella vostra fattura (noi, ci). La presente informativa spiega come trattiamo i dati personali in relazione al sito web, alla console e all’API di OmniMessage.

Agiamo in due ruoli diversi, e la differenza è rilevante per i vostri diritti:

• In qualità di titolare del trattamento, decidiamo come e perché i dati personali vengono utilizzati quando gestiamo la nostra attività: i dati delle persone che visitano il sito web, creano un account, sono membri di un account, ci pagano o ci scrivono. Le sezioni da 2 a 9 descrivono tale trattamento.
• In qualità di responsabile del trattamento, trattiamo i messaggi che i nostri clienti inviano e ricevono, e gli identificativi delle persone con cui essi comunicano, soltanto su istruzione del cliente. Il cliente è il titolare del trattamento di tali dati. La sezione 4 descrive tale trattamento.

• Dati dell’account: il vostro nome, l’indirizzo email, la password (conservata unicamente come hash), il nome del vostro spazio di lavoro e della vostra azienda, il vostro paese, il vostro ruolo nell’account e la lingua dell’interfaccia.
• Dati di accesso provenienti da Google, Apple o Facebook, solo se scegliete di accedere con uno di essi: l’identificativo che tale fornitore vi assegna per il nostro servizio, il vostro nome, il vostro indirizzo email e l’indicazione se il fornitore lo ha verificato. Apple può fornirci un indirizzo di inoltro privato al posto del vostro. Non riceviamo la vostra password presso tale fornitore, i vostri contatti né nulla di ciò che pubblicate, e non conserviamo i token di accesso del fornitore.
• Dati di fatturazione: il vostro indirizzo email di fatturazione, lo storico dei pagamenti, i numeri delle fatture e le ricevute, nonché gli identificativi che il nostro fornitore di servizi di pagamento ci comunica per la vostra scheda cliente e i vostri pagamenti. I dati della carta vengono inseriti nelle pagine del fornitore di servizi di pagamento; non riceviamo né conserviamo i numeri completi delle carte.
• Dati di utilizzo e di sicurezza: l’indirizzo IP e il tipo di browser delle vostre sessioni, gli orari di accesso, il momento dell’ultimo utilizzo di una chiave API, le registrazioni dei tentativi di accesso non riusciti e un registro di audit delle azioni compiute dai membri nell’account.
• Dati tecnici: i cookie e gli strumenti di memorizzazione analoghi descritti nell’Informativa sui cookie, e le informazioni che un browser invia con ogni richiesta.
• Corrispondenza: ciò che ci inviate quando chiedete assistenza o informazioni commerciali.

Riceviamo tali dati da voi, dagli altri membri del vostro account, ad esempio quando uno di essi vi invita, e dal nostro fornitore di servizi di pagamento.

• Per fornire il servizio: creare e proteggere il vostro account, autenticare le richieste, elaborare i pagamenti, mostrare saldi e utilizzo, inviare email di servizio quali link di verifica, avvisi di saldo basso e ricevute, e prestare assistenza. La base giuridica è il nostro contratto con voi o con l’organizzazione di cui fate parte.
• Per mantenere il servizio sicuro e funzionante: prevenire frodi e abusi, applicare i limiti di frequenza, indagare sugli incidenti, tenere registrazioni di audit e migliorare l’affidabilità. La base giuridica è il nostro legittimo interesse a gestire un servizio sicuro.
• Per adempiere obblighi di legge: tenere le scritture contabili e fiscali e rispondere alle richieste legittime delle autorità.

Non vendiamo dati personali, non li utilizziamo a fini pubblicitari e non adottiamo nei vostri confronti decisioni con mezzi automatizzati che producano effetti giuridici o effetti analogamente significativi.

Il sito web e la console non utilizzano strumenti di tracciamento a fini di analisi o di pubblicità.

Quando un cliente invia o riceve messaggi tramite OmniMessage, trattiamo per conto del cliente: il contenuto dei messaggi, compresi gli eventuali contenuti multimediali a cui rinviano; gli identificativi di mittenti e destinatari, quali numeri di telefono, ID delle chat e ID utente delle piattaforme; gli stati di consegna e di lettura; i riferimenti e i metadati allegati dal cliente; e gli eventi webhook che trasmettono tali informazioni al cliente.

Utilizziamo tali dati soltanto per consegnare e ricevere i messaggi, per comunicarne lo stato, per fatturare al cliente, per mantenere sicuro il servizio e per rispettare la legge. Le condizioni sono stabilite nell’Addendum sul trattamento dei dati.

Le credenziali, i token di accesso e i codici di autorizzazione che un cliente utilizza per collegare un canale vengono inoltrati alla nostra piattaforma di consegna e non vengono conservati né registrati nei log dal gateway.

Se avete ricevuto un messaggio da un’azienda che utilizza OmniMessage e desiderate sapere come vengono utilizzati i vostri dati, non ricevere più messaggi o esercitare i vostri diritti, vi invitiamo a contattare tale azienda. Se contattate noi, trasmettiamo la vostra richiesta al cliente interessato, ove siamo in grado di individuarlo.

