Privacy Policy

In breve

Zenzionale è un gestionale per agenzie: serve a un'agenzia per tenere insieme i propri clienti, progetti, documenti, fatture, preventivi, riunioni e comunicazioni.

Questa informativa indica quali dati personali vengono trattati, per quali finalità, su quale base giuridica, per quanto tempo e a chi sono comunicati. Le tabelle contengono il dettaglio: i fornitori sono elencati uno per uno, con la finalità e il luogo del trattamento.

• I dati non sono venduti né ceduti a terzi per finalità loro, e non sono usati per finalità pubblicitarie.
• Non viene svolta alcuna profilazione e non vengono prese decisioni automatizzate sulle persone.
• Non sono impiegati cookie di profilazione né strumenti di statistica di terze parti.
• I link accorciati, i QR code e le pagine dei link in bio generati dal gestionale non registrano l'indirizzo IP di chi li apre e non installano cookie.
• Le newsletter che un'agenzia invia tramite il gestionale contano aperture e clic senza registrare l'indirizzo IP di chi le riceve, e ognuna contiene il collegamento per disiscriversi con un clic.
• Le integrazioni con servizi esterni (calendario, archivi cloud, messaggistica, pagamenti, intelligenza artificiale) restano disattivate finché non vengono attivate espressamente, e possono essere disattivate in qualsiasi momento.

Titolare del trattamento

Il servizio Zenzionale è fornito da Dorin Vieru, titolare del trattamento per i trattamenti descritti in questa informativa. Di seguito i recapiti per ogni questione relativa ai dati personali.

Zen0lab assume due ruoli distinti, e la distinzione determina a chi vanno rivolte le richieste.

• Titolare del trattamento per i dati delle persone che usano il gestionale: chi si registra, accede, riceve una notifica, compare nei registri tecnici. Su questi dati le finalità e i mezzi del trattamento sono determinati da noi.
• Responsabile del trattamento (art. 28 GDPR) per i contenuti che ogni agenzia inserisce nel proprio spazio: anagrafiche dei suoi clienti, documenti, fatture, messaggi, credenziali conservate nel gestore password. Questi dati sono trattati esclusivamente per erogare il servizio, su istruzione documentata dell'agenzia, che ne resta titolare. Se sei cliente di un'agenzia che utilizza Zenzionale, le richieste relative ai tuoi dati vanno rivolte a quell'agenzia.

I dati di ciascuna agenzia sono separati da quelli delle altre, e la separazione è applicata a livello di banca dati su ogni operazione di lettura e di scrittura.

Non è stato nominato un responsabile della protezione dei dati (DPO): non ricorrono le condizioni previste dall'art. 37 GDPR, non costituendo attività principale il trattamento su larga scala di categorie particolari di dati né il monitoraggio regolare e sistematico di interessati su larga scala. Per ogni questione relativa ai dati personali il riferimento resta l'indirizzo indicato sopra.

A chi si rivolge questa informativa

Le categorie di persone i cui dati possono essere trattati sono le seguenti.

• Chi lavora in un'agenzia e dispone di un account: accede al gestionale e ne crea i contenuti. È la parte in cui operiamo come titolari.
• I clienti delle agenzie e i loro referenti: non dispongono di un account, e i loro dati si trovano nello spazio dell'agenzia, che ne è titolare.
• Gli ospiti di un link condiviso: per aprire un documento o una cartella condivisi indicano nome, cognome e indirizzo email, ed entrano con un accesso limitato a quel contenuto. Chi apre una cartella accede alla sola pagina Documenti, ristretta a quella cartella: non ha accesso a clienti, progetti, spazio occupato né ad alcun elenco dell'agenzia.
• Chi apre un link condiviso senza registrazione, un link accorciato o un QR code: l'agenzia può condividere un singolo file in sola visualizzazione senza chiedere alcun dato. Chi apre il link può soltanto guardare il file e scaricarlo, e di lui non viene registrato alcun identificatore né l'indirizzo IP: per ogni apertura, anteprima e download restano la data e l'ora, il tipo di dispositivo e il browser (per esempio «computer, Safari») e, per un download avviato dalla pagina, l'avanzamento, la conclusione o l'errore. L'agenzia vede queste informazioni nell'attività del link, per sapere se il file è arrivato. Per i link accorciati e i QR code vedi «Statistiche dei link accorciati e dei QR code».
• Chi commenta un post che un'agenzia ha pubblicato dal gestionale sulla Pagina Facebook o sull'account Instagram di un suo cliente, o menziona quell'account Instagram in un proprio post o commento: il nome che la piattaforma mostra (nome utente o nome del profilo), il testo del commento, la data e se è nascosto sono letti dalla piattaforma per raccoglierli nella casella dell'agenzia, che può rispondere, nasconderli o eliminarli. Si cancellano dal gestionale dopo 90 giorni dalla data del commento. Vedi «Post sui social».
• Chi scrive per la prima volta all'agenzia su Messenger, Instagram, WhatsApp, Telegram o Slack senza essere ancora collegato a un suo cliente: il nome e la foto del profilo che la piattaforma fornisce (su Messenger e Instagram chiesti alla piattaforma con l'accesso della Pagina), l'identificativo con cui la piattaforma lo riconosce e il testo dei messaggi sono raccolti nella voce «Da assegnare» della Chat dell'agenzia, che può assegnarli a un cliente (da quel momento sono la conversazione con quel cliente) o eliminarli. Se nessuno li assegna si cancellano dopo 90 giorni dall'ultimo messaggio.
• Chi gestisce un account Instagram professionale che un'agenzia segue come concorrente di un suo cliente: se ne leggono soltanto i dati pubblici dell'account (nome utente, nome, numero di follower e di post) e dei suoi post recenti (testo, data, indirizzo, numero di like e di commenti), una volta al giorno. Nessuna immagine, nessun dato di chi interagisce con quei post.
• Chi apre la pagina del link in bio di un account Instagram (/bio/…): vede i link e gli ultimi post scelti dall'agenzia, senza registrarsi. Di un clic resta il momento, la famiglia di dispositivo e, se il proxy di rete lo fornisce, il Paese: nessun indirizzo IP e nessun cookie.
• Chi apre un link condiviso protetto da una password: l'agenzia può proteggere un link con una password, che comunica separatamente a chi deve aprirlo. Finché la password non è inserita non viene mostrato nulla del documento, nemmeno il suo nome, e il file non viene consegnato. Della password conserviamo soltanto un hash non reversibile: non è leggibile da noi né dall'agenzia. I tentativi di inserimento sono limitati nel tempo, e il loro conteggio non comporta la conservazione dell'indirizzo IP.
• Chi riceve le newsletter di un'agenzia o si iscrive a un suo modulo d'iscrizione: i suoi dati si trovano nello spazio dell'agenzia, che ne è titolare e decide a chi scrivere. Vedi «Newsletter inviate dalle agenzie».
• Chi si iscrive a un evento organizzato da un'agenzia, dalla pagina pubblica dell'evento o perché lo iscrive l'agenzia stessa: i suoi dati si trovano nello spazio dell'agenzia, che ne è titolare. Vedi «Eventi organizzati dalle agenzie».
• Chi effettua un pagamento tramite un link di pagamento o per iscriversi a un evento: i dati della carta sono inseriti in un modulo fornito da Stripe e non transitano dai nostri server.
• Chi amministra un sito realizzato con blubiq, o vi commenta: il sito può usare le applicazioni di Zenzionale per collegare archivi esterni, Search Console, la posta con cui invia le email e il profilo dell'attività su Google e, quando attivo, per l'accesso ai commenti. I dati transitano da noi senza essere conservati. Vedi «Collegamenti dei siti realizzati con blubiq».
• Chi visita un sito di un cliente con il CMS centrale di Zenzionale, vi commenta un articolo o vi compila un modulo: commenti, compilazioni e, se l'agenzia le tiene accese, le statistiche di visita (senza indirizzo IP né cookie) e le scelte fatte nel banner dei cookie del sito (senza indirizzo IP) arrivano al gestionale, che li tratta per conto dell'agenzia e del proprietario del sito. Vedi «Moduli e siti web dei clienti».
• Chi acquista o riceve una licenza di blubiq e la attiva sui propri siti: conserviamo la licenza e l'elenco dei siti su cui è attiva. Vedi «Licenze di blubiq».
• Chi apre un account di blubiq (anche quando nasce all'acquisto di una licenza): vedi «Account di blubiq».
• Chi riceve un'email da un sito realizzato con blubiq che usa il server di invio di blubiq (per esempio la conferma di un modulo o di un ordine): l'email passa da noi per essere spedita. Vedi «Server di invio di blubiq».
• Chi scrive un commento o compila un modulo su un sito realizzato con blubiq che usa l'antispam condiviso, o il cui indirizzo IP è bloccato dal firewall di un sito con le liste della sicurezza: il sito ci manda solo impronte non leggibili dei suoi dati, che conserviamo come titolari autonomi. Vedi la pagina «Antispam condiviso e liste della sicurezza di blubiq» (https://zenzionale.zen0lab.com/antispam-blubiq).

Quali dati trattiamo

Non tutte le categorie elencate ricorrono sempre: molte esistono solo se l'agenzia utilizza la funzione corrispondente.

Quando si scelgono le foto di un caso studio da un PDF già presente nell'archivio dell'agenzia, le immagini sono estratte sui nostri server e conservate in forma temporanea per non più di 30 minuti; non ne viene creata alcuna copia permanente, e al momento di generare il documento sono lette di nuovo da quel PDF.

Non sono richieste né trattate intenzionalmente categorie particolari di dati ai sensi dell'art. 9 GDPR (dati relativi alla salute, alle convinzioni, all'orientamento sessuale, dati biometrici o genetici). Qualora un'agenzia inserisse dati di questo tipo in un documento o in una nota, lo farebbe in qualità di titolare autonomo e sotto la propria responsabilità, dovendo disporre di un'idonea base giuridica.

Statistiche dei link accorciati e dei QR code

Il gestionale consente di accorciare un link e di generare un QR code, e registra il numero di aperture. Allo stesso modo conta i clic sui link e sui post della pagina del link in bio di un account Instagram (/bio/…). Chi apre quel link non è un utente del servizio: la raccolta è quindi limitata a quanto segue.

• Non viene registrato l'indirizzo IP.
• Non sono installati cookie e non sono impiegate tecniche di fingerprinting: non esiste alcun identificatore che consenta di collegare fra loro due aperture della stessa persona.
• Lo user agent non viene conservato: è dedotta e registrata la sola famiglia di dispositivo.
• Il Paese è registrato soltanto quando è già fornito dal proxy di rete nell'intestazione della richiesta.
• Gli eventi sono cancellati automaticamente dopo 12 mesi.

I dati così raccolti sono aggregati e non consentono di identificare la persona che ha aperto il link.

La barra dei comandi

Il gestionale offre una barra dei comandi con cui eseguire operazioni senza passare dalle rispettive pagine. Si può scegliere un comando da un elenco e rispondere alle domande che il gestionale pone, oppure scrivere una frase e lasciare che sia il gestionale a riconoscere il comando. A un comando si possono allegare file e immagini.

Il riconoscimento dei comandi avviene di norma senza alcun modello di intelligenza artificiale: il gestionale confronta la frase con un elenco di comandi definiti nel programma, e nulla è trasmesso a fornitori esterni.

Solo quando la frase non corrisponde a nessun comando, e soltanto se l'agenzia ha attivato un fornitore di modelli e l'assistente è acceso, la frase è inviata a quel fornitore insieme all'elenco dei comandi disponibili e ai dati dello spazio dell'agenzia che servono a rispondere (per esempio l'elenco dei clienti cercati). Il modello può leggere e proporre, non modificare: ogni operazione che scrive qualcosa richiede la conferma dell'utente. Vedi «Decisioni automatizzate, profilazione e intelligenza artificiale».

Le conversazioni restano salvate come «chat», così da poter essere riaperte in seguito. Sono visibili ai membri della stessa agenzia; il filtro predefinito mostra le proprie. Si eliminano una per una, e con esse la loro cronologia.

• Viene conservata la frase digitata a mano, insieme al comando che vi corrisponde e all'esito, per un massimo di 12 mesi.
• I file e le immagini allegati a un comando sono trasmessi soltanto al momento della conferma: finché non si conferma restano sul dispositivo e non raggiungono i nostri sistemi. Una volta confermati vengono salvati dove il comando li destina e seguono da lì in poi le regole dei documenti.
• A un comando si può anche allegare un file già presente nell’archivio dell’agenzia: in quel caso nulla viene trasmesso di nuovo e nessuna copia viene creata — il comando utilizza il file che esiste.
• Non vengono conservate le risposte date al percorso guidato: quando si sceglie un comando dall'elenco e si compilano i campi, nulla di ciò che si scrive finisce in questo registro.
• Le frasi e le chat di ogni agenzia restano separate da quelle delle altre, come ogni altro dato del gestionale: non vengono unite fra agenzie diverse né utilizzate per addestrare un modello comune.
• La finalità è migliorare il riconoscimento dei comandi: capire con quali parole le funzioni vengono cercate e quali comandi mancano.

Una frase digitata può contenere il nome di un cliente o di un progetto. Per questo il registro segue gli stessi limiti di accesso del resto dei dati dell'agenzia e viene cancellato automaticamente dopo 12 mesi.

Assistenti di intelligenza artificiale collegati dall'agenzia

Un'agenzia può collegare al gestionale un assistente di intelligenza artificiale che usa già (per esempio Claude, ChatGPT, Claude Code o Cursor) tramite il protocollo MCP. L'assistente usa gli stessi comandi della barra dei comandi: può cercare, creare, modificare ed eliminare clienti, progetti, attività, documenti, eventi del calendario, movimenti delle finanze, credenziali e le altre voci del gestionale, con i permessi dell'utente che lo ha collegato.

La funzione è spenta finché un amministratore dell'agenzia non la accende, dalle impostazioni oppure confermando lui stesso il collegamento di un assistente. Ogni utente collega i propri assistenti, con una chiave di accesso creata da sé oppure accedendo dal programma (claude.ai, ChatGPT) e confermando il collegamento su una pagina del gestionale che mostra quale programma lo chiede. I collegamenti si revocano in qualsiasi momento da Impostazioni → Integrazioni → Assistenti IA; un amministratore può revocare anche quelli degli altri utenti dell'agenzia.

I dati che l'assistente legge o scrive passano al fornitore di quell'assistente, scelto dall'agenzia, secondo il contratto fra l'agenzia e quel fornitore: in questo caso l'agenzia è responsabile del collegamento e del fornitore che sceglie. Il gestionale non trasmette quei dati a nessun altro.

• Una chiave vale solo per il collegamento con gli assistenti: non permette di entrare nel gestionale né di usarne le altre funzioni.
• Le operazioni che eliminano qualcosa sono eseguite solo dopo una seconda richiesta, che arriva dopo che l'assistente ha indicato cosa sta per essere eliminato.
• Le caselle di posta del server di Zenzionale che un utente vede nella pagina Email (vedi la sezione sulle caselle di posta) le usano anche la barra dei comandi e l'assistente collegato, con lo stesso accesso riservato del gestionale, valido solo per leggere e spedire la posta. La barra e l'assistente possono, su richiesta di quell'utente, leggere le email della casella, spostarle fra le cartelle, segnarle come spam, metterle nel cestino, eliminarle e spedirne di nuove. Il testo delle email lette e quello delle email scritte passano al fornitore dell'assistente come ogni altro dato letto o scritto. Ogni utente usa solo le caselle che vede nella pagina Email, decise da un amministratore dell'agenzia, e una casella in sola lettura non si usa per spedire né per spostare email.
• Spedire un'email, eliminarla definitivamente e svuotare il cestino o lo spam della casella sono eseguiti solo dopo una seconda richiesta, che arriva dopo che l'assistente ha mostrato destinatari, oggetto e testo, o le email che stanno per sparire, e ha segnalato gli indirizzi a cui la casella non ha mai scritto.
• Restano esclusi l'esportazione delle credenziali e i campi che il gestionale fa compilare soltanto a una persona, come indirizzi email e password.
• I file non passano dall'assistente: per caricarne o scaricarne uno l'assistente fornisce un link del gestionale che vale pochi minuti e si usa una volta sola, e al momento dell'uso il gestionale ricontrolla che la persona che l'ha chiesto possa ancora farlo. Se l'assistente legge il testo di un documento, quel testo passa al suo fornitore come ogni altro dato letto.
• Ogni operazione dell'assistente compare nel registro delle operazioni del gestionale, come quelle fatte dalle pagine, e si può annullare allo stesso modo.

L'app desktop

L'app desktop di Zenzionale, per Windows e macOS, mostra i Documenti dell'agenzia come una cartella in Esplora risorse o nel Finder. Un file viene scaricato sul computer quando lo apri, o quando scegli di tenerlo sempre sul dispositivo; ciò che salvi, sposti, rinomini o elimini nella cartella viene aggiornato anche nel gestionale.

Per collegare un computer l'app apre il browser su una pagina del gestionale, dove accedi e confermi il collegamento. L'app conserva i propri token di accesso negli archivi protetti del sistema operativo (Gestione credenziali di Windows, Portachiavi di macOS). L'app per Windows si scarica dal Microsoft Store, quella per macOS dal sito del gestionale; lo scaricamento dallo Store segue le condizioni e l'informativa di Microsoft.

