Informativa Privacy — Kyncolor

1. Titolare del Trattamento e Contatti

Il Titolare del trattamento dei dati personali è:

2. Ambito di Applicazione del Servizio

La presente informativa si applica esclusivamente al modulo Kyncolor, un servizio di consulenza colore basato su intelligenza artificiale destinato a professionisti del settore hair care (parrucchieri, coloristi, titolari di saloni).

2.1 Funzionalità del Servizio

• Analisi fotografica: elaborazione di immagini caricate dall'utente professionista per valutare lo stato attuale del colore dei capelli, la struttura, e le condizioni generali;
• Consulenza colore AI: generazione di suggerimenti professionali personalizzati per trattamenti colore, basati sull'analisi fotografica, sullo storico trattamenti e sulla knowledge base del professionista;
• Gestione clienti: archivio clienti del salone con storico trattamenti e note professionali;
• Knowledge Base: caricamento di documentazione tecnica (schede prodotto, linee colore) per personalizzare le consulenze;
• Casi comparabili: archivio di casi esemplari per confronto e apprendimento professionale.

3. Dati Personali Trattati

3.1 Dati dell'Utente Professionista (direttamente identificativi)

• Nome, cognome, email (già presenti nell'account Kyntrox);
• Tenant di appartenenza e ruolo (ADMIN, OWNER, SUPER_ADMIN);
• Indirizzo IP e User-Agent (per audit e sicurezza);
• Log delle operazioni effettuate (analisi, consulenze, accessi).

3.2 Dati dei Clienti del Salone (inseriti dal professionista)

• Nome e cognome del cliente del salone;
• Note professionali (tipo di capelli, allergie note, preferenze colore);
• Storico trattamenti (date, prodotti utilizzati, risultati).

3.3 Immagini Fotografiche

• Fotografie caricate dall'utente professionista per l'analisi colore;
• Metadati delle immagini (dimensione, formato, data di caricamento);
• Risultati dell'analisi AI (descrizione testuale generata dal modello).

3.4 Dati NON raccolti

Kyncolor non raccoglie intenzionalmente:

• Dati biometrici finalizzati all'identificazione univoca della persona;
• Dati sanitari (il servizio non è un dispositivo medico);
• Dati di geolocalizzazione;
• Dati di minori di 16 anni.

4. Finalità e Basi Giuridiche del Trattamento

5. Sistema di Intelligenza Artificiale — Trasparenza AI Act

Ai sensi del Regolamento UE 2024/1689 (AI Act), Art. 52 — Obblighi di trasparenza, forniamo le seguenti informazioni sui sistemi AI utilizzati da Kyncolor.

5.1 Modelli AI Utilizzati

5.2 Classificazione del Rischio AI

Kyncolor non rientra tra i sistemi AI ad alto rischio ai sensi dell'Allegato III del Regolamento AI Act, in quanto:

• Non effettua identificazione biometrica;
• Non prende decisioni automatizzate con effetti giuridici sulla persona;
• Non opera in ambito sanitario (non è un dispositivo medico);
• I risultati sono suggerimenti professionali soggetti alla supervisione umana del colorista.

Il sistema è classificato come rischio limitato ai sensi dell'Art. 52 AI Act, con obbligo di trasparenza verso l'utente.

5.3 Supervisione Umana

5.4 Limitazioni Note del Sistema

• L'analisi dipende dalla qualità dell'immagine (illuminazione, risoluzione, angolazione);
• Il modello può non riconoscere correttamente sfumature su tonalitità molto scure o in condizioni di luce artificiale;
• I suggerimenti non tengono conto di fattori clinici (allergie non dichiarate, condizioni del cuoio capelluto non visibili);
• La knowledge base personalizzata influenza i risultati: documentazione incompleta produce consulenze meno accurate.

5.5 Dati di Addestramento

I modelli Gemini sono addestrati da Google DeepMind su dataset proprietari. Le immagini caricate su Kyncolor non vengono utilizzate per addestrare o migliorare i modelli AI. L'API Gemini è configurata per non utilizzare i dati degli utenti per il training (Google Cloud Data Processing Addendum).

6. Valutazione d'Impatto sulla Protezione dei Dati (DPIA)

Ai sensi dell'Art. 35 GDPR, è stata effettuata una Valutazione d'Impatto sulla Protezione dei Dati (DPIA) per il servizio Kyncolor, considerando che il trattamento coinvolge:

• Elaborazione di immagini che possono contenere tratti identificativi;
• Utilizzo di tecnologie innovative (intelligenza artificiale generativa);
• Trattamento sistematico su larga scala potenziale (multi-tenant).

6.1 Rischi Identificati e Misure di Mitigazione

La DPIA conclude che il livello di rischio residuo è accettabile, subordinato all'adozione e al mantenimento delle misure di mitigazione sopra indicate.

7. Destinatari e Responsabili del Trattamento

7.1 Responsabili del Trattamento (Art. 28 GDPR)

7.2 Soggetti NON destinatari

I dati trattati da Kyncolor non vengono:

• Venduti a terzi;
• Utilizzati per marketing di terze parti;
• Condivisi con altri tenant della piattaforma Kyntrox;
• Utilizzati per profilazione commerciale;
• Ceduti a broker di dati.

8. Trasferimenti Internazionali

L'utilizzo delle API Google Gemini può comportare il trasferimento temporaneo di dati verso server di Google situati al di fuori dello Spazio Economico Europeo (SEE).

