Informativa sulla privacy

Data di entrata in vigore: 26 agosto 2026

La presente Informativa sulla privacy spiega come Performance Labs SL tratta i dati personali quando visiti i siti di Il Mio Impiegato IA, crei un account, usi il SaaS contabile Il Mio Impiegato IA, invii documenti tramite link Captura, ci contatti o usi i flussi di fatturazione.

1. Ruoli E Contatto Privacy

Performance Labs SL, partita IVA ESB56217169, Paseo de la Castellana 194, Planta baja, Puerta B, 28046 Madrid, Spagna, è titolare per i propri trattamenti relativi al sito, agli account, alla contrattazione, alla fatturazione, alla prevenzione delle frodi, agli obblighi di legge e alla sicurezza del servizio.

Quando uno studio contabile o un'altra organizzazione usa Il Mio Impiegato IA per i propri clienti, documenti, comunicazioni e flussi di lavoro, tale organizzazione determina finalità e base giuridica per i dati dei clienti e dei flussi. Performance Labs SL tratta questi dati secondo le istruzioni documentate dell'organizzazione per fornire il servizio, salvo le limitate finalità da titolare autonomo descritte sopra.

Contatto privacy: hola@miempleadoia.es.

2. Cosa Fa Il Mio Impiegato IA

Il Mio Impiegato IA e un servizio software supervisionato per studi contabili, consulenti e team professionali simili. Aiuta a raccogliere documenti dai clienti, organizzare code di revisione, identificare dati documentali, controllare cio che manca, archiviare gli originali approvati, preparare solleciti supervisionati e scaricare documenti e dati fattuali.

Il Mio Impiegato IA non presenta dichiarazioni fiscali, non registra contabilita ufficiale, non fornisce consulenza legale o fiscale e non sostituisce la revisione professionale. Gli utenti restano responsabili della verifica di tutti gli output prima dell'uso.

3. Dati Che Trattiamo

A seconda dell'uso del servizio, possiamo trattare:

Dati dell'account: nome, email, credenziali, eventi di autenticazione, appartenenza a organizzazioni, ruoli, preferenze e comunicazioni di supporto.
Dati dell'organizzazione: nome dello studio, slug, impostazioni dello spazio di lavoro, membri, stato di fatturazione, piano, limiti di utilizzo ed eventi operativi rilevanti.
Dati di clienti e contatti inseriti dagli utenti: nomi, email, riferimenti interni, etichette di cartelle, regole sui documenti attesi e note operative.
Documenti e file contabili: fatture, ricevute, estratti conto, documenti caricati, metadati, testo estratto, stato di revisione, dati di esportazione e risultati di elaborazione.
Dati di caricamento Captura: token pubblici, file caricati, stato del caricamento, associazione al cliente, metadati di dispositivo/browser e note facoltative del mittente.
Dati delle fonti email quando abilitate: metadati di connessione della casella, intestazioni, mittenti, oggetti, estratti del corpo, allegati, stato di sincronizzazione e cursori UID necessari a evitare duplicati.
Dati WhatsApp Business quando abilitati: identificativi dell'account WhatsApp Business di proprietà o selezionato dal cliente, del portfolio aziendale e del numero telefonico; token di autorizzazione e PIN di registrazione cifrati quando necessari; stato di webhook, registrazione, modelli, predisposizione dei pagamenti e connessione; numeri del mittente e del destinatario; copia del nome profilo del mittente; testo, didascalie, immagini, documenti, nomi dei file, metadati dei media, checksum e date dei messaggi in entrata; destinatario, corpo, nome/versione/lingua/parametri del modello Utility, riferimento al link privato e modalità di invio dei messaggi in uscita; identificativi di consegna, lettura, mancata consegna, conversazione, prezzo ed errore tecnico; risultati dell'abbinamento al cliente e della correlazione delle risposte; evidenze di permesso, revoca e opt-out tramite STOP; e stato di revisione e audit.
Dati Telegram quando abilitati da un'organizzazione: credenziali cifrate del bot; identificativi del bot, della chat, dell'utente, dell'aggiornamento, del messaggio e del file; copie del nome utente e del nome visualizzato su Telegram; testo dei messaggi, didascalie, immagini, documenti, metadati dei file, date, stato del collegamento e della consegna, associazione al cliente e stato della revisione.
Dati di elaborazione IA: prompt o input strutturati derivati dai documenti, output del modello, segnali di confidenza, campi estratti e decisioni di revisione umana.
Dati di fatturazione: identificativi cliente Stripe, stato dell'abbonamento, piano, indirizzo di fatturazione, identificativi fiscali se forniti, metadati di fattura, stato di pagamento ed eventi del portale.
Dati web e analitici: dati tecnici derivati dall'IP, pagine visitate, referrer, parametri di campagna, stato del consenso e identificatori pubblicitari/analitici quando accetti cookie opzionali.
Dati di sicurezza e diagnostica: IP, user agent, informazioni dispositivo/browser, log delle richieste, log degli errori e segnali anti-abuso.
Dati operativi di supporto: percorsi normalizzati delle pagine autenticate, azioni importanti su account e spazio di lavoro, decisioni sui limiti, stato e tempi di elaborazione, uso dei modelli IA, identificativi interni di correlazione e accesso amministrativo alle viste di indagine. Non inseriamo intenzionalmente contenuti dei documenti, credenziali, cookie o token di autorizzazione in questi eventi operativi.

