Torna alla presentazione

Informativa privacy

Versione 6

1. Titolare del trattamento

Il titolare del trattamento è Mariko S.r.l., con sede legale in Via Tagliamento 16, 25080 Padenghe sul Garda (BS), partita IVA 04809590989, REA BS-643245, PEC mariko.bi@pec.it, email notifiche@mariko-bi.com, società che eroga il servizio Marikō. La presente informativa copre il sito mariko-bi.com, il percorso di attivazione e l'applicazione Marikō.

2. Dati trattati e finalità

Il servizio tratta:

  • dati dell'account: nome ed email dell'utente, per l'autenticazione e la gestione del rapporto;
  • dati dell'attivazione: ragione sociale, partita IVA e prova delle accettazioni e delle firme (termini, privacy, contratto, clausole vessatorie), per concludere e documentare il contratto;
  • dati aziendali e fiscali: fatture elettroniche, movimenti bancari, corrispettivi e bilanci delle aziende clienti, per le finalità di controllo di gestione;
  • documenti ufficiali di commessa: i documenti che l'azienda cliente conserva nelle aree Contratto, Pratica Edilizia, Cassa Edile, preventivi e offerte del proprio archivio documentale, dentro la cartella di una commessa, e mette a disposizione del servizio — tipicamente contratti d'appalto, pratiche edilizie e documenti di Cassa Edile — letti per ricostruire l'anagrafica dell'opera: ubicazione del cantiere, parti, identificativi, importi pattuiti. La selezione avviene per posizione nell'archivio, non per tipo di documento: il tipo effettivo lo riconosce la lettura, dopo che il documento è stato trasmesso, quindi in quelle aree può trovarsi e venire letto anche un documento di altra natura. Questi documenti possono contenere dati di persone fisiche diverse dall'utente e dall'azienda cliente — in primo luogo i committenti privati, ma anche altre persone nominate nei documenti archiviati: nome, codice fiscale, residenza, luogo e data di nascita;
  • dati di navigazione sulle pagine pubbliche (presentazione e percorso di attivazione): soltanto previo consenso espresso tramite il banner, per misurare l'efficacia delle pagine e gestire i contatti commerciali; il dettaglio degli strumenti è nella cookie policy.

3. Base giuridica

Il trattamento dei dati dell'account e dell'attivazione si fonda sull'esecuzione del contratto e sugli obblighi di legge; quello dei dati di navigazione sulle pagine pubbliche si fonda sul consenso, revocabile in ogni momento. Il trattamento dei dati fiscali delle aziende clienti avviene in qualità di responsabile del trattamento, secondo la nomina contenuta nel contratto di attivazione (art. 6) e sulle istruzioni del cliente titolare. Per i servizi accessori e le attività di assessment antecedenti l'attivazione, la medesima nomina e le medesime clausole operano attraverso l'offerta accettata dal cliente, che le richiama (contratto, art. 15).

Quando i documenti conferiti dal cliente contengono dati di persone fisiche diverse dall'utente e dall'azienda cliente — è il caso dei documenti di commessa indicati all'art. 2 — Marikō li tratta unicamente in qualità di responsabile e sulle istruzioni del cliente. L'informativa verso quegli interessati resta in capo al cliente titolare, che è la parte in rapporto con loro; le conseguenze del trasferimento extra-UE su di essi sono all'art. 6.

4. Assistenza tramite intelligenza artificiale

Alcune elaborazioni (ad esempio la classificazione delle righe di fattura e l'assistente di analisi) sono supportate da un sistema di intelligenza artificiale, sempre con supervisione umana: le proposte del sistema possono essere riviste e modificate e non producono decisioni automatizzate con effetti giuridici sull'interessato ai sensi dell'art. 22 GDPR. L'uso dell'intelligenza artificiale è descritto in dettaglio nella politica sull'intelligenza artificiale pubblicata accanto a questa informativa.

