Informativa sulla Privacy

1. Titolare del Trattamento e Contatti

Il Titolare del trattamento dei dati personali e:

Il Titolare e responsabile della raccolta, del trattamento e della protezione dei tuoi dati personali in conformita con il Regolamento (UE) 2016/679 (GDPR), il Regolamento (UE) 2024/1689 (AI Act) e le altre normative applicabili.

2. Contatti per la Protezione dei Dati

Per qualsiasi questione relativa al trattamento dei tuoi dati personali, puoi contattare direttamente il Titolare del trattamento:

Il Titolare è il tuo punto di riferimento per:

• Esercitare i tuoi diritti (accesso, rettifica, cancellazione, portabilità, ecc.)
• Ricevere informazioni sul trattamento dei tuoi dati
• Segnalare preoccupazioni sulla protezione dei dati
• Richiedere chiarimenti sull'uso di sistemi di Intelligenza Artificiale

3. Dati Personali Raccolti

3.1 Dati raccolti direttamente (Art. 13 GDPR)

Raccogliamo i seguenti dati quando ti registri o utilizzi la piattaforma:

3.2 Dati dei Lead (raccolti per conto tuo)

Quando utilizzi Kyntrox® AI per qualificare i lead della tua agenzia, trattiamo per tuo conto:

• Nome e cognome del potenziale cliente
• Recapiti (email, telefono)
• Preferenze immobiliari (zona, budget, tipologia)
• Risposte alle domande del chatbot
• Punteggio di qualificazione (lead score)

3.3 Natura del conferimento

Il conferimento dei dati contrassegnati come "Obbligatori" e necessario per:

• Creare e gestire il tuo account
• Erogare i servizi della piattaforma
• Adempiere agli obblighi contrattuali

4. Finalita e Basi Giuridiche del Trattamento

4.1 Legittimi Interessi

Quando il trattamento si basa sul legittimo interesse (Art. 6(1)(f)), abbiamo effettuato un bilanciamento tra i nostri interessi e i tuoi diritti fondamentali:

• Sicurezza: Il nostro interesse a proteggere la piattaforma da attacchi e frodi prevale, in quanto tutela anche i tuoi dati e quelli dei tuoi clienti.
• Miglioramento servizi: Utilizziamo solo dati aggregati e anonimizzati, minimizzando l'impatto sulla tua privacy.

Hai sempre il diritto di opporti ai trattamenti basati sul legittimo interesse (vedi sezione "I Tuoi Diritti").

5. Sistemi di Intelligenza Artificiale

5.1 Chatbot AI per Qualificazione Lead

Kyntrox utilizza un chatbot basato su AI per interagire con i potenziali clienti delle agenzie immobiliari. Questo sistema:

• Cosa fa: Conduce conversazioni guidate per raccogliere informazioni sui lead (budget, zona, tempistiche, tipo di immobile)
• Come funziona: Utilizza un flusso decisionale predefinito con domande a risposta chiusa (max 3 opzioni per step, max 10 step)
• Output: Genera un punteggio di qualificazione (Lead Score: HOT 70-100, WARM 45-69, COLD 0-44)
• Limitazioni: Non prende decisioni autonome su contratti o transazioni. L'agente umano valida sempre il lead.

5.2 Contenuti Generati da AI

Alcune funzionalita possono utilizzare AI generativa per:

• Suggerire risposte durante le conversazioni
• Generare riepiloghi delle interazioni
• Proporre template per comunicazioni

Tali contenuti sono sempre identificati come "generati da AI" e devono essere verificati dall'utente prima dell'utilizzo.

5.3 Assenza di Riconoscimento Biometrico

Kyntrox NON utilizza:

• Riconoscimento facciale
• Riconoscimento vocale per identificazione
• Sistemi di riconoscimento delle emozioni
• Categorizzazione biometrica

5.4 Decisioni Automatizzate e Profilazione

Ai sensi dell'Art. 22 GDPR, ti informiamo che:

• Il calcolo del Lead Score costituisce una forma di profilazione automatizzata
• Non vengono prese decisioni che producono effetti giuridici significativi basate unicamente su trattamento automatizzato
• Hai diritto a richiedere l'intervento umano, esprimere la tua opinione e contestare la decisione

5.5 Fornitori di Modelli AI (Sub-processori AI)

Per l'erogazione dei servizi di intelligenza artificiale, Kyntrox si avvale dei seguenti fornitori esterni di modelli AI:

6. Destinatari e Categorie di Destinatari

I tuoi dati personali possono essere comunicati a:

6.1 Fornitori di Servizi (Responsabili del Trattamento)

Con tutti i fornitori abbiamo stipulato un Accordo sul Trattamento dei Dati (DPA) ai sensi dell'Art. 28 GDPR. L'elenco aggiornato dei fornitori è consultabile alla pagina /fornitori.