Condividiamo i dati personali soltanto con le seguenti categorie di destinatari, e soltanto nella misura in cui ciascuno ne ha bisogno:

• Elaborazione dei pagamenti: Stripe, che elabora i pagamenti con carta ed emette le ricevute.
• Hosting e infrastruttura: i fornitori che ospitano i nostri server, i nostri database e i nostri backup.
• Invio delle email: il fornitore che invia le nostre email di servizio.
• Fornitori di accesso: Google, Apple o Meta (Facebook), solo se scegliete di accedere con uno di essi. Il fornitore viene a sapere che avete effettuato l’accesso a OmniMessage e quando, e agisce in base alle proprie condizioni e alla propria informativa sulla privacy.
• Reti di messaggistica: i fornitori dei canali collegati da un cliente, quali Meta per WhatsApp, Messenger e Instagram, Telegram, TikTok, Twilio e altri fornitori di SMS e operatori di telefonia mobile. Essi ricevono i messaggi inviati dal cliente e agiscono in base alle proprie condizioni e informative sulla privacy.
• Società del gruppo GridStudio che gestiscono la piattaforma di consegna e prestano supporto al servizio.
• Consulenti e autorità: consulenti professionali, nonché organi giurisdizionali, autorità di regolamentazione o autorità di contrasto, quando lo richiede la legge o quando è necessario per accertare o difendere un diritto in sede giudiziaria.

In caso di riorganizzazione o cessione dell’attività, i dati personali possono passare al successore, che resta vincolato dalla presente informativa.

La messaggistica è internazionale per sua natura, e alcuni dei destinatari sopra elencati si trovano al di fuori del paese in cui vivete. Quando la legge limita i trasferimenti di dati personali verso un altro paese, ci avvaliamo di un meccanismo da essa riconosciuto, quale una decisione di adeguatezza o clausole contrattuali tipo approvate dall’autorità competente, unitamente a garanzie supplementari ove necessarie. Potete chiederci maggiori dettagli all’indirizzo support@omnimessage.co.

Conserviamo i dati personali per il tempo necessario alle finalità sopra descritte, dopodiché li cancelliamo o li rendiamo anonimi:

• I dati dell’account sono conservati finché l’account è aperto e, successivamente, per il tempo necessario a chiudere correttamente l’account e a gestire eventuali pretese.
• Il collegamento tra il vostro account e un accesso con Google, Apple o Facebook viene conservato finché non lo scollegate nelle impostazioni, finché non chiedete al fornitore di interromperlo (Apple e Facebook ci chiedono quindi di rimuoverlo) o fino alla chiusura dell’account.
• Le registrazioni di fatturazione e contabili sono conservate per il periodo richiesto dalle leggi fiscali e contabili.
• Le registrazioni dei messaggi e la cronologia delle consegne che trattiamo per i clienti sono conservate finché l’account del cliente è aperto, affinché il registro dei messaggi e i report di utilizzo funzionino, a meno che il cliente ne chieda la cancellazione anticipata.
• Le registrazioni di sicurezza e di audit sono conservate per il tempo necessario a indagare sugli incidenti e a dimostrare come è stato utilizzato l’account.
• Una sessione di accesso termina quando uscite e scade dopo 30 giorni di inutilizzo. Le chiavi di idempotenza inviate con le richieste API sono conservate per 24 ore.

Le misure che applichiamo comprendono:

• la cifratura dei dati in transito mediante TLS;
• la conservazione delle password unicamente come hash con salt generati con Argon2id, e dei token di sessione e delle chiavi API unicamente come hash;
• la cifratura a riposo, con AES-256-GCM, di segreti quali i segreti di firma dei webhook e le chiavi che collegano un account alla piattaforma di consegna;
• la trasmissione delle credenziali e dei token dei canali alla piattaforma di consegna senza che il gateway li conservi o li registri nei log;
• l’accesso basato sui ruoli all’interno di un account, chiavi API limitate per ambito e per indirizzo IP, limiti di frequenza e blocco temporaneo dopo ripetuti tentativi di accesso non riusciti;
• un registro di audit delle azioni amministrative e delle azioni rilevanti ai fini della fatturazione;
• webhook firmati e controlli che impediscono agli indirizzi dei webhook di puntare a reti private.

Nessun sistema è perfettamente sicuro. Se una violazione dei dati personali vi riguarda, ne informiamo voi e le autorità competenti come richiesto dalla legge.

A seconda del luogo in cui vivete, la normativa in materia di protezione dei dati vi riconosce diritti sui dati personali che deteniamo in qualità di titolare del trattamento. Ai sensi del regolamento generale sulla protezione dei dati dell’UE e del Regno Unito, della legge turca sulla protezione dei dati personali (KVKK), della legge sulla protezione dei dati personali degli Emirati Arabi Uniti e di leggi analoghe, essi comprendono in genere il diritto di:

• sapere se trattiamo i vostri dati personali e ottenerne una copia;
• ottenere la rettifica dei dati inesatti o incompleti;
• ottenere la cancellazione dei dati quando non abbiamo più motivo di conservarli;
• limitare il trattamento od opporvi ad esso, in particolare al trattamento fondato sui nostri legittimi interessi;
• ricevere in un formato portabile i dati che ci avete fornito, o farli trasmettere a un altro fornitore;
• proporre reclamo all’autorità per la protezione dei dati del paese in cui vivete o lavorate.

Per esercitare un diritto, scrivete a support@omnimessage.co. Prima di procedere potremmo dover verificare la vostra identità. I membri di un account possono correggere autonomamente nella console la maggior parte dei dati dell’account.

Quando trattiamo i vostri dati per conto di un cliente, vi invitiamo a rivolgere la vostra richiesta a tale cliente, come spiegato alla sezione 4.

Il servizio è destinato alle imprese. Non è rivolto ai minori, e non raccogliamo consapevolmente, in qualità di titolare del trattamento, dati personali di persone di età inferiore a 18 anni.

Aggiorniamo la presente informativa quando le nostre prassi cambiano. La data in alto indica la versione più recente, e informiamo via email i proprietari degli account quando una modifica è significativa.

Il titolare del trattamento è la società del gruppo GridStudio indicata nella vostra fattura. Per domande e richieste in materia di privacy, scrivete a support@omnimessage.co.

Il nostro indirizzo postale è riportato nelle vostre fatture ed è disponibile su richiesta.