Informativa sulla Privacy

La presente informativa descrive come raccogliamo, utilizziamo e proteggiamo i tuoi dati personali quando utilizzi i servizi SiltaTek (pannello web, app Android “SiltaFlow”, applicazione Windows “Label Creator”, estensione Chrome “Odoo Label Printer”), ai sensi del Regolamento UE 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.

1. Titolare del Trattamento

Martone Fabio (persona fisica)
Via del Carrara 43, 55010 Capannori (LU), Italia
C.F.: MRTFBA93P01G491B
Email: info@siltatek.com

2. Dati Personali Raccolti

2.1 Dati forniti dall’utente tramite Google Sign-In

• Indirizzo email
• Nome e cognome
• Foto profilo

Non raccogliamo password: l’autenticazione avviene interamente tramite Google OAuth 2.0.

2.2 Dati raccolti automaticamente dal pannello web

• Dati di accesso: data e ora di login
• Dati di utilizzo: tier licenza, stato licenza e abbonamento, trial, crediti disponibili e utilizzati, API key/licenze generate, revocate o hashate, dati tecnici di validazione dispositivi
• Preferenze: lingua, preferenze notifiche email
• Consensi GDPR: data di accettazione privacy e termini, versione accettata
• Log di audit: registrazione delle operazioni (azione, timestamp, dettagli)

2.3 Dati raccolti dalle applicazioni

App Android “SiltaFlow”:

• Identificativo dispositivo: codice dispositivo o hash SHA-256 non reversibile usato per attivazione, licenza, trial e controlli crediti. Il codice/hash può essere inviato a Firebase e ai servizi SiltaTek per validare l’abilitazione del dispositivo e prevenire abusi
• Informazioni dispositivo: nome commerciale (produttore + modello), piattaforma, versione Android
• Dati da fotocamera: le immagini catturate per scansione barcode e OCR di base sono gestite sul dispositivo tramite Google ML Kit e non vengono inviate ai server SiltaTek; se l’utente attiva funzioni AI/LLM o analisi documentale, testo, immagini o dati estratti possono essere inviati al provider configurato dall’utente
• Dati vocali: il riconoscimento vocale è gestito dal servizio di riconoscimento del dispositivo; Siltatek non riceve l’audio
• Comunicazione con server Odoo: l’app comunica direttamente con il server Odoo configurato dall’utente tramite JSON-RPC. Endpoint, credenziali e dati Odoo restano sotto il controllo dell’utente e non transitano attraverso i server SiltaTek
• Licenza, trial e crediti: l’app può inviare a Firebase e ai servizi SiltaTek device code/hash, identificativo app, API key/licenza o relativi hash, stato licenza/trial e utilizzo crediti per attivazione, validazione e contabilizzazione

App Windows “Label Creator”:

• Identificativo dispositivo: codice univoco generato tramite hash crittografico (SHA-256) non reversibile a partire da caratteristiche hardware del computer. Non consente di risalire ai dati originali
• Validazione licenza: verifica periodica (ogni 6 ore) con Firebase e servizi SiltaTek tramite device code/hash e API key/hash; possono essere trattati stato licenza, trial, tier, limiti dispositivo e crediti disponibili o consumati

Estensione Chrome “Odoo Label Printer”:

• Identificativo dispositivo: codice univoco generato tramite hash crittografico (SHA-256) non reversibile a partire da caratteristiche del browser. Non consente di risalire ai dati originali
• Interazione: l’estensione opera esclusivamente sulle pagine *.odoo.com e cattura i dati dei record Odoo visualizzati per consentire la stampa di etichette. Questi dati sono memorizzati localmente nel browser e non vengono inviati ai server SiltaTek salvo che l’utente attivi servizi remoti o AI configurati dall’utente
• Licenza e attivazione: l’estensione può verificare l’abilitazione tramite device code/hash e API key/hash con Firebase e servizi SiltaTek

2.4 Dati di pagamento

I pagamenti sono gestiti da Lemon Squeezy Inc. in qualità di Merchant of Record e da Stripe Inc. per la gestione abbonamenti. Non memorizziamo mai numeri di carta di credito, date di scadenza o codici CVV. Nel nostro database conserviamo esclusivamente identificativi di riferimento (customer ID, subscription ID) necessari per collegare il tuo account al servizio di pagamento.

