Informativa sulla privacy

Articolo 1. Chi siamo e come contattarci

Per tutto ciò che riguarda i Suoi dati — accesso, rettifica, cancellazione, o una domanda su questa informativa — scriva a info@nermio.com. Non abbiamo un responsabile della protezione dei dati: non rientriamo in nessuno dei casi dell’articolo 37, paragrafo 1 del GDPR, e il Codice Privacy non aggiunge per un fornitore privato alcun obbligo ulteriore di designazione.

Articolo 2. Di chi e di che cosa parla questa informativa

Parla di chi visita nermio.com, di chi chiede una chiamata o ci scrive, delle aziende a cui ci rivolgiamo per far conoscere Nermio, e di chi usa un account Nermio.

Una distinzione comanda su tutto il resto del testo, quindi viene prima. Nermio tocca i dati personali in due modi.

• Il Suo account e il Suo abbonamento. Il Suo nome, il Suo indirizzo e-mail, l’organizzazione che ha creato e quello che sottoscrive con noi. Qui è Nermio a decidere che cosa succede a quei dati, e vale questa informativa.
• Quello che Lei mette dentro Nermio. Le Sue aziende, i contatti, le opportunità, le attività e le note. Sono i Suoi dati sulle Sue relazioni; decide Lei che cosa registra e perché, e Nermio li tratta soltanto per far funzionare il programma. Lì non vale questa informativa ma il contratto di responsabile del trattamento.

Un dettaglio del secondo punto, perché in Italia si legge male con facilità. Trattare i dati di contatto professionali delle persone che lavorano in un’azienda — nome, ruolo, telefono di lavoro, indirizzo e-mail aziendale — è esattamente ciò per cui serve un CRM, e di norma si appoggia all’interesse legittimo dell’articolo 6, paragrafo 1, lettera f) del GDPR. Il diritto italiano non contiene però alcuna presunzione a Suo favore su questo punto: il bilanciamento fra il Suo interesse e quello della persona interessata va fatto caso per caso, come nei Paesi Bassi e a differenza della Spagna, che una presunzione di legge la ha.

E due limiti. La base dell’interesse legittimo non copre un dato che non serve a raggiungere qualcuno sul lavoro — un cellulare privato, una nota sulla persona e non sulla sua funzione. E non dice nulla sull’inviare pubblicità: quello è retto dall’articolo 130 del Codice Privacy, e in Italia è consenso preventivo. Lo trova nell’articolo seguente.

Articolo 3. Quali dati trattiamo, per quale scopo e su quale base

Quello che non facciamo: vendere i Suoi dati, cederli a terzi per finalità pubblicitarie, o usarli per addestrare modelli.

Articolo 4. L’intelligenza artificiale con la Sua chiave

L’intelligenza artificiale è spenta finché non fa qualcosa per accenderla. Un titolare o un manager può collegare una chiave API propria di OpenAI, Anthropic, Mistral o Google. Solo allora qualcuno del Suo team può chiedere, su una scheda azienda, una di tre cose: un riassunto, una proposta di prossimo passo, o una bozza di e-mail.

• Non esce nulla verso il Suo fornitore senza che qualcuno prema uno di quei pulsanti. Non c’è nessun processo che scorra le schede per conto proprio.
• Quello che esce non è la scheda intera ma una selezione fissa di campi, costruita da una sola funzione. Un campo nuovo nella banca dati non viaggia quindi in silenzio.
• La risposta appare sul Suo schermo e non viene conservata presso di noi. Nel registro di controllo resta CHE c’è stata un’azione e con quale fornitore, non che cosa conteneva.
• La Sua chiave è conservata cifrata (AES-GCM, con un segreto che vive fuori dalla banca dati). Un dump della banca dati senza quel segreto non serve a nulla, e le schermate non possono nemmeno chiedere il valore cifrato.

Il trattamento che quel fornitore di intelligenza artificiale effettua è retto da quello che Lei ha concordato con lui, e l’uso lo paga direttamente a lui. Non è quindi un fornitore che mettiamo noi a lavorare per Lei.

Articolo 5. Inviare e-mail, e inviare e-mail a Nermio

La posta che esce da Nermio esce dal Suo indirizzo e non dal nostro. Per questo collega la Sua casella: con i dati del server, oppure con un pulsante su Google o Microsoft. Questi due funzionano con un’autorizzazione che dà presso il Suo fornitore e che può ritirare in qualsiasi momento.

