Informativa sulla privacy

In breve

Prima delle sezioni lunghe, le cose che di solito si vogliono sapere.

Non vendiamo dati a nessuno e non facciamo pubblicità comportamentale.
Non c'è nessun analytics di terze parti su questo sito: nessun Google Analytics, nessun pixel, nessun cookie di profilazione.
I dati stanno su server Amazon a Francoforte, in Unione Europea.
Per far funzionare l'assistente AI, la trascrizione delle riunioni e l'assistente telefonico, alcuni contenuti vengono inviati a fornitori negli Stati Uniti. Sono elencati uno per uno, con cosa ricevono, nella pagina dei sub-responsabili.
Le registrazioni audio delle riunioni vengono cancellate dopo 90 giorni. Restano la trascrizione e la minuta.
Se sei una persona i cui dati sono finiti dentro OSFreight perché hai scritto a un'azienda che lo usa, la sezione che ti riguarda è la C.

Chi tratta i tuoi dati

G8Labs S.r.l. unipersonale Via Pisa 74, 25014 Castenedolo (BS), Italia P.IVA e C.F. 04704320987

Per qualsiasi domanda o richiesta: privacy@osagent.eu

Non abbiamo nominato un responsabile della protezione dei dati (DPO): non rientriamo nei casi in cui il GDPR lo rende obbligatorio. Le richieste arrivano all'indirizzo qui sopra e le gestiamo direttamente.

Due ruoli diversi, e conviene tenerli distinti

OSFreight è un software che le aziende usano per lavorare sulla loro posta, i loro documenti e le loro riunioni. Questo fa sì che noi trattiamo due tipi di dati molto diversi, con due ruoli diversi.

Siamo titolari dei dati di chi visita questo sito, di chi ci contatta e di chi ha un account presso di noi. Su questi decidiamo noi, e questa informativa è quella che conta: sezioni A e B.

Siamo responsabili del trattamento per tutti i dati che i nostri clienti lavorano dentro OSFreight: la loro posta, i loro contatti, le loro riunioni. Su quei dati non decidiamo niente — li trattiamo solo su istruzione del cliente, sulla base di un accordo scritto (il DPA). Se i tuoi dati sono lì dentro, la sezione che ti riguarda è la C, e il titolare a cui rivolgerti è l'azienda con cui sei in contatto, non noi.

A. Se visiti questo sito

Cosa raccogliamo

Una misurazione essenziale delle visite. Ogni pagina che apri e ogni click sul pulsante di contatto vengono registrati con un identificativo casuale generato dal tuo browser e conservato in un cookie. Serve a sapere quante persone leggono cosa e quale versione della pagina funziona meglio.

Non registriamo il tuo indirizzo IP, non ti seguiamo su altri siti, non usiamo servizi di analisi di terze parti. La tabella dove finiscono questi dati ha quattro colonne — variante, evento, identificativo casuale, data — e non ce n'è una per l'indirizzo IP.

Base giuridica: nostro legittimo interesse (art. 6.1.f GDPR) a capire se il sito funziona. È un interesse che pesa poco su di te proprio perché la misurazione è ridotta al minimo.
Conservazione: 24 mesi.

I cookie, quattro in tutto e tutti nostri, sono elencati nell' informativa cookie.

Se scrivi nella chat del sito

La chat pubblica è gestita da un assistente AI che risponde sulla base della documentazione del prodotto.

Trattiamo: il testo che scrivi, il tuo indirizzo email se scegli di lasciarlo, e un valore derivato dal tuo indirizzo IP tramite una funzione di hash — non l'IP: il suo hash, che serve solo a impedire che una singola connessione monopolizzi il servizio.

Il testo della conversazione viene inviato ad Anthropic (Stati Uniti) per generare le risposte. Quando la conversazione finisce, se hai lasciato un indirizzo, un riepilogo e la trascrizione entrano nella nostra coda dei contatti, così possiamo risponderti.

