Privacy.
Nella piattaforma.

La presente traduzione italiana è fornita esclusivamente a titolo informativo. Fa fede unicamente la versione tedesca; in caso di divergenze prevale la versione tedesca. Leggi la versione tedesca

1. Titolare del trattamento

Il titolare del trattamento dei dati nella piattaforma è:

Il fornitore e gestore della piattaforma nonché sviluppatore del software Finaure è JSLM Products & Services GmbH (di seguito “noi”). Ulteriori informazioni sono disponibili nelle note legali.

2. Ambito di applicazione e ruoli

La presente informativa si applica all’utilizzo della piattaforma Finaure (l’applicazione dopo l’accesso) da parte dei nostri clienti e di tutti gli utenti da essi invitati, ad esempio familiari, assistenti o consulenti, nonché ai soggetti esterni che accedono a singoli contenuti tramite un link di condivisione. Per la visita del nostro sito web si applica l’informativa sulla privacy del sito web.

Due ruoli: per il vostro account cliente, la fatturazione e la sicurezza della piattaforma siamo noi il titolare del trattamento. Se, in qualità di cliente, inserite dati di terzi (ad es. di conduttori, dipendenti, controparti contrattuali o familiari), siete voi il titolare del trattamento di tali dati e noi li trattiamo in qualità di vostro responsabile del trattamento ai sensi dell’accordo sul trattamento dei dati (Condizioni generali, Allegato 3).

3. Dove sono conservati i vostri dati

Tutti i dati memorizzati in modo permanente, ossia dati anagrafici, patrimoniali e relativi alle transazioni, documenti e sessioni, sono conservati presso Supabase su server nell’Unione europea (Germania), crittografati sia a riposo sia durante la trasmissione. L’interfaccia dell’applicazione è distribuita tramite Netlify; lì non vengono memorizzati dati degli utenti.

Alcuni destinatari hanno sede al di fuori dell’UE o appartengono a società statunitensi, ad esempio Anthropic per il trattamento tramite IA (punto 8), Cloudflare per la protezione dai bot e Google per l’accesso facoltativo con Google (punto 5). Tutti i destinatari e le garanzie per i trasferimenti verso paesi terzi sono indicati al punto 15.

4. Dati trattati

• Dati dell’account e anagrafici: nome, indirizzo e-mail, indirizzo di fatturazione, ruoli, impostazioni, livello di licenza scelto.
• Dati patrimoniali e finanziari: entità e partecipazioni, beni patrimoniali, conti bancari con saldi e movimenti, depositi titoli, contratti, giustificativi, dati di pianificazione.
• Documenti e immagini: file da voi caricati (PDF, JPG, PNG) e i contenuti da essi estratti.
• Dati di terzi da voi inseriti (cfr. punto 2).
• Dati tecnici e registri: eventi di accesso, eventi di audit, registri degli errori e di funzionamento (punto 17).
• Nessuna credenziale di accesso bancario: le vostre credenziali di online banking non ci pervengono in alcun momento (punto 9).

5. Registrazione e accesso

Al momento della registrazione trattiamo il vostro indirizzo e-mail, il vostro nome, il vostro indirizzo di fatturazione e il livello di licenza scelto. Il vostro indirizzo e-mail viene verificato prima dell’attivazione. Memorizziamo le password esclusivamente sotto forma di hash crittografico.

Per proteggerci dalle registrazioni automatizzate utilizziamo Cloudflare Turnstile (Cloudflare, Inc., USA). A tal fine il vostro indirizzo IP e segnali tecnici del browser vengono trasmessi a Cloudflare per distinguere le persone dai bot.

Potete anche accedere con il vostro account Google. In tal caso la pagina di accesso vi reindirizza a Google; dopo la vostra conferma, Google Ireland Limited (Gordon House, Barrow Street, Dublino 4, Irlanda) ci trasmette il vostro indirizzo e-mail, il vostro nome, eventualmente la vostra immagine del profilo e un identificativo Google. La vostra password Google non ci viene mai trasmessa. L’accesso con Google è facoltativo; potete accedere anche con indirizzo e-mail e password. Per il trattamento da parte di Google si applica l’informativa sulla privacy di Google.