• Chiediamo il permesso solo di inviare. Su Google è esclusivamente il permesso gmail.send, su Microsoft Mail.Send. Leggere, cercare, etichettare o cancellare la Sua posta non si può — non chiediamo quei permessi e, senza quell’autorizzazione, il programma non potrebbe comunque.
• Quello che conserviamo è il token di aggiornamento che ci permette di inviare, cifrato (AES-GCM, con un segreto che vive fuori dalla banca dati), più l’indirizzo e-mail stesso, perché Lei veda sullo schermo da quale indirizzo sta inviando. Nient’altro.
• Del contenuto di quello che invia non conserviamo nulla. Un messaggio inviato va diretto al Suo fornitore; presso di noi non resta nessuna copia. Nel registro di controllo resta CHE è stato inviato qualcosa e a quale indirizzo, non che cosa conteneva. Se invia da una scheda azienda, l’oggetto e le prime due frasi passano nella cronologia di quell’azienda — è una nota di CRM che crea Lei, e sta nel Suo ambiente.
• Non esce nulla senza che qualcuno prema un pulsante di invio. Non c’è nessun processo che mandi e-mail per conto proprio.
• Ritirarlo presso di noi è un clic in Impostazioni → E-mail, oppure presso il Suo fornitore: su Google, in Sicurezza → Le tue connessioni ad app di terze parti; su Microsoft, nei permessi delle app del Suo account. Dopo di che Nermio non può più inviare nulla da quell’indirizzo.

Uso limitato dei dati Google. L’uso dei dati che riceviamo tramite le API di Google, e il loro trasferimento, rispetta la Google API Services User Data Policy, compresi i suoi requisiti di uso limitato. Usiamo quei dati soltanto per far funzionare la funzione e-mail che ha attivato Lei. Non li vendiamo, non li usiamo per finalità pubblicitarie e non li cediamo a terzi — salvo dove la legge lo imponga. E non li facciamo leggere da persone, salvo che lo chieda Lei stesso all’assistenza, che la legge lo imponga, o per indagare su un incidente di sicurezza.

Mandare posta a Nermio in Ccn

La Sua organizzazione ha un proprio indirizzo di Ccn. Se lo mette in copia conoscenza nascosta di una e-mail a un cliente, quel messaggio arriva anche a noi e lasciamo una nota nella cronologia di quell’azienda. Non è attivo per impostazione predefinita, nel senso che non succede nulla finché non usa l’indirizzo: sceglie messaggio per messaggio.

• Non leggiamo la Sua casella. È costruito così di proposito. La possibilità tecnica esiste — Google e Microsoft vendono l’accesso a una casella intera — e non chiediamo quel permesso. Quello che vediamo è quello che ci passa Lei, messaggio per messaggio.
• Di uno di quei messaggi conserviamo: l’oggetto, le prime due frasi del testo, l’indirizzo e-mail del mittente e quelli dei destinatari, e l’ora. Non il testo completo, e nessun allegato. Il messaggio intero è nella Sua cartella della posta inviata; quello è il suo posto.
• L’indirizzo e-mail del Suo interlocutore è un dato personale di un terzo. Finisce nel Suo CRM, dove il titolare del trattamento è Lei — esattamente come per un contatto che inserisce a mano. Lì noi siamo responsabili del trattamento; che cosa significhi sta nel contratto di responsabile del trattamento.
• Se non riconosciamo l’indirizzo del destinatario, non sappiamo a quale azienda appartiene. Uno di quei messaggi compare allora nella Sua schermata iniziale con la domanda su dove collocarlo, e scompare dopo novanta giorni se non risponde. Non indoviniamo: una nota appesa all’azienda sbagliata non si toglie più.
• Funziona solo da un indirizzo che appartiene alla Sua organizzazione, e solo se il fornitore del mittente ha confermato tramite DKIM o DMARC che quell’indirizzo è autentico. Se scrive un’altra persona a quell’indirizzo, non succede nulla.
• Un messaggio respinto lascia una traccia, e nient’altro. Se arriva un messaggio da un indirizzo che non appartiene alla Sua organizzazione, non lo accettiamo — ma conserviamo CHE è avvenuto: l’indirizzo del mittente, quante volte, e la prima e l’ultima data. Senza oggetto, senza testo, senza destinatari. Altrimenti vedrebbe quei messaggi sparire senza poter scoprire perché, ed è precisamente quello che non vogliamo. Novanta giorni senza un nuovo tentativo e quella riga se ne va.
• Per fermarlo, smetta di usare l’indirizzo. Non c’è nulla da ritirare né alcuna autorizzazione che resti in piedi. Quello che è già in una cronologia si toglie cancellando l’azienda o la Sua organizzazione.

