Informativa sulla Privacy

1. Titolare del Trattamento

Il Titolare del trattamento dei dati personali è:
BOSIO GROUP SRL
Via Carlo Bossi 20, 26020 San Bassano (CR)
P.IVA: 01818540195
PEC: bosiogroupsrl@pec.it
Email: info@cantiericloud.com

2. Ruoli: quando siamo Titolare e quando Responsabile

CantieriCloud è un software gestionale utilizzato da imprese. Per questo BOSIO GROUP SRL opera con due ruoli distinti:

• Titolare del trattamento per i dati dei propri clienti diretti: dati di registrazione dell'account, dati di fatturazione e abbonamento, dati di utilizzo della piattaforma e comunicazioni.
• Responsabile del trattamento (art. 28 GDPR) per i dati che l'impresa cliente inserisce nella piattaforma nell'ambito della propria attività: dati dei propri dipendenti e collaboratori (operai), dei propri clienti finali, dei fornitori, timbrature e rilevazioni di presenza. Per questi dati il Titolare è l'impresa cliente; BOSIO GROUP SRL li tratta esclusivamente per suo conto, secondo l'accordo sul trattamento dei dati (DPA) che costituisce parte integrante delle Condizioni Generali.

3. Dati Raccolti

CantieriCloud raccoglie le seguenti categorie di dati personali:

• Dati di registrazione: nome, cognome, email, password (criptata), ragione sociale, partita IVA, codice fiscale
• Dati di contatto: indirizzo, telefono, PEC, codice SDI
• Dati di utilizzo: log di accesso, azioni effettuate nella piattaforma, preferenze utente
• Dati di pagamento: gestiti direttamente da Stripe (non conserviamo dati delle carte di credito)
• Dati dei cantieri: informazioni sui cantieri, clienti, operai, preventivi, foto e documenti caricati
• Dati di geolocalizzazione (timbratura in cantiere): se l'impresa cliente attiva la timbratura con verifica di presenza, la posizione GPS del dispositivo del lavoratore viene rilevata esclusivamente al momento della timbratura di entrata/uscita e degli eventi di verifica del perimetro di cantiere — non in modo continuativo né al di fuori dell'orario di lavoro. Le coordinate sono conservate per 90 giorni e poi cancellate automaticamente (restano gli orari di presenza, senza posizione).
• Registrazioni audio (rapportini vocali): se il lavoratore registra un rapportino vocale, il file audio viene trascritto automaticamente e conservato per un massimo di 30 giorni, poi cancellato. Resta il testo del rapportino, modificabile dall'utente.
• Conversazioni con l'assistente AI: i messaggi scambiati con l'assistente sono conservati per consentire la continuità delle conversazioni, per un massimo di 24 mesi.

4. Finalità del Trattamento

I dati personali sono trattati per le seguenti finalità:

• Erogazione del servizio: gestione dell'account, accesso alla piattaforma, funzionalità del gestionale
• Comunicazioni di servizio: notifiche tecniche, aggiornamenti, assistenza clienti
• Fatturazione: gestione degli abbonamenti e dei pagamenti
• Miglioramento del servizio: analisi anonime per ottimizzare l'esperienza utente
• Adempimenti legali: obblighi fiscali e normativi

5. Base Giuridica del Trattamento

Il trattamento dei dati si basa su:

• Esecuzione del contratto: Art. 6(1)(b) GDPR — per l'erogazione del servizio richiesto
• Consenso: Art. 6(1)(a) GDPR — per comunicazioni marketing (opzionale)
• Legittimo interesse: Art. 6(1)(f) GDPR — per analisi e miglioramento del servizio
• Obbligo legale: Art. 6(1)(c) GDPR — per adempimenti fiscali e normativi

Per i dati trattati per conto delle imprese clienti (es. dati dei lavoratori), la base giuridica è individuata dall'impresa cliente in qualità di Titolare.

