Informativa sulla privacy dell'AI Business Compass di Staff Millennium

Versione [0.1 del giorno della pubblicazione], per il percorso in esercizio su staffmillennium.ai-business-compass.innovanext.ai.

1. Chi tratta i tuoi dati

Il titolare del trattamento è Staff Millennium S.r.l., Via San Francesco d'Assisi 20/A, 28100 Novara, partita IVA 01838000030, PEC staffmillenniumsrl@pec.it. Per i tuoi dati e per i tuoi diritti scrivi a [casella per i diritti di Staff Millennium]. Staff Millennium non ha nominato un responsabile della protezione dei dati [da confermare]: non è un soggetto pubblico, non tratta dati particolari su larga scala e non sorveglia le persone in modo regolare e sistematico (art. 37 del GDPR).

Il Compass è un prodotto di Business Innova S.r.l., Via Bocchetto 6, 20123 Milano, titolare del marchio Innova Next, che Staff Millennium usa con i propri clienti: per questo nel sito trovi «powered by innovanext.ai». Business Innova sviluppa e gestisce il servizio per conto di Staff Millennium come responsabile del trattamento, con un contratto ai sensi dell'art. 28 del GDPR: tratta i tuoi dati solo sulle istruzioni di Staff Millennium e non li usa per sé.

2. Che cosa fa il Compass

È un percorso che fai da solo, dal telefono o dal computer. Lasci nome, cognome, e-mail e l'indirizzo del sito della tua impresa, dici che cosa sai dell'AI Act e della formazione, scegli un'area e un'attività, rispondi a cinque domande sul problema e ricevi una relazione con una prima ipotesi di intervento. Il percorso e la relazione li produce un sistema automatico con un modello di intelligenza artificiale, senza una persona che li legga prima. La relazione è un orientamento, non una consulenza legale, tecnica o fiscale.

3. Quali dati

I dati che inserisci tu: nome, cognome, e-mail, indirizzo del sito della tua impresa; le risposte sull'AI Act e sulla formazione; l'area e l'attività che scegli; le risposte alle cinque domande.
Il testo pubblico del tuo sito, che il lettore del servizio legge per preparare la relazione: sono dati pubblici dell'impresa.
La relazione.
I dati tecnici: un'impronta del tuo indirizzo IP, calcolata con una chiave segreta che cambia, per i limiti contro gli abusi; la data e l'ora di ogni passo; quale casella hai spuntato, con la versione del suo testo; la conferma del tuo indirizzo e-mail; un cookie tecnico di sessione che tiene insieme i passi del percorso. Non ci sono cookie di profilazione né strumenti di analisi di terzi.
Non chiediamo dati particolari (salute, opinioni, appartenenze) né dati di altre persone: non inserirli nelle risposte.

4. Perché e con quale base

Per che cosa	Base giuridica
Produrre la relazione e mandartela all'indirizzo che confermi	Il servizio che chiedi (art. 6, paragrafo 1, lettera b, del GDPR)
Confermare che l'indirizzo e-mail è tuo prima di mandare la relazione	Il servizio che chiedi, e il nostro interesse a non mandare la relazione a un indirizzo sbagliato (lettere b e f)
Leggere il sito pubblico della tua impresa	Il servizio che chiedi; i dati sono pubblici
Ricontattarti per approfondire la relazione e proporti i servizi di Staff Millennium e dei suoi partner	Solo con il tuo consenso, con la seconda casella (art. 6, paragrafo 1, lettera a, del GDPR e art. 130 del Codice privacy). Lo revochi quando vuoi, e il servizio non ne dipende
Limiti contro gli abusi, sicurezza del servizio, registro di chi legge le relazioni	Il nostro legittimo interesse a far funzionare e proteggere il servizio (lettera f)