Tecnicamente quel messaggio passa per un gruppo del nostro Google Workspace verso il nostro fornitore di posta. Quel gruppo non conserva lo storico delle conversazioni: passa il messaggio e non si tiene nulla.

Articolo 6. Per quanto tempo conserviamo i dati

Finché il Suo account esiste, conserviamo quello che ci ha messo dentro; altrimenti il programma non funzionerebbe. Se cancella qualcosa in Nermio, se ne va dal Suo ambiente.

Non conserviamo nulla più a lungo del necessario, e ogni tipo di dato ha il suo termine. La cancellazione automatica è costruita e gira ogni notte; non è un’intenzione ma una cosa che accade.

Ci sono due idee che si confondono spesso, e la differenza comanda su tutta questa tabella. Per le fatture c’è un obbligo di conservazione: dobbiamo tenerle almeno sette anni. Per i dati personali c’è un limite di conservazione: possiamo tenerli al massimo per il tempo necessario. Tenerli più a lungo non è prudenza ma una violazione, e in caso di violazione dei dati semplicemente più danno.

Che cosa succede quando smette, e che cosa ancora non succede

Finché la Sua organizzazione è attiva o il Suo periodo di prova è in corso, può portarsi via i Suoi dati da solo in CSV (Impostazioni → I tuoi dati). Se la prova finisce, o se mette in pausa o disdice l’abbonamento, il programma chiude l’accesso per modificare, ma l’esportazione continua a funzionare per altri trenta giorni — quella finestra è imposta nella banca dati stessa e non solo nelle schermate. Se un’organizzazione è bloccata non si applica, e i Suoi dati Le vengono consegnati se li chiede. Dopo, i Suoi dati restano dove sono: non c’è nessuna cancellazione automatica che li rimuova alla fine. La cancellazione definitiva la facciamo a mano, quando lo chiede o quando il Suo abbonamento arriva al termine, e resta registrata.

Articolo 7. Con chi condividiamo i dati

Nermio non gira su server propri. Questi fornitori trattano dati perché il programma non funziona senza di loro. Oltre a questo non condividiamo nulla, salvo che la legge ci obblighi.

Se un’organizzazione collega una propria chiave di intelligenza artificiale, una di quelle azioni manda qualcosa anche a quel fornitore. È un fornitore del cliente, non nostro; veda l’articolo 4.

Articolo 8. Dati fuori dallo Spazio economico europeo

Se dei dati escono verso un paese fuori dallo SEE, è ammesso solo su una base valida: una decisione di adeguatezza, oppure clausole contrattuali tipo con misure aggiuntive.

Articolo 9. Come sono protetti i dati

Questa è la parte che è già costruita e che Lei può verificare. Chi ha accesso è la cosa più importante di tutte.

• Separazione per organizzazione nella banca dati stessa. Non nelle schermate ma in Postgres: la banca dati decide a ogni interrogazione quali righe può vedere un account collegato. Un errore in una pagina non può quindi consegnare dati di un’altra organizzazione, e c’è una batteria di test che lo dimostra.
• Dentro la Sua organizzazione vede quello che il Suo ruolo consente. Invita Lei le persone e dà loro un ruolo, dall’accesso completo al solo guardare. Anche quel confine sta nella banca dati e non nella schermata.
• Verifica in due passaggi, per tutti. Non solo per il nostro portale di amministrazione ma per ogni utente del CRM, senza eccezioni: senza app di autenticazione non si entra nel Suo ambiente.
• Disconnessione automatica dopo otto ore di inattività, per il portatile che resta aperto.
• Un registro di controllo che solo cresce. Modificare o cancellare una riga è stato reso impossibile, anche per il nostro ruolo di amministrazione più alto, con esattamente un’eccezione nominata per la cancellazione automatica.
• Accesso dell’assistenza con motivo e con limite di tempo. Quindici, trenta o sessanta minuti, mai di più, sempre con un motivo indicato, e consultabile dal titolare dell’organizzazione.
• Un freno ai tentativi di accesso che si chiude se è lui stesso a guastarsi, una politica di password di almeno dodici caratteri con un controllo contro le password di cui si sa che sono state divulgate, e password che noi non possiamo leggere.
• Connessioni cifrate con HSTS, e una politica di sicurezza dei contenuti con un nonce per richiesta.