Base giuridica: esecuzione di misure precontrattuali su tua richiesta (art. 6.1.b) per il contatto; legittimo interesse (art. 6.1.f) per il funzionamento e per l'antiabuso.
Conservazione: 24 mesi.

Una raccomandazione pratica: è una chat commerciale, non un servizio clienti. Non scriverci dati sensibili o riservati.

Se ci scrivi o prenoti una call

Il pulsante per prenotare una call porta su CalendarBridge, un servizio esterno. Da quel momento sei sul loro sito e vale la loro informativa: noi riceviamo l'appuntamento, non la tua navigazione.

B. Se hai un account su OSFreight

Vale per te e per i tuoi colleghi che accedono al pannello.

Cosa trattiamo, e perché

Dati	Perché
Nome, indirizzo email, password (conservata come hash)	crearti l'accesso e farti entrare
Numero di cellulare e PIN (come hash), se attivi l'assistente telefonico	riconoscerti al telefono
Segreto dell'autenticazione a due fattori e codici di recupero, cifrati	proteggere l'accesso
Indirizzo IP e browser della sessione di login	sicurezza dell'accesso
Indirizzo IP di chi accetta queste condizioni, con data e versione del testo	poter dimostrare, se serve, chi ha accettato cosa e quando
Registro delle azioni compiute nel pannello	poter ricostruire chi ha fatto cosa
Ragione sociale, dati di fatturazione, movimenti del credito	fatturarti il servizio

Base giuridica: esecuzione del contratto (art. 6.1.b) per accesso e fatturazione; obbligo di legge (art. 6.1.c) per le scritture contabili; legittimo interesse (art. 6.1.f) per sicurezza e registro delle azioni.
Conservazione: per tutta la durata del contratto e 30 giorni dopo la sua chiusura, salvo i dati contabili, che la legge ci obbliga a conservare 10 anni. Il registro delle azioni e i log di accesso: 24 mesi.

Accesso del nostro personale ai dati della tua organizzazione

Per assistenza, un amministratore di G8Labs può accedere all'area della tua organizzazione. Ogni ingresso e ogni uscita vengono registrati nel registro delle azioni, che tu puoi consultare. Il personale è vincolato alla riservatezza, e le condizioni di questo accesso sono scritte nel DPA.

C. Se i tuoi dati sono dentro OSFreight perché hai a che fare con un'azienda che lo usa

Questa sezione riguarda le persone che non hanno mai scelto OSFreight e magari non sanno che esiste:

chi scrive un'email a un'azienda che usa OSFreight, o è in copia su un thread;
chi partecipa a una riunione che quell'azienda registra e fa trascrivere;
chi telefona al numero dell'assistente vocale;
chi scrive su WhatsApp a un numero collegato al software.

Il punto che conta

In questi casi il titolare del trattamento è l'azienda con cui sei in contatto, non noi. È lei che decide di usare OSFreight, che carica una registrazione, che collega una casella. Noi eseguiamo le sue istruzioni.

Quindi: se vuoi sapere quali tuoi dati sono trattati, chiederne una copia, correggerli o cancellarli, la richiesta va rivolta a quell'azienda. Se la mandi a noi, non la ignoriamo: la giriamo al cliente e diamo a lui l'assistenza tecnica che ci chiede, ma non possiamo decidere al posto suo.

Cosa finisce nel software, in concreto

Se un operatore collega il proprio calendario, ci finiscono anche gli appuntamenti di lavoro: oggetto, luogo, descrizione, orario e le persone invitate. Il calendario viene solo letto, mai modificato, e gli appuntamenti segnati come privati non vengono importati.

Email: mittente, destinatari, Cc, oggetto, testo integrale, allegati.
Contatti: chi compare in un'email diventa una voce della rubrica — nome, indirizzo, telefono e azienda quando sono noti.
Riunioni: il file audio, la trascrizione integrale, la suddivisione per interlocutore, il riassunto e le decisioni estratte.
Telefonate all'assistente vocale: il tuo numero, e il testo di quello che dici, così come trascritto. Il tuo numero viene registrato dal momento in cui il telefono squilla, anche se poi la chiamata non prosegue.
WhatsApp: numero e testo dei messaggi.