• I file scaricati restano sul computer, sotto la responsabilità di chi lo usa e dell'agenzia, finché non vengono eliminati o l'app non viene disinstallata. Scollegare un computer ferma la sincronizzazione ma non cancella quei file.
• L'app vede ciò che vede la persona che l'ha collegata, con i suoi permessi: chi ha un ruolo in sola lettura può aprire i file ma non modificarli. Chi entra da un link condiviso in modifica vede soltanto la cartella condivisa; con un link in sola visualizzazione l'app non si può usare.
• Quando un file viene modificato sia sul computer sia nel gestionale, nessuna delle due versioni viene sovrascritta: quella del computer viene salvata come copia accanto all'originale. Il contenuto precedente di un file aggiornato dal computer resta disponibile fra le versioni del documento.
• Con «Invia ad archivio» una persona dell'agenzia può copiare file e cartelle su un archivio cloud che l'agenzia ha collegato (vedi la tabella dei fornitori). Le copie restano sull'archivio anche se il file viene poi eliminato dal gestionale.
• L'app non installa strumenti di statistica e non invia dati a fornitori diversi da quelli elencati in questa informativa: i file viaggiano fra il computer e l'archivio dei documenti indicato nella tabella dei fornitori.
• I computer collegati si vedono e si scollegano da Impostazioni → App desktop; un amministratore può scollegare anche quelli degli altri utenti dell'agenzia.

Newsletter inviate dalle agenzie

Un'agenzia può usare il gestionale per tenere una rubrica di contatti, inviare newsletter e campagne email, preparare invii automatici (per esempio un'email di benvenuto a chi si iscrive) e misurarne i risultati. Per questi dati l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione: è l'agenzia a decidere a chi scrivere e su quale base giuridica, e le richieste sui dati di un contatto vanno rivolte a lei.

Il servizio newsletter funziona come un servizio a sé, con una banca dati propria separata da quella del gestionale, sui server di Hostinger nell'Unione europea indicati nella tabella dei fornitori. I dati di ciascuna agenzia restano separati da quelli delle altre.

Ogni notte la banca dati del servizio newsletter è copiata, cifrata prima di lasciare il server, su Cloudflare R2 nell'Unione europea, e ogni copia è conservata 14 giorni: le copie servono soltanto a ripristinare il servizio dopo un guasto.

• Consenso: chi si iscrive da un modulo riceve un'email per confermare l'indirizzo (doppia conferma, attiva di serie). Per ogni contatto restano registrati la provenienza, la data, il testo accettato e la conferma.
• Disiscrizione: ogni email contiene il collegamento per disiscriversi con un clic e quello per scegliere quali liste ricevere. Chi si disiscrive non riceve più email, e non torna iscritto per un'importazione o una modifica fatta dall'agenzia: soltanto una sua nuova iscrizione lo riattiva.
• Aperture e clic: l'apertura è rilevata da un'immagine invisibile contenuta nell'email e il clic dal passaggio del collegamento dal nostro indirizzo prima della pagina di destinazione. Sono registrati data e ora, famiglia di dispositivo e programma di posta; l'indirizzo IP non viene registrato. La misurazione delle aperture è spenta finché l'agenzia non la attiva, e può essere attivata o spenta per ogni campagna.
• Pagine pubbliche: le pagine di disiscrizione, delle preferenze, di conferma dell'iscrizione e i moduli d'iscrizione (anche quando l'agenzia li incorpora nel proprio sito) non installano cookie e non registrano l'indirizzo IP di chi le visita.
• Moduli d'iscrizione: la pagina di un modulo (/modulo/…), il riquadro e il popup che l'agenzia incorpora nel proprio sito sono serviti dal gestionale (zenzionale.zen0lab.com). I dati che scrive chi si iscrive passano dal gestionale, e dalla rete di distribuzione di Cloudflare che gli sta davanti, prima di arrivare al servizio newsletter, dove sono conservati; il gestionale non li conserva. Per frenare gli invii ripetuti il gestionale tiene per dieci minuti un contatore legato a un'impronta dell'indirizzo IP da cui non si risale all'indirizzo; l'indirizzo stesso non viene registrato. Chi si iscrive da un modulo che l'agenzia ha incollato nel proprio sito come codice HTML riceve sempre l'email di conferma, anche se il modulo non la prevede.
• Rimbalzi e segnalazioni: il fornitore che recapita le email ci comunica se un indirizzo non esiste o se un'email è stata segnalata come indesiderata. Quegli indirizzi non ricevono più email, per proteggere chi li possiede e la capacità di recapito del servizio.
• Immagini: le immagini contenute in un'email sono richieste dal programma di posta di chi la legge all'archivio in cui sono conservate (Cloudflare R2, o l'archivio proprio dell'agenzia), che ne rileva l'indirizzo IP come avviene per qualsiasi immagine in un'email.
• Invii automatici legati a eventi, raccolte e buoni regalo: se una persona è già fra i contatti della newsletter di un'agenzia, ciò che fa negli eventi e nelle raccolte di quella stessa agenzia (iscrizione, pagamento e relativo importo, rimborso, disdetta, ingresso in lista d'attesa, presenza, donazione, buono regalo ricevuto o usato) viene registrato sul suo contatto e può far partire gli invii automatici che l'agenzia ha preparato (per esempio un ringraziamento). Il codice di un buono regalo non viene mai registrato. Chi non è fra i contatti non viene aggiunto per questo motivo.
• Preferenze e disiscrizione: dalla pagina delle preferenze chi riceve le newsletter può correggere da sé i dati che l'agenzia ha reso modificabili (per esempio nome e azienda) e scegliere le liste. Disiscrivendosi può indicare, se vuole, il motivo: la risposta è facoltativa e resta legata al contatto.
• Contenuti e orari personalizzati: l'agenzia può mostrare una parte di un'email solo ad alcuni contatti (in base ai loro dati, liste o attività), inviarla nella lingua indicata dal contatto, all'ora del suo fuso orario o nell'ora in cui di solito apre le email, calcolata dalle aperture e dai clic dei sei mesi precedenti. Sono scelte che riguardano solo come e quando arriva l'email.
• Punteggio di interesse: l'agenzia può assegnare ai contatti un punteggio in base ad aperture, clic e altri eventi (per esempio una richiesta di preventivo), per decidere a chi scrivere. I punti scadono dopo il periodo scelto dall'agenzia e il punteggio non produce alcuna decisione automatica con effetti giuridici sulla persona.
• Collegamenti con altri programmi: l'agenzia può collegare il servizio ai propri programmi con chiavi personali (API e server MCP per gli assistenti di intelligenza artificiale) e farsi inviare le notizie sui contatti (iscrizioni, disiscrizioni, aperture, clic) a un indirizzo web di sua scelta. In quei casi i dati raggiungono sistemi scelti e gestiti dall'agenzia, che ne è responsabile.
• Conto alla rovescia: un'email può contenere un'immagine con il tempo che manca a una scadenza, disegnata dal nostro servizio quando l'email viene aperta. La richiesta non contiene dati di chi legge e il suo indirizzo IP non viene registrato.
• Popup sul sito: l'agenzia può mostrare un modulo d'iscrizione come finestra, barra o riquadro sul proprio sito o su quello di un cliente, con una riga di codice che carica uno script dal nostro servizio. Lo script non installa cookie e conserva nel browser del visitatore soltanto la data in cui ha chiuso il riquadro o si è iscritto, per non riproporglielo (vedi la Cookie Policy). Il sito che lo ospita deve indicarlo nella propria informativa.
• Cancellazione: eliminare un contatto ne cancella i dati, gli invii e la storia di aperture e clic. Se aveva chiesto di non ricevere più email resta soltanto un'impronta non reversibile dell'indirizzo, che serve unicamente a non scrivergli di nuovo se l'indirizzo venisse reinserito.

I file importati per aggiungere contatti sono conservati al massimo 30 minuti, il tempo di confermare l'importazione, e poi cancellati.

Caselle di posta

Un'agenzia può avere caselle di posta sul proprio dominio presso il nostro server di posta, che si leggono e si gestiscono dalla pagina Email del gestionale o da un programma di posta. Per il contenuto delle caselle (messaggi ricevuti e inviati, rubriche, calendari) l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione: le richieste sui dati contenuti in una casella vanno rivolte all'agenzia.

Il server di posta è ospitato da Hostinger in Francia, separato dalla banca dati del gestionale: lì stanno le caselle, le cartelle, gli indici per la ricerca e le code dei messaggi in partenza. Il contenuto dei messaggi e degli allegati è conservato su Cloudflare R2 nell'Unione europea, cifrato sul server di posta prima di essere salvato, con una chiave che resta a Zenzionale. Ogni casella è accessibile solo con le proprie credenziali e i dati di ciascuna agenzia restano separati da quelli delle altre.

• Posta in arrivo: i messaggi sono ricevuti e controllati contro spam e virus sul nostro server, senza passare da altri fornitori.
• Posta in uscita: i messaggi inviati dalle caselle sono recapitati ai destinatari da Amazon Web Services (SES), in Irlanda, che riceve il messaggio completo per consegnarlo e ci comunica se un indirizzo non esiste.
• Inoltri: un messaggio inoltrato in automatico a un indirizzo esterno parte con un mittente di Zenzionale e con l'indirizzo del mittente originale come destinatario delle risposte, perché i servizi di posta rifiutano i messaggi che usano il dominio di un altro.
• Limiti di invio: ogni dominio ha un numero massimo di messaggi all'ora, per fermare l'uso abusivo di una casella di cui siano state sottratte le credenziali.
• Copie di sicurezza: ogni 4 ore il contenuto delle caselle è copiato, cifrato prima di lasciare il server, su Backblaze B2 (Amsterdam) o, per le copie fatte prima del passaggio a Backblaze, su Cloudflare R2, sempre nell'Unione europea. Le copie sono conservate 90 giorni e in quel periodo non possono essere cancellate, nemmeno da Zenzionale: un messaggio eliminato da una casella, o una casella eliminata, restano nelle copie fino a 90 giorni, poi spariscono anche da lì.
• Lettura dal gestionale: nella pagina Email ogni utente vede le caselle che un amministratore dell'agenzia gli ha assegnato: le proprie, quelle condivise (per esempio info@) e, se l'amministratore lo decide, quelle dei colleghi, che può leggere e a cui può rispondere oppure solo leggere. Agli amministratori dell'agenzia sono visibili tutte le caselle dei suoi domini. Un utente può aggiungere da sé una casella di cui conosce la password: la password serve a verificarlo e non è conservata. Per aprire le caselle il server di posta crea per il gestionale un accesso riservato, valido solo per leggere e spedire la posta, che il gestionale conserva cifrato. Lo stesso accesso lo usano la barra dei comandi e l'assistente collegato, con le caselle che l'utente vede.
• Diario degli accessi: quando un utente apre una casella di cui non è titolare, il gestionale registra chi l'ha aperta, quale casella e in che giorno, quante email ha letto e quante azioni ha fatto (risposte, spostamenti, eliminazioni). Non sono registrati l'oggetto né il contenuto delle email. Il diario lo vedono il titolare della casella e gli amministratori dell'agenzia, ed è cancellato dopo 90 giorni.
• Immagini esterne: un'email si mostra senza caricare nulla da altri siti. Le immagini che il mittente fa scaricare dal proprio sito, spesso usate per sapere se e quando l'email è stata letta, restano bloccate finché chi legge non sceglie «Mostra le immagini» (vedi la Cookie Policy).
• Invii programmati: un'email da spedire più tardi (e ogni email inviata dalla pagina Email, che parte dopo qualche secondo per poterla annullare) resta tra le Bozze della casella fino all'invio; il gestionale ne conserva solo l'orario, l'oggetto e i destinatari, e li cancella quando l'email parte o l'invio viene annullato.
• Conferme di lettura: chi scrive dal gestionale può chiedere, email per email, una conferma di lettura, che resta spenta finché non la sceglie. Il messaggio porta allora l'indirizzo del mittente come destinatario della conferma: è chi riceve, o il suo programma di posta, a decidere se mandarla, e può non farlo. La conferma, se arriva, è un messaggio come gli altri nella casella del mittente. Per mostrare a chi scrive quante conferme ha chiesto, il gestionale conta, per ogni utente, casella e giorno, quante email con la richiesta sono partite (solo il numero, senza destinatari né oggetto) e cancella il conteggio dopo 60 giorni.
• Registro delle consegne: il server di posta comunica al gestionale, per ogni messaggio in arrivo e in partenza, mittente, destinatari, data, dimensione ed esito della consegna, e gli accessi riusciti e non riusciti alle caselle con l'indirizzo della casella e la data. Non sono conservati né l'oggetto né il contenuto dei messaggi, né gli indirizzi IP. Gli amministratori dell'agenzia vedono, dalla pagina Email, solo le righe dei domini di posta dell'agenzia, per capire se un messaggio è arrivato, è partito o è stato rifiutato, e quando una casella è stata usata l'ultima volta. Ogni riga è cancellata dopo 30 giorni.
• Impostazioni della casella: dalla pagina Email chi usa una casella ne imposta le regole automatiche, la risposta automatica, l'inoltro, la severità del filtro antispam, i mittenti ammessi o bloccati, gli indirizzi temporanei e le password per telefoni e programmi. Regole, risposta automatica, inoltro e filtro antispam li esegue il server di posta su ogni messaggio in arrivo, anche a gestionale chiuso; la risposta automatica e l'inoltro spediscono messaggi agli indirizzi scelti da chi li imposta e non riguardano i messaggi riconosciuti come spam. Il filtro antispam non rifiuta i messaggi: quelli che riconosce come spam vanno nella cartella Spam della casella. La firma e il nome del mittente sono conservati nel gestionale, per ogni utente e per ogni casella, e così la scadenza degli indirizzi temporanei. Un amministratore dell'agenzia può indicare mittenti bloccati e ammessi per tutte le caselle dell'agenzia: il loro elenco (indirizzi email o domini) è conservato nel gestionale finché l'amministratore non lo cambia, ed è applicato dal server di posta a ogni casella insieme alle scelte della casella. Un amministratore può anche creare dei gruppi (un indirizzo che consegna ogni messaggio a più caselle dell'agenzia) e un indirizzo pigliatutto, che consegna a una casella o a un gruppo dell'agenzia i messaggi scritti a indirizzi del dominio che non esistono: chi scrive a quegli indirizzi non riceve più l'avviso di mancata consegna. Chi fa parte di un gruppo può spedire con l'indirizzo del gruppo, finché l'amministratore non lo esclude. Il server di posta accetta un messaggio solo se il mittente indicato è l'indirizzo con cui si spedisce (la casella, un suo indirizzo o un gruppo di cui fa parte).
• Svuotamento automatico: di serie il Cestino e lo Spam di una casella non si svuotano da soli. Chi gestisce la casella può scegliere, separatamente per le due cartelle, che i messaggi rimasti lì da più di un certo numero di giorni (da 1 a 365) siano eliminati in automatico; per farlo il gestionale annota ogni giorno, per quelle due cartelle, solo il numero progressivo dei messaggi, senza leggerli. I messaggi eliminati così restano soltanto nelle copie di sicurezza, fino a 90 giorni.
• Rubrica della posta: ogni agenzia ha una rubrica degli indirizzi a cui scrive, che può contenere persone che non usano il gestionale e non sono clienti (nome, cognome, azienda, ruolo, indirizzi email, telefoni, note ed etichette). Un contatto può essere condiviso con tutta l'agenzia o visibile solo all'utente che lo ha salvato e agli amministratori. I contatti si aggiungono a mano, importando un file vCard o CSV, o da soli: un indirizzo a cui un utente scrive per la prima volta da una casella dell'agenzia (anche dal telefono o da un altro programma), o dal gestionale con una sua casella Outlook o Gmail collegata, entra nella rubrica segnato «raccolto»; un amministratore può spegnere questa raccolta per tutta l'agenzia. Clienti e colleghi compaiono nella rubrica leggendoli dalle loro schede, senza copiarli. Per proporre per primi gli indirizzi più usati, il gestionale conta per ogni utente quante volte scrive a un indirizzo e quando l'ha fatto l'ultima volta. Per i contatti della rubrica l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione.
• Email dei clienti: nella scheda di un cliente il gestionale mostra le email scambiate con lui da tutte le caselle dell'agenzia. Per farlo tiene nel proprio database un indice di queste email: casella e cartella, mittente, destinatari, oggetto, data e il cliente. Il testo e gli allegati restano sul server di posta, e si leggono da lì quando un utente apre l'email. Ognuno vede solo le email delle caselle che può aprire (lo sceglie un amministratore in «Chi vede cosa»), e chi vede l'elenco di una casella di cui non è titolare è registrato nel diario degli accessi. Un'email spostata nel cestino o eliminata esce dall'indice al giro successivo, di solito entro un quarto d'ora; togliendo un indirizzo dalla scheda del cliente escono anche le sue email. Una casella o una cartella esclusa da Impostazioni → Memoria non entra nell'indice, e le sue righe escono subito (vedi «Memoria per significato»). Per questi dati l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione.
• Collegamenti di clienti e progetti: per mostrare nella scheda di un cliente o di un progetto tutto ciò che lo riguarda, il gestionale cerca il loro nome nei contenuti dell'agenzia (messaggi delle chat, attività, riunioni, ordini del giorno, lavagne, eventi del calendario, nomi dei documenti) e conserva dove lo ha trovato, con un breve estratto del testo e il suo autore. Il calcolo avviene sul server del gestionale, senza servizi esterni. Ognuno vede solo ciò che può già aprire: un messaggio di una chat di cui non fa parte non gli è mostrato. Quando il contenuto cambia o viene eliminato, il collegamento si aggiorna o sparisce.
• Rubrica sui telefoni e nei programmi: se chi gestisce una casella crea una password per le app con la rubrica, i contatti che quella casella vede (quelli condivisi con l'agenzia, i clienti, i colleghi e quelli visibili solo al titolare della casella) sono copiati anche nella rubrica della casella sul server di posta, dove li leggono i telefoni e i programmi collegati con quella password; il gestionale conserva, per ogni casella, quale contatto corrisponde a quale copia. Un contatto aggiunto, cambiato o eliminato da un dispositivo collegato torna nella rubrica del gestionale, se chi ha la casella poteva farlo dalla pagina; un contatto senza indirizzo email resta solo sul server di posta e sul dispositivo. Revocando l'ultima di queste password, le copie sono tolte dal server di posta e i dispositivi collegati le tolgono al collegamento successivo; i contatti restano nel gestionale. Le copie che un dispositivo conserva dopo essere stato scollegato sono sotto il controllo di chi lo usa.
• Protezione degli accessi: il server di posta vede l'indirizzo IP di chi si collega a una casella (per la pagina Email quello del gestionale; per un telefono o un programma, anche per la rubrica, quello del dispositivo) e blocca un indirizzo IP da cui arrivano troppi accessi sbagliati o richieste abusive. L'elenco degli indirizzi bloccati sta sul server di posta e non è copiato nel gestionale.
• Avatar delle caselle e dei gruppi: ogni casella e ogni gruppo può avere un avatar (un'immagine scelta dalla libreria dell'agenzia, o delle iniziali con un colore) che si vede solo nel gestionale; di serie una casella personale mostra la foto del profilo del suo titolare. L'avatar non viene inviato con i messaggi.
• Archivi privati: un amministratore dell'agenzia può creare una o più caselle d'archivio, in cui spostare o copiare messaggi delle caselle dell'agenzia per conservarli. Un archivio sta sul server di posta come le altre caselle, con i messaggi cifrati, in un dominio interno che non esiste su internet: non invia e non riceve posta, e si apre solo dalla pagina Email del gestionale. I messaggi vi entrano quando un utente li sposta o li copia e, se un amministratore lo attiva per una casella, con una copia automatica dei messaggi nuovi in arrivo e inviati; per sapere fin dove ha copiato, il gestionale annota solo il numero progressivo dell'ultimo messaggio copiato di ogni cartella. Di serie un archivio lo vedono solo gli amministratori dell'agenzia, che possono darlo ad altri utenti. Chi lo sceglie può spostare in un archivio anche il registro di un messaggio protetto (vedi «Messaggi protetti della posta»): diventa un messaggio dell'archivio e il gestionale non lo conserva più.
• Importazione da un'altra casella: su richiesta di chi usa la casella, o di un amministratore dell'agenzia per tutte le caselle di un dominio che arriva da un altro fornitore, il gestionale copia nella casella i messaggi di un'altra casella (per esempio Gmail o il fornitore precedente), con le cartelle e i segni di letto e importante, e poi a intervalli regolari quelli nuovi, con l'utente e la password di quella casella indicati dall'utente. Quando l'amministratore trasferisce un dominio, la casella nuova riceve la stessa password che aveva presso il fornitore precedente. Per continuare a copiare, il gestionale conserva quelle credenziali, con la password cifrata con la chiave dell'agenzia, finché l'importazione non viene tolta. Dall'altra casella non viene cancellato nulla. Ogni messaggio copiato è prima controllato da un antivirus che gira sui nostri server, come la posta in arrivo: un messaggio infetto è copiato in una cartella «Bloccati dall'antivirus» senza i file pericolosi, e se l'antivirus non è disponibile la copia si ferma e riprende quando torna.
• Consegna cifrata e rapporti sulla cifratura: per ogni dominio di posta il server pubblica una politica MTA-STS, che chiede ai server di chi scrive all'agenzia di consegnare i messaggi solo su una connessione cifrata. I fornitori di posta che la rispettano (per esempio Google e Microsoft) mandano ogni giorno un rapporto TLS-RPT a una casella di Zenzionale e a un indirizzo del gestionale: il nome del fornitore, il periodo, quante consegne verso il dominio sono riuscite cifrate e quante no, e perché. I rapporti non contengono né mittenti, né destinatari, né il contenuto dei messaggi; gli indirizzi dei server che contengono non vengono conservati. Li vedono gli utenti dell'agenzia del dominio e Zenzionale, che li usa per decidere quando rendere la cifratura obbligatoria.
• Rubrica in Google Contatti e in Outlook: chi lo sceglie collega il proprio account Google o Microsoft (Impostazioni email → «Rubrica su Google e Outlook») e il gestionale copia nei suoi contatti, in un'etichetta o in una cartella «Zenzionale», i contatti della rubrica della posta che quella persona vede (tutti o solo una parte, secondo il filtro scelto: nome, email, telefoni, azienda, ruolo e note). La rubrica va nei due sensi: il gestionale legge anche i contatti che si trovano in quell'etichetta o in quella cartella (gli stessi campi), e un contatto che la persona ci aggiunge, cambia o elimina entra nella rubrica, la cambia o ne esce. Un contatto nuovo diventa un contatto visibile solo a lei; i contatti che dalla rubrica non potrebbe cambiare, i clienti e i colleghi tornano come sono nel gestionale; un contatto senza email, o che è già in rubrica, resta soltanto nell'account. Il gestionale non legge né cambia i contatti dell'account fuori da quell'etichetta o da quella cartella. Conserva, cifrato, l'accesso concesso, per ogni contatto copiato quale contatto corrisponde nell'account, e per i contatti dell'etichetta o della cartella che non entrano in rubrica solo il loro identificativo e un'impronta dei campi, per accorgersi se cambiano. Scollegando, il gestionale toglie i contatti che ha copiato (se la persona lo sceglie; quelli creati da lei nell'account restano) e cancella l'accesso; il consenso dato a Google o a Microsoft si revoca dalle loro pagine (https://myaccount.google.com/permissions, https://account.live.com/consent/Manage o il portale delle app di Microsoft 365). Nell'account i contatti sono trattati da Google o da Microsoft secondo le loro condizioni, e sono sotto il controllo della persona che l'ha collegato.
• Caselle Outlook e Gmail: chi lo sceglie collega alla pagina Email la propria casella Outlook (outlook.com, Hotmail o Microsoft 365) o Gmail (anche Google Workspace) e la usa dal gestionale insieme alle altre: leggere, cercare, spostare, segnare, eliminare e spedire email, anche con la barra dei comandi e con l'assistente che ha collegato. Per Outlook la persona dà il consenso a Microsoft (lettura, scrittura e invio della posta) e il gestionale usa Microsoft Graph; per Gmail la persona crea una password per le app di Google e il gestionale usa i server IMAP e SMTP di Gmail, senza passare dalle API di Google. La posta resta presso Microsoft o Google e parte dai loro server, che ne conservano anche la copia inviata; il gestionale legge un messaggio solo quando la persona (o l'assistente che ha collegato, su sua richiesta) lo apre, e non ne tiene una copia. Un invio programmato o con «annulla invio» attende tra le bozze della casella, e il gestionale conserva l'orario, l'oggetto e i destinatari finché non parte. Per una casella Outlook la persona può anche abilitare, con un consenso in più a Microsoft (le impostazioni della casella), la risposta automatica e le regole: il gestionale le legge e le scrive in Outlook quando la persona le apre o le cambia, senza tenerne una copia, e le esegue Microsoft. La casella la vede soltanto la persona che l'ha collegata: non i colleghi né gli amministratori dell'agenzia. Il gestionale conserva, cifrati con la chiave dell'agenzia, l'accesso concesso a Microsoft o la password per le app di Google, e li cancella quando la persona scollega la casella o viene tolta dal gestionale; il consenso dato a Microsoft e la password per le app si revocano dalle loro pagine (https://account.live.com/consent/Manage o il portale delle app di Microsoft 365, https://myaccount.google.com/apppasswords). Presso Microsoft e Google la posta è trattata secondo le loro condizioni ed è sotto il controllo della persona.
• Niente webmail: la posta si legge e si gestisce dalla pagina Email del gestionale. Il server di posta non offre una webmail né calendari propri, e la sua rubrica è solo la copia di quella del gestionale per i telefoni e i programmi (vedi «Rubrica sui telefoni e nei programmi»): contatti e appuntamenti sono quelli del gestionale. Il server di posta (mail.zen0lab.com) non ha pagine da aprire nel browser: risponde solo al gestionale, alla configurazione automatica dei programmi di posta, ai telefoni e ai programmi che leggono la rubrica con una password per le app, e ai server che leggono la politica di consegna cifrata.

