Privacy policy

1. Titolare del trattamento

GI.VE GROUP S.R.L.
Domicilio fiscale: Via Carlo Fabani 18/B, 23017 Morbegno (SO)
Sede operativa: Frazione Naguarido 30/D, 23010 Civo (SO)
P.IVA / C.F.: 01088150147 · R.E.A.: SO-81817 · Codice SDI: USAL8PV
PEC: gi.ve@pec.it

Richieste privacy e contatto referente: devops.sevor@givegroup.it.

2. Finalità e base giuridica

• Contratto (art. 6.1.b GDPR): fornitura del servizio Sevor, fatturazione, invio email outbound per conto del tenant cliente.
• Legittimo interesse (art. 6.1.f): raccolta di segnali pubblici B2B in Italia (registri imprese, job posting, news), con LIA documentata.
• Obblighi di legge (art. 6.1.c): conservazione audit log (GDPR + normativa applicabile).

3. Categorie di dati

• Aziende italiane (P.IVA, ATECO, dipendenti, segnali pubblici).
• Decision maker (nome, ruolo, email aziendale da fonti B2B).
• Utenti tenant (email; autenticazione via magic link).
• Email outbound + log delle risposte.

4. Destinatari e sub-responsabili

• Vercel (hosting applicazione web, regione UE).
• Neon (database Postgres, regione UE).
• Railway (worker + coda Redis, regione UE).
• Anthropic / OpenAI (LLM, extra-UE con SCC + DPA ove applicabile).
• Resend (email), Lemon Squeezy (fatturazione, Merchant of Record), openapi.it (arricchimento Registro Imprese), Sentry (error monitoring): DPA in essere.

5. Collegamento al calendario (Google Calendar / Microsoft)

La funzione «Calendario e prenotazioni» è facoltativa e si attiva su adesione del singolo utente. Chi la attiva collega il proprio calendario (Google Calendar oppure Outlook/Microsoft 365) al servizio di prenotazione ospitato su prenota.sevor.givegroup.it. Il collegamento si revoca in qualsiasi momento dalle impostazioni dell'account o dalla pagina delle autorizzazioni del proprio provider.

Ambiti richiesti a Google e uso che ne facciamo:

• calendar.readonly — leggiamo gli intervalli in cui l'utente è occupato, al solo scopo di non proporre a chi prenota orari già impegnati.
• calendar.events — creiamo, aggiorniamo o annulliamo il singolo evento corrispondente a una prenotazione accettata, con l'eventuale collegamento alla riunione.

L'uso di questi dati rispetta la Google API Services User Data Policy, comprese le prescrizioni sull'uso limitato (Limited Use). In particolare: i dati di calendario non vengono venduti, ceduti a terzi, usati per profilazione o pubblicità, né impiegati per addestrare modelli di intelligenza artificiale; nessun operatore umano vi accede, salvo consenso esplicito dell'utente, necessità di assistenza su sua richiesta od obblighi di legge. Del calendario conserviamo soltanto quanto serve a mostrare l'appuntamento dentro Sevor (data, ora, stato e link della riunione); alla revoca del collegamento o alla chiusura dell'account i token di accesso vengono eliminati.

6. Casella di posta collegata e notifiche

Chi collega la propria casella indica una cartella specifica, e leggiamo soltanto quella. La scelta non è una comodità: nella posta in arrivo c'è la corrispondenza di persone che non hanno alcun rapporto con Sevor, e leggerla per poi scartarla sarebbe un'ingerenza non necessaria. Chi collega la casella non può acconsentire al posto di chi gli scrive.

Della cartella indicata leggiamo mittente, oggetto, data, identificativi del messaggio e testo, per riconoscere le risposte alle email inviate con Sevor e i rapporti di mancata consegna. Il collegamento è in sola lettura per la posta in arrivo: non cancelliamo messaggi e non svuotiamo cartelle. Si revoca in qualsiasi momento dalle impostazioni, e la revoca cancella subito la credenziale.

Notifiche del browser. Previo consenso espresso dell'utente tramite il browser, il sito tratta token crittografici e identificativi univoci di sessione per l'invio di notifiche relative alle risposte ricevute e ai messaggi non recapitati. I dati sono conservati fino alla revoca del permesso da parte dell'utente tramite le impostazioni del proprio browser o dell'applicazione. La sottoscrizione è del singolo dispositivo, non della persona: revocarla su un browser non tocca gli altri.

7. Come proteggiamo i dati

Applichiamo misure tecniche e organizzative adeguate al rischio (art. 32 GDPR). In particolare:

• In transito — ogni comunicazione con la piattaforma e con i fornitori avviene su TLS (HTTPS), con HSTS attivo sul dominio.
• A riposo — il database è ospitato nell'Unione Europea su infrastruttura gestita con cifratura dei dati memorizzati.
• Credenziali di posta — le credenziali delle caselle collegate sono cifrate con AES-256-GCM prima di essere salvate: nel database non esiste una copia in chiaro.
• Dati di calendario e token di accesso — i token OAuth di Google e Microsoft sono conservati dal servizio di prenotazione che gestiamo, non sono mai esposti nell'interfaccia né inclusi nei registri applicativi, e vengono eliminati alla revoca del collegamento o alla chiusura dell'account. Del calendario conserviamo solo data, ora, stato e collegamento della riunione.
• Separazione fra clienti — l'isolamento fra i dati di clienti diversi è imposto dal database stesso (row-level security), non dal solo codice applicativo, e il ruolo con cui l'applicazione si connette non ha il privilegio di aggirarlo.
• Accessi — si accede tramite collegamento monouso via email, senza password memorizzate. Le operazioni amministrative sono registrate in un giornale di controllo in sola aggiunta, che non può essere riscritto.
• Copie di sicurezza — i backup vengono cifrati (GPG, AES-256) prima di lasciare la macchina che li produce e sono conservati nell'Unione Europea.
• Minimizzazione — raccogliamo solo i dati necessari alle funzioni descritte in questa informativa. I dati di calendario non vengono usati per profilazione, pubblicità né per addestrare modelli di intelligenza artificiale.

Nessuna misura rende un sistema inviolabile: in caso di violazione che comporti un rischio per i tuoi diritti ti informiamo e notifichiamo al Garante nei termini previsti dagli artt. 33 e 34 GDPR.

8. Retention

• Audit log: 36 mesi.
• Dati lead/email: durata del contratto + 90 giorni post-churn.
• Backup: rolling cifrato.

9. Diritti dell'interessato

Accesso, rettifica, cancellazione, portabilità, opposizione, reclamo al Garante. Scrivi a devops.sevor@givegroup.it (risposta entro 30 giorni).

10. Cookie

Solo cookie tecnici essenziali (sessione di autenticazione). Nessun cookie analytics o marketing senza consenso esplicito.

11. Match interno tra utenti (opzionale, su consenso)

Se attivi l'opzione «Rendi la mia azienda visibile come opportunità per altri utenti Sevor», i dati aziendali della tua impresa (ragione sociale, partita IVA, settore ATECO, descrizione dell'attività o dell'offerta) possono essere mostrati ad altri clienti della piattaforma come opportunità commerciale. Base giuridica: consenso (art. 6.1.a GDPR), revocabile in qualsiasi momento dalle impostazioni del profilo. Sono esclusi automaticamente i concorrenti diretti (stesso settore e area geografica). L'opzione è disattivata per impostazione predefinita.