8.1 Garanzie Adeguate

• Clausole Contrattuali Standard (SCC) ai sensi dell'Art. 46(2)(c) GDPR, incluse nel Google Cloud Data Processing Addendum;
• EU-US Data Privacy Framework (Decisione di adeguatezza della Commissione Europea del 10 luglio 2023);
• Misure supplementari: crittografia in transito (TLS 1.3), dati non utilizzati per training dei modelli.

8.2 Natura del Trasferimento

Il trasferimento è temporaneo e limitato all'elaborazione: l'immagine viene inviata all'API Gemini, elaborata, e il risultato testuale viene restituito. Google non conserva le immagini inviate tramite le API a pagamento oltre il tempo necessario all'elaborazione, come specificato nel Google Cloud DPA.

9. Periodo di Conservazione

I dati vengono conservati nel rispetto del principio di minimizzazione (Art. 5(1)(e) GDPR):

10. I Tuoi Diritti

In qualità di interessato, ai sensi degli Artt. 15-22 GDPR hai diritto di:

Come Esercitare i Diritti

Puoi esercitare i tuoi diritti inviando una richiesta a:

• Email: [email protected]
• Dashboard: Sezione Impostazioni > Privacy > Esporta/Cancella dati

Rispondiamo entro 30 giorni dalla ricezione della richiesta (prorogabili di ulteriori 60 giorni in caso di complessità, con comunicazione motivata).

11. Misure di Sicurezza

Ai sensi dell'Art. 32 GDPR, adottiamo le seguenti misure tecniche e organizzative:

11.1 Misure Tecniche

• Crittografia in transito: TLS 1.2+ per tutte le comunicazioni (HTTPS obbligatorio);
• Autenticazione: JWT con scadenza temporale, controllo ruolo ADMIN+ per accesso ColorAI;
• Isolamento multi-tenant: ogni tenant accede esclusivamente ai propri dati e immagini;
• Rate limiting: protezione contro abusi (limiti per IP e per tenant);
• Protezione anti-injection: sanitizzazione input, guardie contro prompt injection nei modelli AI;
• Cancellazione automatica: job di pulizia immagini dopo 90 giorni;
• Validazione file: controllo MIME type reale (non solo estensione), dimensione massima, sanitizzazione XSS;
• Budget giornaliero token: limite di utilizzo giornaliero dell'API AI per prevenire abusi.

11.2 Misure Organizzative

• Accesso ai server limitato al personale tecnico autorizzato;
• Audit log immutabili per ogni operazione critica;
• Procedure di backup e disaster recovery;
• Formazione periodica del personale sulla protezione dei dati;
• Revisione periodica delle policy di sicurezza.

12. Trasparenza sui Costi-Crediti

L'uso delle funzioni AI di Kyncolor avviene tramite Crediti, unità interne prepagate. Questa sezione descrive, in ottica di trasparenza, come il consumo dei Crediti viene calcolato e tracciato. La disciplina contrattuale completa è nei Termini e Condizioni Kyncolor.

12.1 Consumo per operazione

Ogni operazione AI consuma un numero di Crediti definito e mostrato nell'applicazione accanto all'azione prima della conferma (es. consulenza standard, Analisi Approfondita, domanda alla chat). Le operazioni non riuscite per causa tecnica non vengono addebitate.

12.2 Tracciamento dei consumi (ledger)

Ai fini di trasparenza e fatturazione, ogni consumo di Crediti è registrato in un registro movimenti (ledger) associato al profilo professionale, con data, tipo di operazione e quantità di Crediti. Tale registro:

• non contiene immagini né dati del cliente finale: traccia solo il tipo di operazione e i Crediti consumati;
• è utilizzato per mostrare al professionista i propri consumi e per la corretta fatturazione;
• è conservato per il tempo necessario agli obblighi contabili e fiscali applicabili.

12.3 Base giuridica

Il trattamento dei dati di consumo dei Crediti si fonda sull'esecuzione del contratto (Art. 6(1)(b) GDPR) e sull'adempimento di obblighi legali contabili e fiscali (Art. 6(1)(c) GDPR).

13. Protezione dei Minori

Kyncolor è destinato esclusivamente a professionisti del settore (utenti con ruolo ADMIN o superiore sulla piattaforma Kyntrox). Il servizio non è rivolto né accessibile a minori di 16 anni.

Il professionista che utilizza Kyncolor si impegna a non caricare immagini di minori senza il consenso dei genitori/tutori legali e a rispettare la normativa vigente in materia di protezione dei minori (Art. 8 GDPR).

14. Modifiche all'Informativa

Ci riserviamo di aggiornare la presente informativa per riflettere modifiche al servizio, alla normativa applicabile o alle nostre pratiche di trattamento.

• Le modifiche sostanziali verranno comunicate tramite notifica in-app e/o email;
• In caso di modifiche che richiedano un nuovo consenso, l'utente verrà invitato a prendere visione della nuova versione prima di continuare a utilizzare il servizio;
• La versione corrente dell'informativa è sempre disponibile all'indirizzo kyntrox.com/legal/colorai_privacy.html.

15. Reclami e Contatti

14.1 Contatto Diretto

Per qualsiasi domanda o richiesta relativa al trattamento dei tuoi dati nell'ambito di Kyncolor:

14.2 Reclamo all'Autorità di Controllo

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai il diritto di proporre reclamo al:

Ti invitiamo comunque a contattarci prima di presentare un reclamo: faremo del nostro meglio per risolvere la questione.