6.2 Autorita e Soggetti Pubblici

I dati possono essere comunicati a:

• Agenzia delle Entrate (obblighi fiscali)
• Autorita Giudiziaria (su richiesta legittima)
• Garante per la Protezione dei Dati Personali (in caso di ispezione)

6.3 Nessuna Vendita di Dati

6.4 Integrazione con Google API e Conformità alla Limited Use Policy

Quando l'utente sceglie di collegare il proprio account Google a Kyntrox per le funzionalità di "Accedi con Google" o di sincronizzazione del calendario, Kyntrox accede e tratta i dati ottenuti tramite Google API in piena conformità alla Google API Services User Data Policy, inclusi i requisiti di "Limited Use".

Scope OAuth richiesti

• openid, email, profile: identificazione dell'utente al momento dell'accesso.
• https://www.googleapis.com/auth/calendar.events (sensitive scope): lettura e scrittura degli eventi sul calendario primario dell'utente, esclusivamente per la sincronizzazione bidirezionale degli appuntamenti gestiti tramite Kyntrox.

Kyntrox aderisce al principio di Minimum Necessary Data: non vengono richiesti scope su Gmail, Drive, Contatti, né altri scope non strettamente necessari alle funzionalità offerte.

Finalità di trattamento dei dati Google

• I dati ricevuti tramite Google API sono utilizzati esclusivamente per fornire all'utente le funzionalità di autenticazione e di gestione del calendario all'interno della piattaforma Kyntrox.
• I dati non vengono utilizzati per finalità pubblicitarie, profilazione marketing o vendita a terze parti.
• I dati non vengono utilizzati per addestrare modelli di intelligenza artificiale, né di Kyntrox né di terze parti. In particolare, i contenuti del calendario non transitano dal LLM Gateway Kyntrox.
• I dati non vengono trasferiti, venduti, ceduti o resi disponibili a entità terze al di fuori dei responsabili del trattamento elencati al paragrafo 6.1.

Conservazione e revoca

• Token OAuth (access token e refresh token): conservati cifrati nel database Kyntrox tramite le procedure di crittografia descritte nella sezione "Sicurezza".
• Revoca dalla piattaforma: l'utente può revocare in qualsiasi momento l'accesso ai propri dati Google dal pannello Kyntrox alla voce Profilo > Integrazioni > Google. La revoca elimina immediatamente token e dati associati.
• Revoca lato Google: l'utente può revocare l'autorizzazione anche direttamente dalla pagina Permessi Account Google; alla successiva chiamata API Kyntrox rileverà la revoca e cancellerà i dati locali correlati.
• Cancellazione account Kyntrox: comporta la revoca automatica di tutti i token Google e la cancellazione di ogni dato derivato, secondo i tempi indicati al paragrafo 8.

Trasparenza e contatti

Per qualsiasi domanda relativa al trattamento dei dati provenienti da Google API è possibile contattare il Titolare all'indirizzo [email protected].

6.5 Google Fonts e Google reCAPTCHA v3

6.5.1 Google Fonts

La piattaforma Kyntrox utilizza il servizio Google Fonts (fornito da Google LLC, USA) per il caricamento del font tipografico Inter impiegato nell'interfaccia utente. Quando il tuo browser carica una pagina di Kyntrox, effettua una richiesta verso i domini fonts.googleapis.com e fonts.gstatic.com: in tale richiesta vengono trasmessi a Google il tuo indirizzo IP, user agent e referer della pagina.

