Informativa sulla privacy

1. Chi siamo

Jinova, email privacy@jinova.it («Jinova», «noi»).

Jinova offre alle aziende una piattaforma di «colleghi AI»: assistenti software che, entro i permessi decisi dall'azienda, leggono email e documenti, preparano risposte e appuntamenti, cercano informazioni. Ogni azione verso l'esterno (un'email, un messaggio, un appuntamento con invitati) la decide una persona dell'azienda, salvo che l'azienda abbia concesso espressamente l'autonomia per quel tipo di azione.

2. Due ruoli diversi

• Titolare del trattamento: siamo titolari dei dati di chi visita jinova.it, di chi ci contatta e dei referenti delle aziende clienti (contratto, fatturazione, assistenza).
• Responsabile del trattamento (art. 28 GDPR): quando un'azienda cliente usa Jinova, i dati che tratta con la piattaforma (le sue email, i suoi documenti, i suoi clienti, il suo calendario) restano suoi. Noi li trattiamo solo per suo conto e secondo le sue istruzioni, come previsto nell'accordo sul trattamento dei dati firmato con ogni cliente. Per esercitare i propri diritti su questi dati ci si rivolge all'azienda cliente; noi la aiutiamo.

3. Quali dati trattiamo

Non trattiamo intenzionalmente categorie particolari di dati (salute, opinioni politiche…): chiediamo ai clienti di non collegare fonti che li contengono senza averlo concordato con noi.

4. Come funziona l'intelligenza artificiale

• Per svolgere un compito, il collega AI invia al fornitore del modello scelto per quell'azienda (per esempio Anthropic, o un altro fornitore indicato nel contratto) solo i pezzi di dati che servono a quel compito.
• Usiamo questi fornitori tramite API commerciali, che per contratto non usano i dati per addestrare i propri modelli.
• Jinova non usa i dati dei clienti per addestrare modelli di intelligenza artificiale, né propri né di terzi.
• I contenuti che arrivano da fuori (email, pagine web, documenti) sono trattati come dati, non come istruzioni. Ogni azione proposta passa dai permessi e, se esce dall'azienda, dall'approvazione di una persona.

5. Collegamenti con Google, Microsoft, Meta e altri servizi

Un'azienda cliente può collegare a Jinova i propri account (Google Calendar e Drive, Microsoft Outlook, OneDrive e posta, WhatsApp Business, gestionale, negozio online). Lo decide e lo autorizza un suo amministratore, e lo può revocare in ogni momento dal pannello («Scollega») o dalle impostazioni dell'account presso il fornitore.

5.1 Dati ricevuti dalle API di Google

Quali dati di Google leggiamo (accesso). Solo con i permessi che un amministratore dell'azienda concede nella schermata di consenso di Google:

• indirizzo email dell'account Google collegato (permessi openid ed email), per mostrare nel pannello quale account è collegato;
• eventi del calendario (permesso calendar.events): titolo, data e ora, luogo, descrizione e partecipanti degli eventi, per mostrare impegni e momenti liberi; creiamo un evento solo quando una persona dell'azienda lo approva nel pannello. Non modifichiamo né cancelliamo eventi esistenti;
• solo i file di Google Drive che un amministratore sceglie nel selettore di Google dentro il pannello (permesso drive.file): nome, tipo e testo di quei file, in sola lettura. Gli altri file del Drive restano invisibili a Jinova. Non creiamo, modifichiamo, condividiamo o cancelliamo file.

Come li usiamo. Solo per offrire queste funzioni all'azienda che li ha collegati: rispondere a una sua richiesta su appuntamenti, momenti liberi o sul contenuto di un file scelto, e preparare gli appuntamenti che una persona dell'azienda approva. Non li usiamo per pubblicità, profilazione, valutazioni di credito o altri scopi.

Con chi li condividiamo. Non li vendiamo e non li cediamo a nessuno. Passano solo dai fornitori indispensabili al servizio, per il solo compito richiesto: Google Cloud (hosting del server, in Italia), Cloudflare (connessione cifrata tra il browser e il server) e il fornitore del modello AI (Anthropic), che riceve solo il pezzo di testo necessario al compito tramite API commerciale e per contratto non lo usa per addestrare i suoi modelli. Le persone di Jinova non leggono questi dati, salvo su richiesta esplicita del cliente (assistenza), per sicurezza o per obbligo di legge.

Come li proteggiamo. Connessioni sempre cifrate (HTTPS/TLS); server in Google Cloud raggiungibile solo attraverso un tunnel cifrato, senza porte aperte su Internet; chiavi di accesso a Google (token) conservate separate dai dati e mai scritte nei registri; accesso al pannello con password personali, ruoli e verifica in due passaggi obbligatoria per gli amministratori; copie di sicurezza cifrate.

Per quanto tempo li teniamo e come si cancellano. Non copiamo il calendario né il Drive: leggiamo solo ciò che serve a ogni compito. Quello che un collega AI ha letto o preparato può restare nella cronologia delle attività dell'azienda (che serve a mostrare chi ha fatto cosa e chi l'ha approvato). Con «Scollega» nel pannello, o revocando l'accesso da myaccount.google.com/permissions, i token vengono cancellati subito e Jinova non può più leggere nulla; con «Togli a Jinova» un file non viene più letto. Su richiesta a privacy@jinova.it, e comunque entro 30 giorni dalla fine del contratto, cancelliamo tutti i dati dell'azienda, compresi quelli ricevuti da Google; le copie di sicurezza si cancellano entro 90 giorni.