2.5 Dati di supporto

Se utilizzi il sistema di ticket di supporto, memorizziamo: oggetto, descrizione e messaggi della conversazione. I ticket possono contenere dati personali se inseriti volontariamente dall’utente nel testo dei messaggi.

2.6 Dati raccolti tramite il modulo di contatto

Quando compili il modulo di contatto sul sito www.siltatek.com, raccogliamo:

• Dati identificativi: nome, cognome, indirizzo email
• Dati aziendali: nome dell’azienda (se fornito volontariamente)
• Contenuto della richiesta: motivo del contatto, prodotto di interesse, oggetto e testo del messaggio

Questi dati vengono inviati tramite email all’indirizzo info@siltatek.com e sono gestiti esclusivamente dal server di posta elettronica fornito da Aruba S.p.A., con server localizzati in Italia (UE). Le email ricevute sono utilizzate esclusivamente per rispondere alle richieste dell’utente e non vengono condivise con terze parti. Non utilizziamo i dati del modulo di contatto per finalità di marketing, profilazione o invio di comunicazioni non richieste. I dati vengono conservati per il tempo necessario alla gestione della richiesta e successivamente per un massimo di 12 mesi a fini di riferimento.

2.7 Dati NON raccolti

Non raccogliamo:

• Non raccogliamo dati di geolocalizzazione a fini di tracciamento: eventuali permessi posizione, Bluetooth o Wi-Fi richiesti dall’app Android servono solo per ricerca e connessione alle stampanti e non vengono inviati a Siltatek
• Dati di navigazione al di fuori delle pagine Odoo (per l’estensione Chrome)
• Dati biometrici (l’autenticazione biometrica dell’app Android opera esclusivamente sul dispositivo)
• Dati pubblicitari o advertising ID

3. Finalità e Base Giuridica del Trattamento

Non effettuiamo profilazione automatizzata né processi decisionali automatizzati ai sensi dell’art. 22 GDPR.

4. Sub-processori e Condivisione dei Dati

I tuoi dati personali sono condivisi esclusivamente con i seguenti sub-processori, necessari per l’erogazione del servizio:

* Firebase Authentication è un servizio globale: i dati di autenticazione possono transitare su server extra-UE. Tutti gli altri servizi Firebase (Firestore, Functions, Storage) operano nella regione europe-west1 (Belgio, UE).

I dati NON sono venduti a terzi. NON utilizziamo i dati per profilazione pubblicitaria.

5. Funzionalità AI e Provider Esterni

Alcune funzionalità delle applicazioni (generazione descrizioni prodotto, OCR fatture, suggerimenti campi, allineamento dati, analisi documentale) possono utilizzare servizi di intelligenza artificiale di terze parti.

Nessun provider AI è imposto dal servizio. L’utente sceglie e configura autonomamente il provider preferito (ad esempio OpenAI, Google Gemini, Anthropic, OpenRouter, DeepSeek, Ollama o un server locale/remoto proprio) e inserisce le proprie API key. I dati inviati a tali servizi possono includere prompt testuali, dati prodotto, dati Odoo, testo estratto da documenti, immagini o allegati necessari alla funzione richiesta. Tali invii dipendono dalla configurazione dell’utente e sono sotto la sua responsabilità, inclusa la valutazione dei termini e della privacy policy del provider scelto.

Per l’app Android, la scansione barcode e l’OCR di base usano Google ML Kit sul dispositivo. Le funzioni AI/LLM, quando abilitate, possono invece inviare i contenuti necessari ai server del provider configurato dall’utente.