6. Conservazione dei Dati

I dati personali sono conservati per:

• Dati dell'account: per tutta la durata del rapporto contrattuale; i dati di fatturazione per i successivi 10 anni (obblighi fiscali)
• Dati dei cantieri: per tutta la durata dell'abbonamento; eliminati alla cancellazione dell'account (le copie di backup vengono sovrascritte entro 30 giorni)
• Coordinate GPS delle timbrature: 90 giorni, poi cancellazione automatica
• Registrazioni audio dei rapportini vocali: 30 giorni, poi cancellazione automatica
• Conversazioni con l'assistente AI: 24 mesi
• Log di accesso e registri di attività: 12 mesi
• Dati di fatturazione: 10 anni come previsto dalla normativa fiscale

7. Destinatari e Sub-fornitori

Per erogare il servizio ci avvaliamo dei seguenti fornitori (sub-responsabili ex art. 28 GDPR per i dati trattati per conto delle imprese clienti):

• Supabase: database, storage file e autenticazione — dati ospitati a Zurigo (Svizzera, paese con decisione di adeguatezza UE)
• Vercel: hosting dell'applicazione web (USA)
• Stripe: elaborazione dei pagamenti (USA)
• Resend: invio email transazionali (USA)
• Anthropic: assistente AI conversazionale e funzioni di supporto (USA). Le richieste possono includere dati presenti nel gestionale (es. nomi di clienti e cantieri) necessari a rispondere; in base alle condizioni commerciali del fornitore, i dati inviati tramite API non vengono utilizzati per addestrare i modelli
• Google: lettura automatica di documenti (DDT, computi metrici) tramite modelli Gemini; sincronizzazione Google Calendar se attivata dall'utente; Google Analytics 4 sul sito, previo consenso cookie (USA)
• OpenAI: trascrizione dei rapportini vocali e strutturazione del testo (USA). Anche in questo caso i dati inviati tramite API non vengono utilizzati per l'addestramento dei modelli
• FAL.ai: generazione di render fotorealistici a partire da foto caricate dall'utente (USA)
• FiscoAPI: elaborazione delle fatture elettroniche (Italia)
• TeamSystem — Fatture in Cloud: integrazione di fatturazione elettronica, se collegata dall'utente (Italia)
• Brevo: gestione contatti e comunicazioni (UE)
• Cal.com: prenotazione degli appuntamenti per la demo tramite il calendario integrato nel sito — istanza europea, con dati ospitati nell'UE. Tratta nome, email, data e ora dell'appuntamento e fuso orario, sulla base dell'esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6(1)(b) GDPR)
• Sentry: monitoraggio errori tecnici — regione dati Germania, con mascheramento dei contenuti
• OpenStreetMap (Nominatim): ricerca indirizzi e geocodifica dei cantieri (UE)
• Meta Platforms: Meta Pixel e Meta Conversions API per misurare l'efficacia delle campagne pubblicitarie sul sito (previo consenso esplicito tramite banner cookie). Oltre al pixel nel browser (cookie _fbp e _fbc), inviamo a Meta eventi di conversione anche dai nostri server: in tal caso email e telefono eventualmente forniti nei moduli sono trasmessi esclusivamente in forma pseudonimizzata (hash SHA-256), insieme a indirizzo IP e user agent, al solo fine della misurazione delle conversioni e con deduplica degli eventi

L'elenco aggiornato dei sub-fornitori è disponibile su richiesta a privacy@cantiericloud.com. Non vendiamo né cediamo a terzi i tuoi dati personali per finalità di marketing.

8. Trasferimento Dati Extra-UE

Il database e i file sono ospitati a Zurigo (Svizzera), paese riconosciuto adeguato dalla Commissione Europea. Alcuni fornitori (Stripe, Vercel, Resend, Anthropic, Google, OpenAI, FAL.ai) hanno sede negli Stati Uniti: il trasferimento avviene in conformità al Data Privacy Framework EU-USA e/o alle Clausole Contrattuali Standard approvate dalla Commissione Europea.