L’autenticazione a due fattori (TOTP) funziona con qualsiasi app di autenticazione di uso comune e si svolge interamente tramite la nostra infrastruttura di accesso presso Supabase, senza ulteriori fornitori terzi. Memorizziamo gli otto codici di recupero esclusivamente sotto forma di hash. Le sessioni hanno una data di scadenza, possono essere terminate da voi e si concludono automaticamente dopo un periodo di inattività da voi impostabile.

6. Utilizzo della piattaforma

Trattiamo i dati da voi inseriti, caricati o acquisiti tramite il collegamento bancario per mettervi a disposizione le funzioni della piattaforma: panoramiche del patrimonio e della struttura, analisi, pianificazioni, attività, report ed esportazioni per il vostro consulente. I documenti caricati sono conservati in modo separato per ciascuno spazio cliente e sono accessibili solo previo accesso, tramite link firmati di breve durata.

7. Ruoli, registri, assistenza

I clienti invitano utenti e assegnano ruoli per ciascuna entità (proprietario, amministratore, gestore, assistente, membro, consulente). I dati visibili a ciascun utente sono stabiliti e applicati lato server. Le azioni rilevanti per la sicurezza sono registrate in un registro di audit consultabile solo da proprietari e amministratori.

Assistenza: i nostri collaboratori accedono a uno spazio cliente solo nella misura necessaria a risolvere una richiesta; tali accessi sono registrati e mostrati al proprietario nella piattaforma. Non abbiamo accesso a pagamenti o collegamenti bancari. Le richieste di servizio, come il ripristino dell’autenticazione a due fattori, sono gestite previa verifica dell’identità tramite e-mail di conferma, senza accedere ai contenuti.

8. Funzioni di IA

Per le funzioni di IA ci avvaliamo dell’Anthropic Claude API (Anthropic PBC, USA) in qualità di responsabile del trattamento, ossia dell’interfaccia commerciale e non del prodotto destinato ai consumatori finali. In base al contratto di volta in volta vigente con Anthropic, i contenuti non vengono memorizzati dopo il trattamento e non vengono utilizzati per l’addestramento di modelli di IA (attualmente: Zero Data Retention). Per ciascuna funzione inviamo solo i dati necessari:

Nell’analisi dei documenti l’oggetto del trattamento è il documento stesso: se contiene nomi, ad esempio in una fattura, questi vengono analizzati all’interno del documento. Le targhe o i numeri di telaio dei veicoli riconosciuti vengono memorizzati presso il bene patrimoniale e non vengono trasmessi all’assistente di chat.

Trasparenza e controllo: ogni interazione con l’IA è contrassegnata come tale (art. 50 del regolamento sull’IA). I risultati dell’IA sono proposte che potete confermare o modificare. Potete utilizzare SmartAssist solo dopo aver prestato il vostro consenso esplicito, revocabile in qualsiasi momento nelle impostazioni; per i caricamenti è disponibile una procedura manuale senza IA. Ogni risposta di SmartAssist indica su quali dati si basa. Le indicazioni di valore per beni materiali sono stime basate sulle conoscenze del modello, senza dati di mercato, e non costituiscono una valutazione. Registriamo soltanto il fatto che un’analisi ha avuto luogo, non il suo contenuto né il suo esito.

