Informativa sulla privacy di Kroov

EVA AI TECHNOLOGIES (5 rue Ellenhard, 67000 Strasbourg, France), che pubblica Kroov, è titolare dei trattamenti descritti in questa informativa: quelli che riguardano gli utenti di Kroov e i visitatori del sito.

Per i dati che ci affida sui Suoi clienti e contatti (messaggi ricevuti dall’assistente di assistenza, persone chiamate dall’assistente telefonico, contenuti delle Sue basi di conoscenza), il titolare è Lei, cliente di Kroov; Kroov li tratta per Suo conto, come responsabile del trattamento, secondo l’accordo allegato alle condizioni generali di vendita.

Contatto per qualsiasi domanda sui Suoi dati: support@kroov.ai.

Secondo l’uso del servizio:

• Il Suo account: nome, indirizzo e-mail, password (memorizzata in forma hash) o accesso Google, lingua, fuso orario e l’accettazione delle nostre condizioni (versione, data, indirizzo IP, browser).
• Il Suo spazio: organizzazione, membri, ruoli, inviti, impostazioni.
• Il sito della Sua impresa che ci chiede di analizzare: pagine pubbliche lette, schermate, logo, caratteri e immagini rilevati, raccolti nella Sua scheda di marca.
• I Suoi contenuti: messaggi scambiati con gli assistenti, istruzioni, file caricati, basi di conoscenza, pubblicazioni, immagini e video prodotti.
• La memoria degli assistenti: ciò che chiede loro di ricordare e ciò che ricordano da soli se lo ha consentito, comprese le preferenze dedotte dalle Sue scelte; visibile, modificabile ed eliminabile da « Memoria ».
• Gli account di social e applicazioni che collega (LinkedIn, X, Facebook, Instagram, TikTok, YouTube, WhatsApp, Gmail o Outlook tramite Pipedream…): credenziali di connessione cifrate, nome e immagine dell’account, pubblicazioni fatte da Kroov.
• Gli scambi dei Suoi clienti con l’assistente di assistenza: nome, indirizzo e-mail o numero, messaggi, allegati, risposte inviate.
• Le chiamate dell’assistente telefonico: numero chiamato, missione, durata, trascrizione e resoconto. L’audio non è registrato.
• Fatturazione: piano, pagamenti, fatture, indirizzo di fatturazione e partita IVA (raccolti e conservati da Stripe; non vediamo mai il numero della Sua carta).
• Dati tecnici: indirizzo IP, browser, registro delle azioni nello spazio (registro di audit), registri di funzionamento.
• Prevenzione della frode in iscrizione: l’indirizzo IP e un identificativo di dispositivo (cookie « kroov_device ») della prima sessione di un account, e la verifica anti-robot di Google reCAPTCHA sulle pagine di iscrizione e di invito.

• Fornire il servizio: account, spazio, analisi della marca, produzione e pubblicazione di contenuti, assistenti, integrazioni. Base: esecuzione del contratto.
• Incassare e fatturare, tenere la contabilità. Base: esecuzione del contratto e i nostri obblighi di legge (conservazione dei documenti contabili).
• Mettere in sicurezza il servizio, prevenire frodi e abusi, tenere il registro di audit. Base: il nostro legittimo interesse a proteggere il servizio e i suoi utenti.
• Impedire iscrizioni automatizzate e l’abuso dei crediti offerti (una dotazione per dispositivo, tre per indirizzo IP su 30 giorni): verifica Google reCAPTCHA all’iscrizione e all’invito, identificativo di dispositivo e indirizzo IP. Base: il nostro legittimo interesse a proteggere il servizio dalla frode.
• ScriverLe a proposito del servizio: codici di verifica, inviti, avvisi di sicurezza, notifiche, fatture. Base: esecuzione del contratto. Non inviamo newsletter commerciali.
• Misurare l’audience delle pagine pubbliche del sito (Google Analytics, indirizzo IP anonimizzato), solo se lo accetta nel banner dei cookie. Base: il Suo consenso.
• Rispondere alle richieste delle autorità e rispettare i nostri obblighi di legge. Base: obbligo di legge.