6. Cookie e Tracciamento

Il pannello web utilizza esclusivamente cookie tecnici necessari per il funzionamento di Firebase Authentication (gestione sessione di login). Non utilizziamo:

• Cookie di profilazione o di terze parti
• Pixel di tracciamento (Meta Pixel, Google Ads, ecc.)
• Servizi di analytics (Google Analytics, Firebase Analytics, ecc.)
• Servizi di remarketing o advertising

L’app Android non utilizza advertising ID né servizi pubblicitari.

7. Conservazione dei Dati

8. Trasferimento dei Dati Extra-UE

I dati principali del servizio (database Firestore, Cloud Functions, Cloud Storage) sono conservati su server Firebase nella regione europe-west1 (Belgio, Unione Europea).

I seguenti trasferimenti extra-UE avvengono nel contesto del servizio:

• Firebase Authentication: servizio globale di Google — i dati di autenticazione (email, nome, foto) possono transitare su server al di fuori dell’UE
• Lemon Squeezy: server negli USA — dati di pagamento e fatturazione
• Stripe: infrastruttura globale — dati di pagamento
• SendGrid (Twilio): server negli USA — contenuto email transazionali
• Provider AI/LLM e server Odoo scelti dall’utente: possibile trasferimento verso paesi extra-UE in base alla configurazione dell’utente e alle policy del provider o hosting scelto

Tutti i trasferimenti extra-UE sono legittimati ai sensi dell’art. 46 GDPR attraverso:

• Adesione al EU-U.S. Data Privacy Framework (ove applicabile)
• Standard Contractual Clauses (SCCs) approvate dalla Commissione Europea
• Data Processing Agreement (DPA) stipulati con ciascun sub-processore

9. Diritti dell’Interessato

Ai sensi degli articoli 15-22 del GDPR, in qualità di interessato hai diritto di:

Risponderemo a ogni richiesta entro 30 giorni. In caso di complessità o numero elevato di richieste, il termine può essere prorogato di ulteriori 60 giorni con comunicazione motivata.

La cancellazione dell’account comporta l’eliminazione di: documento utente, API key, account di autenticazione, abbonamenti attivi. I log di audit contenenti il tuo userId vengono eliminati alla scadenza naturale (730 giorni). I dati di fatturazione sono conservati da Lemon Squeezy/Stripe per i termini previsti dalla legge.

10. Sicurezza dei Dati

Adottiamo le seguenti misure tecniche e organizzative per proteggere i tuoi dati:

• Crittografia in transito: tutte le comunicazioni avvengono tramite HTTPS/TLS
• Crittografia a riposo: i dati su Firebase sono protetti con crittografia AES-256
• Hash API key: le chiavi API sono memorizzate come hash SHA-256 (non reversibili)
• Crittografia credenziali: le credenziali memorizzate nelle applicazioni client sono criptate con AES-GCM e legate al dispositivo (device binding)
• Verifica webhook: tutti i webhook (Stripe, Lemon Squeezy) sono verificati con firma crittografica
• Rate limiting: limiti di frequenza su tutte le operazioni sensibili per prevenire abusi
• Audit log: registrazione di tutte le operazioni rilevanti con conservazione di 2 anni
• Accesso minimo: le regole di sicurezza Firestore limitano l’accesso ai dati al solo utente proprietario

11. Minori

Il servizio non è destinato a soggetti di età inferiore a 16 anni. Non raccogliamo consapevolmente dati personali di minori di 16 anni. L’accesso al servizio avviene tramite Google Account, che prevede proprie verifiche sull’età dell’utente in conformità con le leggi applicabili.

12. Comunicazioni

Non inviamo email di marketing, newsletter o comunicazioni promozionali.