9. Collegamento bancario (finAPI)

Collegate i conti bancari tramite finAPI GmbH, Monaco di Baviera, un servizio di informazione sui conti e di disposizione di ordini di pagamento vigilato dalla BaFin. L’accesso alla vostra banca, inclusa l’autenticazione forte del cliente, avviene direttamente tra voi, finAPI e la vostra banca; le vostre credenziali di online banking non ci pervengono mai. Riceviamo e memorizziamo nell’UE informazioni sui conti quali saldi, movimenti e consistenze dei depositi titoli. Gli accessi bancari sono memorizzati per ciascun utente. Il consenso all’accesso ai conti lo prestate e lo gestite presso finAPI e la vostra banca. Le disposizioni di pagamento vengono da voi autorizzate nella piattaforma secondo la procedura di approvazione impostata; il pagamento viene disposto tramite finAPI e autorizzato ed eseguito secondo la procedura della vostra banca. I pagamenti passano esclusivamente tramite finAPI; Finaure non ha in alcun momento accesso al vostro denaro. Alla cessazione del contratto gli accessi creati presso finAPI vengono rimossi nell’ambito della cancellazione.

10. Fatturazione

La fatturazione dell’abbonamento avviene tramite il servizio di fatturazione Fynn (Fynn GmbH, Barthelstraße 4, 50823 Colonia, Germania). I dati di pagamento, come i dati della carta o del conto, sono trattati esclusivamente da tale servizio o dal rispettivo prestatore di servizi di pagamento; noi memorizziamo solo lo stato dell’abbonamento e i numeri di riferimento. Per singoli contratti esistenti utilizziamo ancora Stripe (Stripe Payments Europe, Ltd., Irlanda); questo collegamento sarà sostituito. Il servizio di fatturazione ci comunica la fine del periodo di prova e il livello di licenza tramite notifiche protette con firma verificata.

11. E-mail

Le e-mail di sistema (ad es. inviti, scadenze, avvisi relativi al contratto, notifiche sui report) vengono inviate tramite Brevo (Sendinblue SAS, Parigi). Le nostre e-mail non contengono né dati patrimoniali né allegati; i report sono messi a disposizione tramite un link di download che scade dopo 14 giorni. Nei nostri registri memorizziamo soltanto un hash dell’indirizzo del destinatario.

Se ci scrivete via e-mail, il vostro messaggio viene ricevuto nelle nostre caselle di posta presso Hostinger (Hostinger International Ltd., Cipro) e gestito con Microsoft 365 (Microsoft Ireland Operations Ltd.).

12. Link per soggetti esterni

Potete condividere singole attività, data room o report tramite link per soggetti esterni, ad esempio con il vostro consulente o il vostro notaio. I link si basano su token casuali a 256 bit, dei quali memorizziamo soltanto un hash. Ogni link vale per un solo elemento condiviso, sono a tempo determinato (attività 14 giorni, data room 30 giorni, report 14 giorni), revocabili in qualsiasi momento e protetti contro gli accessi automatizzati. Ogni accesso viene registrato con data e ora nonché con l’hash dell’indirizzo IP e dell’identificativo del browser ed è consultabile da voi. La scelta dei destinatari spetta a voi.

13. Rilevamento degli abusi e dei bot

Per riconoscere accessi automatizzati senza il nostro consenso analizziamo segnali privi di dati di contenuto: contatori di interazione, elementi esca invisibili per le persone e uno pseudonimo di sessione casuale per ciascuna scheda del browser, che cessa con la chiusura della scheda. Non ha luogo alcun tracciamento tra dispositivi; non vengono installati cookie a fini pubblicitari o di analisi. L’accesso alla memoria del browser è strettamente necessario per la sicurezza del servizio (§ 25, comma 2, n. 2, della legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali, TDDDG). In caso di sospetto informiamo il gestore e, se del caso, terminiamo la sessione.

14. Dati di mercato senza riferimento a persone

Quotazioni, prezzi dei metalli preziosi, tassi di cambio e feed di notizie pubblici vengono da noi acquisiti esclusivamente tramite i nostri server (tra l’altro Twelve Data, Metals-API, Frankfurter API/BCE nonché fonti di notizie pubbliche). In tale ambito vengono trasmessi soltanto simboli di titoli o richieste di feed, nessun dato che vi riguarda e non il vostro indirizzo IP.

