La presente informativa descrive le modalità di trattamento dei dati personali raccolti tramite la piattaforma Pleya (di seguito anche «Servizio») e il sito pleya.it, ai sensi del Regolamento UE 2016/679 («GDPR») e del D.Lgs. 196/2003 e successive modifiche.
1. Titolare del trattamento
Il titolare del trattamento è Contech S.r.l., con sede in Via Bussoleno 11, 00166 Roma (RM), partita IVA 14151401008, contattabile all'indirizzo email support@pleya.it.
Questa informativa riguarda i dati di chi visita il sito, si registra e usa il Servizio (gli account). I dati che un'azienda cliente mette nel Servizio (i suoi dipendenti, clienti, fornitori) sono trattati da Contech S.r.l. come responsabile per conto dell'azienda, che ne è titolare: lo regola l'Accordo sul trattamento dei dati, e per quei dati l'informativa agli interessati la dà l'azienda.
2. Tipologie di dati raccolti
Tramite il Servizio possono essere trattate le seguenti categorie di dati personali:
- Dati di registrazione: nome, cognome, email aziendale, ruolo, organizzazione di appartenenza, e la prova dell'accettazione delle condizioni (versione dei documenti, data, indirizzo IP e browser).
- Dati di autenticazione: credenziali di accesso, token di sessione, log di autenticazione.
- Dati operativi: contenuti caricati o generati dall'utente (anagrafiche clienti e fornitori, progetti, documenti, fatture, comunicazioni).
- Dati tecnici: indirizzo IP, user-agent, identificativi di sessione, log applicativi e di sicurezza.
- Dati finanziari: informazioni relative a conti correnti aziendali quando l'utente attiva esplicitamente un'integrazione bancaria (es. Qonto, Enable Banking) per la riconciliazione dei pagamenti.
- Chat del sito: quando scrivi nella chat del sito pubblico raccogliamo il testo dei messaggi, la pagina da cui scrivi e, se li lasci, nome ed email. Li usiamo solo per risponderti (art. 6.1.b GDPR — misure precontrattuali su tua richiesta) e li conserviamo per il tempo necessario a seguire la richiesta.
3. Finalità e base giuridica
- Erogazione del Servizio (art. 6.1.b GDPR — esecuzione del contratto): gestione account, accesso alle funzionalità, salvataggio dei contenuti operativi.
- Adempimenti di legge (art. 6.1.c GDPR): obblighi fiscali e contabili, conservazione dei documenti elettronici, fatturazione elettronica via Sistema di Interscambio.
- Sicurezza della piattaforma (art. 6.1.f GDPR — legittimo interesse): prevenzione di accessi non autorizzati, rilevamento di abusi, audit log.
- Comunicazioni di servizio (art. 6.1.b GDPR): notifiche su account, modifiche al Servizio, avvisi di sicurezza.
4. Modalità del trattamento
I dati sono trattati con strumenti elettronici, mediante misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio (cifratura in transito e a riposo, controllo accessi, logging, separazione tra ambienti). I dati sono memorizzati su infrastrutture cloud localizzate nello Spazio Economico Europeo (Supabase / AWS, regione Francoforte).
5. Conservazione
I dati sono conservati per il tempo strettamente necessario alle finalità per cui sono stati raccolti. Documenti fiscali e contabili sono conservati per 10 anni come previsto dalla normativa italiana. Account inattivi possono essere chiusi e i relativi dati operativi cancellati o anonimizzati decorso un congruo periodo dopo la cessazione del rapporto contrattuale.
6. Destinatari dei dati
I dati possono essere comunicati a:
- fornitori di servizi cloud e infrastrutturali in qualità di Responsabili del trattamento, elencati con ruolo e luogo nell'Accordo sul trattamento dei dati (fra gli altri Supabase, Vercel, Resend, Sentry e, se attivati, Anthropic, OpenAPI, Qonto, Enable Banking);
- autorità pubbliche su richiesta legittima (Agenzia delle Entrate per la fatturazione elettronica via SDI);
- consulenti professionali (commercialisti, legali) limitatamente alle informazioni necessarie per la prestazione richiesta.
