Informativa sulla privacy

Titolare del trattamento

Il titolare del trattamento dei dati personali descritti nella presente informativa è Kotao GmbH, Colonia, Germania. Puoi contattare il nostro team privacy a legal@kotao.com e il nostro responsabile della protezione dei dati a dpo@kotao.com.

Quali dati raccogliamo

Raccogliamo i dati che fornisci e i dati generati quando utilizzi la piattaforma Kotao.

• Dati dell’account: nome, email aziendale, nome dell’azienda, dettagli di fatturazione e i nomi dei membri del team che inviti.
• Dati del sito web e di utilizzo: dati di log del server (indirizzo IP, timestamp della richiesta, percorso della richiesta, codice di stato, user agent), informazioni sul dispositivo e sul browser, interazioni con la superficie di marketing, contenuto del modulo di contatto, contenuto del modulo di lead, dati del modulo newsletter e prove di consenso.
• Dati di pagamento: i dettagli della carta e gli strumenti di pagamento sono gestiti esclusivamente da processori di pagamento certificati. Kotao non memorizza mai i numeri completi delle carte sulla propria infrastruttura.
• Dati bancari collegati: quando un utente autorizzato dell’Area di lavoro collega esplicitamente gli account selezionati, elaboriamo l’istituto finanziario e il paese, il provider e gli identificatori dell’account, il nome visualizzato dell’account e i dettagli mascherati, il tipo di account, la valuta, gli importi delle transazioni in entrata, le date di contabilizzazione e autorizzazione, i riferimenti di pagamento, le descrizioni e le etichette delle controparti. Kotao limita deliberatamente il feed usato per la riconciliazione delle fatture ai movimenti in entrata.

Workspaces Mobile e Assistente AI opzionale

Workspaces Mobile si connette a Kotao Accounts e all’API Kotao per l’accesso, l’accesso all’area di lavoro e l’amministrazione del commerciante. A seconda delle funzionalità che utilizzi, trasmette identificatori di account e area di lavoro; contenuto del prodotto e foto selezionate; nomi dei clienti, indirizzi email, numeri di telefono, indirizzi e note; ordini e cronologia degli acquisti; cambiamenti di scorte; istruzioni di sconto e carta regalo; e istruzioni di accredito, rimborso e spedizione, inclusi importi e riferimenti di transazione. Questi record sono associati all’account e all’area di lavoro pertinenti. I fornitori di pagamento e spedizione ricevono i dati necessari per eseguire le operazioni che autorizzi. L’app mobile non richiede il numero completo della carta di pagamento di un cliente o l’accesso alla rubrica del tuo telefono.

Se abiliti le notifiche push, Kotao memorizza il token push Expo del dispositivo e l’associazione con l’area di lavoro. Expo e Apple Push Notification service o Firebase Cloud Messaging consegnano le notifiche. Il permesso di notifica può essere revocato nelle impostazioni del dispositivo. Il contenuto selezionato dalla fotocamera o dalla libreria fotografica viene caricato solo quando utilizzi la relativa funzione multimediale. Le credenziali di autenticazione e le informazioni di ritentativo per operazioni finanziarie o di spedizione interrotte sono conservate in un’area di memorizzazione protetta del dispositivo. L’app mobile non include un SDK di pubblicità, session-replay o analisi comportamentale; il trattamento separato del sito web descritto di seguito si applica quando visiti quei siti.

L’AI Assistant è opzionale e deve prima essere abilitato per l’area di lavoro da una persona autorizzata. Dalla versione mobile 2.2, prima del primo utilizzo dell’assistente, ogni utente riceve anche una divulgazione e sceglie se consentire il trasferimento su quel dispositivo per quell’account e area di lavoro. Se accetti, Kotao invia i tuoi messaggi, il contesto della conversazione e i dati rilevanti dell’area di lavoro a OpenAI per generare risposte e embeddings. A seconda della tua richiesta e dei diritti di accesso, il contesto può includere informazioni sul prodotto, nomi dei clienti e indirizzi email, dettagli degli ordini e importi finanziari. Il trattamento può avvenire negli Stati Uniti; il fornitore e gli accordi di trasferimento sono descritti in Sub-responsabili del trattamento. Non includere dati che non sei autorizzato a divulgare.

Puoi continuare a usare altre funzioni mobili senza accettare. Il pulsante di scudo dell’assistente ti consente di revocare questa scelta locale sul dispositivo e interrompere le future richieste dell’assistente su quel dispositivo. Gli amministratori dell’area di lavoro possono disattivare il modulo AI per l’area di lavoro. Revocare la scelta locale non disattiva il modulo per i colleghi né cancella le conversazioni, i contenuti generati o le operazioni già salvate da Kotao. La scelta locale è versionata; una divulgazione modificata richiede una nuova scelta. Richieste di accesso o cancellazione dei dati personali memorizzati possono essere inviate a legal@kotao.com.

