Informativa sulla privacy

Ultimo aggiornamento: 3 agosto 2026 · Applicazione: Smistant · Dominio: smistant.superia.it

La presente informativa descrive come Smistant (di seguito, "l'applicazione") raccoglie, tratta e protegge i dati personali degli utenti e dei loro corrispondenti, ai sensi del Regolamento UE 2016/679 ("GDPR") e della normativa italiana applicabile (D.lgs. 196/2003 e successive modifiche).

1. Titolare del trattamento

Titolare del trattamento è SUPERIA di Matteo Magliozzi, con sede in Strada Giordanelle 25, 04100 Latina (LT), P. IVA 03358200594, contattabile all'indirizzo info@superia.it (o alla PEC matteo.magliozzi@pec.it).

2. Categorie di dati trattati

Nell'utilizzo dell'applicazione trattiamo le seguenti categorie di dati:

• Dati di registrazione/autenticazione: nome completo, indirizzo email professionale, password (memorizzata solo in forma cifrata con algoritmi standard tipo bcrypt/argon2), eventuali fattori di autenticazione a due passaggi (TOTP).
• Dati delle caselle email collegate: contenuto dei messaggi (soggetto, corpo, allegati), metadati (mittente, destinatari, data/ora), credenziali di accesso IMAP/SMTP (memorizzate cifrate) o token OAuth Google/Microsoft (memorizzati cifrati; nessuna password del provider viene conservata).
• Rubrica contatti CRM: nome, email, telefono, azienda, note e cronologia interazioni dei corrispondenti gestiti dallo studio.
• Dati operativi: pratiche/dossier, task, note interne, eventi calendario, appunti di attività, log di accesso ai messaggi, stato letto/non-letto delle notifiche.
• Dati tecnici: indirizzo IP, user-agent del browser, timestamp di accesso, endpoint delle sottoscrizioni Web Push (per le notifiche a schermo bloccato).

3. Finalità e base giuridica

1. Erogazione del servizio (Art. 6.1.b GDPR — esecuzione di contratto): gestione della posta condivisa dello studio, delle pratiche, degli incarichi e delle comunicazioni interne. Include il polling delle caselle email collegate e l'invio dei messaggi in uscita per conto dell'utente.
2. Sicurezza dell'applicazione (Art. 6.1.f — legittimo interesse): rilevamento tentativi di accesso illeciti, rate-limiting, log di audit sulle azioni sensibili.
3. Classificazione automatica dei messaggi (Art. 6.1.b): se abilitata, il testo del messaggio in oggetto è trasmesso al sub-processore LLM per assegnare una categoria (Operativa / Amministrativa / Promozionale / ecc.). Nessuna decisione completamente automatizzata con effetti giuridici sull'interessato (Art. 22 GDPR non trova applicazione).
4. Adempimenti di legge (Art. 6.1.c): conservazione dei log di accesso per finalità di tracciabilità, ove richiesto dalla normativa di settore.

4. Sub-processori (sub-fornitori)

Per erogare il servizio ci avvaliamo dei seguenti sub-processori, ai quali possono essere trasmessi dati personali:

• Google LLC / Google Ireland Ltd. — se l'utente collega una casella Gmail/Google Workspace via OAuth, l'accesso IMAP e SMTP passa dai server Google. Dati trasmessi: token di autenticazione, contenuto dei messaggi in ingresso/uscita. Regione: USA/UE (Standard Contractual Clauses in essere). Privacy: policies.google.com/privacy.
• Microsoft Corporation — analogo per caselle Outlook/Microsoft 365 (quando disponibile).
• Provider IMAP/SMTP configurato dal tenant — l'host specifico viene scelto dall'amministratore dello studio; i dati transitano attraverso l'infrastruttura di quel provider secondo la sua stessa privacy policy.
• OpenRouter — utilizzato per la classificazione automatica dei messaggi. Vengono inviati soggetto + corpo del messaggio in oggetto; nessun allegato viene trasmesso. Regione: USA.
• Brevo (Sendinblue SAS) — solo per l'invio di notifiche transazionali ai clienti finali del tenant (es. conferma ricezione pratica). Regione: UE (Francia).
• OVHcloud / provider VPS — hosting dei server applicativi e database. Regione: UE.

L'elenco esatto dei sub-processori attivi per il singolo tenant è consultabile via l'endpoint /api/me/privacy/processors da parte dell'amministratore dello studio.

5. Trasferimenti extra-UE

Qualora si utilizzino sub-processori con sede o infrastruttura fuori dallo Spazio Economico Europeo (in particolare Google e OpenRouter), il trasferimento avviene sulla base delle Standard Contractual Clauses approvate dalla Commissione Europea, integrate ove necessario da misure supplementari (cifratura at-rest e in-transit).