Dove va a finire

Per produrre riassunti, bozze di risposta e minute, questi contenuti vengono inviati ai fornitori elencati nella pagina dei sub-responsabili. In breve: i contenuti testuali ad Anthropic, l'audio delle riunioni a Deepgram, la voce delle telefonate a Twilio. Tutti e tre negli Stati Uniti.

Quanto resta

L'audio delle riunioni: 90 giorni, poi lo cancelliamo. Trascrizione e minuta restano.
Tutto il resto: finché dura il contratto fra noi e l'azienda titolare, più 30 giorni.

Un limite che preferiamo dire

Se il tuo nome compare dentro il testo di un'email o di una trascrizione, cancellare la tua scheda dalla rubrica non lo toglie da lì. Riscrivere il contenuto della corrispondenza di qualcun altro non sarebbe una cancellazione: sarebbe alterare un archivio. La valutazione su cosa sia lecito conservare spetta al titolare, cioè all'azienda con cui sei in contatto.

I dati che arrivano dai servizi Google (Limited Use)

Questa sezione vale se colleghi a OSFreight una casella Gmail o Google Workspace, un calendario Google o un Google Drive. Google chiede che sia scritta in modo esplicito, e serve anche a te: sono i tuoi dati.

Cosa leggiamo, e solo perché.

Cosa colleghi	Cosa vediamo	Perché
Casella Gmail / Workspace	i messaggi della casella collegata, e l'invio delle risposte da quella casella	trasformare le email in ticket e mandare le risposte che approvi
Google Calendar	gli appuntamenti del calendario collegato, in sola lettura	preparare le riunioni della giornata. Non scriviamo, non spostiamo, non cancelliamo niente
Google Drive	i file delle cartelle che indichi, in sola lettura	far trovare all'assistente i documenti quando li cerchi

Vediamo solo gli account che qualcuno collega esplicitamente dal pannello, non la posta o i file della tua azienda in generale. Il collegamento si toglie quando vuoi, dal pannello o da myaccount.google.com/permissions: da quel momento non entra più niente.

Dove finiscono. Sui server in Unione Europea descritti sopra. I contenuti delle email e dei documenti che passano dall'assistente AI o dalla trascrizione vengono inviati ai fornitori elencati nella pagina dei sub-responsabili, alle condizioni descritte nella sezione sui trasferimenti fuori dall'UE. Valgono le durate di conservazione scritte più avanti, e la cancellazione dell'organizzazione porta via anche questi.

Cosa non facciamo, mai.

Non li usiamo per pubblicità, né nostra né di altri, e non li vendiamo.
Non li usiamo per addestrare modelli di intelligenza artificiale, né nostri né dei fornitori a cui li inviamo per farti funzionare le funzioni.
Non li leggiamo con occhi umani, salvo i casi che il GDPR e Google consentono: se ce lo chiedi tu per assistenza, se serve per motivi di sicurezza o per un obbligo di legge, oppure su dati resi anonimi e aggregati. Ogni accesso del nostro personale è registrato (sezione B).
Non li trasferiamo a nessuno se non per farti funzionare le funzioni che vedi nel software, o quando la legge ce lo impone.

La formula che Google richiede, riportata anche in inglese perché è nella lingua in cui il testo viene esaminato:

L'uso e il trasferimento, da parte di OSFreight, delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, compresi i requisiti di Limited Use.

OSFreight's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

I fornitori a cui comunichiamo dati

L'elenco completo, aggiornato, con cosa riceve ciascuno e in quale paese, sta nella pagina dei sub-responsabili. È una pagina separata perché cambia più spesso di questa, e perché i nostri clienti hanno diritto di essere avvisati quando cambia.

Trasferimenti fuori dall'Unione Europea

Server, database, file e backup stanno in Unione Europea (Amazon Web Services, regione di Francoforte).