La cancellazione dell’account è disponibile nelle impostazioni dell’app mobile. Un unico proprietario dell’area di lavoro deve trasferire la proprietà a un membro esistente o confermare esplicitamente la chiusura di ogni area di lavoro interessata. La chiusura può annullare gli abbonamenti all’area di lavoro e disabilitare i negozi online. La cancellazione dell’account e la revoca del consenso AI non cancellano i record che devono essere conservati per obblighi commerciali, fiscali, di disputa o altri obblighi legali applicabili; le sezioni di conservazione e diritti di seguito continuano a valere.

Connessioni bancarie opzionali e riconciliazione fatture

Il modulo Finanza può collegare i conti bancari aziendali selezionati tramite Plaid. Prima di avviare una connessione, Kotao presenta una divulgazione just-in-time e registra la versione della politica, la lingua, l’utente Workspace che consente e il timestamp. Plaid può anche presentare i propri termini per l’utente finale e le informazioni sulla privacy quando fornisce servizi di informazioni sul conto regolamentato.

Kotao utilizza i dati del conto bancario collegato per sincronizzare i pagamenti in arrivo, suggerire corrispondenze a fatture aperte, registrare corrispondenze autorizzate, identificare pagamenti ambigui o sovra-pagamenti per revisione e mantenere la connessione operativa. Dove Kotao determina lo scopo di questo trattamento, la base legale è Art. 6(1)(b) GDPR per fornire il servizio Finanza opzionale e, dove richiesto, Art. 6(1)(a) GDPR per il consenso. Dove Kotao elabora questi dati su istruzioni del cliente, il cliente rimane il titolare del trattamento e si applica il Accordo sul trattamento dei dati.

Un utente Workspace autorizzato può disconnettere una connessione bancaria. Kotao chiede quindi a Plaid di rimuovere la connessione del provider, elimina il token di accesso del provider memorizzato, i record del conto bancario selezionato e le transazioni bancarie importate, e interrompe la sincronizzazione futura. I record di pagamento-fattura e contabilità già creati da una corrispondenza autorizzata possono rimanere senza il collegamento alla transazione bancaria di origine per gli obblighi commerciali, fiscali, di disputa e di audit applicabili. Kotao può anche conservare il consenso versionato e il record di disconnessione necessario per dimostrare l’istruzione e la revoca. Un cliente può inoltre richiedere accesso, correzione, restrizione o cancellazione tramite legal@kotao.com; la conservazione statutaria e i blocchi legali documentati continuano a valere.

Trattamento del sito web e del sito di marketing

Quando utilizzi www.kotao.com, elaboriamo i dati personali per i seguenti scopi:

• Moduli di contatto e moduli lead: nome, email aziendale, azienda, sito web, ruolo, tipo di attività, fascia di fatturato, messaggio, lingua, e intento della richiesta vengono elaborati così da poter rispondere alla tua richiesta, preparare demo, qualificare richieste B2B e documentare la comunicazione pre-contrattuale. A seconda della richiesta, la base legale è Art. 6(1)(b) GDPR per i passaggi pre-contrattuali e Art. 6(1)(f) GDPR per il nostro interesse legittimo nelle operazioni di vendita B2B e nella prevenzione degli abusi.
• Moduli newsletter: indirizzo email, lingua, ora della richiesta, ora di conferma, IP della richiesta, IP di conferma, user agent della richiesta, user agent di conferma e fonte vengono elaborati per double opt-in, consegna, gestione dell’annullamento e prova del consenso.
• Record di consenso: quando un modulo richiede un consenso sulla privacy o alla newsletter, memorizziamo un consentRecord con stato concesso, timestamp, IP, user agent, lingua, fonte e metadati della richiesta correlati così da poter provare e auditare il consenso.
• Eventi funnel: dopo il tuo consenso (Art. 6(1)(a) GDPR, §25(1) TDDDG) elaboriamo eventi di superficie di marketing come pagina visualizzata, inizio iscrizione trial, chiave di superficie, lingua, contesto verticale, etichetta CTA, parametri UTM e host del referer in PostHog. Un contesto di marketing first-touch viene memorizzato in sessionStorage per la sessione del browser corrente così che l’attribuzione sopravviva alla navigazione in sessione.
• Monitoraggio errori: un monitoraggio minimo degli errori e la cattura di crash (Sentry, ingest EU) gira negli ambienti distribuiti per tutti i visitatori basato sul nostro interesse legittimo di gestire un sito web stabile e sicuro (Art. 6(1)(f) GDPR). Questo livello è deliberatamente minimizzato: nessun replay di sessione, nessun tracciamento delle prestazioni, nessun breadcrumb, sendDefaultPii: false, URL privati di parametri di query — e nulla è memorizzato o letto dal tuo dispositivo. Vengono elaborati dati tecnici di errore come il messaggio di errore, lo stack trace e il contesto browser/dispositivo; l’IP che emerge a livello di rete durante la trasmissione non è memorizzato nell’evento di errore. La telemetria estesa di Sentry (prestazioni, salute del rilascio) e l’analisi PostHog funzionano esclusivamente dopo il tuo consenso. L’equilibrio degli interessi si basa su una valutazione documentata; puoi opporti al trattamento in qualsiasi momento (Art. 21 GDPR).
• Log del server: elaboriamo i log del server, inclusi IP, timestamp della richiesta, percorso della richiesta, codice di stato, e user agent, per sicurezza, frode e prevenzione abusi, disponibilità, debug e indagine incidenti. La base legale è Art. 6(1)(f) GDPR.