English (for Google's review): Jinova's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. The use of raw or derived user data received from Workspace APIs will adhere to the Google User Data Policy, including the Limited Use requirements.

Data accessed: the email address of the connected Google account (openid, email); calendar events — title, date and time, location, description, attendees (calendar.events); and only the Google Drive files that an administrator explicitly selects in the Google Picker — file name, type and text, read-only (drive.file).
Data use: only to provide the user-facing features requested by the connected business: showing appointments and free time, creating calendar events that a person of the business has approved in the Jinova dashboard, and answering questions about the selected files. Never for advertising, profiling, credit or lending decisions.
Data sharing: never sold or transferred to data brokers, advertisers or other third parties. It passes only through the service providers strictly needed to deliver the feature: Google Cloud (server hosting in Italy), Cloudflare (encrypted connection between the browser and the server) and the AI model provider (Anthropic), which receives only the text needed for the single task through its commercial API and, under its commercial terms, does not use it to train its models.
Data protection: encryption in transit (HTTPS/TLS); a Google Cloud server reachable only through an encrypted tunnel with no open inbound ports; OAuth tokens stored separately from other data and never written to logs; personal accounts with roles and mandatory two-factor authentication for administrators; encrypted backups.
Retention and deletion: Jinova does not copy the calendar or the Drive; it reads only what each task needs. Results may remain in the business's activity history. Disconnecting Google in the dashboard, or revoking access at myaccount.google.com/permissions, deletes the tokens immediately. On request to privacy@jinova.it, and in any case within 30 days of the end of the contract, all of the business's data, including data received from Google, is deleted; backups are deleted within 90 days.
AI/ML: Google user data is never used to develop, improve or train generalized AI or machine-learning models, and is never transferred to third-party services that would use it for that purpose. It is read by humans only with the user's consent, for security purposes, or to comply with the law.

5.2 Dati ricevuti da Microsoft (Microsoft Graph)

Calendario di Outlook (lettura; creazione di appuntamenti solo con approvazione), file di OneDrive e SharePoint (sola lettura), posta di Outlook 365 (lettura delle email in arrivo; invio solo dei messaggi approvati o autorizzati dall'azienda). Valgono le stesse regole del punto 5.1: solo per le funzioni richieste dall'azienda, niente vendita, niente pubblicità, niente addestramento di modelli.

5.3 WhatsApp Business (Meta)

Riceviamo i messaggi inviati al numero WhatsApp Business dell'azienda cliente e inviamo solo le risposte approvate. Rispettiamo le regole di Meta: nessun messaggio a chi non ha scritto per primo, risposte libere solo entro 24 ore dall'ultimo messaggio del cliente, poi solo modelli approvati da Meta.

5.4 Token e password

Le chiavi di accesso ai servizi collegati sono conservate cifrate o con accesso riservato sul server, separate dai dati, mai nei registri né nelle comunicazioni. Scollegando un servizio vengono cancellate.

6. A chi comunichiamo i dati (sub-responsabili)

Solo ai fornitori che servono a erogare il servizio, vincolati da contratto:

• hosting: Google Cloud (Google Cloud EMEA Ltd.), con server in Italia (Milano);
• rete e sicurezza del sito: Cloudflare, Inc.;
• modelli AI: Anthropic PBC (o altro fornitore indicato nel contratto del cliente);
• servizi collegati dal cliente (Google, Microsoft, Meta, il gestionale, il negozio online): ricevono e restituiscono i dati secondo le loro condizioni, su scelta del cliente;
• consulenti (commercialista, legale) e autorità, quando la legge lo richiede.

L'elenco aggiornato dei sub-responsabili è disponibile su richiesta e allegato all'accordo sul trattamento dei dati.

7. Trasferimenti fuori dall'Unione europea

Alcuni fornitori (per esempio di modelli AI o di rete) possono trattare dati fuori dall'UE. In quei casi ci basiamo sulla decisione di adeguatezza UE-USA (Data Privacy Framework) per le società certificate, o sulle clausole contrattuali standard della Commissione europea, con misure aggiuntive dove servono.

8. Per quanto tempo

• dati del sito: per il tempo tecnico necessario (log al massimo 90 giorni);
• dati contrattuali e di fatturazione: 10 anni, come chiede la legge;
• dati dei clienti trattati con la piattaforma: per la durata del contratto; alla fine li restituiamo o li cancelliamo entro 30 giorni, come indicato dal cliente, salvo copie di sicurezza cancellate entro 90 giorni;
• registro delle attività (chi ha fatto cosa e quando): per la durata del contratto, perché è la prova di cosa hanno fatto i colleghi AI e chi lo ha approvato.

9. Sicurezza

Comunicazioni cifrate (HTTPS), accesso al pannello con password personali e ruoli, approvazione umana delle azioni verso l'esterno, tetti di spesa e di invio, registro delle attività firmato e non modificabile, segreti separati dai dati, copie di sicurezza cifrate, server nell'Unione europea.

10. Cookie

Il pannello di Jinova usa solo cookie tecnici necessari: sessione di accesso, protezione dei moduli, lingua scelta. Non usiamo cookie di profilazione né di pubblicità. Il sito jinova.it non utilizza strumenti di statistica o profilazione.

11. I tuoi diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporti al trattamento, scrivendo a privacy@jinova.it. Rispondiamo entro un mese. Se i dati sono trattati per conto di un'azienda cliente, inoltriamo la richiesta all'azienda e la aiutiamo a rispondere. Puoi anche presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

12. Modifiche

Se cambiamo questa informativa aggiorniamo la data in alto; per i cambiamenti importanti avvisiamo i clienti in anticipo.