Se i dati vengono violati, in Italia la segnalazione passa per un canale preciso. Chi è titolare del trattamento notifica una violazione dei dati personali al Garante per la protezione dei dati personali senza ingiustificato ritardo e, ove possibile, entro settantadue ore da quando ne è venuto a conoscenza, e dal 1° luglio 2021 quella notifica va fatta tramite la procedura telematica del portale dei servizi online dell’Autorità — non per e-mail e non per PEC. Nel CRM delle Sue aziende e dei Suoi contatti il titolare è Lei, quindi quel canale è il Suo; per il Suo account e il Suo abbonamento il titolare siamo noi. Il Codice Privacy prevede inoltre, all’articolo 2-quaterdecies.1, una procedura di notifica semplificata per le imprese con meno di cinque dipendenti, da disciplinare con provvedimento del Garante; non affermiamo qui che sia già disponibile, perché non lo abbiamo verificato.

La descrizione estesa è nella pagina sulla sicurezza. Anche quello che non c’è è lì: nessuna certificazione ISO 27001 né SOC 2, e nessun rapporto di un test di intrusione esterno.

Articolo 10. I Suoi diritti

Può chiedere quali dati abbiamo su di Lei, farli rettificare, farli cancellare, limitare il trattamento, opporsi, e chiedere una copia in un formato corrente.

Una parte la fa Lei. Quello che mette dentro Nermio lo può modificare e cancellare lì. Una copia la estrae in Impostazioni → I tuoi dati: le Sue aziende, i contatti, le opportunità e le attività in CSV, un file che si apre in Excel. Lo può fare chiunque del Suo team, anche con il permesso di sola lettura, e in qualsiasi momento — non solo quando se ne va.

Quello che ancora non può fare da sé è far scomparire del tutto il Suo account e la Sua organizzazione. Quello lo facciamo noi, se lo chiede a info@nermio.com; da noi è un atto con motivo obbligatorio che resta nel registro di sicurezza, ed è irreversibile. Un pulsante nel programma è previsto.

Per tutto il resto scriva a info@nermio.com. Se un’altra via Le è più comoda va bene lo stesso: una richiesta di questo tipo non richiede formalità particolari, e trattarla è gratuito. Le chiediamo una conferma che Lei è chi dice di essere, perché altrimenti qualsiasi altra persona potrebbe chiedere i Suoi dati.

In Italia c’è inoltre un diritto che il diritto olandese non conosce. I diritti previsti dagli articoli da 15 a 22 del GDPR relativi ai dati di una persona defunta possono essere esercitati da chi ha un interesse proprio, da chi agisce a tutela della persona in qualità di suo mandatario, o per ragioni familiari meritevoli di protezione (articolo 2-terdecies del Codice Privacy). La persona interessata può vietarlo mentre è in vita, ma soltanto limitatamente all’offerta diretta di servizi della società dell’informazione — e Nermio è esattamente questo; il divieto deve essere specifico, libero, informato e non equivoco, può riguardare solo alcuni di quei diritti, è revocabile in ogni momento, e non può in nessun caso pregiudicare i diritti patrimoniali dei terzi che derivano dalla morte né il diritto di difendere in giudizio i propri interessi. Se si tratta di un account Nermio, la richiesta è per noi e la trattiamo. Se si tratta di un contatto che sta nel CRM di un cliente, il titolare è quel cliente e la richiesta va a lui; lì noi siamo responsabili del trattamento e lo aiutiamo ad adempiere.

Se non è d’accordo su come trattiamo i Suoi dati, può presentare un reclamo a un’autorità di controllo. Se risiede in Italia è il Garante per la protezione dei dati personali; l’autorità capofila di Nermio è la Autoriteit Persoonsgegevens olandese, e può rivolgersi a una delle due. La presentazione del reclamo è gratuita, e il Garante lo decide entro nove mesi, informandoLa sullo stato del procedimento entro tre. Una cosa da sapere prima di scegliere, perché in Italia le due strade sono alternative: una volta presentato il reclamo al Garante, non è più proponibile una domanda davanti al giudice fra le stesse parti e per lo stesso oggetto, e viceversa il reclamo non è ammesso se il giudice è già stato adito (articolo 140-bis del Codice Privacy). Provare prima a risolverlo con noi non chiude nessuna delle due.

Articolo 11. Nessuna decisione automatizzata

Non prendiamo decisioni su di Lei basate unicamente su un trattamento automatizzato, e non facciamo profilazione. Non c’è nessun punteggio che preveda se un’opportunità andrà in porto, né alcuna classificazione di persone. Le funzioni di intelligenza artificiale dell’articolo 4 restituiscono un testo che una persona legge e valuta; non decidono nulla.

Articolo 12. Modifiche

Se cambia qualcosa in quello che registriamo o nel motivo per cui lo facciamo, questa pagina si adegua, con la data della modifica. Se è una modifica essenziale per Lei, La avvisiamo per e-mail in anticipo.