5. Destinatari e responsabili

I dati possono essere trattati, per conto del titolare, da:

  • fornitori tecnici di hosting e infrastruttura, con dati in Unione Europea;
  • DeepSeek (Hangzhou DeepSeek Artificial Intelligence Basic Technology Research Co., Ltd., Repubblica Popolare Cinese), fornitore dei modelli impiegato nell'esercizio ordinario del servizio e nelle fasi di analisi preliminare o di configurazione iniziale (assessment), per la classificazione dei documenti e le altre elaborazioni linguistiche descritte all'art. 4. Riceve, per la classificazione, i contenuti dei documenti contabili necessari — estremi del documento, denominazione e identificativo fiscale della controparte, descrizioni e importi delle righe, eventuale contenuto di documenti esteri collegati — insieme al contesto di classificazione (identità e descrizione dell'attività dell'azienda cliente, precedenti classificazioni della stessa controparte). Riceve inoltre, per il riconoscimento dell'anagrafica di commessa, il testo integrale dei documenti ufficiali di commessa indicati all'art. 2, come risulta dalla loro lettura ottica: a differenza dei documenti contabili, di cui sono estratti i campi necessari — salvo il contenuto dei documenti esteri collegati, sopra indicato — qui il documento è trasmesso per intero, perché il riconoscimento riguarda il documento nel suo complesso. Ne consegue che il fornitore può ricevere i dati delle persone fisiche eventualmente nominate in quei documenti. Riceve inoltre, per l'assistente di analisi e soltanto quando l'utente lo interroga, la domanda posta in linguaggio naturale, il filo della conversazione in corso, la struttura del modello dati dell'azienda (nomi delle grandezze e delle dimensioni, comprese quelle definite dal cliente) e i dati del grafico o della tabella in esame, che possono comprendere denominazioni di controparti e importi. Non riceve in nessun caso credenziali né dati degli account. Questo fornitore non offre garanzie contrattuali di non addestramento né di conservazione azzerata: in base alle sue condizioni di servizio i dati inviati possono essere conservati sui suoi sistemi e utilizzati per il miglioramento dei suoi modelli. Il trasferimento avviene con minimizzazione dei dati inviati e nei limiti descritti all'art. 6;
  • Anthropic PBC (USA), fornitore di modelli che Marikō può impiegare, in alternativa o in aggiunta al precedente, con garanzie di non addestramento sui dati e conservazione azzerata (zero-data-retention), sulla base di clausole contrattuali standard per il trasferimento extra-UE;
  • Google Ireland Limited (Google Workspace), per il solo recapito delle email transazionali del servizio (codici di verifica e di firma, messaggi di servizio); eventuali trasferimenti extra-UE avvengono secondo le clausole contrattuali standard incluse nelle condizioni del fornitore;
  • Openapi S.p.A. (Italia), per l'arricchimento di dati societari pubblici (ad esempio codici ATECO) a partire da identificativi fiscali di controparti;
  • HubSpot (istanza con dati in Unione Europea), per la misurazione delle pagine pubbliche e la gestione dei contatti commerciali, soltanto previo consenso;
  • Vercel Inc. (Stati Uniti), fornitore dell'hosting del sito pubblico mariko-bi.com, che eroga anche la misurazione del traffico di quelle sole pagine (Vercel Web Analytics), soltanto previo consenso: lo strumento non usa cookie né conserva identificatori persistenti nel browser e produce dati aggregati, descritti in dettaglio nella cookie policy. Il fornitore è certificato nell'ambito dell'EU-U.S. Data Privacy Framework, su cui si fonda il trasferimento verso gli Stati Uniti, e dichiara di ricorrere alle clausole contrattuali standard per i trasferimenti ai quali quel quadro non si applichi. L'applicazione riservata ai clienti non è ospitata da questo fornitore e non è misurata.

L'elenco aggiornato dei sub-responsabili è disponibile su richiesta; le variazioni sono comunicate secondo il contratto di attivazione. Questo vale anche per il fornitore di modelli effettivamente impiegato: ogni suo cambiamento è comunicato preventivamente e, quando modifica in modo sostanziale le garanzie descritte in questo articolo, è pubblicato con una nuova versione della presente informativa, che il cliente accetta prima di continuare a usare il servizio.