• Finalità: erogazione di risorse tipografiche per il rendering grafico dell'interfaccia.
• Base giuridica: legittimo interesse del Titolare (Art. 6, par. 1, lett. f, GDPR) all'erogazione di un servizio coerente dal punto di vista visivo e accessibile.
• Garanzie trasferimento extra-UE: Google LLC aderisce all'EU-U.S. Data Privacy Framework; in subordine, sono applicate le Clausole Contrattuali Tipo (SCC, Decisione 2021/914).
• Cookie: Google Fonts non imposta cookie.
• Conservazione lato Google: log richieste tipicamente conservati per finalità tecniche e di sicurezza secondo la Privacy Policy Google.

6.5.2 Google reCAPTCHA v3

Per proteggere i moduli pubblici (login, registrazione, chat widget, check di compliance gratuiti, landing di richiesta contatto) da abusi automatici (bot, scraping, attacchi di credential stuffing), Kyntrox integra Google reCAPTCHA v3, servizio fornito da Google LLC (USA).

• Finalità: distinguere richieste umane da richieste automatiche e calcolare un punteggio di affidabilità (0.0–1.0) della singola sessione.
• Base giuridica: legittimo interesse del Titolare alla sicurezza della piattaforma (Art. 6, par. 1, lett. f, GDPR) e obbligo legale di adottare misure tecniche adeguate (Art. 32 GDPR, Direttiva NIS2).
• Dati trattati: indirizzo IP, user agent, riferimenti della pagina, eventi del mouse/tastiera/touch (segnali aggregati di interazione), cookie pregressi di Google se l'utente è loggato al proprio account Google.
• Cookie impostato: _GRECAPTCHA sul dominio .google.com, durata indicativa 6 mesi. Si tratta di un cookie tecnico/di sicurezza necessario al funzionamento del servizio anti-bot.
• Trasferimento extra-UE: dati trasferiti a Google LLC negli USA con le garanzie EU-U.S. Data Privacy Framework e Clausole Contrattuali Tipo.
• Riferimenti: Google Privacy Policy e Google Terms of Service.

7. Trasferimenti Internazionali

I tuoi dati sono conservati principalmente su server situati nell'Unione Europea. Alcuni fornitori di servizi potrebbero trattare dati in paesi extra-UE.

7.1 Garanzie per Trasferimenti Extra-UE

Per i trasferimenti verso paesi privi di decisione di adeguatezza, utilizziamo:

• Standard Contractual Clauses (SCC) - Clausole Contrattuali Tipo approvate dalla Commissione Europea (Decisione 2021/914)
• EU-US Data Privacy Framework - Per fornitori USA certificati
• Binding Corporate Rules - Per gruppi multinazionali con BCR approvate

Puoi richiedere copia delle garanzie appropriate contattando il Titolare all'indirizzo [email protected].

7.2 Transfer Impact Assessment (TIA)

Per ogni fornitore extra-UE che tratta dati personali, Kyntrox conduce una Transfer Impact Assessment (TIA) ai sensi delle Raccomandazioni EDPB 01/2020 e della sentenza Schrems II (CGUE C-311/18). La TIA valuta:

• La legislazione del paese di destinazione in materia di sorveglianza e accesso governativo
• L'efficacia delle garanzie contrattuali (SCC/BCR) nel contesto normativo locale
• Le misure supplementari tecniche adottate (pseudonimizzazione, cifratura, minimizzazione)
• Il rischio residuo per i diritti e le libertà degli interessati

Le TIA sono disponibili su richiesta contattando il Titolare all'indirizzo [email protected].

7.3 Decisioni di Adeguatezza

Alcuni paesi sono considerati "adeguati" dalla Commissione Europea e non richiedono garanzie aggiuntive: Svizzera, Regno Unito, Canada, Giappone, Corea del Sud, Argentina, Nuova Zelanda.

8. Periodo di Conservazione

Conserviamo i tuoi dati solo per il tempo necessario alle finalita per cui sono stati raccolti, nel rispetto degli obblighi legali e contrattuali.