Memoria per significato

Il gestionale può trovare dove si parla di qualcosa anche quando le parole sono diverse: una domanda come «cliente in ritardo con i pagamenti» trova la nota che dice «fattura scaduta da 45 giorni». Si usa dalla barra dei comandi («cosa sappiamo di…»), da Impostazioni → Memoria e dagli assistenti che l'agenzia collega con il protocollo MCP. È accesa di serie e un amministratore dell'agenzia può spegnerla.

Per farlo il gestionale divide in pezzi di circa mezza pagina i testi dell'agenzia e calcola per ognuno una sequenza di numeri che ne rappresenta il significato. Il calcolo avviene sui nostri server con un modello installato da noi (Granite Embedding di IBM): i testi non sono inviati a nessun servizio esterno e non servono ad addestrare alcun modello.

• Cosa entra: attività, riunioni, ordini del giorno, documenti di testo (PDF, Word, PowerPoint, file di testo e trascrizioni delle riunioni fino a 15 MB; non le fatture), preventivi e contratti composti nel gestionale, messaggi delle chat e il testo delle email dell'indice dei clienti, cioè quelle scambiate con un indirizzo di un cliente (vedi «Email dei clienti» nella sezione sulle caselle di posta). Gli allegati delle email non entrano. Il gestore delle password non entra mai.
• Le email: il testo è letto dal server di posta quando il pezzo si calcola e non è conservato: restano la sequenza di numeri e la posizione del pezzo nel messaggio. Quando una ricerca mostra un'email, il breve estratto si rilegge in quel momento dal server di posta, e se la casella non è di chi cerca la lettura è registrata nel diario degli accessi.
• Chi vede cosa: ognuno trova solo ciò che può già aprire nel gestionale: i messaggi dei canali di cui fa parte (o dei canali dei clienti), le email delle caselle che un amministratore gli fa vedere in «Chi vede cosa». Gli ospiti non la usano.
• Esclusioni: un amministratore può escludere qualunque casella dell'agenzia o una sua cartella; chi è titolare di una casella può escluderla. Una casella o una cartella esclusa non entra nella memoria né nell'indice delle email dei clienti, e ciò che c'era è tolto subito. Le esclusioni si gestiscono da Impostazioni → Memoria e restano registrate con chi le ha fatte e quando.
• Conservazione: i pezzi seguono il contenuto da cui vengono. Modificato, si ricalcolano; eliminato, spostato nel cestino o escluso, i suoi pezzi non compaiono più in nessuna ricerca da subito e sono cancellati al giro successivo, di solito entro pochi minuti e comunque entro un giorno; ne resta per due giorni soltanto un riferimento tecnico, senza alcun contenuto. Spegnendo la memoria per l'agenzia tutti i pezzi sono cancellati. Per questi dati l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione.

Questionari compilati dai clienti

Un'agenzia può inviare ai propri clienti, o a chi potrebbe diventarlo, un questionario da compilare in una pagina web (per esempio prima di un progetto di brand identity). Per i dati raccolti con il questionario l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione: le richieste su quei dati vanno rivolte all'agenzia che ha inviato il questionario.

• Cosa si raccoglie: le risposte scritte da chi compila, il nome del progetto e la data scritti nella copertina e, nei questionari aperti a tutti, il nome, l'email e il telefono che sceglie di lasciare per essere ricontattato. Le risposte sono visibili alle persone dell'agenzia che lo ha inviato, che può anche scaricarle in un file di testo, in un foglio di calcolo o in un PDF: i file si preparano sui nostri server e non passano da altri fornitori.
• Bozza: mentre si compila, le risposte sono salvate come bozza sulla nostra infrastruttura, così da non perderle se la pagina si ricarica. La bozza è cancellata all'invio, o automaticamente 30 giorni dopo l'ultima modifica.
• Nessuna email a chi compila: all'invio l'agenzia riceve una notifica nel gestionale; a chi ha compilato non viene inviato nulla.
• Indirizzo IP e cookie: la pagina non installa cookie e non registra l'indirizzo IP di chi la apre, che è usato soltanto per pochi secondi per limitare le richieste ripetute. Nei questionari aperti a tutti il browser conserva un identificativo della bozza (vedi la Cookie Policy).
• Cancellazione: l'agenzia può eliminare una compilazione in qualsiasi momento; altrimenti resta finché esiste il suo spazio.

Portale cliente e firma dei documenti

Un'agenzia può aprire ai propri clienti un portale personale, una pagina web in cui il cliente vede a che punto sono i suoi progetti, scarica i file che l'agenzia ha scelto di mostrargli e legge e firma preventivi e contratti. Per i dati trattati nel portale l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione: le richieste su quei dati vanno rivolte all'agenzia.

• Accesso: si entra con un indirizzo email che l'agenzia ha abilitato e un codice di sei cifre che inviamo per email, valido 15 minuti e utilizzabile una volta sola; la stessa email contiene un collegamento che vale come il codice. Non ci sono password. Conserviamo il codice e il collegamento soltanto in forma non reversibile, e dopo cinque tentativi sbagliati il codice non vale più.
• Sessione: dopo l'accesso il dispositivo riceve un codice di sessione che dura 30 giorni, conservato nel browser (vedi la Cookie Policy). Per ogni sessione registriamo l'indirizzo email usato, data e ora di accesso e dell'ultimo utilizzo, il tipo di dispositivo e il browser, che l'agenzia vede nella scheda del cliente. Con «Esci», o quando l'agenzia disconnette i dispositivi o spegne il portale, la sessione smette subito di funzionare.
• Cosa vede il cliente: solo i documenti che l'agenzia gli mostra e, dei suoi progetti, nome, stato, date, avanzamento delle attività, fasi e gli aggiornamenti che l'agenzia scrive per lui. Non vede note interne, costi, ore né conversazioni dell'agenzia.
• Firma: quando l'agenzia chiede di firmare un documento, il cliente lo apre nel portale, conferma di averlo letto, scrive nome e cognome, traccia la firma e la conferma con un codice inviato al suo indirizzo email. È una firma elettronica semplice. Come prova della firma conserviamo il nome scritto, l'indirizzo email, data e ora, il tipo di dispositivo e il browser, l'impronta digitale (SHA-256) del documento firmato e l'immagine della firma tracciata. Accanto al documento originale creiamo una copia con in fondo un attestato che riporta questi dati, visibile all'agenzia e al cliente. Al cliente inviamo per email la conferma della firma con la copia firmata in allegato (se è troppo pesante per un'email, con il solo collegamento al portale). Finché un documento aspetta la firma, possiamo ricordarglielo per email, secondo le regole scelte dall'agenzia (di serie ogni 3 giorni, al massimo 3 volte); per ogni documento registriamo quanti promemoria sono partiti e quando.
• Indirizzo IP: il portale non registra l'indirizzo IP di chi lo apre, nemmeno al momento della firma; l'indirizzo è usato soltanto per pochi minuti per limitare le richieste ripetute. La pagina non installa cookie.
• Cancellazione: codici e collegamenti si cancellano da soli alla scadenza, le sessioni 30 giorni dopo l'accesso. Le firme e la loro immagine restano fino alla chiusura dello spazio dell'agenzia, perché servono a dimostrare l'accordo; la copia firmata è un documento dell'agenzia, che può eliminarla come gli altri suoi documenti.

Messaggi protetti della posta

Chi scrive dalla pagina Email del gestionale può mandare un'email come messaggio protetto: il testo e gli allegati non viaggiano nell'email. Ogni destinatario riceve dalla casella di chi scrive un'email con un collegamento personale; aprendolo, riceve al proprio indirizzo un codice di sei cifre e, con il codice, legge il messaggio in una pagina web, ne guarda o scarica gli allegati e può rispondere. Per i dati del messaggio e dei destinatari l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione: le richieste su quei dati vanno rivolte all'agenzia.

• Contenuto cifrato con una chiave che non conserviamo: il messaggio e i suoi allegati sono cifrati (AES-256) con una chiave creata per quel messaggio, che si trova solo nel collegamento ricevuto dal destinatario, nella parte dopo il simbolo «#»; il browser non la manda mai ai nostri server. Conserviamo il contenuto cifrato, in un archivio privato di Cloudflare R2, senza poterlo leggere, fino alla scadenza scelta da chi scrive (da 1 a 90 giorni) o fino alla revoca, poi lo cancelliamo. La decifratura avviene nel browser del destinatario.
• Codice: il codice di sei cifre è inviato per email dal mittente del gestionale all'indirizzo a cui è arrivato il messaggio, vale 10 minuti e si usa una volta sola; dopo cinque tentativi sbagliati non vale più. Lo conserviamo solo in forma non reversibile.
• Registro: per ogni messaggio protetto conserviamo chi l'ha mandato, l'oggetto, gli indirizzi dei destinatari, la data di invio e di scadenza, i nomi degli allegati e, per ogni apertura, data, ora, tipo di dispositivo e browser; chi l'ha mandato lo vede nel gestionale. Il registro resta 12 mesi dall'invio; un mese prima chi l'ha mandato può scegliere di conservarlo più a lungo, di spostarlo con la sua copia in un archivio privato dell'agenzia (vedi «Archivi privati» fra le regole della posta), o eliminarlo prima.
• Risposta: la risposta scritta nella pagina, con i file che il destinatario sceglie di allegare (fino a 10, 25 MB in tutto), arriva come email nella casella di chi ha mandato il messaggio, senza passare da internet; conserviamo data e ora della risposta nel registro. Ogni file allegato è controllato prima da un antivirus che gira sui nostri server: programmi e documenti con macro non si possono allegare, e una risposta con un file infetto non arriva; a chi ha mandato il messaggio arriva una notifica con il nome del file, mai il suo contenuto.
• Copia di chi scrive: nella cartella «Inviata» della casella di chi scrive resta la sua copia del messaggio, come per ogni email inviata, e segue le regole della casella.
• Indirizzo IP e cookie: la pagina del messaggio non registra l'indirizzo IP di chi la apre, che è usato soltanto per pochi minuti per limitare le richieste ripetute; non installa cookie e non conserva nulla sul dispositivo. Il testo del messaggio è mostrato senza caricare immagini da altri siti.