Inviamo esclusivamente email transazionali tramite SendGrid, relative a:

• Scadenza e rinnovo licenze
• Notifiche su ticket di supporto (nuovo, risposta, risolto)
• Notifiche su contratti di supporto
• Upgrade richiesti

Puoi gestire le tue preferenze di notifica email dalla sezione Impostazioni del pannello (ticket, contratti, promemoria licenze).

13. Fornitori di Supporto (Provider)

Il servizio prevede la possibilità di acquistare supporto tecnico da fornitori terzi (“Provider”) registrati sulla piattaforma. Quando stipuli un contratto di supporto con un Provider, quest’ultimo avrà accesso a:

• Il tuo nome e indirizzo email
• I dettagli del contratto (applicazione, piano, durata)
• I messaggi dei ticket di supporto relativi al contratto

Questi dati sono condivisi solo con il Provider da te scelto e solo per la durata del contratto di supporto. I Provider sono tenuti a trattare i tuoi dati in conformità con la normativa vigente.

14. Modifiche alla presente Informativa

Ci riserviamo il diritto di aggiornare la presente informativa. In caso di modifiche sostanziali, ti informeremo tramite il pannello web o via email. La data dell’ultimo aggiornamento è indicata in cima a questo documento. L’uso continuato del servizio dopo la pubblicazione delle modifiche costituisce accettazione della nuova informativa.

15. Contatti e Autorità di Controllo

Per qualsiasi domanda sulla presente informativa, per esercitare i tuoi diritti o per segnalare problemi relativi al trattamento dei dati personali:

Email: info@siltatek.com
Sito web: www.siltatek.com

Hai inoltre il diritto di proporre reclamo all’autorità di controllo competente:

Garante per la Protezione dei Dati Personali
Piazza Venezia 11, 00187 Roma
www.garanteprivacy.it
Email: protocollo@gpdp.it

16. Assistenza, avvisi e sondaggi nell’app SiltaFlow

Gli utenti in prova e con licenza possono usare il centro comunicazioni nell’app per aprire ticket, scambiare messaggi con SiltaTek, ricevere avvisi e partecipare a sondaggi. È possibile aprire al massimo tre nuovi ticket per giorno solare (fuso Europe/Rome); le risposte nei ticket esistenti non consumano questo limite.

Dati trattati

• identificativo pseudonimo dell’installazione tramite autenticazione anonima Firebase, codice dispositivo conservato solo come hash SHA-256, lingua, versione dell’app e di Android, tipo di accesso (prova o licenza), piano e token FCM;
• categoria, priorità, oggetto, descrizione, messaggi, stato e date del ticket, oltre a nome ed email se forniti;
• consegna, visualizzazione, rinvio, eliminazione e risposta alle comunicazioni, incluse le risposte aperte o chiuse ai sondaggi.

Avvisi e sondaggi possono essere inviati a tutti oppure a installazioni selezionate in base a identificativo, prova/licenza, piano, lingua o versione dell’app. Le notifiche push mostrano soltanto un testo generico: il contenuto viene scaricato nell’app dopo l’autenticazione. Una comunicazione può essere rinviabile, eliminabile oppure, quando necessario per il servizio, richiedere una risposta prima di essere chiusa.

Finalità, base giuridica e conservazione

I dati sono trattati per erogare l’assistenza richiesta e le funzioni contrattuali, comunicare informazioni operative, raccogliere riscontri sul servizio, misurare consegne e risposte e prevenire abusi. Le basi giuridiche sono l’esecuzione del contratto o di misure precontrattuali e il legittimo interesse al funzionamento, alla sicurezza e al miglioramento del servizio. I sondaggi non sono usati per pubblicità comportamentale, profilazione o decisioni automatizzate e non devono essere utilizzati per inviare categorie particolari di dati personali.

I ticket chiusi e i relativi messaggi sono cancellati dopo 24 mesi; stati di consegna e interazione dopo 90 giorni; risposte ai sondaggi dopo 12 mesi dall’invio; installazioni e token non aggiornati dopo 180 giorni. I token FCM non validi vengono rimossi anche prima.