Escono dall'UE i contenuti inviati ai fornitori di intelligenza artificiale, trascrizione e telefonia, che hanno sede negli Stati Uniti. Il trasferimento avviene sulla base delle clausole contrattuali standard approvate dalla Commissione Europea, previste nei contratti di ciascuno di essi.

Detto senza giri di parole: se non vuoi che i contenuti del tuo lavoro passino da fornitori statunitensi, l'assistente AI, la trascrizione delle riunioni e l'assistente telefonico non sono funzioni che puoi usare. Sono disattivabili.

Sicurezza

Cosa facciamo davvero, senza aggettivi:

Traffico cifrato (HTTPS) fra il tuo browser e il servizio, e verso tutti i fornitori.
Password delle caselle di posta, token di accesso, segreti a due fattori e PIN sono cifrati dentro il database con una chiave che non sta nel database.
Dischi e backup cifrati a riposo dal fornitore infrastrutturale.
Isolamento fra organizzazioni: ogni dato appartiene a un'organizzazione, e il software è costruito in modo che una richiesta che non dichiara a quale organizzazione appartiene fallisca, invece di vedere tutto.
Autenticazione a due fattori disponibile, e attivabile come obbligatoria.
Backup giornalieri del database.

E cosa non facciamo, perché sarebbe scorretto lasciarlo intendere: i contenuti — corpi delle email, trascrizioni, note — non sono cifrati singolarmente dentro il database. Sono protetti dalla cifratura del disco, dal controllo degli accessi e dalla cifratura del traffico, non da una chiave per cliente.

Per quanto tempo teniamo le cose

Dato	Quanto resta
Audio delle riunioni	90 giorni
Email, allegati, contatti, trascrizioni, minute, attività	durata del contratto + 30 giorni
Account e dati di accesso	durata del contratto + 30 giorni
Registro delle azioni e log di accesso	24 mesi
Chat pubblica del sito e contatti raccolti	24 mesi
Misurazione delle visite	24 mesi
Dati contabili e movimenti del credito	10 anni (obbligo di legge)
Backup del database	fino a 7 giorni oltre la cancellazione

Sull'ultima riga vale la pena essere espliciti, perché quasi nessuno lo scrive: quando cancelliamo un dato, quel dato resta ancora nei backup finché il backup che lo contiene non viene sovrascritto dal ciclo di rotazione. Sono al massimo 7 giorni. I backup non sono consultabili nell'uso ordinario: si aprono solo per ripristinare il servizio dopo un guasto.

I tuoi diritti

Puoi chiederci in qualsiasi momento di:

sapere quali dati trattiamo su di te e ottenerne una copia (artt. 15, 20);
correggerli se sono sbagliati (art. 16);
cancellarli (art. 17);
limitarne il trattamento (art. 18);
opporti al trattamento fondato sul nostro legittimo interesse (art. 21) — vale per la misurazione delle visite e per il contatto commerciale.

Scrivi a privacy@osagent.eu. Rispondiamo entro un mese, prorogabile di due se la richiesta è complessa (te lo diremo). Non chiediamo soldi, salvo richieste manifestamente ripetitive.

Ricorda la sezione C: se i tuoi dati sono dentro il software di un nostro cliente, il titolare è lui. Ti diremo chi è, se non lo sai già, e giriamo a lui la richiesta.

Se pensi che stiamo sbagliando

Puoi presentare reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it), o rivolgerti all'autorità giudiziaria. Ci farebbe comodo saperlo prima, ma è un tuo diritto e non una cortesia.

Modifiche a questa informativa

Quando cambia qualcosa di sostanziale — un fornitore nuovo, una finalità nuova — aggiorniamo questa pagina e cambiamo la data in alto. Ai clienti con un contratto attivo lo comunichiamo per email, perché per loro è un obbligo contrattuale nostro, non una gentilezza.

Ultimo aggiornamento: 21 agosto 2026.