Moduli e siti web dei clienti

Un'agenzia può collegare al gestionale i siti web dei propri clienti, per controllare che siano online e, per quelli costruiti con blubiq, leggere le compilazioni dei moduli, le statistiche di visita e la libreria dei file. Per i siti con il CMS centrale di Zenzionale anche i commenti dei visitatori agli articoli, le compilazioni dei moduli e le statistiche di visita arrivano direttamente al gestionale, che li conserva, e i commenti si moderano da lì. Per i dati delle compilazioni, dei commenti e delle statistiche il titolare del trattamento è il proprietario del sito; l'agenzia li tratta per suo conto e noi operiamo come suoi sub-responsabili, su istruzione dell'agenzia: le richieste su quei dati vanno rivolte al sito su cui si è compilato il modulo o lasciato il commento.

• Cosa si raccoglie: i campi del modulo così come sono stati compilati sul sito (di solito nome, email, telefono e messaggio), il nome del modulo, la pagina da cui è stato inviato e il momento dell'invio. Le compilazioni sono visibili alle persone dell'agenzia, che possono segnarle come lette o gestite e collegarle a un proprio cliente.
• Come arrivano: il gestionale le legge dal sito con le credenziali che l'agenzia ha collegato. Quando arriva una compilazione nuova il sito manda al gestionale un avviso firmato che contiene solo il suo numero, mai i dati scritti da chi ha compilato. Per i siti con il CMS centrale è invece il sito a mandare la compilazione al gestionale: della pagina da cui è stata inviata si tiene solo il percorso, senza i parametri dell'indirizzo, e non si conservano l'indirizzo IP né il programma usato (per limitare gli invii ripetuti l'indirizzo IP si usa solo come impronta non reversibile, per pochi minuti).
• Statistiche e file: delle visite al sito il gestionale legge solo i totali calcolati dal sito (visite, pagine, provenienza, dispositivi, paesi), senza dati delle singole persone. Le anteprime dei file della libreria del sito le scarica il nostro server e le mostra all'agenzia: il browser di chi usa il gestionale non si collega al sito del cliente.
• Statistiche di visita dei siti con il CMS centrale: se l'agenzia le tiene accese, il browser di chi visita il sito manda al gestionale una richiesta quando si apre una pagina e una quando la si lascia. Il gestionale riceve la pagina vista (senza i parametri dell'indirizzo, tranne quelli di una campagna: sorgente, mezzo e nome), il dominio del sito da cui si arriva, la larghezza della finestra (che diventa il tipo di dispositivo), la lingua del browser, il paese (dalla rete di Cloudflare o dal fuso orario del browser), il tempo passato sulla pagina, fin dove la si è scorsa, le sezioni viste, i clic su pulsanti e collegamenti (per esempio chiamate, email, WhatsApp, moduli inviati), la posizione dei clic dentro le sezioni della pagina e la velocità della pagina misurata dal browser. Del browser e del sistema operativo si tiene solo il nome (per esempio «Chrome», «Android»). L'indirizzo IP e i dati del browser servono soltanto a calcolare un'impronta che distingue le visite della stessa giornata, con una chiave casuale che cambia ogni giorno ed è cancellata a fine giornata: le visite di giorni diversi non si possono collegare fra loro, e l'indirizzo IP non viene conservato. Non si usano cookie. Le visite dei programmi automatici non si contano, e nemmeno, se l'agenzia lo sceglie, quelle di chi ha chiesto al browser di non essere tracciato. Se l'agenzia accende «Riconosci chi torna», il sito tiene nel browser di chi lo visita un codice casuale (in un archivio locale, non in un cookie; se l'agenzia lo sceglie, solo con il consenso alle statistiche): il gestionale ne conserva solo un'impronta, per contare chi torna dopo qualche giorno. Il dettaglio delle visite si cancella dopo 30 giorni, la posizione dei clic dopo 90, l'impronta di chi torna 400 giorni dopo la sua ultima visita; restano solo i totali per giorno, senza dati delle singole persone.
• Search Console: se l'agenzia collega un account Google, il gestionale conserva l'indirizzo email dell'account e il permesso di accesso concesso da Google (conservato in forma cifrata e mai mostrato), e per ogni sito la proprietà di Search Console scelta. Da Google legge solo dati aggregati del sito: clic, impressioni e posizione per giorno, ricerca, pagina, dispositivo e paese, lo stato delle sitemap e, quando l'agenzia lo chiede, lo stato di una pagina nell'indice; a Google manda le sitemap che l'agenzia invia. Le ricerche sono quelle che Google mostra già aggregate e anonime: nessun dato delle singole persone. Questi dati non si conservano: si leggono quando si apre la scheda e restano in memoria al massimo dieci minuti.
• PageSpeed Insights: quando l'agenzia analizza una pagina del sito, il gestionale manda a Google l'indirizzo di quella pagina, e Google la apre come un visitatore. Si conservano per 12 mesi i risultati dell'analisi (punteggi, tempi e cose da migliorare), l'indirizzo analizzato e chi l'ha chiesta.
• Commenti: per i siti con il CMS centrale, chi commenta un articolo scrive nome, email e testo. Il nome e il testo si pubblicano sul sito quando l'agenzia approva il commento; l'email non si pubblica e serve all'agenzia per riconoscere chi ha già commentato e, solo se la persona lo chiede, per mandarle un'email quando il commento viene pubblicato. Si conserva anche il momento dell'invio. Non si conservano l'indirizzo IP né il programma usato: per limitare gli invii ripetuti l'indirizzo IP si usa solo come impronta non reversibile, per pochi minuti. Le risposte dell'agenzia portano il nome di chi le scrive.
• Avvisi all'agenzia e newsletter: per i siti con il CMS centrale ogni compilazione può arrivare per email alle persone dell'agenzia che l'agenzia sceglie, con l'indirizzo di chi ha compilato come destinatario delle risposte. Se chi compila chiede di ricevere la newsletter, il nome, l'email e il telefono (se l'ha scritto) entrano nella newsletter dell'agenzia in attesa di conferma: la persona riceve un'email per confermare l'iscrizione e solo confermando riceve newsletter. Si conservano anche il testo del consenso mostrato nel modulo e il sito da cui è arrivata la richiesta. Vedi la sezione sulle newsletter.
• Verifica anti-spam: per i commenti e i moduli dei siti con il CMS centrale l'agenzia può scegliere una verifica anti-spam: Cloudflare Turnstile, Google reCAPTCHA, hCaptcha, Friendly Captcha oppure ALTCHA. Con i primi quattro il browser di chi visita il sito si collega al servizio scelto, che ne rileva l'indirizzo IP e lo tratta secondo la propria informativa; il gestionale manda poi a quel servizio soltanto il codice prodotto nel browser e la chiave segreta del sito, per sapere se l'invio viene da una persona, senza l'indirizzo IP né i dati scritti nel modulo. Con ALTCHA il browser risolve un piccolo calcolo che gli dà il gestionale, senza collegarsi a nessun servizio esterno. Le chiavi segrete sono conservate cifrate e non sono mostrate a nessuno.
• Pubblicazione su Cloudflare e pagina d'attesa: per i siti con il CMS centrale l'agenzia può collegare il proprio account Cloudflare (Pages). Il gestionale conserva in forma cifrata il token e l'indirizzo di ricostruzione, mai mostrati a nessuno, e li usa dal proprio server per ricostruire il sito dopo ogni pubblicazione, elencare le versioni pubblicate e tornare a una di prima, svuotare la cache e accendere o spegnere la pagina d'attesa. La pagina d'attesa (manutenzione o prossima apertura) è servita a chi visita il sito da un piccolo programma che il gestionale carica sull'account Cloudflare dell'agenzia, attivo solo mentre serve: non carica nulla da altri siti, non imposta cookie ai visitatori e non registra i loro indirizzi IP. Nella prossima apertura chi vuole essere avvisato lascia la sua email, il nome se vuole e, se lo chiede, l'iscrizione alla newsletter: arrivano fra le compilazioni dei moduli del sito, con la stessa conservazione; l'indirizzo IP passa al gestionale solo per limitare gli invii ripetuti, ridotto a un'impronta che non si conserva. Le persone dell'agenzia vedono il sito chiuso con un collegamento riservato, che imposta sul loro browser un cookie tecnico (vedi la Cookie Policy).
• Banner dei cookie e registro dei consensi: per i siti con il CMS centrale il gestionale prepara il banner dei cookie che il sito mostra a chi lo visita. Quando una persona sceglie (accetta tutto, rifiuta tutto o sceglie per categoria e per servizio), il suo browser salva la scelta in un cookie tecnico del sito (zz_consent, vedi la Cookie Policy) e, se l'agenzia tiene acceso il registro dei consensi, la manda al gestionale, che la conserva come prova del consenso per conto dell'agenzia e del proprietario del sito: un codice casuale creato dal browser, la scelta, le categorie accettate e i servizi esclusi, il momento, la pagina (senza i parametri dell'indirizzo), il nome del browser (per esempio «Chrome») e un'impronta di ciò che il banner mostrava, insieme ai testi e ai servizi che la persona ha visto. L'indirizzo IP passa al gestionale solo per limitare le richieste ripetute, ridotto a un'impronta della rete che si cancella entro un'ora; il registro non contiene indirizzi IP. Le scelte si cancellano da sole dopo il periodo che l'agenzia sceglie per il sito (12 mesi di serie, da 6 a 60), o subito se l'agenzia toglie il sito.
• Informative dei siti con il CMS centrale: per scrivere l'informativa sulla privacy, la cookie policy, le note legali e, se il sito accetta commenti, le regole per i contenuti degli utenti, il gestionale manda al motore di blubiq, un programma che gira sul nostro server, una fotografia delle impostazioni del sito: i dati del titolare (presi dall'anagrafica del cliente o scritti dall'agenzia: nome, sede, partita IVA, codice fiscale, email, PEC, telefono), i servizi che il sito usa e le sue funzioni (moduli, commenti, newsletter, statistiche); mai dati dei visitatori. La fotografia passa dalla memoria temporanea del nostro server e si cancella appena il motore ha finito, al più tardi dopo due ore. I testi si conservano nel gestionale, le ultime 20 versioni di ogni documento, finché il sito resta nel gestionale, e si riscrivono da soli quando cambiano i servizi del sito o il titolare.
• Cancellazione: le compilazioni si cancellano da sole 24 mesi dopo il loro arrivo nel gestionale, e subito se l'agenzia toglie il sito dal gestionale. Restano comunque sul sito del cliente, secondo le regole del sito. I commenti segnati come spam o eliminati si cancellano da soli dopo 30 giorni; quelli pubblicati restano finché l'agenzia li toglie, o elimina l'articolo o il sito. Togliendo il sito si cancellano anche le sue statistiche di visita e le sue analisi PageSpeed; scollegando l'account Google si cancella subito il permesso di accesso.

Eventi organizzati dalle agenzie

Un'agenzia può usare il gestionale per organizzare eventi (corsi, workshop, serate), raccogliere le iscrizioni da una pagina pubblica, segnare presenze e pagamenti e tenere una lista d'attesa. Per i dati di chi si iscrive, dei relatori e delle sale l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione: le richieste su quei dati vanno rivolte all'agenzia che organizza l'evento, indicata nella pagina dell'evento.

