Informativa privacy

XYZ di Davide Bellomi, P.IVA 14629320962, gestisce il servizio BepiFlow. Per i dati di account, fatturazione e assistenza opera come titolare del trattamento; per lead, clienti, documenti e attività inseriti dalle aziende clienti opera normalmente come responsabile del trattamento per conto dell’azienda che usa il CRM.

Contatto privacy: privacy@bepiflow.com.

Dati identificativi e di contatto, credenziali protette, azienda, ruolo e team; dati di utilizzo e sicurezza; dati di fatturazione e abbonamento; richieste di assistenza. Il CRM tratta inoltre i dati commerciali caricati dall’azienda cliente, inclusi lead, opportunità, veicoli, comunicazioni, appuntamenti e documenti.

Quando un utente sceglie di inviare una segnalazione tecnica dall’app, vengono raccolti la descrizione del problema, la pagina interessata, informazioni su browser e dimensioni dello schermo e lo screenshot autorizzato dall’utente. Prima dell’invio viene mostrata un’anteprima, così da evitare di condividere password, dati di pagamento o informazioni non necessarie.

I dati servono per attivare e fornire il contratto, autenticare gli utenti, gestire pagamenti e assistenza, prevenire abusi, garantire sicurezza e continuità operativa e rispettare obblighi di legge. Le comunicazioni promozionali richiedono una base giuridica separata quando prevista.

Per presentare BepiFlow ad aziende e professionisti del settore automotive, il titolare può raccogliere dati aziendali già pubblici, come ragione sociale, sito, sede, telefono e indirizzo email professionale, da siti delle aziende, elenchi aperti e OpenStreetMap. Per ogni prospect vengono conservati la fonte, la data della ricerca, la valutazione di pertinenza, i messaggi approvati e gli esiti del contatto.

Gli strumenti AI possono classificare esclusivamente queste informazioni pubbliche e preparare bozze di proposta. L’invio non è autonomo: un Superadmin deve verificare destinatario, pertinenza, contenuto e presupposto applicabile. BepiFlow non acquista elenchi e non usa l’AI per dedurre dati sensibili o informazioni interne dell’azienda.

Il destinatario può opporsi in qualunque momento tramite il collegamento presente nel messaggio o scrivendo a privacy@bepiflow.com. L’opposizione viene registrata per impedire contatti successivi; i dati residui sono conservati in forma minima per rispettare tale richiesta e documentare l’attività.

Il servizio utilizza fornitori selezionati per hosting e distribuzione dell’applicazione (Vercel), database e autenticazione (Supabase, progetto in regione UE), protezione anti-abuso delle registrazioni (Cloudflare Turnstile), pagamenti (Stripe), email transazionali (Resend) e funzioni AI opzionali (OpenAI). Questi fornitori operano secondo il ruolo applicabile e gli accordi sul trattamento sottoscritti da BepiFlow.

L’elenco dei sub-responsabili, le funzioni affidate e le garanzie per gli eventuali trasferimenti internazionali sono messi a disposizione dell’azienda cliente nella documentazione contrattuale. Sono trasmessi soltanto i dati necessari alla funzione richiesta.

L’Assistente AI è un add-on facoltativo attivato dall’azienda cliente. Quando un utente richiede un’analisi, BepiFlow trasmette tramite API a OpenAI il contesto commerciale strettamente necessario: nome del cliente, azienda, stato e valore dell’opportunità, veicoli richiesti, esigenze, permuta, note, attività, preventivi, stato della pratica e comunicazioni recenti. Email, numeri di telefono e allegati non vengono inclusi.

OpenAI tratta questi dati per produrre l’analisi richiesta. BepiFlow imposta store: false, quindi la risposta non viene salvata come stato applicativo recuperabile tramite API. Questa impostazione non equivale alla Zero Data Retention: salvo l’attivazione di controlli contrattuali ulteriori, contenuti e metadati possono essere conservati nei log di prevenzione degli abusi per un massimo ordinario di 30 giorni, fatti salvi obblighi di legge o esigenze di sicurezza. I dati inviati all’API non sono usati per addestrare i modelli OpenAI, salvo un’eventuale adesione volontaria alla condivisione che BepiFlow non abilita.

L’Assistente produce suggerimenti e bozze da verificare, non prende decisioni autonome e non modifica il CRM. L’azienda cliente deve evitare di inserire nelle note dati appartenenti a categorie particolari, credenziali, documenti di identità completi o altre informazioni non necessarie all’attività commerciale.

Il trattamento è disciplinato dal contratto con l’azienda cliente, dal relativo accordo sul trattamento e dagli accordi applicabili con OpenAI. Informazioni tecniche aggiornate sono disponibili nei controlli dati dell’API OpenAI.

I dati operativi del CRM sono conservati per la durata del servizio. L’amministratore può scaricare un archivio completo e verificato prima della chiusura. Quando richiede la cessazione, il workspace viene sospeso e resta recuperabile per 30 giorni; entro questo termine la richiesta può essere annullata.

Trascorsi 30 giorni, un processo automatico elimina dati CRM, documenti archiviati e accessi degli utenti e produce una ricevuta tecnica priva dei contenuti del CRM. Eventuali copie di sicurezza non sono riutilizzate per l’attività ordinaria e decadono secondo il ciclo tecnico di backup applicabile. Dati contabili, fiscali o necessari alla tutela di un diritto possono essere conservati separatamente e in forma minimizzata per il periodo imposto dalla legge; la ricevuta tecnica di cancellazione è conservata per 10 anni.

Sono applicati separazione tra aziende, permessi per ruolo, connessioni cifrate, controlli sugli accessi, backup e monitoraggio. Un blocco legale documentato può sospendere la cancellazione soltanto per il tempo necessario all’obbligo applicabile.

Le segnalazioni tecniche e i relativi screenshot sono conservati in area privata per il tempo necessario a diagnosticare, correggere e verificare il problema e per documentare la sicurezza del servizio; successivamente vengono eliminati o minimizzati secondo le procedure di assistenza applicabili.

La persona può chiedere accesso, rettifica, cancellazione, limitazione, portabilità o opposizione quando applicabili e può proporre reclamo al Garante per la protezione dei dati personali. Per dati inseriti da una concessionaria o società di noleggio, la richiesta va normalmente rivolta prima a quell’azienda.

Questa informativa può essere aggiornata per cambiamenti normativi o tecnici. Le modifiche rilevanti saranno comunicate attraverso il servizio o i recapiti dell’account. Versione privacy: 2026-07-30.