Kroov si appoggia a modelli di intelligenza artificiale forniti da terzi (vedi sotto): le Sue istruzioni e i contenuti necessari a una produzione sono loro trasmessi per il tempo dell’elaborazione. Kroov non addestra alcun modello con i Suoi dati, e le condizioni d’uso delle API dei nostri fornitori escludono l’uso di quei dati per addestrare i loro modelli.

Le immagini e i video prodotti da Kroov portano un contrassegno leggibile da una macchina che indica che sono stati generati da IA. Nessuna decisione che produca effetti giuridici nei Suoi confronti è presa sul solo fondamento di un trattamento automatizzato. Se imposta l’assistente di assistenza in invio automatico, le sue risposte partono senza rilettura umana: è una Sua scelta, reversibile in qualsiasi momento.

Non vendiamo i Suoi dati e non li usiamo per pubblicità. Sono accessibili ai membri del Suo spazio secondo i loro diritti e la visibilità scelta (personale, condivisa, organizzazione), al team di Kroov quando serve per l’assistenza o la sicurezza, e ai nostri responsabili del trattamento, ciascuno per il suo ruolo:

• Hosting: Google Cloud, nell’Unione europea.
• Fornitori di modelli di intelligenza artificiale (testo, immagini, video, voce): produzione dei contenuti, delle risposte e delle chiamate che richiede.
• Google reCAPTCHA e Google Analytics: verifica anti-robot all’iscrizione, misura di audience se la accetta (secondo le regole sulla privacy e le condizioni d’uso di Google: https://policies.google.com/privacy, https://policies.google.com/terms).
• Stripe: pagamenti, fatturazione, calcolo dell’IVA.
• Fornitori tecnici: telefonia, invio e ricezione di e-mail, ricerca web, raccolta di dati pubblici dei social network, collegamento di applicazioni di terzi (Gmail, Outlook…).
• Meta, LinkedIn, X, TikTok, YouTube (Google), Telegram: pubblicazione e messaggi sui Suoi account, su Sua richiesta.

L’elenco nominativo dei nostri responsabili, con il loro paese e la garanzia che inquadra ogni trasferimento, è consultabile dai nostri clienti nell’applicazione (Impostazioni › Sicurezza e dati) e comunicato a chiunque lo richieda a support@kroov.ai.

Possiamo anche comunicare dati quando la legge lo richiede.

Se collega un canale YouTube, Kroov chiede a Google una sola autorizzazione (« youtube.force-ssl »: gestire i Suoi video e i Suoi commenti YouTube). Con essa, Kroov accede soltanto a:

• il Suo canale: identificativo, nome, indirizzo personalizzato e immagine;
• i video che pubblica da Kroov: il loro invio, lo stato dell’elaborazione e la loro eliminazione, su Sua richiesta;
• solo per quei video, nei 31 giorni successivi alla pubblicazione: le loro cifre (visualizzazioni, Mi piace, numero di commenti) e i loro commenti (testo, data, nome e identificativo del canale dell’autore).

Kroov non legge nessun altro video, né i Suoi abbonamenti, la cronologia, le playlist o gli altri dati del Suo account Google. Se accede a Kroov con Google, riceviamo anche il Suo nome, il Suo indirizzo e-mail e la Sua foto profilo, usati solo per creare l’account e farLa accedere.

Questi dati servono solo alle funzioni che usa in Kroov: pubblicare i Suoi video, mostrare i risultati e proporLe risposte ai commenti. Ogni nuovo commento è trasmesso ai nostri fornitori di modelli di IA, con il video interessato e la Sua scheda di marca, per redigere una proposta di risposta; nessuna risposta è pubblicata su YouTube senza la Sua approvazione. Né Kroov né questi fornitori usano questi dati per addestrare modelli di IA.