• Cosa si raccoglie dalla pagina pubblica: nome ed email, e soltanto gli altri campi e le domande che l'agenzia ha scelto di chiedere (telefono, città, anno di nascita, domande aggiunte da lei), oltre al biglietto scelto e all'eventuale codice sconto. L'iscrizione si invia solo dopo aver accettato il trattamento dei dati per gestirla; la pagina rimanda all'informativa dell'agenzia quando l'agenzia la indica.
• Iscrizione di più persone insieme: quando l'agenzia lo consente, chi si iscrive può indicare nome ed email di altre persone. Chi lo fa dichiara di essere autorizzato a comunicarli; ognuna riceve la propria email di conferma e può disdire dalla propria pagina. Il consenso alla newsletter vale solo per chi lo ha espresso, mai per le altre persone del gruppo.
• Iscrizioni da approvare: se l'agenzia approva le iscrizioni a mano, la richiesta resta in attesa della sua decisione; chi l'ha inviata riceve un'email quando la richiesta arriva e, se non viene accolta, un'email che lo comunica.
• Newsletter: la casella per ricevere la newsletter dell'agenzia è facoltativa e non è mai già spuntata. Chi la spunta riceve un'email per confermare, e diventa iscritto solo dopo averla confermata. Iscriversi a un evento senza spuntarla non comporta alcuna iscrizione alla newsletter.
• Email di servizio: per conto dell'agenzia inviamo a chi si iscrive le email necessarie a gestire l'iscrizione — la conferma, l'inserimento in lista d'attesa, l'avviso che si è liberato un posto, i promemoria prima dell'evento, la conferma di una disdetta, l'invito a completare il pagamento quando l'iscrizione si paga online, le comunicazioni dell'agenzia sull'evento (per esempio un cambio di data o di luogo), dopo l'evento un ringraziamento con i collegamenti ai materiali (per esempio le slide o la registrazione, a chi ha partecipato o, se l'agenzia lo sceglie, a tutti gli iscritti) e, a chi ha partecipato, l'attestato di partecipazione e l'invito a un sondaggio di gradimento. Non sono email promozionali e non richiedono il consenso alla newsletter; l'agenzia può spegnere ciascuna di esse. Partono attraverso i fornitori di invio email indicati nella tabella dei fornitori.
• Pagina personale e biglietto: ogni email porta il collegamento a una pagina personale, riservata a chi la riceve, con il biglietto (un codice QR da mostrare all'ingresso), i dati dell'evento, il collegamento per gli eventi online, i comandi per aggiungerlo al proprio calendario e per disdire. Il collegamento contiene un codice casuale che la identifica: chi lo possiede vede soltanto quella iscrizione. All'ingresso il personale dell'agenzia legge il QR con la fotocamera di un proprio dispositivo e registra l'ora dell'ingresso.
• Disdetta: dalla pagina personale si può disdire l'iscrizione o uscire dalla lista d'attesa. L'iscrizione viene tolta; l'agenzia conserva la traccia della disdetta (nome, email e data) finché esiste l'evento. Il posto liberato passa automaticamente alla prima persona in lista d'attesa, che ne riceve avviso.
• Rimborso alla disdetta: se l'agenzia lo attiva, chi ha pagato la quota online può disdire dalla propria pagina personale fino al numero di giorni prima dell'evento che l'agenzia ha scelto, e quanto ha pagato online gli viene rimborsato automaticamente con Stripe, sullo stesso metodo di pagamento; la parte pagata con un buono regalo torna sul buono. La traccia della disdetta registra anche l'importo rimborsato.
• Iscrizione e pagamento all'ingresso: chi arriva senza essersi iscritto può essere iscritto dal personale dell'agenzia all'ingresso, con nome, cognome e, se lo dà, l'indirizzo email; risulta già presente. Senza email non riceve alcuna email né arriva alla newsletter. Se paga all'ingresso, si registrano l'importo dovuto, il metodo (contanti, carta, bonifico) e chi lo ha incassato; il gestionale non raccoglie dati della carta.
• Buoni regalo: l'agenzia può emettere buoni regalo con un codice da spendere iscrivendosi ai suoi eventi, e mandarli per email a chi li riceve, con l'eventuale messaggio e il nome di chi li regala. Chi scrive un codice nel modulo d'iscrizione vede solo il credito rimasto e la scadenza di quel buono; usandolo, il credito scende e l'agenzia vede per quale evento e da chi è stato usato. Se l'iscrizione viene tolta, il credito torna sul buono. Un buono si conserva finché l'agenzia non lo elimina.
• Materiali dopo l'evento: l'agenzia può mandare un ringraziamento con dei collegamenti (slide, registrazione, una cartella condivisa) e con dei file conservati nel gestionale. Sono collegamenti, non allegati: chi li ha ricevuti li ritrova nella propria pagina personale, e se l'agenzia li cambia vale quello nuovo. I file non hanno un indirizzo pubblico: si scaricano solo dal collegamento personale di chi ha ricevuto il ringraziamento, che apre un indirizzo valido pochi minuti verso l'archivio in cui sono conservati. Le pagine esterne a cui portano gli altri collegamenti sono dell'agenzia o dei servizi che lei sceglie, con le loro regole. Registriamo se, dopo aver ricevuto il ringraziamento, la persona riapre la propria pagina personale o scarica un file dei materiali: soltanto la data della prima volta, senza indirizzo IP né dati del dispositivo; all'agenzia serve a sapere quante persone l'hanno letto. Se l'agenzia attiva la misurazione delle aperture, il ringraziamento inviato a chi, iscrivendosi, ha chiesto di ricevere la sua newsletter contiene anche un'immagine invisibile che, quando l'email viene aperta, registra la data della prima apertura, senza indirizzo IP; chi non ha chiesto la newsletter riceve il ringraziamento senza quell'immagine. La misurazione è spenta finché l'agenzia non la attiva.
• Attestati e badge: l'agenzia può generare i cartellini con nome e ruolo dei partecipanti e gli attestati di partecipazione per chi è risultato presente, con la firma di un suo collaboratore e, se li indica, i crediti formativi riconosciuti.
• Sondaggio di gradimento: dopo l'evento l'agenzia può inviare a chi è risultato presente un breve questionario sull'evento. Ognuno riceve un collegamento personale e risponde una sola volta; le risposte sono collegate alla persona che le ha date e sono visibili alle persone dell'agenzia, nella scheda dell'evento. Rispondere è facoltativo. La pagina del questionario segue le regole indicate nella sezione «Questionari compilati dai clienti».
• Pagamento: se l'agenzia non attiva il pagamento online, la pagina indica la quota ma non raccoglie dati di pagamento, e il pagamento è registrato dall'agenzia. Se lo attiva, chi si iscrive a pagamento paga dalla propria pagina personale con il modulo di Stripe: i dati della carta sono trasmessi a Stripe direttamente dal browser e non transitano dai nostri server; riceviamo l'esito, l'importo, il tipo di metodo usato (per esempio «Visa •••• 4242») e il collegamento alla ricevuta. Il posto è tenuto per il tempo indicato: se il pagamento non arriva, l'iscrizione viene tolta e ne resta la traccia come per una disdetta. L'agenzia incassa sul proprio conto Stripe e da lì può rimborsare. Chi chiede la fattura indica i dati fiscali, che diventano un cliente dell'agenzia e la fattura elettronica emessa a suo nome. Mentre scrive l'indirizzo per la fattura, la pagina propone gli indirizzi corrispondenti: il testo scritto in quel campo è inviato dal nostro server a Photon (komoot), indicato nella tabella dei fornitori, e non è conservato. L'agenzia può riportare incassi e costi dell'evento nella propria contabilità del gestionale.
• Raccolte: un'agenzia può pubblicare una pagina per raccogliere donazioni (/dona/…), con la descrizione, un obiettivo, quanto è stato raccolto e chi ha donato. Chi dona indica nome, email e la cifra, e può lasciare un messaggio; il suo nome (abbreviato, «Anna R.») e il messaggio compaiono sulla pagina solo se sceglie di mostrarli, altrimenti compare come «Anonimo», e l'importo dei singoli compare solo se l'agenzia lo attiva. Il pagamento avviene sulla pagina con il modulo di Stripe e arriva sul conto Stripe scelto per la raccolta (per una donazione a un ente, quello dell'ente); riceviamo l'esito, l'importo e il tipo di metodo usato. A pagamento riuscito inviamo un'email di ringraziamento e, per una donazione a un ente, la ricevuta di erogazione liberale a nome dell'ente, che si scarica anche dalla pagina della propria donazione. Una donazione iniziata e non pagata viene cancellata dopo due giorni. Se l'agenzia lo prevede, il modulo ha una casella facoltativa, mai già spuntata, per ricevere la sua newsletter: chi la spunta riceve un'email per confermare e diventa iscritto solo dopo averla confermata.
• Contributo libero e donazioni: se l'agenzia lo attiva, il modulo d'iscrizione propone di aggiungere una cifra, facoltativa, che si paga insieme all'iscrizione con lo stesso pagamento online. Può essere un contributo libero, incassato da chi organizza, oppure una donazione a un ente indicato nella pagina (un'associazione, un ente del terzo settore, una fondazione): in quel caso il pagamento arriva sul conto Stripe dell'ente, e chi dona può indicare il proprio codice fiscale, facoltativo, perché compaia sulla ricevuta. La ricevuta di erogazione liberale è emessa a nome dell'ente, con un numero progressivo, e si scarica dalla pagina personale di chi ha donato; se la donazione viene rimborsata del tutto, la ricevuta è annullata.
• Blacklist: l'agenzia può indicare persone che non devono più iscriversi ai suoi eventi né ricevere le sue newsletter, scrivendo il motivo. A chi è in blacklist la pagina dell'evento risponde come a chiunque altro, ma l'iscrizione non viene registrata e non parte alcuna email. Lo stesso elenco vale per la newsletter della stessa agenzia, che ne riceve una copia nella propria banca dati; i dati restano separati da quelli delle altre agenzie.
• Blacklist automatica per le assenze: se l'agenzia la attiva, l'indirizzo di chi si è iscritto a un numero di eventi dal vivo scelto dall'agenzia (almeno due) senza presentarsi né disdire viene aggiunto alla blacklist automaticamente, con il motivo e gli eventi interessati; contano solo gli eventi già conclusi e le iscrizioni come partecipante. L'agenzia vede la voce, segnata come automatica, e può toglierla in qualsiasi momento; chi viene tolto non vi torna se non dopo altrettante nuove assenze. Per chiedere di essere tolti dalla blacklist ci si rivolge all'agenzia.
• Scheda unica della persona: nel gestionale l'agenzia vede in una sola scheda ciò che riguarda un indirizzo email nei suoi eventi: iscrizioni, presenze e pagamenti, lista d'attesa e disdette, donazioni e ricevute, buoni regalo, l'eventuale blacklist, il suo cliente con lo stesso indirizzo e lo stato dell'iscrizione alla newsletter e, per chi nell'agenzia può vedere i contatti della newsletter, le newsletter ricevute, aperte e cliccate. La scheda è composta al momento dai dati descritti in questa sezione; a parte sono conservati soltanto la nota che l'agenzia può scrivere su quella persona (un testo libero, per esempio un'esigenza da ricordare alla cena di un evento) e il registro delle email che le invia dalla scheda: oggetto, data e chi l'ha inviata, non il testo. Queste email sono comunicazioni di servizio scritte dall'agenzia (su un evento, una donazione, un buono regalo) e non sono inviate a chi è in blacklist. Esiste anche per chi non si è iscritto alla newsletter e non serve a inviare comunicazioni promozionali, che restano riservate a chi ha dato e confermato il consenso. Dalla scheda l'agenzia può scaricare in un file tutti i dati di quella persona, per rispondere a una richiesta di accesso o di portabilità, e anonimizzarli su richiesta: nome, email e recapiti sono tolti da iscrizioni, donazioni e buoni, la lista d'attesa, le disdette, la nota e il registro delle email sono cancellati e i collegamenti alla pagina personale smettono di funzionare; restano le ricevute delle donazioni per i tempi previsti dalla legge e, per chi è in blacklist, il solo indirizzo, necessario a rispettare l'esclusione.
• Organizzazioni collegate: un'agenzia può mostrare la sua parte Eventi e Newsletter a un'altra agenzia che usa il gestionale, scegliendo pagina per pagina cosa può vedere, modificare o esportare, e anche solo alcuni eventi. Mostrare a un'altra agenzia i dati delle persone (iscritti, contatti, donatori) è una comunicazione dei dati: l'agenzia che li ha raccolti la fa sotto la propria responsabilità e conferma, invitando o accettando, di avere con l'altra un accordo sul trattamento (contitolarità o nomina a responsabile). Ciò che l'altra agenzia fa in quella parte — gli ingressi, le modifiche e le esportazioni, con il nome di chi le ha fatte — resta in un diario che l'agenzia che mostra legge per 24 mesi. Il collegamento si sospende o si chiude in ogni momento, da tutte e due le parti, con effetto immediato.
• Lettura da altri programmi dell'agenzia (API): l'agenzia può creare delle chiavi con cui un suo programma — per esempio il proprio CRM o quello di un cliente — legge gli eventi, gli iscritti con le presenze e la lista d'attesa. Le chiavi danno solo lettura, possono essere limitate ad alcuni eventi e ai soli dati scelti, e si revocano in ogni momento. I dati letti escono dal gestionale verso il programma dell'agenzia, che ne risponde.
• Pagine incorporate nei siti delle agenzie: l'agenzia può inserire il modulo d'iscrizione di un evento, o la pagina con l'elenco dei suoi eventi, nel proprio sito. In quel caso il browser di chi visita il sito dell'agenzia scarica quella parte dai nostri server, che ricevono quindi il suo indirizzo IP; valgono le stesse regole della pagina dell'evento.
• Invio ad altri sistemi dell'agenzia (webhook): l'agenzia può chiederci di inviare automaticamente a un indirizzo web da lei scelto — per esempio il proprio CRM, quello di un suo cliente, un foglio di calcolo o un servizio di automazione come Make o Zapier — i dati di un'iscrizione quando avviene (iscrizione, approvazione, disdetta, ingresso in lista d'attesa, presenza, pagamento o rimborso): nome, cognome, email, telefono, città e anno di nascita se raccolti, biglietto, prezzo e stato del pagamento, presenza e risposte alle domande del modulo, insieme al nome e alla data dell'evento. Ogni invio è firmato perché il destinatario possa verificarne la provenienza, e di ciascuno conserviamo un registro per 30 giorni. La scelta del destinatario è dell'agenzia, titolare del trattamento: da quel momento i dati sono trattati secondo le regole del sistema che li riceve.
• Visite della pagina dell'evento: per dire all'agenzia quante persone guardano la pagina di un suo evento e da dove arrivano, quando la pagina si apre il browser invia ai nostri server un solo segnale con il nome del sito da cui si arriva (non la pagina precisa), gli eventuali parametri della campagna presenti nell'indirizzo (utm_source, utm_medium, utm_campaign) e se la pagina è incorporata nel sito dell'agenzia; dal browser ricaviamo il tipo di dispositivo e, quando il servizio che protegge il sito lo indica, il paese. Per distinguere le persone diverse calcoliamo un'impronta dall'indirizzo IP e dal browser insieme a un codice casuale che cambia ogni giorno: impronta e codice restano solo nella memoria temporanea del server e si cancellano da soli entro due giorni, e né l'indirizzo IP né l'impronta vengono registrati. Per questo chi torna in un altro giorno è contato di nuovo. Conserviamo soltanto i totali per giorno, che non permettono di risalire a nessuno, e l'agenzia li vede accanto alle iscrizioni arrivate dalla pagina. Non contano i programmi automatici (motori di ricerca, anteprime dei collegamenti) né chi usa il gestionale dallo stesso browser. Sul dispositivo non viene scritto nulla.
• Indirizzo IP e cookie: la pagina dell'evento, l'elenco degli eventi e la pagina personale non installano cookie e non conservano nulla sul dispositivo, salvo il modulo di pagamento di Stripe quando si paga online dalla pagina personale (vedi la Cookie Policy). L'indirizzo IP è usato soltanto per limitare le richieste ripetute (per al massimo dieci minuti) e, sulla pagina dell'evento, per l'impronta giornaliera con cui si contano le visite (vedi sopra), e non viene registrato.
• Cancellazione: l'agenzia può rimuovere un iscritto, un relatore o una sala in qualsiasi momento. Un evento eliminato resta nel cestino per 30 giorni con i suoi iscritti, la sua lista d'attesa, le disdette e le risposte al suo sondaggio di gradimento, poi viene cancellato insieme a loro.

Video caricati dalle agenzie

Un'agenzia può caricare nel gestionale i propri video (Utility → Trascodifica e Dirette) per mostrarli in streaming: nella pagina del video (/v/…), nelle pagine dei propri eventi (/e/…) e dei moduli d'iscrizione (/modulo/…), nella pagina personale del biglietto di chi si iscrive a un suo evento (/biglietto/…) e nei siti in cui li incorpora. Per le persone che compaiono nei video e per i dati che contengono, titolare del trattamento è l'agenzia; noi trattiamo i file per suo conto.

Il file originale è caricato dal browser direttamente nell'archivio dei video su Cloudflare R2, nell'Unione europea, senza passare dal gestionale. Per preparare le versioni da guardare, una macchina di Fly.io nell'Unione europea (Amsterdam) legge l'originale, produce le diverse qualità cifrate con una chiave del video e le rimette nello stesso archivio; la macchina e il suo disco sono distrutti a lavoro finito.

• Chiave del video: le parti del video conservate nell'archivio sono cifrate e illeggibili da sole. La chiave è conservata nel gestionale, cifrata con la chiave dell'agenzia, e il gestionale la consegna al player di chi guarda: a chiunque per un video visibile a chi ha il link, solo alle persone autorizzate dall'agenzia per un video privato.
• Chi guarda: il browser di chi guarda richiede le parti del video, la copertina e i sottotitoli alla rete di distribuzione di Cloudflare, che ne rileva l'indirizzo IP come per qualsiasi file sul web. Il gestionale non registra chi guarda né il suo indirizzo IP.
• Originale: l'originale si cancella appena le versioni da guardare sono pronte, a meno che l'agenzia scelga di conservarlo per poterle rifare.
• File MP4: su richiesta dell'agenzia, una macchina di Fly.io ricompone il video in un unico file MP4 da scaricare, senza ricodificarlo. Il file non è cifrato: si conserva in una parte dell'archivio che la rete di distribuzione non serve, e si scarica solo con un collegamento personale che vale un'ora. Si cancella quando il video è preparato di nuovo o eliminato.
• Sottotitoli: su richiesta dell'agenzia, una macchina di Fly.io trascrive l'audio del video con Whisper, un programma che gira sulla macchina stessa: l'audio non va ad altri fornitori. Il testo dei sottotitoli si conserva nell'archivio dei video finché l'agenzia non lo toglie o non elimina il video.
• Dirette degli eventi: se zen0lab le attiva per l'agenzia, il programma di trasmissione dell'agenzia (per esempio OBS) manda il segnale a un ingresso su Fly.io nell'Unione europea (Amsterdam), che lo passa sulla rete privata di Fly.io a una macchina per ogni diretta; la macchina prepara le qualità cifrate mentre la diretta va in onda e le scrive nell'archivio dei video, dove chi guarda le riceve come per gli altri video. La chiave di trasmissione è conservata cifrata con la chiave dell'agenzia e si cancella quando la diretta finisce. L'indirizzo IP dell'apparecchio che trasmette serve solo a ricevere il segnale e non è registrato. Contiamo i minuti in onda di ogni mese. Se l'agenzia non sceglie di salvare la registrazione, i file della diretta si cancellano quando finisce.
• Cancellazione: eliminare un video cancella tutte le sue versioni, l'originale, il file MP4 e i sottotitoli. Un caricamento interrotto e mai ripreso si cancella da solo dopo tre giorni. Per il servizio contiamo, per ogni mese, lo spazio occupato, le ore di video preparate e i minuti di diretta.

Canali YouTube collegati (YouTube API Services)

Per pubblicare i video dei clienti sui loro canali, il gestionale usa le YouTube API Services di Google. Un'agenzia, o il cliente da un link che l'agenzia gli manda, collega un canale accedendo con l'account Google del canale e concedendo quattro permessi: caricare video sul canale, gestire i video pubblicati dal gestionale (eliminarli o cambiarne la visibilità, solo quando l'agenzia lo chiede), leggerne i dati (nome, indirizzo, numero di iscritti, stato dei video) e leggerne le statistiche di YouTube (YouTube Analytics) per i video pubblicati dal gestionale. Usando questa funzione si accettano i Termini di servizio di YouTube: https://www.youtube.com/t/terms. I dati ricevuti da Google sono trattati anche secondo le norme sulla privacy di Google: https://policies.google.com/privacy.

• Cosa si conserva: il nome, l'identificativo e l'indirizzo del canale, il numero di iscritti giorno per giorno, il permesso di accesso concesso da Google (conservato in forma cifrata e mai mostrato) e, per ogni video pubblicato dal gestionale, il suo identificativo, l'indirizzo, l'esito della pubblicazione e i suoi numeri (visualizzazioni, like, commenti, condivisioni e minuti visti), letti dalle statistiche di YouTube e dai contatori pubblici del video.
• Cosa si manda a YouTube: il video scelto dall'archivio dell'agenzia, il titolo (la prima riga del testo del post), la descrizione (il testo del post), la visibilità pubblica e la dichiarazione che il video non è destinato ai bambini. Il video passa dal nostro server a YouTube a pezzi, al momento della pubblicazione, e non è conservato altrove. Quando l'agenzia lo chiede dalla pagina del post, il gestionale chiede a YouTube di eliminare un video che ha pubblicato o di cambiarne la visibilità (pubblico, non in elenco o privato).
• Per quanto: i dati letti da YouTube si conservano solo finché l'accesso al canale resta valido, e il gestionale lo verifica ogni giorno. Se Google lo rifiuta per oltre 30 giorni, i numeri e gli iscritti del canale si cancellano da soli; scollegando il canale dalla pagina Social si cancellano subito, insieme al permesso di accesso.
• Come revocare l'accesso: oltre a scollegare il canale dal gestionale, chi ha concesso l'accesso può toglierlo in ogni momento dalla pagina delle autorizzazioni del proprio account Google: https://myaccount.google.com/permissions (anche dalla pagina delle impostazioni di sicurezza di Google: https://security.google.com/settings/security/permissions). Se lo stesso account Google è collegato anche al calendario o a Google Drive, la revoca toglie anche quelli.
• Con chi si condividono: i dati del canale li vedono le persone dell'agenzia che lo ha collegato; non li vendiamo e non li usiamo per pubblicità.