15. Destinatari e trasferimento verso paesi terzi

Non vendiamo dati. Trasmettiamo dati solo ai seguenti fornitori di servizi, da noi vincolati contrattualmente in qualità di responsabili del trattamento (art. 28 GDPR), oppure qualora vi siamo obbligati per legge. L’elenco completo è riportato nelle Condizioni generali, Allegato 4.

Qualora un fornitore sia certificato nell’ambito dell’EU-US Data Privacy Framework, il trasferimento si basa sulla decisione di adeguatezza della Commissione europea (art. 45 GDPR); negli altri casi, sulle clausole contrattuali tipo dell’UE (art. 46, par. 2, lett. c) GDPR). Su richiesta potete ottenere una copia delle garanzie.

16. Basi giuridiche

Il conferimento dei dati dell’account e contrattuali è necessario per la conclusione del contratto; in loro assenza non possiamo mettervi a disposizione la piattaforma. Su tutti gli ulteriori dati decidete voi.

17. Durata di conservazione e cancellazione

Dopo la cessazione del contratto disponete per 90 giorni di un accesso in sola lettura e potete scaricare un pacchetto di esportazione completo (tutti i documenti nonché i dati principali in formato CSV). Vi inviamo un promemoria all’inizio di tale periodo nonché 30 e 7 giorni prima della scadenza. Successivamente cancelliamo definitivamente tutti i dati del vostro spazio cliente, compresi i documenti e gli accessi presso finAPI. Su richiesta effettuiamo la cancellazione anche prima. Non vengono registrati contenuti dei documenti, risposte dell’IA, credenziali di accesso bancario e password.

18. I vostri diritti

Ai sensi del GDPR vi spettano i seguenti diritti:

• accesso (art. 15) e portabilità dei dati (art. 20), nella piattaforma tramite il pacchetto di esportazione
• rettifica (art. 16), direttamente nella piattaforma
• cancellazione (art. 17) con cancellazione definitiva registrata
• limitazione del trattamento (art. 18)
• opposizione ai trattamenti basati sull’art. 6, par. 1, lett. f), per motivi connessi alla vostra situazione particolare (art. 21)
• revoca dei consensi prestati con effetto per il futuro (art. 7, par. 3), ad esempio per SmartAssist nelle impostazioni

È sufficiente un’e-mail a info@finaure.eu. Se la vostra richiesta riguarda dati inseriti da un cliente in qualità di titolare del trattamento (punto 2), la inoltriamo a quest’ultimo.

Avete inoltre il diritto di proporre reclamo a un’autorità di controllo per la protezione dei dati (art. 77 GDPR), in particolare nello Stato in cui risiedete abitualmente. L’autorità competente per noi è il Commissario dell’Assia per la protezione dei dati e la libertà d’informazione (Hessischer Beauftragter für Datenschutz und Informationsfreiheit, HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden. Altre autorità di controllo: Austria – Datenschutzbehörde (DSB); Italia – Garante per la protezione dei dati personali; Francia – CNIL; Spagna – AEPD; Croazia – AZOP.

19. Sicurezza dei dati

Hosting nell’UE su infrastruttura certificata SOC 2 Type 2, crittografia a riposo (AES-256) e durante la trasmissione (TLS 1.2 o superiore), separazione degli spazi cliente imposta lato server (Row Level Security), modello di ruoli e di visibilità, autenticazione a due fattori, principio dei quattro occhi per i pagamenti, header di sicurezza, timeout di sessione e backup giornalieri. La descrizione completa è riportata nelle misure tecniche e organizzative (Condizioni generali, Allegato 3, parte B).

20. Ulteriori informazioni

Nessuna decisione automatizzata: non vengono adottate decisioni ai sensi dell’art. 22 GDPR. L’indicazione di un livello di licenza superiore in caso di aumento del patrimonio lordo costituisce un’offerta; il prezzo cambia solo dopo la vostra conferma.

Modifiche: adeguiamo la presente informativa quando i trattamenti cambiano, ad esempio in caso di nuove funzioni o nuovi fornitori di servizi. Fa fede la versione di volta in volta pubblicata in questa pagina.

Ultimo aggiornamento: ottobre 2026