9. Funzionalità di Intelligenza Artificiale

CantieriCloud integra funzionalità basate su intelligenza artificiale: assistente conversazionale, supporto alla creazione di preventivi, lettura automatica di documenti (DDT, fatture, computi metrici), trascrizione dei rapportini vocali e generazione di render. I contenuti generati o estratti dall'AI sono sempre presentati come tali e restano soggetti alla revisione e conferma dell'utente: nessuna decisione viene presa in modo automatizzato. CantieriCloud non utilizza sistemi di IA per valutare, monitorare o classificare i lavoratori. Maggiori dettagli su quali funzioni usano l'AI, quali fornitori sono coinvolti e quali dati vengono inviati sono disponibili nella pagina Trasparenza AI.

10. Dati dei Lavoratori delle Imprese Clienti

Se sei un lavoratore di un'impresa che utilizza CantieriCloud, il Titolare del trattamento dei tuoi dati (anagrafica, presenze, timbrature, rapportini) è il tuo datore di lavoro; BOSIO GROUP SRL li tratta per suo conto come Responsabile. In particolare, per la timbratura con verifica di presenza GPS:

• la posizione è rilevata solo al momento della timbratura e degli eventi di verifica del perimetro di cantiere, mai in modo continuativo;
• le coordinate sono cancellate automaticamente dopo 90 giorni;
• l'attivazione della funzione e gli adempimenti previsti dall'art. 4 dello Statuto dei Lavoratori (informativa ai lavoratori e, ove richiesto, accordo sindacale o autorizzazione dell'Ispettorato del Lavoro) sono responsabilità del datore di lavoro.

Per esercitare i tuoi diritti su questi dati puoi rivolgerti al tuo datore di lavoro; puoi comunque contattarci a privacy@cantiericloud.com e inoltreremo la richiesta al Titolare.

11. Cookie e Tracciamento

Il sito utilizza tre categorie di cookie:

• Cookie tecnici (necessari): indispensabili per il funzionamento del sito (autenticazione, preferenze, sicurezza). Non richiedono consenso.
• Cookie analitici: Google Analytics 4 per analisi aggregate del traffico con IP anonimizzato. Caricati solo previo consenso esplicito tramite banner cookie.
• Cookie di marketing: Meta Pixel (cookie _fbp, _fbc) per misurare l'efficacia delle campagne pubblicitarie, anche tramite invio server-side (Conversions API). Caricato solo previo consenso esplicito tramite banner cookie.

Al primo accesso compare un banner che ti permette di accettare, rifiutare o personalizzare le categorie di cookie. Puoi modificare le tue preferenze in qualsiasi momento cliccando il bottone qui sotto o la voce Preferenze cookie nel footer del sito.

Modifica preferenze cookie

12. I Tuoi Diritti

Ai sensi del GDPR, hai diritto a:

• Accesso: ottenere conferma del trattamento e copia dei tuoi dati
• Rettifica: correggere dati inesatti o incompleti
• Cancellazione: richiedere la cancellazione dei tuoi dati ("diritto all'oblio")
• Limitazione: limitare il trattamento in determinate circostanze
• Portabilità: ricevere i tuoi dati in formato strutturato
• Opposizione: opporti al trattamento per motivi legittimi
• Revoca del consenso: ritirare il consenso in qualsiasi momento

Dalla piattaforma puoi esercitare direttamente due di questi diritti in autonomia: in Impostazioni → Sicurezza trovi "Scarica i miei dati" (esportazione completa in formato JSON) ed "Elimina account" (cancellazione definitiva di tutti i dati). Per gli altri diritti, contattaci a: privacy@cantiericloud.com

13. Sicurezza

Adottiamo misure tecniche e organizzative appropriate per proteggere i tuoi dati:

• Crittografia SSL/TLS per tutte le comunicazioni
• Password hashate con algoritmi sicuri
• Autenticazione a due fattori disponibile
• Backup regolari e crittografati
• Accesso ai dati limitato al personale autorizzato e registrato
• Row Level Security (RLS) per isolamento dei dati tra organizzazioni

14. Reclami

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali:
www.garanteprivacy.it

15. Modifiche alla Privacy Policy

Ci riserviamo il diritto di modificare questa informativa. Le modifiche saranno pubblicate su questa pagina con indicazione della data di aggiornamento. Per modifiche sostanziali, invieremo una notifica via email.