5. Chi riceve i dati

Business Innova S.r.l., Milano, responsabile del trattamento: sviluppa, ospita, aggiorna e assiste il servizio per conto di Staff Millennium e tiene le copie di sicurezza. Il suo personale autorizzato entra nei tuoi dati solo per assistenza, su istruzione di Staff Millennium, e ogni accesso è registrato. Business Innova non usa i tuoi dati per sé e non ti contatta.
Google Cloud EMEA Limited, Dublino, Irlanda. Per leggere il tuo sito e scrivere la relazione il servizio usa un assistente automatico: il modello Gemini di Google, eseguito da Google Cloud sulla sua piattaforma Vertex AI, con l'elaborazione nella multi-regione dell'Unione europea secondo il contratto di Google. A Google arrivano il testo pubblico del tuo sito e le tue risposte, non il tuo nome, cognome ed e-mail. Google li tratta per conto del servizio, con il suo accordo sul trattamento dei dati, non li usa per addestrare modelli e non li conserva oltre il tempo necessario a produrre la risposta[, salvo una memoria temporanea che si cancella entro 24 ore]. Se i suoi filtri automatici segnalano un contenuto come possibile abuso, Google può conservarlo fino a 90 giorni nell'Unione europea e farlo leggere a personale autorizzato, solo per quella verifica.
Hetzner Online GmbH, Gunzenhausen, Germania. Il server del Compass e le copie di sicurezza, nel centro dati di Norimberga, in Germania.
Brevo SAS, Parigi, Francia, il fornitore del servizio di posta di Staff Millennium: l'account è di Staff Millennium, che ha con Brevo il suo accordo sul trattamento dei dati, e Business Innova lo usa per suo conto come utente invitato, con i permessi minimi. La mail che ti chiede di confermare l'indirizzo e la mail con la relazione partono dall'indirizzo [casella del Compass di Staff Millennium], sul dominio di Staff Millennium. Se rispondi a una di queste mail, la risposta arriva alla stessa casella, letta dalle persone autorizzate della voce 5. Le mail non contengono pixel di tracciamento.
Le persone autorizzate di Staff Millennium che leggono le relazioni nell'area riservata, con utenze personali, secondo fattore, istruzioni scritte e un registro degli accessi.
CNA Piemonte Nord, se arrivi dal QR del Business Lab del 27 ottobre 2026: ospita il QR al suo evento e non riceve i tuoi dati.

Nessun dato viene venduto, e nessun dato va a terzi per la loro pubblicità. La prova contro i robot gira sul server del servizio, senza servizi di terzi. I dati sono conservati in Germania e il modello di Google lavora nella multi-regione dell'Unione europea; per gli accessi di assistenza della casa madre statunitense di Google valgono le clausole contrattuali tipo della Commissione europea e, dove il fornitore vi aderisce, il Data Privacy Framework UE-USA.

6. Dove stanno i dati

Sul server che Business Innova gestisce presso Hetzner, a Norimberga, in un database separato per Staff Millennium, con copie di sicurezza: sette giorni a rotazione per le copie del server di Hetzner, sette giorni per il dump notturno del database sul server e fino a trentasette giorni per una copia cifrata fuori sede, a Milano, quando è attiva. L'ambiente di collaudo è un server a parte e non riceve dati veri.

7. Quanto restano

Dato	Durata
Un percorso non finito, o finito senza la conferma dell'indirizzo e-mail	Trenta giorni dall'ultimo passo, poi si cancella
Risposte e relazione	Dodici mesi dalla relazione
Nome, cognome, e-mail, risposte e relazione, se hai dato il consenso al ricontatto	Ventiquattro mesi dal consenso, o prima se lo revochi
La conferma dell'indirizzo e la versione delle caselle	Insieme al percorso, come prova della tua scelta
L'impronta dell'indirizzo IP	Ventiquattro ore al massimo, o meno quando la chiave cambia
Le copie di sicurezza	Sette giorni le copie del server e il dump del database; fino a trentasette giorni la copia fuori sede, quando è attiva
Il registro degli accessi all'area riservata (chi entra e quale relazione legge)	400 giorni

Puoi cancellare il tuo percorso prima, con il pulsante che trovi nella relazione e nella mail, o scrivendo a [casella per i diritti di Staff Millennium]. Alla scadenza la cancellazione è automatica. Un dato cancellato resta nelle copie di sicurezza finché scadono, sette giorni sul server e presso Hetzner e al massimo trentasette giorni per la copia fuori sede, quando è attiva: le copie servono solo al ripristino.

8. I tuoi diritti

Hai i diritti degli articoli da 15 a 22 del GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Puoi revocare il consenso al ricontatto quando vuoi, senza effetto su quanto fatto prima. Scrivi a [casella per i diritti di Staff Millennium]: rispondiamo entro un mese. Puoi fare reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, se ritieni che il trattamento violi il regolamento.

9. Sicurezza

Collegamenti cifrati; prova contro i robot e limiti per indirizzo, per e-mail e per percorso; area riservata con utenze personali, secondo fattore e registro degli accessi; dati del tenant separati da quelli degli altri; copie di sicurezza cifrate; un interruttore che spegne il modulo. Se una violazione dei dati ti riguarda e comporta un rischio elevato per te, te la comunichiamo come prevede l'art. 34 del GDPR.

10. Modifiche

La versione in vigore è quella pubblicata nel percorso, con la data. Se cambia qualcosa che ti riguarda, lo vedi nel percorso prima di andare avanti.