6. Luogo del trattamento e trasferimenti extra-UE

I dati sono trattati su infrastruttura collocata in Unione Europea. I trasferimenti extra-UE sono quelli verso i fornitori indicati all'art. 5: verso DeepSeek (Repubblica Popolare Cinese) per le elaborazioni linguistiche del servizio; verso Anthropic PBC (USA), quando impiegato, sulla base di clausole contrattuali standard e delle garanzie ivi descritte; verso Vercel Inc. (USA) sulla base della sua certificazione EU-U.S. Data Privacy Framework, per i soli dati di navigazione delle pagine pubbliche raccolti previo consenso.

Il perimetro del trasferimento verso DeepSeek comprende, dai documenti di commessa indicati all'art. 2, dati di persone fisiche diverse dall'utente e dall'azienda cliente, compresi codice fiscale, residenza, luogo e data di nascita. Per questi documenti la minimizzazione non opera per selezione dei campi, dato che il documento è trasmesso integralmente: opera sulla posizione nell'archivio, cioè sulle aree elencate all'art. 2 dentro la cartella di una commessa dell'azienda cliente. Nessun altro documento dell'archivio è trasmesso.

Per il trasferimento verso DeepSeek non sono ad oggi disponibili clausole contrattuali standard con il fornitore, né una decisione di adeguatezza della Commissione europea per il Paese di destinazione. Il trasferimento avviene quindi sulla base dell'accettazione espressa della presente informativa da parte del cliente e, per le fasi antecedenti l'attivazione, dell'offerta che lo dichiara; con minimizzazione dei dati inviati; e nei limiti dell'art. 5. Per i dati che Marikō tratta in qualità di responsabile, l'autorizzazione a questo sub-responsabile è conferita dal cliente titolare con l'accettazione della presente informativa e del contratto di attivazione: resta in capo al cliente titolare valutarne le conseguenze nella propria informativa verso i propri interessati, con l'assistenza prevista dal contratto.

Chi non intenda accettare questo trasferimento non può utilizzare le elaborazioni linguistiche del servizio, che ne sono parte non separabile.

7. Assenza di usi secondari

I dati delle aziende clienti non sono utilizzati da Marikō per finalità diverse dall'erogazione del servizio: nessun benchmark di settore, nessuna analisi statistica cross-cliente, nessun addestramento di modelli sui contenuti conferiti. Ogni elaborazione linguistica è circoscritta ai dati di una sola azienda per volta.

Questo impegno vincola Marikō e i fornitori che lo hanno assunto per contratto. Non si estende al fornitore dei modelli impiegato nell'esercizio ordinario, indicato all'art. 5, le cui condizioni di servizio non escludono la conservazione e l'uso dei dati ricevuti per migliorare i propri modelli: è la ragione per cui quel fornitore riceve soltanto i dati elencati all'art. 5 e mai credenziali o dati degli account, ed è la ragione per cui questa informativa lo dichiara in modo esplicito invece di rinviare a un elenco.

8. Conservazione

I dati sono conservati per la durata del rapporto di servizio e, alla sua cessazione, cancellati o restituiti secondo il contratto di attivazione (art. 11), salvo il tempo necessario ad adempiere agli obblighi di legge. La prova delle accettazioni e delle firme è conservata per la durata prevista dalla legge per i documenti contrattuali. La conservazione a norma dei documenti fiscali resta in capo al cliente titolare.

9. Sicurezza

Il servizio isola i dati di ogni azienda cliente (multi-tenancy con Row-Level Security), cifra le credenziali e limita l'accesso agli utenti associati a ciascuna azienda. Le comunicazioni avvengono su canali cifrati. Ogni decisione umana sui dati è registrata in una storia non modificabile.

10. Diritti dell'interessato

L'interessato può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione previsti dagli artt. 15-22 GDPR contattando il titolare ai riferimenti indicati all'art. 1, e può proporre reclamo al Garante per la protezione dei dati personali. Il consenso alla misurazione delle pagine pubbliche è revocabile in ogni momento dal banner o dalle impostazioni descritte nella cookie policy. Per i dati trattati come responsabile, le richieste sono inoltrate al cliente titolare.

11. Modifiche

La presente informativa può essere aggiornata con una nuova versione. L'uso del servizio dopo l'aggiornamento richiede l'accettazione della nuova versione.