I dati non sono ceduti a terzi per finalità di marketing.
7. Trasferimenti extra-UE
I dati si conservano nello Spazio Economico Europeo. Alcuni fornitori (per esempio Sentry, e Anthropic o OpenAI quando l'assistente o i messaggi vocali sono attivi) li trattano dagli Stati Uniti: il trasferimento si basa sulla decisione di adeguatezza dell'EU-US Data Privacy Framework per le società certificate, o sulle Clausole Contrattuali Standard della Commissione Europea.
8. Diritti dell'interessato
L'interessato può esercitare in ogni momento i diritti previsti dagli articoli 15-22 del GDPR, in particolare:
- accesso ai dati e copia degli stessi;
- rettifica e aggiornamento;
- cancellazione («diritto all'oblio»);
- limitazione del trattamento;
- portabilità dei dati;
- opposizione al trattamento basato sul legittimo interesse;
- reclamo all'Autorità Garante per la protezione dei dati personali (garanteprivacy.it).
Le richieste di esercizio dei diritti vanno inviate a support@pleya.it.
9. Dati degli account Google
Alcune funzioni di Pleya si collegano, solo se l'utente o l'azienda lo sceglie, ai servizi di Google. Pleya usa i dati di Google solo per far funzionare quelle funzioni, così:
- Google Calendar (permesso
calendar.events, conopenideemailper sapere quale account si è collegato): quando una persona collega il suo calendario e pianifica un colloquio in Pleya, Pleya crea sul suo calendario l'evento del colloquio con il link di Google Meet e invita le persone scelte; se il colloquio si sposta o si annulla, aggiorna o cancella quell'evento. Pleya non legge gli altri eventi del calendario. - Google Drive (permesso
drive.file): solo i file che Pleya stessa crea o che l'utente apre con Pleya. - Gmail (permesso
gmail.settings.basic, solo se l'amministratore Google Workspace dell'azienda lo autorizza): Pleya scrive la firma email delle persone dell'azienda, sui soli indirizzi del dominio che l'azienda ha dimostrato come suo. Pleya non legge, non manda e non cancella email.
Le chiavi di accesso ricevute da Google si conservano cifrate e si cancellano quando l'utente scollega il servizio da Pleya; il permesso si può togliere anche da myaccount.google.com/permissions. I dati ricevuti da Google non si vendono, non si usano per la pubblicità, non si condividono con altri se non per far funzionare la funzione scelta, non si usano per addestrare modelli di intelligenza artificiale e nessuna persona li legge, salvo con il consenso dell'utente, per motivi di sicurezza o per obbligo di legge.
L'uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di Pleya rispettano le Norme relative ai dati utente dei servizi API di Google, compresi i requisiti di Uso limitato.
Google user data (English). Pleya connects to Google services only when a user or their company chooses to. Google Calendar (calendar.events, with openid and email): Pleya creates, updates and deletes the events of the job interviews the user schedules in Pleya, with the Google Meet link; it does not read other calendar events. Google Drive (drive.file): only files created or opened by Pleya. Gmail (gmail.settings.basic, only when the Google Workspace administrator authorizes it): Pleya sets the email signature of the company's users on the company's verified domain; it does not read, send or delete email. Tokens are stored encrypted and deleted when the user disconnects the service. Google user data is not sold, not used for advertising, not shared except to provide the chosen feature, not used to train AI models, and not read by humans except with the user's consent, for security, or as required by law. Pleya's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
10. Modifiche all'informativa
Aggiornamenti significativi della presente informativa saranno comunicati agli utenti tramite email all'indirizzo registrato sull'account o tramite avviso all'interno del Servizio.