Non vendiamo i dati ricevuti da Google, non li usiamo per pubblicità né per valutare un merito creditizio, e li trasmettiamo solo ai responsabili necessari a queste funzioni (hosting e modelli di IA, vedi « Chi riceve i Suoi dati »). Il team di Kroov non li consulta, salvo con il Suo accordo esplicito (per esempio per rispondere a una richiesta di assistenza), per la sicurezza del servizio (indagine su un abuso) o per rispettare la legge.

L’uso da parte di Kroov delle informazioni ricevute dalle API di Google, e il loro trasferimento a qualsiasi altra applicazione, rispetta le regole sui dati utente dei servizi API di Google (Google API Services User Data Policy: https://developers.google.com/terms/api-services-user-data-policy), comprese le esigenze di uso limitato (Limited Use).

Collegando YouTube, accetta anche le condizioni d’uso di YouTube (https://www.youtube.com/t/terms); Google tratta i Suoi dati secondo le proprie regole sulla privacy (https://policies.google.com/privacy).

Conservazione: un commento è cancellato 30 giorni dopo l’ultima rilettura; le cifre sono conservate finché la Sua autorizzazione resta valida (la verifichiamo ogni ora).

Rimuovere l’accesso: rimuovere il canale dalla pagina « Account » di Kroov cancella subito i nostri token di accesso, i suoi commenti, le sue cifre, il nome e l’immagine, e revoca l’autorizzazione di Kroov presso Google; resta solo la traccia delle Sue pubblicazioni (il loro link). Eliminare il Suo account Kroov fa lo stesso per i canali che aveva collegato a titolo personale, e per tutti quelli dello spazio se lo spazio è eliminato per intero. Può anche rimuovere l’accesso in qualsiasi momento dalla pagina di sicurezza del Suo account Google (https://security.google.com/settings/security/permissions): i dati del canale sono allora cancellati entro 30 giorni.

Kroov è ospitato nell’Unione europea. Alcuni dei nostri responsabili sono stabiliti fuori dall’Unione europea, in particolare negli Stati Uniti e nel Sud-est asiatico, o vi trattano una parte dei dati. Questi trasferimenti sono inquadrati dalla decisione di adeguatezza della Commissione europea per le imprese certificate al quadro di protezione dei dati UE–Stati Uniti oppure, in mancanza, dalle clausole contrattuali tipo della Commissione europea, di cui può ottenere una copia a support@kroov.ai.

I Suoi dati sono conservati finché l’account esiste, salvo i dati tecnici seguenti, cancellati in automatico ogni notte:

• registro di audit (chi ha fatto che cosa nello spazio): 13 mesi;
• contenuti scambiati con i modelli di IA per produrre le Sue pubblicazioni (istruzioni, testi intermedi, risposte grezze): 6 mesi; costo e volume restano per la fatturazione;
• registro delle e-mail inviate: 1 anno;
• notifiche ricevute dai servizi collegati: 30 giorni;
• sessioni di accesso e codici di verifica scaduti: 7 giorni dopo la fine;
• indirizzo IP e identificativo di dispositivo rilevati all’iscrizione: 12 mesi, anche dopo l’eliminazione dell’account (altrimenti eliminare un account permetterebbe di ricevere di nuovo i crediti offerti);
• trascrizioni e resoconti delle chiamate: secondo la Sua impostazione, 30 giorni per impostazione predefinita (0 per non conservarli);
• file della libreria: secondo la Sua impostazione, 30 giorni per impostazione predefinita, salvo i file fissati;
• commenti ricevuti su YouTube: 30 giorni dopo l’ultima rilettura; dati di un canale YouTube (commenti, cifre, nome e immagine): cancellati appena viene rimosso, o entro 30 giorni se rimuove l’accesso da Google.

Fatture e documenti contabili sono conservati dieci anni, come richiede il codice di commercio. I backup del database sono cancellati a rotazione, al più tardi dopo 14 giorni.

