Informativa sulla privacy.

1. Chi siamo

Atlas Core Cloud Ltd ("Atlas Core", "noi") è una società registrata nel Regno Unito (n. 14829300) con sede a Londra. Siamo il titolare del trattamento per il sito atlascore.cloud e il responsabile del trattamento per i dati che inserisci nella piattaforma Atlas Core per conto di tuoi clienti, dipendenti e fornitori.

Questa informativa copre entrambi i ruoli e segnala quale sia pertinente quando la risposta cambia.

2. Cosa raccogliamo

Quando visiti atlascore.cloud

• Un cookie di sessione e uno anti-CSRF, entrambi necessari perché il sito funzioni
• La tua risposta alla barra dei cookie, conservata nel tuo browser e mai inviata a noi
• Cookie di analisi e di pubblicità, ma solo se li accetti
• Se sei arrivato da un nostro annuncio, l'identificativo del clic che Google ha messo nell'indirizzo
• Il tuo indirizzo IP (troncato e conservato 14 giorni solo per log di sicurezza)
• Informazioni base su browser e dispositivo, per diagnosticare bug
• Tutto ciò che ci dici in un form di contatto o in una richiesta di demo

Quando usi la piattaforma Atlas Core

In qualità di responsabile, conserviamo i dati aziendali che inserisci nel sistema - inventario, ordini, clienti, anagrafiche dipendenti, fatture. Conserviamo anche metadati operativi: chi ha effettuato l'accesso, da dove, cosa ha modificato. Quali dati inserire è una tua scelta e una tua responsabilità.

3. Perché li usiamo

• Per far funzionare il servizio. Non puoi usare la piattaforma se non conserviamo i tuoi dati.
• Per proteggere il servizio. Log di accesso, limiti di chiamate e controlli anti-frode tengono al sicuro i tuoi dati.
• Per migliorare il servizio. Segnali d'uso aggregati e anonimi. Mai le anagrafiche dei tuoi clienti.
• Per contattarti, raramente. Aggiornamenti di servizio, avvisi di sicurezza, annunci di nuove funzionalità (disattivabili con un clic).

Non usiamo i tuoi dati per addestrare modelli di IA usati da altri. Non vendiamo i tuoi dati. Qui non esiste alcun prodotto pubblicitario.

4. Con chi condividiamo

Per far funzionare la piattaforma usiamo sette sub-responsabili:

• Akamai (Linode) per l'hosting
• Cloudflare per DNS e filtraggio del traffico
• Stripe per la fatturazione degli abbonamenti
• Brevo per le email che invia la tua istanza, come fatture, conferme d'ordine e reimpostazioni della password, a meno che tu non colleghi un tuo account di posta
• OpenAI per Navigator e per le funzioni che scrivono testi con l'IA, come la traduzione delle pagine Aviso e i report sugli account manager
• Anthropic, un secondo fornitore di IA che Navigator può usare
• A-Cube, per trasmettere le fatture elettroniche allo SDI

A un fornitore di IA arrivano solo dati pseudonimizzati: gli identificativi vengono sostituiti prima che la richiesta lasci la piattaforma e la corrispondenza con le tue schede resta da noi. Ogni sub-responsabile è indicato per nome nell'elenco dei sub-responsabili, con cosa fa e dove tratta i dati. Diamo 30 giorni di preavviso prima di aggiungerne uno.

Su questo sito vetrina usiamo anche Google Analytics. Vede solo i visitatori del sito, mai i dati della piattaforma, quindi non è un sub-responsabile; la stessa pagina lo descrive in una sezione a parte.

Non usiamo rivenditori né help desk offshore. Nessuno al di fuori di quell'elenco ha accesso al tuo tenant.

Condividiamo dati con le autorità solo dove siamo tenuti per legge.

5. Quanto a lungo li conserviamo

• Dati cliente attivi: finché il tuo account è attivo.
• Dopo la disdetta: 30 giorni. L'accesso si interrompe quando finisce l'abbonamento, quindi esporta i dati prima della fine dell'ultimo periodo pagato. Li conserviamo per altri 30 giorni, nel caso tu abbia disdetto per errore o ti serva un'ultima esportazione, che possiamo fare su richiesta; poi l'istanza viene archiviata e i dati cancellati.
• Backup: 30 giorni dopo la disdetta. Girano ogni notte, vengono ripuliti su un ciclo di 30 giorni e gli ultimi scadono insieme all'istanza.
• Log di sicurezza: 12 mesi. Accessi, interventi di emergenza, modifiche ai permessi: la traccia che ci serve per indagare un incidente.
• Registro degli accessi: 90 giorni. Ogni accesso alla tua istanza - l'indirizzo di rete, il browser e se è stato chiesto un secondo codice - così che un accesso insolito si distingua da uno abituale. Conservato sulla base del nostro legittimo interesse a proteggere gli account (GDPR art. 6, par. 1, lett. f) e cancellato automaticamente allo scadere dei 90 giorni.
• Registro delle attività applicative: 2 anni. Chi ha modificato cosa dentro la piattaforma.
• Movimenti legati al passaporto delle piante: conservati nel registro delle attività per il periodo richiesto dalla normativa fitosanitaria, almeno tre anni.
• Log diagnostici dei server: 14 giorni. Tracce di errore e log delle richieste, tenuti giusto il tempo per capire cosa è andato storto.
• Documenti contabili: 7 anni, perché i nostri commercialisti e i tuoi lo chiederanno.
• Conversazioni di assistenza: 2 anni.