Profili Threads collegati

Per pubblicare i post dei clienti sui loro profili Threads, il gestionale usa le API di Threads di Meta. Un'agenzia, o il cliente da un link che l'agenzia gli manda, collega un profilo accedendo a Threads e concedendo sei permessi: leggere il profilo (nome, nome utente), pubblicare, leggere le risposte ai post, rispondere e nascondere le risposte, eliminare i post e le risposte pubblicati dal profilo, leggere i numeri dei post e il numero di follower.

• Cosa si conserva: il nome, il nome utente, l'identificativo e l'indirizzo del profilo, il numero di follower giorno per giorno, l'accesso concesso da Threads (conservato in forma cifrata e mai mostrato, valido 60 giorni e rinnovato dal gestionale) con la sua scadenza e, per ogni post pubblicato dal gestionale, il suo identificativo, l'indirizzo, l'esito e i suoi numeri (visualizzazioni, like, risposte, repost, citazioni, condivisioni). Delle risposte ai post pubblicati dal gestionale: il testo, il nome utente di chi ha risposto e la data, che si cancellano da soli dopo 90 giorni.
• Cosa si manda a Threads: il testo del post, le immagini o i video scelti (che Threads scarica da un indirizzo temporaneo dell'archivio dell'agenzia, valido un'ora), il testo alternativo delle immagini se l'agenzia lo scrive, il primo commento e le risposte scritte dall'agenzia.
• Come revocare l'accesso: oltre a scollegare il profilo dal gestionale, chi ha concesso l'accesso può toglierlo in ogni momento dall'app di Threads (Impostazioni → Account → Autorizzazioni siti web). Quando lo toglie, Threads ce lo comunica e il gestionale cancella l'accesso.
• Cancellazione dei dati: chi chiede a Meta di cancellare i dati che il gestionale ha ricevuto da Threads li vede cancellati subito, su ogni agenzia che ha collegato il profilo (profilo, numeri, risposte, promemoria); riceve un codice e un indirizzo dove controllare l'esito. Della richiesta conserviamo solo il codice, la data e un'impronta non reversibile dell'identificativo del profilo.
• Con chi si condividono: i dati del profilo li vedono le persone dell'agenzia che lo ha collegato; non li vendiamo e non li usiamo per pubblicità.

Account TikTok collegati

Per pubblicare i post dei clienti sui loro account TikTok, il gestionale usa le API di TikTok for Developers (Login Kit e Content Posting API). Un'agenzia, o il cliente da un link che l'agenzia gli manda, collega un account accedendo a TikTok e concedendo cinque permessi: leggere il profilo di base (identificativo e nome), leggere il numero di follower, pubblicare post sull'account, mandargli contenuti come bozza da completare nell'app di TikTok e leggere i numeri dei suoi post pubblici.

• Cosa si conserva: il nome, il nome utente, l'identificativo e l'indirizzo dell'account, il numero di follower giorno per giorno, l'accesso concesso da TikTok (conservato in forma cifrata e mai mostrato: vale due ore e si rinnova con un secondo codice valido fino a 180 giorni) con la sua scadenza e, per ogni post pubblicato dal gestionale, chi può vederlo, le interazioni consentite (commenti, duetti, stitch), l'eventuale dichiarazione di contenuto commerciale, il suo identificativo, l'indirizzo, l'esito e i suoi numeri (visualizzazioni, like, commenti, condivisioni).
• Cosa si legge prima di pubblicare: il nome con cui uscirà il post e le impostazioni dell'account (chi può vedere i post, le interazioni spente, la durata massima dei video). Servono a mostrarle a chi pubblica e non si conservano.
• Cosa si manda a TikTok: il testo del post e le scelte fatte prima di pubblicare (chi lo vede, interazioni, contenuto commerciale). I video li carica il gestionale, a pezzi, leggendoli dall'archivio dell'agenzia; le foto TikTok le scarica da un indirizzo temporaneo del gestionale, valido un'ora. Un post mandato come bozza arriva nell'app di TikTok dell'account con i soli video o foto (e, per le foto, il testo): lo completa e lo pubblica chi gestisce l'account, e il gestionale chiede a TikTok per sette giorni se è stato pubblicato.
• Regole di TikTok: pubblicando si accetta la Music Usage Confirmation di TikTok (https://www.tiktok.com/legal/page/global/music-usage-confirmation/en) e, per un contenuto brandizzato, la Branded Content Policy (https://www.tiktok.com/legal/page/global/bc-policy/en).
• Come revocare l'accesso: oltre a scollegare l'account dal gestionale, che cancella l'accesso conservato, chi lo ha concesso può toglierlo in ogni momento dall'app di TikTok, nelle impostazioni di sicurezza, fra le app e i servizi autorizzati.
• Con chi si condividono: i dati dell'account li vedono le persone dell'agenzia che lo ha collegato; non li vendiamo e non li usiamo per pubblicità.

Profili Bluesky collegati

Per pubblicare i post dei clienti sui loro profili Bluesky, il gestionale usa le API dell'AT Protocol, il protocollo di Bluesky. Un'agenzia, o il cliente da un link che l'agenzia gli manda, collega un profilo accedendo a Bluesky e approvando i permessi chiesti: pubblicare e cancellare i post e caricare immagini e video. Il gestionale non riceve la password del profilo e non chiede di leggere i messaggi, l'email o le impostazioni dell'account.

• Cosa si conserva: il nome, il nome utente, l'identificativo (DID) e l'indirizzo del profilo, il server che lo ospita, il numero di follower giorno per giorno, l'accesso concesso da Bluesky (conservato in forma cifrata e mai mostrato, con la chiave che lo lega al gestionale; si rinnova a ogni uso) e, per ogni post pubblicato dal gestionale, il suo identificativo, l'indirizzo, l'esito e i suoi numeri pubblici (like, ricondivisioni, risposte, citazioni, salvataggi).
• Cosa si manda a Bluesky: il testo del post (diviso in più post collegati se l'agenzia lo scrive come thread), le immagini con il loro testo alternativo e le loro proporzioni, il video, il primo commento. Le immagini e i video li carica il gestionale al momento di pubblicare, leggendoli dall'archivio dell'agenzia; dalle immagini si tolgono prima i dati dello scatto (EXIF, compreso il luogo). I video passano dal servizio video di Bluesky, che li elabora prima della pubblicazione.
• Cosa si legge da Bluesky: per collegare un profilo, il suo identificativo e il server che lo ospita (dal registro pubblico degli identificativi, plc.directory, o dal dominio del profilo); per i numeri e i follower, i dati pubblici del profilo e dei post. Per rendere cliccabile una menzione si cerca l'identificativo pubblico del nome citato.
• Come revocare l'accesso: scollegando il profilo dal gestionale l'accesso si cancella e la sessione si chiude anche presso Bluesky (solo quella del gestionale: l'account e le altre app restano).
• Con chi si condividono: i dati del profilo li vedono le persone dell'agenzia che lo ha collegato; non li vendiamo e non li usiamo per pubblicità. I post pubblicati su Bluesky sono pubblici per natura, secondo le regole di Bluesky (https://bsky.social/about/support/privacy-policy).

Account Pinterest collegati

Per pubblicare i Pin dei clienti sui loro account Pinterest, il gestionale usa le API di Pinterest (versione 5). Un'agenzia, o il cliente da un link che l'agenzia gli manda, collega un account business accedendo a Pinterest e concedendo cinque permessi: leggere l'account (nome, nome utente, follower), leggere le bacheche, crearne di nuove, leggere i Pin e pubblicarne di nuovi.

• Cosa si conserva: il nome, il nome utente, l'identificativo e l'indirizzo dell'account, la bacheca scelta per i Pin (nome e identificativo), il numero di follower giorno per giorno, l'accesso concesso da Pinterest (conservato in forma cifrata e mai mostrato: vale 30 giorni e si rinnova con un secondo codice valido 60 giorni, che il gestionale rinnova da sé) e, per ogni Pin pubblicato dal gestionale, la bacheca, il link di destinazione se l'agenzia lo indica, il suo identificativo, l'indirizzo, l'esito e i suoi numeri (visualizzazioni, salvataggi, clic sul Pin e sul link, visualizzazioni del video).
• Cosa si manda a Pinterest: il titolo del Pin (la prima riga del testo) e la descrizione, il link di destinazione, il testo alternativo dell'immagine e la bacheca. L'immagine Pinterest la scarica da un indirizzo temporaneo dell'archivio dell'agenzia, valido un'ora; il video lo carica il gestionale al momento di pubblicare, leggendolo dall'archivio dell'agenzia, con la copertina scelta. Una bacheca nuova si crea solo quando l'agenzia o il cliente lo chiede, con il nome che scrive.
• Ogni Pin lo sceglie una persona: il gestionale pubblica su Pinterest solo i post che una persona ha confermato uno per uno, e non ripete un Pin in automatico.
• Accesso di prova: finché Pinterest concede al gestionale solo l'accesso di prova, i Pin si creano nell'ambiente di prova di Pinterest (sandbox) e li vede solo chi ha collegato l'account.
• Come revocare l'accesso: scollegando l'account dal gestionale si cancellano l'accesso conservato e i numeri letti da Pinterest; chi ha concesso l'accesso può toglierlo in ogni momento dalle impostazioni di Pinterest, fra le app collegate.
• Con chi si condividono: i dati dell'account li vedono le persone dell'agenzia che lo ha collegato; non li vendiamo e non li usiamo per pubblicità. I Pin pubblicati sono pubblici su Pinterest, secondo le regole di Pinterest (https://policy.pinterest.com/it/privacy-policy).

Account LinkedIn collegati

Per pubblicare i post dei clienti su LinkedIn, il gestionale usa le API di LinkedIn. Un'agenzia, o il cliente da un link che l'agenzia gli manda, collega un profilo personale accedendo a LinkedIn e concedendo di leggere nome e identificativo del profilo e di pubblicare a suo nome; oppure collega una Pagina aziendale di cui è amministratore, concedendo di pubblicare per la Pagina e di leggerne i dati e i numeri.

• Cosa si conserva: il nome e l'identificativo del profilo o della Pagina, il nome e l'indirizzo pubblico della Pagina, l'accesso concesso da LinkedIn (conservato in forma cifrata e mai mostrato) con la sua scadenza, e per ogni post pubblicato dal gestionale il suo identificativo, l'indirizzo e l'esito. Per le Pagine anche il numero di follower giorno per giorno e i numeri dei post (visualizzazioni, persone raggiunte, like, commenti, condivisioni, clic). L'accesso dura 60 giorni (per le Pagine può rinnovarsi fino a un anno): prima della scadenza il gestionale avvisa che va ricollegato.
• Cosa si manda a LinkedIn: il testo del post, le immagini o il video scelti (che il gestionale legge dall'archivio dell'agenzia e carica su LinkedIn al momento di pubblicare) e il testo alternativo delle immagini se l'agenzia lo scrive.
• Come revocare l'accesso: oltre a scollegare l'account dal gestionale, chi ha concesso l'accesso può toglierlo in ogni momento da LinkedIn (Impostazioni → Privacy dei dati → Servizi autorizzati).
• Con chi si condividono: i dati dell'account li vedono le persone dell'agenzia che lo ha collegato; non li vendiamo e non li usiamo per pubblicità.

Profili X collegati direttamente

Oggi i profili X si collegano solo attraverso Zernio (vedi la tabella dei fornitori). Il gestionale ha anche un collegamento diretto alle API di X, che è spento: questa sezione vale solo se viene acceso. In quel caso un'agenzia, o il cliente da un link che l'agenzia gli manda, collega un profilo accedendo a X e concedendo di leggere il profilo e i post, di pubblicare post e di caricare immagini e video.

• Cosa si conserva: il nome, il nome utente, l'identificativo e l'indirizzo del profilo, il numero di follower giorno per giorno, i permessi concessi, l'accesso concesso da X (conservato in forma cifrata e mai mostrato), e per ogni post pubblicato dal gestionale gli identificativi dei post usciti (anche le parti di un thread), l'indirizzo, l'esito e i numeri letti a 1, 3, 7 e 29 giorni dall'uscita (visualizzazioni, like, risposte, repost, citazioni, salvataggi).
• Cosa si manda a X: il testo del post (diviso in più post se l'agenzia scrive un thread), il primo commento se c'è, e le immagini o il video scelti, che il gestionale legge dall'archivio dell'agenzia e carica su X al momento di pubblicare.
• Come revocare l'accesso: scollegando il profilo dal gestionale l'accesso si revoca anche su X; chi lo ha concesso può toglierlo in ogni momento da X (Impostazioni e privacy → Sicurezza e accesso all'account → App e sessioni).
• Con chi si condividono: i dati del profilo li vedono le persone dell'agenzia che lo ha collegato; non li vendiamo e non li usiamo per pubblicità.

Consegna di un film a un festival

Un'agenzia che lavora nel video può conservare nel gestionale il pacchetto di proiezione di un film (DCP) e consegnarlo a un festival con un collegamento a scadenza, che può proteggere con una password. Per i dati di quella consegna l'agenzia è titolare del trattamento e noi operiamo come responsabili, su sua istruzione: le richieste su quei dati vanno rivolte all'agenzia che ha inviato il collegamento.

• Cosa si raccoglie dal festival: il nome e l'email del referente, se l'agenzia li annota aprendo la consegna, e il nome che chi riceve il pacchetto scrive confermandone la ricezione, con le note che aggiunge. Se il film è cifrato, l'indirizzo a cui è stata inviata la chiave di proiezione resta nel registro, con la data dell'invio.
• Cosa si registra di chi apre il collegamento: la data e l'ora di ogni apertura e di ogni file scaricato, la famiglia di dispositivo dedotta dal browser e il Paese, quest'ultimo soltanto quando è già fornito dal proxy di rete. Non viene registrato l'indirizzo IP, che è usato per pochi minuti soltanto per limitare i tentativi ripetuti di inserire la password e le richieste ripetute alla pagina. La pagina non installa cookie.
• La password: è facoltativa, e quando c'è è conservata esclusivamente come hash e non è reversibile. Non può essere riletta da nessuno, nemmeno dall'agenzia che l'ha scelta: chi la perde ne imposta un'altra. Senza password il collegamento si apre per chiunque lo riceva, e il gestionale lo segnala all'agenzia prima di crearlo; la password si può aggiungere o togliere anche in seguito.
• Dove passano i file: il browser di chi riceve il pacchetto lo scarica direttamente dall'archivio in cui è conservato, che ne rileva quindi l'indirizzo IP (vedi la Cookie Policy).
• Nessuna copia su archivi cloud: i pacchetti di proiezione sono esclusi dal salvataggio automatico su un archivio cloud collegato dall'agenzia, per la loro dimensione. L'agenzia conserva l'originale fuori dal gestionale.
• Avvisi all'agenzia: chi ha creato la consegna riceve un'email alla prima apertura del collegamento e alla conferma di ricezione.
• Cancellazione: l'agenzia può revocare una consegna o eliminarla in qualsiasi momento; altrimenti il collegamento smette di funzionare alla data di scadenza scelta, e i dati restano finché esiste lo spazio dell'agenzia.

Le chiavi di decifrazione di un film cifrato (KDM) non sono mai pubblicate su una pagina web: sono conservate nello spazio privato dell'agenzia e consegnate come allegato di un'email.

Collegamenti dei siti realizzati con blubiq

I siti costruiti con blubiq, il costruttore di siti di Zen0lab per WordPress, possono usare le applicazioni di Zenzionale presso Google, Dropbox, Microsoft e pCloud per collegare i propri archivi esterni, Search Console, l'account Gmail o Outlook con cui il sito invia le email e il profilo dell'attività su Google con le sue recensioni. Quando questa funzione è attiva, possono anche consentire ai visitatori di accedere ai commenti con il proprio account Google, Facebook, Apple, Microsoft, Dropbox o GitHub. In tutti questi casi Zenzionale fa soltanto da tramite: riceve dal provider il risultato del consenso e lo consegna al sito, che lo conserva presso di sé.