8.1 Il Periodo di Prova di 14 Giorni

8.2 Cancellazione su Richiesta

Puoi richiedere la cancellazione del tuo account in qualsiasi momento. Entro 30 giorni:

• Elimineremo tutti i tuoi dati personali
• Elimineremo i dati dei lead associati al tuo account
• Conserveremo solo i dati necessari per obblighi legali (fatture, audit)

9. I Tuoi Diritti

Il GDPR ti garantisce una serie di diritti che puoi esercitare in qualsiasi momento:

9.1 Come Esercitare i Tuoi Diritti

Puoi esercitare i tuoi diritti:

• Dalla piattaforma: Accedi a Impostazioni > Privacy > I miei dati
• Via email: Scrivi a [email protected]
• Via PEC: [email protected]

Risponderemo entro 30 giorni dalla ricezione della richiesta (prorogabili di 60 giorni in casi complessi).

9.2 Verifica Identita

Per proteggere i tuoi dati, potremmo chiederti di confermare la tua identita prima di evadere la richiesta. Non chiederemo mai documenti non necessari.

10. Sicurezza e Incidenti Informatici

In conformita al Regolamento (UE) 2022/2555 (Direttiva NIS2) e all'Art. 32 del GDPR, adottiamo misure tecniche e organizzative adeguate per proteggere i tuoi dati.

10.1 Misure di Sicurezza

• Crittografia: Dati in transito (TLS 1.3) e a riposo (Fernet AES-128 con chiavi versionabili e rotabili per dominio)
• Pseudonimizzazione: I dati personali identificativi vengono automaticamente pseudonimizzati prima dell'invio a provider AI esterni (Art. 25 e 32 GDPR)
• Autenticazione: Supporto MFA (TOTP), conferma identità per operazioni sensibili (export dati, download documenti)
• Accesso: Principio del minimo privilegio, Row-Level Security PostgreSQL, logging degli accessi
• Backup: Backup crittografati con retention definita
• Monitoraggio: Sistemi di rilevamento intrusioni 24/7, watchdog auto-healer
• Formazione: Personale formato su sicurezza e privacy

10.2 Notifica Incidenti (NIS2 Art. 23)

10.3 Notifica Minacce Significative

Ti contatteremo proattivamente anche in caso di minacce informatiche significative che potrebbero interessarti, prima che si verifichi un danno, indicando le misure preventive che puoi adottare.

10.4 Sistema di Audit Log e Tracciamento delle Azioni

Per garantire la sicurezza della piattaforma, la trasparenza operativa e la conformita al GDPR (Art. 5, par. 1, lett. f — "integrita e riservatezza") e alla Direttiva NIS2, Kyntrox implementa un sistema di audit logging immutabile su tutte le operazioni effettuate sulla piattaforma.

10.4.1 Dati Raccolti dal Sistema di Audit

Per ogni azione effettuata sulla piattaforma, il sistema registra automaticamente:

• Tipo di evento: La natura dell'azione (es. accesso, modifica dati, configurazione, operazione di compliance)
• Categoria: Classificazione in una delle 6 categorie (Sicurezza, Accesso Dati, Mutazione Dati, Sistema, Compliance, Privacy)
• Attore: Identificativo dell'utente o del sistema che ha eseguito l'azione, incluso il tipo di attore (utente, sistema, amministratore)
• Indirizzo IP: L'indirizzo IP da cui e stata effettuata l'azione
• User Agent: Informazioni sul dispositivo e browser utilizzato
• Timestamp: Data e ora esatta dell'evento
• Esito: Se l'azione e stata completata con successo o rifiutata
• Dettagli contestuali: Informazioni aggiuntive rilevanti per la sicurezza, senza dati personali non necessari

10.4.2 Immutabilita e Integrita

I record di audit sono protetti da una catena crittografica SHA-256: ogni record contiene l'hash del record precedente, rendendo qualsiasi alterazione o cancellazione rilevabile e verificabile. Questo meccanismo, analogo alla tecnologia blockchain, garantisce l'integrita dell'intero storico delle operazioni.