Gli invii dall'app mobile Captura possono includere il token del QR o del link usato per collegare l'app, immagini o PDF scansionati, note facoltative e metadati di caricamento come piattaforma, origine, numero di documenti e user agent.

Per Telegram, l'organizzazione collega un bot che controlla e fornisce a ciascun cliente selezionato un invito personale con scadenza. Il bot mostra al cliente un breve avviso all'avvio del collegamento e l'organizzazione deve confermare il cliente prima che messaggi o documenti entrino nel servizio. Registriamo la versione, l'utente e la data dell'accettazione del canale da parte dell'organizzazione. Questa accettazione documenta una decisione di configurazione dell'organizzazione; non viene presentata come consenso del cliente né come base giuridica dell'organizzazione ai sensi del GDPR.

Per WhatsApp Business, l'organizzazione collega un account WhatsApp Business e un numero aziendale che possiede o è autorizzata a gestire. L'organizzazione stipula il contratto con Meta per il trasporto dei messaggi e configura direttamente la fatturazione Meta. I messaggi in entrata e i media supportati possono entrare in Captura. Ogni messaggio in uscita usa un permesso registrato per il numero e la finalità esatti e un modello Utility approvato. L'organizzazione può inviare richieste operative di documenti sottoposte a revisione o abilitare follow-up automatici configurati. I documenti sensibili devono essere caricati tramite il link privato e con scadenza del portale, anziché allegati a un messaggio WhatsApp in uscita.

L'organizzazione deve informare i clienti interessati, scegliere e documentare una base giuridica adeguata, registrare il permesso o altra autorizzazione alla messaggistica richiesta per il numero e la finalità esatti, rispettare le opposizioni e STOP e mantenere un'alternativa ragionevole. Un record di permesso in Il Mio Impiegato IA documenta l'evidenza operativa dell'organizzazione; da solo non stabilisce se il consenso GDPR sia la base giuridica corretta.

Non caricare categorie particolari di dati salvo che siano strettamente necessarie per il flusso contabile e la tua organizzazione disponga di una base giuridica per trattarle.

4. Finalita E Basi Giuridiche

Trattiamo dati personali per:

Fornire il servizio, autenticare utenti, gestire organizzazioni, processare upload, generare output revisionabili e consentire il download di documenti e dati fattuali. Base giuridica: esecuzione di un contratto o misure precontrattuali.
Gestire fatturazione, abbonamenti, fatture, calcolo delle imposte e supporto pagamenti. Base giuridica: esecuzione del contratto e obblighi legali.
Proteggere il servizio, prevenire abusi, mantenere sicurezza, risolvere incidenti e conservare log operativi. Base giuridica: legittimo interesse e, ove applicabile, obblighi legali.
Rispondere a richieste di contatto, supporto e vendita. Base giuridica: consenso, misure precontrattuali o legittimo interesse a seconda della richiesta.
Inviare notifiche di servizio, onboarding e comunicazioni importanti su account o fatturazione. Base giuridica: esecuzione del contratto e legittimo interesse.
Ricevere messaggi e media WhatsApp in entrata, instradarli nel flusso Captura dell'organizzazione, preparare o inviare tramite modelli Utility approvati richieste operative di documenti a numeri e per finalità con permesso registrato, mantenere link privati di richiesta e registrare evidenze di consegna, risposta, permesso e opt-out. Per i dati dei clienti e dei flussi, Performance Labs agisce secondo le istruzioni dell'organizzazione; l'organizzazione determina la base giuridica applicabile.
Migliorare il prodotto, misurare l'uso delle funzioni e comprendere i funnel di conversione. Base giuridica: legittimo interesse per analisi operative aggregate e consenso per cookie opzionali di analisi o pubblicita quando richiesto.
Rispettare obblighi legali, fiscali, contabili, consumeristici e regolamentari. Base giuridica: obbligo legale.