• Archivi, posta, profilo dell'attività e Search Console: i token di accesso concessi da chi amministra il sito transitano da noi soltanto per essere consegnati al sito e, quando scadono, per essere rinnovati. Non sono conservati. Per la posta e il profilo dell'attività transita anche l'indirizzo email dell'account collegato, che il sito mostra e, per la posta, usa come mittente. I file, le email e le recensioni vanno tra il sito e il servizio direttamente e non passano dai nostri server; l'accesso alla posta consente soltanto l'invio, non la lettura.
• Accesso ai commenti: quando chi gestisce il sito sceglie l'applicazione di Zenzionale, il nome, l'indirizzo email, l'immagine del profilo e l'identificativo dell'account del visitatore transitano da noi per il tempo necessario a consegnarli al sito in forma firmata. Non sono conservati, e i token di accesso del visitatore sono scartati. Per questi dati il titolare è chi gestisce il sito e noi operiamo come responsabili del trattamento: le richieste vanno rivolte a lui.
• Cosa resta: un conteggio giornaliero per servizio, esito e dominio del sito (per esempio «Dropbox, collegamento riuscito, esempio.it, 3 volte il 10 ottobre»), che serve a prestare assistenza e a verificare il funzionamento del servizio. Non contiene token, nomi, indirizzi email, indirizzi IP né l'orario delle singole operazioni, ed è cancellato automaticamente dopo 13 mesi.
• Indirizzo IP: è usato per al massimo un minuto, per limitare le richieste ripetute, e non è registrato.
• Pagine di passaggio: le pagine con cui il servizio rimanda il risultato al sito non installano cookie e non caricano risorse da altri domini.
• Catalogo dei servizi di bqLegal: un sito collegato a Zenzionale (da un'agenzia o da un account blubiq) scarica una volta alla settimana, e quando l'amministratore lo chiede, il catalogo dei servizi di terzi che bqLegal usa per il banner dei cookie e per i documenti legali. Per farlo il sito manda solo il proprio indirizzo, il codice dell'installazione e la versione del catalogo che ha già; il catalogo è preparato dal motore di blubiq sul nostro server. Della richiesta teniamo per 7 giorni il sito, il tipo di lavoro e l'esito, come per gli altri lavori del motore.
• Documenti legali di bqLegal: quando cambiano le impostazioni di bqLegal, i servizi o i plugin, e una volta al giorno, il sito collegato manda una fotografia delle proprie impostazioni (i dati del titolare e del sito indicati in bqLegal, i servizi e i plugin usati, le pagine dei documenti, l'esito della scansione dei cookie; mai dati dei visitatori) e riceve i testi aggiornati dei documenti legali. La fotografia passa da un archivio privato di Cloudflare R2 e si cancella da sola dopo 7 giorni; del lavoro teniamo per 7 giorni il sito, il tipo e l'esito.
• Analisi SEO: mentre si scrive una pagina, il sito collegato manda il testo, i titoli, i link e i testi alternativi delle immagini della pagina, i campi SEO e pochi dati del sito (indirizzo, nome dell'autore indicato, impostazioni di indicizzazione) e riceve i controlli di frase chiave, leggibilità, ricerche con l'intelligenza artificiale e annunci. Il motore li legge solo per il tempo dell'analisi, al massimo qualche secondo: non li conserviamo.
• Antispam condiviso: un sito collegato il cui amministratore lo accende chiede, quando qualcuno commenta o compila un modulo, se le impronte (SHA-256) del suo indirizzo IP, della sua email, del sito che indica e dei domini dei link sono già state segnalate come spam da altri siti, e una volta al giorno ci manda le decisioni dei suoi moderatori. Riceviamo e conserviamo solo impronte, mai testi o valori in chiaro, per 180 giorni dall'ultima segnalazione. Per questa banca siamo titolari autonomi: i dettagli sono nella pagina «Antispam condiviso e liste della sicurezza di blubiq» (https://zenzionale.zen0lab.com/antispam-blubiq).
• Liste della sicurezza: un sito collegato il cui amministratore le accende ci manda, una volta al giorno per indirizzo, l'impronta (SHA-256) degli indirizzi IP che il suo firewall blocca, e scarica ogni giorno l'elenco delle impronte degli indirizzi segnalati da almeno tre siti negli ultimi 7 giorni, insieme a regole del firewall, firme dei file dannosi e nodi Tor preparati dal motore di blubiq. Conserviamo l'ultimo attacco per impronta e sito per 180 giorni; i dettagli sono nella stessa pagina.
• bqBackup Cloud: un sito collegato il cui amministratore lo accende salva i propri backup nel nostro spazio presso Backblaze B2, nell'Unione europea (Amsterdam). I file sono cifrati dal sito prima di partire, con una chiave del sito: noi non ne vediamo il contenuto. Il sito li carica e li scarica direttamente da Backblaze con collegamenti personali che valgono un'ora; i byte non passano dal gestionale. Conserviamo l'indirizzo del sito, il codice dell'installazione, il nome, la dimensione e la data di ogni file e l'impronta della chiave che lo ha cifrato. I file restano bloccati e non si possono cancellare, nemmeno da noi, per 7 giorni (30 con una licenza); poi restano finché il sito non li cancella, salvo che lo spazio gratuito venga superato o che nessun sito dell'account si colleghi per 90 giorni, nel qual caso li cancelliamo dopo averlo avvisato per email. Per i negozi con BackupULTRA il sito manda anche, ogni minuto, un piccolo file cifrato con gli ordini e i clienti cambiati, che si cancella dopo 35 giorni. Copia della chiave: se l'amministratore la lascia accesa, conserviamo una copia della chiave dei backup cifrata con una nostra chiave tenuta fuori dalla banca dati, per consegnarla a un altro sito dello stesso account che la chiede dopo un codice mandato all'email dell'account e un'attesa di 24 ore. Con la copia accesa potremmo tecnicamente aprire quei backup; chi la spegne è l'unico che li apre. Di ogni richiesta della chiave teniamo per un anno, nell'area riservata dell'account, la data, i siti e l'indirizzo IP del server del sito che l'ha fatta.
• Ripristino da fuori (BackupULTRA): se l'amministratore del sito salva l'accesso al server su cui gira il sito (protocollo, server, porta, utente, cartella e la password o la chiave privata), lo conserviamo cifrato con la stessa chiave tenuta fuori dalla banca dati, e lo usiamo solo quando il titolare dell'account o l'agenzia che segue il sito fanno partire il ripristino: il motore di blubiq, sul nostro server, entra nel server del sito, ci copia il backup scelto e lo reinstalla. Password, chiave e frase dei backup restano solo il tempo del lavoro e non compaiono nei registri. L'accesso si cancella quando l'amministratore lo toglie, alla fine di BackupULTRA o con l'account. Di ogni ripristino teniamo per un anno la data, chi l'ha fatto partire, il backup usato e l'esito.

Licenze di blubiq

Le licenze della versione a pagamento di blubiq sono registrate da Zenzionale. Chi riceve una licenza la attiva incollandone la chiave nel proprio sito; da quel momento il sito verifica la licenza con il nostro servizio una volta al giorno, e quando l'amministratore del sito lo chiede.

• Dati della licenza: indirizzo email e nome di chi la riceve, piano, numero di siti consentiti, scadenza, rinnovo automatico e, quando la licenza è acquistata, il riferimento dell'acquisto presso il fornitore del pagamento. La chiave è conservata cifrata, ed è inviata per email all'indirizzo della licenza.
• Dati dei siti: per ogni sito su cui la licenza è attiva, l'indirizzo del sito, un codice casuale generato dall'installazione, la versione di blubiq, se il sito si dichiara di prova (locale, sviluppo, staging) e la data dell'ultima verifica. Non riceviamo i contenuti del sito, i suoi utenti né i suoi visitatori.
• Acquisto: una licenza si compra con un abbonamento mensile o annuale pagato con Stripe, sul conto di zen0lab; l'IVA è calcolata da Stripe Tax in base all'indirizzo di fatturazione. Email, nome, indirizzo di fatturazione, partita IVA e codice destinatario o PEC si scrivono nel modulo di Stripe, e i dati della carta non transitano dai nostri server. Da Stripe riceviamo questi dati, il riferimento del cliente e dell'abbonamento, il piano scelto, la fine del periodo pagato, la disdetta del rinnovo e gli eventuali rimborsi o contestazioni del pagamento, che disattivano la licenza. Chi compra senza un account blubiq ne riceve uno, creato con questi dati.
• Licenze di bqSend, bqSecurity e bqBackup e pacchetti di email: le licenze SendPro, SendULTRA, SecurityPro, SecurityULTRA, BackupPro e BackupULTRA si comprano allo stesso modo, con un abbonamento annuale; i Corsi di bqVideo e lo spazio in più di bqBackup si aggiungono a una licenza nello stesso modo. Il pacchetto di email si compra con un pagamento singolo con carta: da Stripe riceviamo gli stessi dati, il riferimento del pagamento e gli eventuali rimborsi o contestazioni, che annullano il pacchetto. Il pacchetto è dell'account che lo compra, e ne teniamo le email comprate, quelle usate e la scadenza (12 mesi).
• Aggiornamenti: un sito con la licenza attiva chiede gli aggiornamenti dell'estensione Pro (e, con una licenza della beta, di blubiq) inviando gli stessi dati della verifica e la versione installata. Il pacchetto si scarica dal server del sito, con un collegamento temporaneo che vale un'ora, dall'archivio Cloudflare R2 in cui è conservato.
• Indirizzo IP: è usato per al massimo un minuto, per limitare le richieste ripetute, e non è registrato.
• Cancellazione: un sito che non verifica la licenza per 90 giorni è cancellato automaticamente dall'elenco; chi ha la licenza può liberare un sito in qualsiasi momento.

Servizio bqVideo per i siti

Con una licenza Video Pro, Video Agency o Video ULTRA (o bqEnterprise, che comprende Video ULTRA), un sito WordPress con bqVideo usa il nostro servizio per conservare, preparare e consegnare i propri video. Per i video e per le persone che vi compaiono il titolare del trattamento è chi gestisce il sito; noi trattiamo i file per suo conto.

• Dati del sito: l'indirizzo del sito, un codice casuale generato dall'installazione, la versione di bqVideo, la licenza a cui il sito è legato e le date del primo e dell'ultimo contatto. Non riceviamo gli utenti del sito né i suoi visitatori.
• File: l'originale è caricato dal browser direttamente nell'archivio dei video su Cloudflare R2, nell'Unione europea, senza passare dal gestionale né dal sito. Una macchina di Fly.io nell'Unione europea (Amsterdam) legge l'originale, produce le qualità cifrate e le rimette nello stesso archivio; la macchina e il suo disco sono distrutti a lavoro finito.
• Chiave del video: la crea il sito, e a chi guarda la consegna il sito. Noi la riceviamo solo per passarla alla macchina: resta cifrata nel lavoro in attesa finché la macchina non parte, poi viene tolta e non la conserviamo.
• Avanzamento ed esito: la macchina ci comunica l'avanzamento e l'esito del lavoro, e noi li inoltriamo al sito con un segreto che il sito ci dà per quel lavoro, cancellato quando il sito ha ricevuto l'esito. L'esito (qualità prodotte, durata, sottotitoli) resta leggibile dal sito per 30 giorni; il registro dei lavori, senza file né chiavi, per 180 giorni.
• Sottotitoli: con il servizio si fanno con Whisper sulle macchine di Fly.io; l'audio non va ad altri fornitori.
• Dirette: con l'aggiunta «Dirette» il programma di trasmissione di chi gestisce il sito (per esempio OBS) manda il segnale a un ingresso su Fly.io nell'Unione europea (Amsterdam), che lo passa sulla rete privata di Fly.io a una macchina per ogni diretta; la macchina prepara le qualità cifrate mentre la diretta va in onda e le scrive nell'archivio dei video. La chiave di trasmissione la crea il sito: ne conserviamo solo un'impronta, che serve a riconoscere la diretta e che cancelliamo quando la diretta finisce. L'indirizzo IP dell'apparecchio che trasmette serve solo a ricevere il segnale e non è registrato. Per ogni licenza contiamo i minuti in onda di ogni mese; i minuti oltre quelli inclusi li comunichiamo a Stripe, che li mette nella fattura del mese. Se il sito non sceglie di salvare la registrazione, la cartella della diretta la cancella il sito.
• Chi guarda: il browser di chi guarda prende le parti del video, la copertina e i sottotitoli dalla rete di distribuzione di Cloudflare, che ne rileva l'indirizzo IP come per qualsiasi file sul web. Non registriamo chi guarda né il suo indirizzo IP.
• Consumi: per ogni sito contiamo lo spazio occupato e, per ogni mese, le ore di video preparate.
• Indirizzo IP del sito: è usato per al massimo un minuto, per limitare le richieste ripetute, e non è registrato.
• Cancellazione: eliminare un video dal sito cancella subito e definitivamente tutti i suoi file, senza cestino. Un caricamento interrotto e mai ripreso si cancella da solo dopo tre giorni. Quando la licenza finisce, per 30 giorni i video si vedono ancora ma non se ne caricano di nuovi; dal 30° al 60° giorno non si vedono più e si possono soltanto esportare; al 60° giorno tutti i file dei siti legati alla licenza si cancellano definitivamente. Se prima di quel giorno la licenza viene rinnovata, o se ne acquista una nuova con lo stesso account, non si cancella nulla. Se la licenza viene revocata o rimborsata, i file non si cancellano da soli: li cancelliamo noi dopo una verifica.
• Avvisi di scadenza: all'email dell'account a cui appartiene la licenza (o, senza account, a quella indicata all'acquisto) mandiamo un avviso il giorno in cui la licenza finisce e dopo 7, 21 e 28 giorni, e poi 14, 7 e 1 giorno prima della cancellazione, con l'elenco dei siti e lo spazio occupato. Se l'ultimo avviso non può partire, la cancellazione aspetta. Di ogni scadenza teniamo quali avvisi sono partiti e quando i file sono stati cancellati.

Account di blubiq

L'account blubiq è separato dagli account del gestionale: serve a chi usa blubiq per gestire le proprie licenze e collegare i propri siti. Si apre liberamente dalle pagine /account, oppure nasce all'acquisto di una licenza.

• Dati dell'account: email, nome, la password conservata solo come impronta (bcrypt), e, se si entra con Google, Microsoft o Apple, l'identificativo che il fornitore assegna all'account e l'email che certifica. Con l'acquisto, i dati di fatturazione e il riferimento del cliente presso Stripe. Teniamo anche la data dell'ultimo accesso e i tentativi di accesso sbagliati, per bloccare per un quarto d'ora chi prova le password.
• Siti collegati: con «Collega a blubiq» il sito si lega all'account. Del sito conserviamo indirizzo, nome, il codice dell'installazione, la versione di blubiq, la data del collegamento e dell'ultimo contatto, e un segreto cifrato con cui il sito firma le sue richieste. Non riceviamo i contenuti del sito, i suoi utenti né i suoi visitatori, salvo i servizi che li richiedono e che sono descritti a parte.
• Prova che il sito è tuo: prima di collegarlo, il nostro server chiama una volta il sito all'indirizzo che il sito stesso ha indicato, con un codice casuale, e controlla la risposta che solo quel sito può dare; della chiamata teniamo solo l'esito (passata o il motivo per cui non lo è). Se il sito non si raggiunge puoi provarlo con un record DNS: conserviamo il nome del sito, il codice del record e la data fino alla quale la prova vale (30 giorni), finché l'account esiste. I siti di prova (sul tuo computer o in una rete privata) non si chiamano e si collegano come «non provati».
• Lavori del motore di blubiq: un sito collegato può chiedere un lavoro pesante (per esempio ricavare le pagine da un PDF con il Fast builder). Il sito carica il file in un archivio privato di Cloudflare R2 con un collegamento temporaneo; il motore, un programma che gira sul nostro server, lo legge, ne ricava il risultato e lo rimette nello stesso archivio, da cui il sito lo scarica. Il file e il risultato si cancellano da soli dopo 7 giorni. Del lavoro teniamo per 7 giorni il sito, il tipo, il nome, la dimensione e l'impronta del file, e l'esito; per l'area riservata contiamo i lavori fatti in ogni mese.
• Controllo da fuori (SecurityULTRA): per i siti con SecurityULTRA (o con bqEnterprise, che la comprende) il motore di blubiq apre ogni 5 minuti la pagina iniziale del sito e ne legge il certificato HTTPS, all'indirizzo che conosciamo dal collegamento o dalla licenza. Teniamo per 90 giorni l'esito di ogni controllo (online o no, tempo di risposta, errore), le interruzioni e lo stato del certificato, e gli indirizzi email in più a cui l'amministratore del sito vuole mandare gli avvisi (al massimo 10), finché il controllo resta acceso o l'account esiste. Gli avvisi («il sito non risponde», «è tornato online», «il certificato scade») vanno all'indirizzo dell'account, o agli amministratori dell'agenzia che segue il sito, e a quegli indirizzi. Il sito può spegnere il controllo in ogni momento.
• Email: mandiamo all'indirizzo dell'account la conferma dell'email, il link per scegliere o reimpostare la password, la chiave delle licenze e gli avvisi di sicurezza (password cambiata, sito collegato).
• Sessione: il browser conserva il codice della sessione nell'archivio locale (vedi la Cookie Policy). La sessione dura 60 giorni dall'ultimo uso, e si chiude con «Esci», cambiando la password o con la sospensione dell'account.
• Cancellazione: dall'area riservata, dopo aver disdetto gli abbonamenti. Le licenze vengono revocate, i siti scollegati, l'account e i suoi dati cancellati; le fatture restano presso Stripe e nella contabilità di zen0lab per gli obblighi di legge.

Server di invio di blubiq

Un sito realizzato con blubiq che ha una licenza a pagamento può spedire le proprie email (conferme dei moduli e degli ordini, avvisi, recupero della password e simili) con il server di invio di blubiq invece che con il proprio server. Per queste email il titolare del trattamento è chi gestisce il sito, che decide a chi scrivere e cosa; noi le trattiamo per suo conto, come responsabili del trattamento, al solo scopo di recapitarle.