6. Modalità di trattamento e sicurezza

• Tutte le comunicazioni con l'applicazione avvengono via HTTPS/TLS 1.2+.
• Le password degli utenti sono memorizzate solo come hash bcrypt/argon2 (mai in chiaro).
• Le credenziali IMAP/SMTP e i refresh token OAuth sono cifrati at-rest con chiavi per-tenant (envelope encryption).
• Il contenuto dei messaggi email è cifrato at-rest con la stessa chiave di tenant.
• L'accesso ai dati è segregato per tenant a livello applicativo: nessun operatore di uno studio può leggere dati di un altro studio.
• Ogni download di allegato e ogni export dati è tracciato in un audit log immutabile.

7. Periodo di conservazione

• Account utente: fino alla cessazione del rapporto contrattuale con lo studio, salvo obblighi di legge diversi.
• Messaggi email e allegati: fino alla cancellazione esplicita da parte dell'utente o dell'amministratore, o alla chiusura del tenant.
• Log di audit: 24 mesi.
• Log tecnici (accessi, errori applicativi): 90 giorni.

8. Diritti dell'interessato

L'utente ha diritto in qualsiasi momento a:

• Accedere ai propri dati (Art. 15 GDPR);
• Rettificare dati inesatti (Art. 16);
• Chiedere la cancellazione — "diritto all'oblio" (Art. 17);
• Limitare il trattamento (Art. 18);
• Ricevere i propri dati in formato strutturato / portarli altrove (Art. 20 — l'applicazione mette a disposizione un export ZIP dalla sezione Amministrazione);
• Opporsi al trattamento basato su legittimo interesse (Art. 21);
• Proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Le richieste vanno indirizzate a info@superia.it e riceveranno riscontro entro 30 giorni.

9. Cookie e tecnologie simili

L'applicazione utilizza esclusivamente cookie/token tecnici strettamente necessari all'autenticazione (JWT), alla gestione della sessione e alle preferenze di visualizzazione. Non viene fatto uso di cookie di profilazione o di terze parti pubblicitarie.

10. Notifiche push (Web Push)

Se l'utente accetta le notifiche push del browser/PWA, viene memorizzato un endpoint tecnico rilasciato dal servizio push del vendor del browser (Apple, Google, Mozilla). Nessun dato personale è inviato al vendor insieme alla push, se non l'endpoint stesso. L'utente può disattivare le push in qualsiasi momento dalle impostazioni del browser.

11. Uso dei dati Google (Google API Services User Data Policy)

L'utilizzo e il trasferimento delle informazioni ricevute dalle Google API da parte di Smistant sono conformi alla Google API Services User Data Policy, compresi i requisiti di Limited Use.

Nello specifico, se l'utente collega il proprio account Gmail:

• Utilizziamo l'accesso a Gmail (scope https://mail.google.com/) esclusivamente per erogare le funzionalità visibili all'utente: lettura dei messaggi in arrivo (per popolare l'inbox condivisa dello studio), invio dei messaggi dallo stesso account, gestione dei thread di conversazione.
• Non utilizziamo, trasferiamo o vendiamo i dati Gmail per scopi pubblicitari, di profilazione o di targeting.
• Non utilizziamo i dati Gmail per l'addestramento di modelli di intelligenza artificiale generalizzati. La classificazione automatica opzionale (descritta al §3.3) invia al sub-processore LLM solo il singolo messaggio in oggetto per ottenere una categoria di ritorno, senza ritenzione persistente lato LLM oltre il ciclo di richiesta.
• Non consentiamo a esseri umani di leggere i dati Gmail di un utente, ad eccezione di: (a) consenso esplicito dell'utente per specifici messaggi, (b) necessità operative di sicurezza (es. indagine su abuso), (c) obblighi di legge, (d) elaborazione in forma aggregata e anonima per fini statistici interni.
• L'utente può revocare in qualsiasi momento l'accesso della nostra applicazione al proprio account Google dalla pagina Google Account → Sicurezza → App di terze parti. Alla revoca, l'applicazione perde immediatamente la capacità di leggere o inviare messaggi da quell'account; il refresh token memorizzato viene invalidato.

Le stesse garanzie di Limited Use si applicano, mutatis mutandis, ai dati eventualmente ricevuti tramite Microsoft Graph API quando l'utente collega una casella Microsoft 365.

12. Modifiche alla presente informativa

Ci riserviamo il diritto di aggiornare la presente informativa. In caso di modifiche sostanziali, gli utenti attivi verranno informati via email o attraverso una notifica in-app. La versione più aggiornata è sempre disponibile a questo indirizzo.

13. Contatti

Per qualsiasi richiesta relativa al trattamento dei dati: info@superia.it.