5. Dati Caricati Dalle Organizzazioni

Quando un'organizzazione carica o riceve documenti dai propri clienti, l'organizzazione e responsabile di avere l'autorita e la base giuridica necessarie per raccogliere e trattare tali documenti. Performance Labs SL tratta questi dati per fornire Il Mio Impiegato IA secondo la configurazione e le istruzioni dell'organizzazione, salvo quando dobbiamo trattarli per obblighi legali, di sicurezza o di fatturazione propri.

Le organizzazioni devono informare i propri clienti dell'uso di Il Mio Impiegato IA o di processori simili quando richiesto dalla normativa applicabile sulla protezione dei dati.

Un'organizzazione che abilita WhatsApp Business deve inoltre informare i clienti interessati che Meta/WhatsApp fornisce la rete esterna di messaggistica, che messaggi e media passano attraverso tale fornitore prima di entrare nello spazio di lavoro di Il Mio Impiegato IA, che ogni messaggio in uscita usa un modello Utility approvato e un permesso per il numero e la finalità esatti, come esercitare l'opt-out e come usare un'alternativa diversa da WhatsApp. La rimozione o disconnessione del canale non cancella automaticamente messaggi, documenti o evidenze di audit già ricevuti nello spazio di lavoro.

L'organizzazione che abilita Telegram deve informare i clienti che Telegram tratterà in modo indipendente e potrà archiviare nel cloud i contenuti inviati tramite quel canale secondo le proprie condizioni e informazioni sulla privacy. L'organizzazione deve decidere quando Telegram è appropriato, stabilire la base giuridica necessaria e mantenere disponibile un canale alternativo per l'invio dei documenti. Il cliente può interrompere il collegamento con il prodotto tramite il bot, ma deve contattare l'organizzazione se desidera anche che questa cancelli o limiti le copie già ricevute nel proprio spazio di lavoro.

6. Elaborazione Con IA

Il Mio Impiegato IA puo usare modelli IA e fornitori collegati per estrarre, classificare, riassumere o suggerire informazioni contabili strutturate da documenti e contesto operativo. Gli output IA possono essere incompleti o errati e devono essere verificati da una persona qualificata prima dell'uso.

Progettiamo il servizio affinche l'IA supporti flussi supervisionati. Non usiamo intenzionalmente documenti dei clienti per addestrare modelli fondazionali pubblici salvo che un accordo con il fornitore o una configurazione di prodotto lo consenta espressamente e il cliente sia stato informato.

7. Destinatari E Responsabili

Possiamo condividere dati personali con fornitori che aiutano a gestire Il Mio Impiegato IA, inclusi hosting, database, archiviazione file, invio email, autenticazione, analisi, elaborazione IA, pagamenti, calcolo fiscale, log e supporto.

Le categorie principali includono l'hosting dell'applicazione e del database in regioni UE, Cloudflare R2 per l'archiviazione dei documenti, Google Cloud Vertex AI per i flussi di inferenza IA configurati, Backblaze B2 per i backup cifrati, Stripe per la fatturazione e i pagamenti con calcolo fiscale e fornitori di email, autenticazione, analisi, sicurezza, logging o strumenti operativi quando abilitati. L'accordo sul trattamento dei dati e il registro dei sub-responsabili applicabili identificano i fornitori che trattano dati dei clienti e le rispettive funzioni.

Quando un'organizzazione collega WhatsApp Business, Meta/WhatsApp è il fornitore esterno di messaggistica scelto dal cliente e il destinatario dei dati di account, messaggio, media, modello, consegna e degli altri dati tecnici necessari per fornire tale canale. Il cliente possiede o controlla l'account WhatsApp Business collegato, accetta le condizioni Meta applicabili e paga direttamente a Meta i costi di trasporto. La precisa entità giuridica Meta, il ruolo, le ubicazioni del trattamento, il meccanismo di trasferimento e la catena contrattuale dipendono dall'account del cliente e dalle condizioni di prodotto Meta accettate per tale connessione. Pertanto non descriviamo categoricamente Meta come sub-responsabile di Performance Labs ai sensi dell'articolo 28 né come titolare autonomo senza questa mappatura specifica per il cliente.