• Contenuto: il sito ci manda l'email completa (mittente, destinatari, oggetto, testo e allegati). Il contenuto resta nella coda d'invio solo fino alla spedizione, e comunque non oltre 24 ore, dopo le quali si cancella anche se l'invio non è riuscito. Non lo leggiamo e non compare nei nostri registri.
• Recapito: le email partono da Amazon Web Services (SES), nell'Unione europea, che riceve il messaggio completo per consegnarlo e ci comunica se un indirizzo non esiste o se il destinatario ha segnalato l'email come spam.
• Esito di ogni invio: per 90 giorni teniamo il sito, i destinatari in forma parzialmente coperta (per esempio m•••@esempio.it) con un'impronta non reversibile dell'indirizzo, lo stato dell'invio, il codice del messaggio assegnato da Amazon SES ed eventuali errori. Li vedono l'agenzia che segue il sito e zen0lab, per l'assistenza.
• Indirizzi esclusi: un indirizzo che non esiste o che ha segnalato un'email come spam non riceve più email dai siti dell'agenzia che segue il sito (o, per un sito senza agenzia, dai siti dello stesso account blubiq). Lo conserviamo come impronta non reversibile, con la sola versione parzialmente coperta, finché l'agenzia o l'account esistono.
• Conteggi: contiamo le email di ogni sito in ogni mese, per la quota del piano.
• Consegne, aperture e clic (SendULTRA e bqEnterprise): Amazon SES ci comunica quando un'email è stata consegnata. Solo se l'amministratore del sito accende il tracciamento, l'email contiene un'immagine invisibile e i link passano da un indirizzo di Amazon SES: quando il destinatario apre l'email o clicca un link, il suo programma di posta contatta Amazon SES, che ne vede l'indirizzo IP e ci comunica l'apertura o il clic. Di questi eventi teniamo solo quante aperture e quanti clic ha avuto ogni invio e quando è stato aperto la prima volta, per 90 giorni: non il link cliccato, né l'indirizzo IP, né il programma usato. Il sito che accende il tracciamento lo deve dire nella sua informativa.
• Dominio del mittente: se il sito chiede di spedire con il proprio indirizzo, registriamo il suo dominio in Amazon SES e conserviamo il dominio, il sito a cui è legato e lo stato della verifica.

Finalità del trattamento e basi giuridiche

I dati non sono trattati per finalità di marketing diretto, non sono comunicati a terzi per finalità proprie di questi ultimi e non sono utilizzati per l'addestramento di modelli di intelligenza artificiale.

Natura del conferimento

Il conferimento dei dati necessari a creare l'account e a erogare il servizio (nome, indirizzo email, credenziali di accesso) è necessario per l'esecuzione del contratto: in mancanza non è possibile attivare l'account né utilizzare il gestionale.

Il conferimento dei dati fiscali è obbligatorio per legge quando si emettono documenti fiscali; in mancanza il documento non può essere emesso.

Ogni altro conferimento è facoltativo. In particolare, il collegamento di un servizio esterno e l'attivazione delle notifiche push si fondano sul consenso: il rifiuto o la successiva revoca comportano unicamente l'indisponibilità della funzione corrispondente, senza alcuna conseguenza sul resto del servizio.

Destinatari dei dati

I fornitori elencati di seguito trattano dati per nostro conto in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR oppure, quando il collegamento è disposto dall'agenzia, per conto dell'agenzia stessa.

I servizi indicati come opzionali operano solo se l'integrazione corrispondente è attivata: finché resta disattivata, nessun dato raggiunge quel fornitore. Attivazione e disattivazione avvengono in Impostazioni → Integrazioni.

I dati possono inoltre essere comunicati a consulenti professionali (commercialista, legale) e alle autorità competenti nei casi previsti dalla legge. Non sono previsti altri destinatari.

Dati che arrivano dai servizi collegati

Quando colleghi un servizio esterno — il calendario, un archivio cloud, un canale di messaggistica — il gestionale riceve da quel servizio soltanto i dati necessari alla funzione che hai attivato, e li usa unicamente per farla funzionare qui dentro.

Quei dati non vengono venduti, non vengono ceduti a terzi per finalità loro, non alimentano pubblicità, profilazione, remarketing o pubblicità comportamentale, e non sono impiegati per addestrare modelli di intelligenza artificiale. Nessuna persona vi accede, salvo quando è indispensabile per prestarti assistenza su tua richiesta, per adempiere a un obbligo di legge o per accertare un abuso o un problema di sicurezza.

Scollegando il servizio il gestionale perde i token di accesso e smette di ricevere nuovi dati; quanto già ricevuto segue i tempi di conservazione indicati più avanti e si cancella eliminando gli elementi corrispondenti o l'account.

• Google (calendario, importazione di documenti e backup su Drive, accesso al gestionale, rubrica nei Contatti Google nei due sensi, collegamenti dei siti realizzati con blubiq): l'uso e il trasferimento a qualsiasi altra applicazione delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, comprese le Limited Use requirements. In inglese, nella formula prevista: Zenzionale's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.
• Microsoft (OneDrive, raccolte documenti di SharePoint, calendario Outlook, contatti e posta di Outlook, accesso al gestionale): i dati ricevuti sono usati esclusivamente per le funzioni di archiviazione, di calendario, di rubrica, di posta e di autenticazione attivate dall'utente; la posta di una casella Outlook collegata è letta e spedita solo quando la persona lo chiede, e così la sua risposta automatica e le sue regole, quando la persona le abilita. Su SharePoint l'elenco dei siti a cui hai accesso serve soltanto a farti scegliere la raccolta da collegare, e i file sono letti o scritti dentro quella raccolta e in nessun altro posto.
• Dropbox, pCloud e archivi compatibili con S3: i file sono letti o scritti soltanto nelle cartelle indicate dall'utente e per le operazioni di importazione e di copia di backup che ha richiesto.
• Meta, Telegram e Slack: i messaggi scambiati con i clienti sono conservati per mostrarli nella chat del gestionale e per ricondurli al cliente corrispondente.

Le informazioni ottenute dalle API di Google non sono utilizzate per finalità diverse da quelle qui descritte, né comunicate ad altri soggetti se non nella misura necessaria a fornire o migliorare le funzioni per cui sono state raccolte, ad adempiere a obblighi di legge o a tutelare la sicurezza del servizio.

Richieste delle autorità pubbliche

Può accadere che un'autorità giudiziaria, di polizia o amministrativa chieda l'accesso a dati personali trattati tramite il gestionale. In quel caso seguiamo sempre la stessa procedura.

• Verifica di legittimità: controlliamo chi firma la richiesta, su quale base giuridica si fonda e a quale procedimento si riferisce.
• Rifiuto delle richieste infondate: respingiamo quelle prive di un valido fondamento giuridico o che eccedono i poteri dell'autorità richiedente, opponendoci nelle sedi competenti quando necessario.
• Minimizzazione: comunichiamo soltanto i dati strettamente necessari a soddisfare la richiesta, e nulla di più.
• Tracciabilità: conserviamo traccia scritta di ogni richiesta ricevuta, della base giuridica invocata, della risposta data e dei soggetti coinvolti.
• Informazione all'interessato: ti informiamo della richiesta, salvo quando la legge lo vieta o quando ciò pregiudicherebbe un'indagine in corso.

Se i dati richiesti si trovano nello spazio di un'agenzia che utilizza il servizio, la richiesta viene indirizzata a quell'agenzia, che ne è titolare del trattamento.

Trasferimenti fuori dall'Unione europea

Alcuni dei fornitori elencati hanno sede negli Stati Uniti o trattano dati anche al di fuori dello Spazio economico europeo. In tali casi il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea (EU–US Data Privacy Framework, per i fornitori che vi aderiscono) oppure sulla base delle Clausole contrattuali standard adottate dalla Commissione, integrate dalle misure supplementari previste dagli accordi sul trattamento dei dati dei singoli fornitori.

L'archiviazione dei documenti e la banca dati del servizio restano su infrastruttura europea. Un'agenzia che intenda escludere i trasferimenti extra UE può non attivare le integrazioni indicate come opzionali: restano disattivate finché non vengono attivate, e la disattivazione sospende anche gli archivi già collegati.

Periodo di conservazione

Misure di sicurezza

Sono adottate misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, fra cui le seguenti.

• Cifratura del traffico in transito (HTTPS/TLS) su tutte le pagine, comprese quelle pubbliche.
• Password degli account conservate esclusivamente come hash non reversibile.
• Gestore password cifrato end-to-end, se l'agenzia lo attiva: password e note si cifrano e si decifrano nel browser delle persone abilitate, ognuna con una propria password principale che non arriva mai al server. Il server conserva solo testo cifrato, le chiavi pubbliche e, per ogni persona, la propria chiave privata cifrata con la sua password principale; non è quindi in grado di leggere le credenziali. Le credenziali passano dal server, senza esservi conservate, solo quando l'agenzia importa un file di credenziali, ne esporta uno o invia per email il documento delle credenziali, per il tempo necessario a leggerlo, costruirlo o spedirlo. Se la password principale e il codice di recupero vanno persi e nessun altro è abilitato, le credenziali non sono recuperabili. Senza cifratura end-to-end le credenziali sono cifrate a riposo con una chiave propria di ciascuna agenzia, a sua volta cifrata con una chiave principale conservata separatamente dalla banca dati. Della robustezza di ciascuna credenziale si conserva il livello, segnalato quando risulta debole o non aggiornata da tempo.
• Le credenziali che il gestionale deve poter usare (chiavi delle integrazioni, credenziali della PEC e degli account di pagamento) sono cifrate a riposo con una chiave propria di ciascuna agenzia, a sua volta cifrata con una chiave principale conservata separatamente dalla banca dati: una copia della banca dati, da sola, non permette di leggerle.
• VPN aziendale, se l'agenzia la attiva: un dispositivo collegato non può raggiungere i sistemi interni del gestionale né gli altri dispositivi collegati, e non può inviare posta direttamente. Ogni dispositivo può essere scollegato in qualsiasi momento dalla persona a cui appartiene o da un amministratore dell'agenzia.
• Le chiavi e i segreti delle integrazioni non sono restituiti dall'API: l'interfaccia indica soltanto se una chiave è configurata. Unica eccezione, riservata agli amministratori e registrata nel giornale delle operazioni, è la rilettura di una credenziale inserita dall'agenzia stessa.
• Separazione dei dati fra agenzie applicata a livello di banca dati su ogni operazione.
• Gestione di ruoli e permessi: un nuovo membro accede in sola lettura, e l'ampliamento dei permessi è disposto da un amministratore.
• Gli ospiti di una cartella condivisa sono limitati da controlli applicati lato server, oltre che dall'interfaccia.
• Un link di condivisione può essere protetto da una password, conservata esclusivamente come hash non reversibile. Il controllo è applicato lato server sulle operazioni che consegnano il file: finché la password non è inserita il documento non viene mostrato, scaricato né aperto. I tentativi di inserimento sono limitati nel tempo.
• I file caricati nei Documenti (anche da ospiti, dall'app desktop e dagli archivi collegati) sono controllati da un antivirus, ClamAV, che gira sul nostro server: il contenuto dei file non è inviato a terzi, e dall'esterno arrivano solo gli aggiornamenti delle firme. I file oltre 100 MB non sono controllati. Un file in cui è riconosciuta una minaccia è bloccato: non si scarica, non si condivide e non arriva sui computer sincronizzati finché un amministratore dell'agenzia non lo elimina o, in caso di falso allarme, non lo sblocca. Dell'esito restano sul documento la data, la minaccia riconosciuta e chi l'ha eventualmente sbloccato.
• Registro delle operazioni di creazione, modifica ed eliminazione, con possibilità di annullamento.
• Sessioni revocabili e scadenza automatica dopo 60 giorni di inattività.
• Copie di sicurezza dei dati. Se l'agenzia collega un archivio cloud, le copie dei documenti sono scritte esclusivamente in una cartella creata dal gestionale e il flusso è unidirezionale.

In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà delle persone fisiche, la violazione è notificata al Garante per la protezione dei dati personali entro 72 ore e, quando il rischio è elevato, comunicata agli interessati.

Diritti dell'interessato

Puoi esercitare i diritti previsti dagli artt. 15-22 GDPR scrivendo a info@zen0lab.com. La risposta è fornita entro un mese dalla richiesta, prorogabile di due mesi nei casi di particolare complessità, dandone comunicazione motivata.

• Accesso (art. 15): ottenere conferma che sia in corso un trattamento di dati che ti riguardano e ottenerne copia.
• Rettifica (art. 16): far correggere dati inesatti o integrare dati incompleti. Molti dati sono modificabili direttamente dal proprio profilo.
• Cancellazione (art. 17): ottenere la cancellazione dei dati, nei limiti in cui non sussistano obblighi di conservazione. Vedi la sezione dedicata.
• Limitazione (art. 18): ottenere la limitazione del trattamento nei casi previsti.
• Portabilità (art. 20): ricevere in formato strutturato e leggibile da dispositivo automatico i dati forniti. Il gestionale mette a disposizione una funzione di esportazione completa.
• Opposizione (art. 21): opporsi ai trattamenti fondati sul legittimo interesse.
• Revoca del consenso (art. 7): revocare in qualsiasi momento il consenso prestato, senza che ciò pregiudichi la liceità del trattamento effettuato prima della revoca.
• Reclamo: proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it) o all'autorità di controllo dello Stato di residenza.

Se i dati che ti riguardano si trovano nello spazio di un'agenzia che utilizza il servizio, la richiesta va rivolta a quell'agenzia, che ne è titolare del trattamento. Le richieste che ci pervengono in questi casi sono inoltrate all'agenzia, dandotene comunicazione.

Revocare un consenso o scollegare un servizio

Ogni collegamento a un servizio esterno costituisce un consenso autonomo e può essere revocato separatamente.

Cancellazione dell'account e dei dati

Questa sezione costituisce anche la pagina di istruzioni per l'eliminazione dei dati richiesta dalle piattaforme di accesso (Meta, Google, Apple).

Per richiedere la cancellazione dell'account e dei dati collegati scrivi a info@zen0lab.com dall'indirizzo email dell'account, indicando come oggetto «Richiesta di cancellazione». In alternativa, un amministratore della tua agenzia può eliminare l'account direttamente da Utility → Utenti.

La richiesta è gestita come segue.

• La provenienza della richiesta è verificata rispondendo all'indirizzo email associato all'account.
• Entro 30 giorni sono eliminati l'account, il profilo, le sessioni, le sottoscrizioni alle notifiche e i collegamenti ai servizi esterni.
• I contenuti creati all'interno dello spazio dell'agenzia (documenti, messaggi, attività) appartengono all'agenzia e restano nella sua disponibilità, salvo che sia l'agenzia stessa a richiederne la cancellazione.
• Restano conservati, per il tempo previsto dalla legge, i soli dati soggetti a obbligo di conservazione: documenti fiscali (10 anni) ed eventuali dati necessari all'accertamento o alla difesa di un diritto.
• Se accedi tramite un account esterno, revoca anche il permesso presso il provider, secondo le indicazioni della sezione precedente.

Un'agenzia può richiedere la cancellazione integrale del proprio spazio allo stesso indirizzo. Prima di procedere è possibile esportare tutti i dati da Impostazioni → Gestione Dati, in un archivio riutilizzabile.

Decisioni automatizzate, profilazione e intelligenza artificiale

Non sono prese decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici sulle persone o che incidano in modo analogamente significativo sulla loro persona, e non è svolta attività di profilazione.

Il gestionale può integrarsi con modelli di intelligenza artificiale (OpenAI, Anthropic, Google Gemini). La funzione resta disattivata finché un'agenzia non la attiva inserendo le proprie chiavi di accesso, oppure — sui piani che la includono — attivando quelle del gestionale. Serve a quattro cose. Assistere nella scrittura di testi. Proporre quali servizi del catalogo dell'agenzia inserire in un preventivo: in questo caso, e solo quando l'utente lo chiede per una singola proposta, sono trasmessi al fornitore la trascrizione della riunione indicata, il testo della pagina web indicata, il nome del cliente e l'elenco dei servizi a catalogo. Proporre le criticità e i benefici di una proposta: quando l'utente lo chiede, sono trasmessi il testo delle trascrizioni delle riunioni scelte con quel cliente (fino a sei, per un massimo complessivo di circa 60.000 caratteri), la ragione sociale del cliente e le voci già scritte nella proposta; le trascrizioni non vengono conservate altrove, e del loro invio resta soltanto il conteggio dell'uso del servizio. Interpretare una richiesta scritta nella barra dei comandi quando non corrisponde a un comando, come descritto nella sezione dedicata. Aiutare a scrivere una newsletter: quando l'utente lo chiede sono trasmessi il testo dell'email (o del paragrafo da riscrivere) e il suo oggetto; per tradurre in regole la descrizione di un gruppo di contatti sono trasmessi la descrizione scritta dall'utente e i nomi dei campi, delle liste, dei tag e dei segmenti dell'agenzia, mai i dati dei contatti. In ogni caso il fornitore risponde con dei suggerimenti che l'utente può accettare o scartare: nessuna modifica viene applicata automaticamente. Diverso è il caso di un assistente esterno che l'agenzia collega di sua scelta: esegue le operazioni che l'utente gli chiede, con i permessi di quell'utente, come descritto nella sezione «Assistenti di intelligenza artificiale collegati dall'agenzia». La trasmissione avviene sempre e solo su azione esplicita dell'utente e non comporta alcuna analisi automatica dei contenuti dell'archivio. I fornitori si impegnano contrattualmente a non utilizzare i contenuti trasmessi tramite API per l'addestramento dei propri modelli.

Minori

Il servizio è rivolto a professionisti e imprese e non è destinato a minori di 16 anni. Non sono raccolti consapevolmente dati di minori; qualora ne fosse rilevata la presenza, i dati sono cancellati.

Aggiornamenti dell'informativa

Questa informativa è aggiornata quando cambiano i trattamenti descritti: una funzione nuova, un fornitore in più, un periodo di conservazione diverso. La data indicata in apertura è quella dell'ultima revisione.

Le modifiche sostanziali — l'ingresso di un nuovo destinatario dei dati o una nuova finalità — sono comunicate all'interno del gestionale.