10.4.3 Universalita del Tracciamento

10.4.4 Base Giuridica

Il trattamento dei dati nell'ambito dell'audit logging si fonda su:

• Legittimo interesse (Art. 6, par. 1, lett. f, GDPR): la sicurezza della piattaforma, la prevenzione di accessi non autorizzati e la capacita di rilevare e rispondere a incidenti di sicurezza costituiscono un interesse legittimo prevalente
• Obbligo legale (Art. 6, par. 1, lett. c, GDPR): conformita alla Direttiva NIS2 (Regolamento UE 2022/2555) che richiede la registrazione degli eventi di sicurezza e la capacita di rilevamento delle minacce

10.4.5 Periodo di Conservazione

I log di audit vengono conservati per un periodo massimo di 24 mesi dalla data di registrazione, al termine del quale vengono cancellati automaticamente. I log relativi a eventi di sicurezza critica possono essere conservati fino a 36 mesi per finalita di indagine e conformita normativa. I record contenenti dati personali sono contrassegnati con flag PII e soggetti a politiche di retention dedicate.

10.4.6 Diritti dell'Interessato

In relazione ai dati contenuti nei log di audit, l'interessato puo:

• Accesso (Art. 15 GDPR): Richiedere copia dei log che lo riguardano tramite l'endpoint di export o contattando il Titolare all'indirizzo [email protected]
• Informazione: Consultare in tempo reale (per gli utenti con ruolo ADMIN o superiore) il dashboard di audit con statistiche aggregate e verifica di integrita della catena

Si precisa che il diritto alla cancellazione (Art. 17 GDPR) non si applica ai log di audit in quanto il trattamento e necessario per l'adempimento di un obbligo legale e per finalita di sicurezza (Art. 17, par. 3, lett. b e d).

11. Cookie e Tecnologie di Tracciamento

Utilizziamo cookie e tecnologie simili (localStorage, sessionStorage) per il funzionamento della piattaforma. Per l'elenco puntuale dei singoli cookie, dei nomi, delle durate e dei dati persistenti lato browser, consulta la nostra Cookie Policy.

11.1 Cookie Tecnici (Sempre Attivi)

• Autenticazione e sessione (token JWT access_token, refresh_token)
• CSRF protezione flusso OAuth (oauth_state)
• Preferenze tema chiaro/scuro (localStorage)
• Memorizzazione delle scelte di consenso (widget Kyntrox Consent)

11.2 Cookie di Terze Parti (Necessari alla Sicurezza)

• _GRECAPTCHA (dominio .google.com): impostato da Google reCAPTCHA v3 per la protezione anti-bot dei moduli pubblici. Vedi sezione 6.5.2.

11.3 Analytics (Cookieless)

Kyntrox utilizza Plausible Analytics, soluzione progettata per essere completamente priva di cookie e di identificatori persistenti. Le statistiche di utilizzo sono aggregate e anonimizzate. Non viene quindi richiesto consenso ai sensi della Direttiva ePrivacy per la raccolta di metriche analitiche.

Puoi gestire le tue preferenze dal banner Kyntrox Consent o da Impostazioni > Privacy > Cookie.

12. Protezione dei Minori

Kyntrox e una piattaforma B2B destinata a professionisti del settore immobiliare. Non raccogliamo consapevolmente dati di minori di 18 anni.

Se ritieni che abbiamo raccolto dati di un minore, contattaci immediatamente e provvederemo alla cancellazione.

13. Modifiche all'Informativa

Questa informativa puo essere aggiornata per riflettere cambiamenti normativi, nuove funzionalita o pratiche aziendali.

13.1 Come ti Informiamo

• Modifiche sostanziali: Notifica via email almeno 30 giorni prima dell'entrata in vigore
• Modifiche minori: Aggiornamento della data e pubblicazione sul sito

13.2 Storico Versioni

Le versioni precedenti dell'informativa sono disponibili su richiesta scrivendo a [email protected].

• v1.1.0 — 18/05/2026: aggiunte dichiarazioni esplicite per Google Fonts (font Inter) e Google reCAPTCHA v3 (anti-bot); revisione sezione 11 sui cookie con nomi tecnici reali; chiarimento sulla natura cookieless di Plausible Analytics.
• v1.0.0 — 02/02/2026: prima pubblicazione.

14. Reclami e Contatti

14.1 Contatti Diretti

Per qualsiasi domanda o richiesta relativa a questa informativa o al trattamento dei tuoi dati:

14.2 Reclamo all'Autorita di Controllo

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai il diritto di proporre reclamo al:

Ti invitiamo comunque a contattarci prima di presentare un reclamo: faremo del nostro meglio per risolvere la questione.