Quando un'organizzazione abilita Telegram, Telegram gestisce in modo indipendente la rete di messaggistica e riceve, trasmette e può archiviare nel cloud i dati del bot, dell'account, dei messaggi e dei file necessari per quel canale. Telegram applica le proprie condizioni e informazioni sulla privacy a tale trattamento. Nella presente Informativa non descriviamo Telegram come nostro sub-responsabile ai sensi dell'articolo 28, perché il ruolo applicabile e la catena contrattuale di questo canale opzionale non sono stati definiti in tal senso.

I bucket Cloudflare R2 utilizzati per archiviare i documenti contabili di produzione sono configurati con la restrizione giurisdizionale dell'Unione europea. Cloudflare dichiara che questa restrizione garantisce che gli oggetti di tali bucket siano archiviati ed elaborati all'interno dell'Unione europea. La restrizione si applica agli oggetti R2 di tali bucket; altri trattamenti effettuati dai fornitori descritti nella presente Informativa possono avvenire in altri luoghi, come spiegato di seguito.

Le richieste IA per i flussi configurati relativi ai documenti contabili vengono inviate direttamente a Google Cloud Vertex AI tramite il relativo endpoint multiregionale dell'Unione europea. Ciò limita l'ubicazione dell'elaborazione di machine learning per tale percorso. Non significa che tutti i metadati del fornitore, i log di sicurezza, gli accessi del supporto, i sub-responsabili o i periodi di conservazione siano necessariamente limitati all'UE o soggetti a conservazione zero.

I file del progetto di backup Backblaze vengono cifrati da pgBackRest prima del caricamento e archiviati nella regione dell'account B2 EU Central, che Backblaze documenta attualmente come Amsterdam. Backblaze ha sede negli Stati Uniti. Il riferimento a EU Central riguarda i file dei clienti archiviati; non significa che metadati dell'account, fatturazione, supporto, operazioni di sicurezza, accesso del personale o sub-responsabili successivi siano esclusivamente nell'UE.

Possiamo inoltre comunicare dati quando richiesto dalla legge, per proteggere diritti e sicurezza, in una operazione societaria o secondo le tue istruzioni.

8. Trasferimenti Internazionali

Alcuni fornitori possono trattare dati fuori dallo Spazio Economico Europeo. In tali casi usiamo garanzie adeguate, come decisioni di adeguatezza della Commissione Europea, Clausole Contrattuali Standard, accordi di trattamento, impegni di sicurezza del fornitore o altri meccanismi leciti.

Il meccanismo di trasferimento utilizzato per ciascun fornitore rilevante è documentato nelle informazioni contrattuali e sui sub-responsabili applicabili. La configurazione di una regione di archiviazione non implica di per sé che tutti i trattamenti relativi ad account, supporto, sicurezza, personale o fornitori successivi siano limitati a tale regione.

L'infrastruttura di messaggistica, supporto, sicurezza e fornitori successivi di Meta/WhatsApp può comportare accesso o trattamento fuori dal SEE. Prima di abilitare WhatsApp, l'organizzazione e Performance Labs devono registrare l'entità Meta, le condizioni, il ruolo, le ubicazioni e le garanzie di trasferimento applicabili all'account collegato del cliente. Le condizioni pubbliche Meta per i fornitori tecnologici, il trattamento dei dati e l'addendum globale sul trasferimento dei dati sono state consultate il 2 agosto 2026; prevalgono le condizioni accettate nell'account se differenti.

L'infrastruttura e il supporto di Telegram possono comportare trattamenti in paesi al di fuori del SEE. Le relative ubicazioni, i meccanismi di trasferimento e la conservazione sono regolati dalle condizioni e dalle informazioni sulla privacy applicabili di Telegram. Le organizzazioni devono considerare tale trattamento indipendente prima di abilitare il canale e offrire ai clienti un'alternativa che non utilizzi Telegram.

9. Conservazione

Conserviamo i dati personali solo per il tempo necessario:

Dati account e organizzazione: mentre l'account o l'organizzazione sono attivi e per un periodo ragionevole successivo per supporto, audit e finalita legali.
Documenti contabili e dati di workflow: mentre l'organizzazione li mantiene nel servizio. Una prova senza carta scaduta viene conservata in sola lettura per 90 giorni, con avvisi di eliminazione intorno ai giorni 60 e 83; successivamente, i documenti e i dati estratti vengono eliminati definitivamente. Account, membri dell'organizzazione, registri di fatturazione e consenso e una cronologia minima di audit possono essere conservati per le rispettive finalita.
Dati di connessione WhatsApp conservati da Il Mio Impiegato IA: finché la connessione rimane attiva o per il periodo limitato necessario a completare la disconnessione, i controlli di sicurezza e la cancellazione. La disconnessione elimina il token di autorizzazione e il PIN di registrazione salvati e interrompe il futuro accesso del prodotto dopo il completamento della revoca o cancellazione dell'iscrizione dal lato del fornitore. Archiviare o sospendere una fonte non equivale a cancellarla.
Messaggi, media, corpi in uscita, record di consegna ed evidenze del flusso WhatsApp conservati da Il Mio Impiegato IA: secondo le stesse regole di conservazione e cancellazione dei relativi documenti contabili e dati del flusso. Le evidenze di permesso, revoca, STOP, accettazione del fornitore e consegna minima possono essere conservate separatamente per il periodo necessario a rispettare gli opt-out, dimostrare l'uso autorizzato, risolvere controversie e adempiere agli obblighi contrattuali o legali di registrazione applicabili.
Link privati per la richiesta di documenti: fino alla scadenza configurata, alla revoca anticipata, alla chiusura della revisione collegata o alla cancellazione dei dati del cliente o flusso collegati. L'attuale scadenza predefinita è fino a 30 giorni.
Dati del canale Telegram conservati da Il Mio Impiegato IA: le credenziali del bot vengono eliminate quando l'organizzazione scollega il bot e gli inviti non utilizzati e i collegamenti attivi dei clienti vengono revocati. I messaggi, i file, i registri di consegna e le evidenze di audit già ricevuti nello spazio di lavoro seguono le stesse regole di conservazione e cancellazione dei relativi documenti contabili e dati di workflow. Scollegare l'integrazione non elimina le copie che Telegram può conservare secondo le proprie regole.
Dati di fatturazione, fatture e imposte: per il periodo di conservazione richiesto dalla legge.
Log di sicurezza: per un periodo limitato adeguato a rilevare abusi, investigare incidenti e proteggere il servizio.
Eventi operativi di supporto e utilizzo dettagliato dell'IA: fino a 13 mesi. Gli indirizzi IP completi e gli user agent non elaborati in questa cronologia vengono rimossi dopo 30 giorni; le informazioni approssimative sulla rete o sul paese possono essere conservate per il resto del periodo.
Dati marketing e cookie: fino a revoca del consenso, scadenza del cookie o cessazione della necessita.

La cancellazione può essere ritardata quando la conservazione è necessaria per reclami, obblighi fiscali o contabili, indagini di sicurezza, integrità dei backup o adempimenti normativi. I dati dei clienti cancellati possono rimanere temporaneamente in copie di backup cifrate e ad accesso limitato. Le copie sono usate esclusivamente per sicurezza e disaster recovery, scadono secondo il calendario documentato e, se ripristinate, i record di cancellazione applicabili vengono riapplicati prima dell'uso ordinario. Il calendario contrattuale di conservazione e cancellazione indica il periodo applicabile alla versione del servizio accettata dall'organizzazione.

10. I Tuoi Diritti

Ai sensi della normativa applicabile, puoi avere diritto di accesso, rettifica, cancellazione, limitazione, opposizione al trattamento, portabilita, revoca del consenso e opposizione a decisioni automatizzate ove applicabile.

Per esercitare i tuoi diritti, contatta hola@miempleadoia.es. Potremmo dover verificare la tua identita e, per dati controllati da un'organizzazione, coordinarci con l'organizzazione che controlla lo spazio di lavoro.

Le istruzioni dettagliate sono disponibili nella pagina Istruzioni per la cancellazione dei dati.

Hai inoltre diritto di proporre reclamo all'Agenzia spagnola per la protezione dei dati (AEPD) o a un'altra autorita competente.

11. Cookie

Usiamo cookie e tecnologie simili per autenticazione, lingua, gestione del consenso, sicurezza, attribuzione, analytics e pubblicita quando abilitate. Consulta la nostra Cookie Policy per maggiori informazioni.

12. Sicurezza

Applichiamo misure tecniche e organizzative volte a proteggere i dati personali, inclusi controlli di accesso, separazione per tenant, autenticazione sicura, trasporto cifrato, accesso operativo limitato e pattern di trattamento orientati all'audit. Nessun sistema e completamente sicuro e gli utenti sono responsabili della gestione delle proprie credenziali e degli accessi del team.

13. Modifiche

Possiamo aggiornare questa Informativa sulla privacy per riflettere modifiche di prodotto, fornitori, legge o operativita. La versione aggiornata sara pubblicata su questa pagina con una nuova data di effetto quando opportuno.