Cancellato vuol dire cancellato. Scaduto uno dei periodi qui sopra, non teniamo una copia silenziosa per analisi interne o "nel caso tu torni".

6. I tuoi diritti

Se sei nel Regno Unito, in UE o SEE, puoi:

• Chiederci cosa conserviamo su di te
• Farlo correggere
• Farlo cancellare (nei limiti dei periodi di conservazione sopra)
• Portartelo altrove, in un formato comune
• Opporti al nostro uso
• Presentare reclamo al Garante per la protezione dei dati personali, se sei in Italia, all'ICO, se sei nel Regno Unito, o all'autorità di controllo del tuo paese

Scrivi a [email protected]. Rispondiamo entro 5 giorni lavorativi; chiudiamo sempre entro 30.

7. Sicurezza

TLS 1.3 in transito, terminato sull'edge di Cloudflare e ri-cifrato verso i nostri server. Ogni istanza ha il proprio database con le proprie credenziali, quindi le query di un cliente non possono raggiungere i dati di un altro.

I backup girano ogni notte, portano un checksum e vengono ripristinati a campione a rotazione: un backup che nessuno ha mai aperto è un'ipotesi, non una rete di sicurezza. L'accesso del personale a un'istanza cliente è mediato e registrato con una motivazione, in una traccia append-only che nessun tecnico può modificare, conservata 12 mesi.

Atlas Core non ha certificazioni di sicurezza proprie e non ne rivendichiamo di inesistenti. I data center che ci ospitano hanno una certificazione indipendente per la sicurezza delle informazioni: quella certificazione è di Akamai, non nostra. Se ti serve un questionario di sicurezza compilato prima di acquistare, mandalo a [email protected] e ti rispondiamo senza giri di parole.

Se qualcosa va storto, te lo diciamo. Incidenti rilevanti entro 72 ore, con un post-mortem pubblico completo entro due settimane.

8. Cookie

Impostiamo due cookie di prima parte: uno di sessione e uno anti-CSRF. Nessuno dei due si può disattivare - senza di essi il sito non funziona - e nessuno dei due serve a seguirti su altri siti.

Tutto il resto aspetta te. Alla prima visita una barra ti chiede se accetti i cookie di analisi e di pubblicità, e finché non rispondi non ne viene memorizzato nessuno. Usiamo il Consent Mode v2 di Google: prima della tua scelta, Google riceve solo ping senza cookie, che non contengono alcun identificativo tuo.

Se accetti, Google Analytics 4 imposta i propri cookie e misura quali pagine vengono lette, e Google può usare quella misurazione per capire se uno dei nostri annunci ha portato a qualcosa. Se rifiuti, non viene impostato alcun cookie di analisi o di pubblicità e gli identificativi pubblicitari di Google vengono oscurati da quel poco che riceve. Il sito funziona esattamente allo stesso modo in entrambi i casi, e con i dati di analisi non facciamo nulla oltre a contare le visite e capire da quale campagna arrivano.

La tua risposta resta nella memoria locale del tuo browser, sotto ac_consent_v2. Non è un cookie, non ci viene mai inviata, e cancellando i dati del browser sparisce. Per cambiare idea usa il link Cookie nel piè di pagina di qualsiasi pagina: riapre la barra, e se rifiuti dopo aver accettato la memorizzazione si interrompe subito.

Pagine di campagna e clic sugli annunci

Ad alcune pagine si arriva da un annuncio Google Ads. Google aggiunge un identificativo del clic (gclid) all'indirizzo su cui atterri, e noi lo passiamo - insieme agli eventuali parametri di campagna - all'indirizzo della nostra app di registrazione quando prosegui, così che una registrazione possa essere ricondotta all'annuncio che l'ha pagata. Viaggia nell'URL, non in un cookie, e identifica l'annuncio, non te.

La piattaforma Atlas Core non ha alcun tag di analisi né cookie di terze parti. Nulla di ciò che fai dentro la piattaforma arriva a Google.

9. Contatti e reclami

Domande, richieste di accesso ai dati o reclami: [email protected]. Il nostro Data Protection Officer è Robert Tudor, raggiungibile allo stesso indirizzo.

Se non sei soddisfatto della nostra risposta, in Italia puoi rivolgerti al Garante per la protezione dei dati personali, su garanteprivacy.it. Se sei nel Regno Unito, puoi rivolgerti all'ICO, su ico.org.uk; altrove nell'UE, all'autorità di controllo del tuo paese.