Può eliminare il Suo account dalle impostazioni. L’indirizzo è liberato subito e tutte le sessioni sono chiuse, poi i Suoi dati sono cancellati, non solo disattivati:

• se era solo nel Suo spazio: tutto lo spazio (scheda di marca, pubblicazioni, file, chiamate, richieste di assistenza, memoria);
• se restano altri membri: i Suoi dati personali (conversazioni, memoria personale, file, account collegati a titolo personale, impostazioni). Ciò che appartiene allo spazio (pubblicazioni, scheda di marca, chiamate, richieste di assistenza, ricordi di organizzazione) resta a disposizione degli altri membri.

L’eliminazione è rifiutata finché un abbonamento a pagamento è in corso o finché è l’unico proprietario di uno spazio in cui lavorano altri. La traccia della Sua accettazione delle nostre condizioni è conservata, senza indirizzo IP né browser, come prova; i segnali di iscrizione (indirizzo IP, identificativo di dispositivo) restano fino al termine dei loro 12 mesi.

Ha diritto di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità dei Suoi dati, il diritto di revocare il consenso in qualsiasi momento e il diritto di definire direttive sul destino dei Suoi dati dopo la morte.

Dall’applicazione può già consultare ed esportare i Suoi dati (« I miei dati »), esportare la memoria (Markdown o JSON), correggere la scheda di marca e i ricordi, ed eliminare l’account. Per qualsiasi altra richiesta, scriva a support@kroov.ai; rispondiamo entro un mese.

Se ritiene che i Suoi diritti non siano rispettati, può presentare un reclamo alla CNIL (www.cnil.fr, 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07).

Proteggiamo i Suoi dati, e in particolare i dati sensibili (token di accesso ai Suoi account collegati, dati ricevuti da Google e dai social, scambi con i Suoi clienti), con le misure seguenti:

• Cifratura in transito: tutte le connessioni al servizio sono cifrate (HTTPS); il database accetta solo connessioni cifrate.
• Cifratura a riposo: il database, i suoi backup e i file sono cifrati sui server di Google Cloud, nell’Unione europea.
• Cifratura dei segreti da parte di Kroov: i token di accesso e di aggiornamento dei Suoi account collegati (YouTube compreso) e le credenziali delle integrazioni sono cifrati una seconda volta dall’applicazione (AES-256-GCM) prima di essere registrati; la chiave è conservata a parte, in Google Secret Manager. Anche i token dell’accesso con Google sono cifrati. Nessun token è mai rinviato al Suo browser.
• Accesso ristretto: il database è raggiungibile solo con un’autorizzazione Google Cloud (IAM); i file sono conservati in uno storage privato, chiuso a ogni accesso pubblico, e serviti con link temporanei validi al massimo 30 minuti; nell’applicazione, ogni accesso è verificato secondo l’appartenenza allo spazio, il ruolo e la visibilità dei dati (personale, condivisa, organizzazione).
• Minimizzazione: chiediamo a ogni servizio solo le autorizzazioni necessarie (una sola per YouTube); rimuovere un account cancella i nostri token e, per YouTube, revoca l’accesso presso Google; le durate di conservazione indicate sopra sono applicate da purge automatiche.
• Tracciabilità: le azioni sensibili (collegamento, rimozione o condivisione di un account, rifiuto di accesso) sono iscritte nel registro di audit, conservato 13 mesi.
• Protezione dagli abusi: limitazione del numero di richieste, verifica della firma delle notifiche ricevute dai servizi collegati.
• Incidenti: in caso di violazione dei Suoi dati, la notifichiamo alla CNIL entro 72 ore quando la legge lo richiede, e La avvisiamo senza ritardo se presenta un rischio elevato per Lei.

Possiamo modificare questa informativa. La data della versione è in cima alla pagina; a ogni versione importante, è invitato a prenderne conoscenza al prossimo accesso.