I cookie di analisi e tecnologie comparabili sono spiegati nella Cookie Policy.

Newsletter

Se ti iscrivi alla newsletter Kotao, elaboriamo il tuo indirizzo email e la lingua per inviare aggiornamenti di prodotto e indicazioni operative. Il trattamento della newsletter si basa sul tuo consenso ai sensi di Art. 6(1)(a) GDPR.

Usiamo il double opt-in prima di aggiungerti alla mailing list. Quando invii il modulo newsletter, inviamo un’email di conferma. Registriamo la tua iscrizione solo dopo che hai cliccato il link di conferma. Per la prova del consenso, memorizziamo il timestamp della richiesta, IP della richiesta, user agent della richiesta, timestamp di conferma, IP di conferma e user agent di conferma.

Puoi revocare il tuo consenso in qualsiasi momento con effetto futuro usando il link di annullamento dell’iscrizione in un’email newsletter o contattando legal@kotao.com.

Base legale ai sensi dell’Art. 6 GDPR

Elaboriamo i tuoi dati sulle seguenti basi legali:

• Art. 6(1)(a) GDPR — consenso, inclusi gli abbonamenti alla newsletter.
• Art. 6(1)(b) GDPR — esecuzione di un contratto, quando il trattamento è necessario per consegnare la piattaforma Kotao.
• Art. 6(1)(c) GDPR — conformità agli obblighi legali, inclusi registri fiscali e contabili secondo HGB e AO.
• Art. 6(1)(f) GDPR — interessi legittimi nell’operare, garantire e migliorare la piattaforma.

Sub-responsabili del trattamento

Ci affidiamo a responsabili del trattamento esterni per fornire hosting, email, pagamenti, servizi bancari collegati, analisi, osservabilità e funzionalità AI opzionali. L’elenco attuale, che include Cloudflare, Neon, processori Kotao Payments, Resend, Amazon SES, PostHog, Sentry, OpenAI e l’aggiunta prevista di Plaid, con scopo, categorie di dati, ruolo, regione di elaborazione, base di trasferimento, cronologia delle versioni e processo di notifica dei cambiamenti, è pubblicato su Sub-responsabili del trattamento.

Trasferimenti Internazionali

Alcuni processori e operazioni di servizio coinvolgono destinatari negli Stati Uniti o in altri paesi al di fuori dell’Spazio economico europeo, del Regno Unito o della Svizzera. Quando i dati personali sono trasferiti a livello internazionale, Kotao si affida alle salvaguardie pubblicate per il processore pertinente, incluse decisioni di adeguatezza come l’EU-U.S. Data Privacy Framework (DPF) per destinatari certificati e Clausole Contrattuali Standard (SCC) o addenda di trasferimento dati equivalenti dove richiesto. La base di trasferimento applicabile per ciascun processore nominato è elencata nel documento Sub-responsabili del trattamento.

Conservazione

I dati dell’account sono conservati per la durata del tuo account più tre anni dopo la chiusura. I log del server sono conservati per 90 giorni. I dati dell’account bancario collegato e delle transazioni sono conservati finché la connessione è attiva e vengono rimossi quando un utente autorizzato la disconnette, soggetti ai registri di contabilità, consenso, disconnessione e conservazione legale descritti sopra. I registri commerciali e fiscali sono conservati per categoria di documento: libri, inventari, bilanci di apertura, rendiconti annuali e la documentazione necessaria per comprenderli per dieci anni; documenti contabili e fatture per otto anni; e corrispondenza commerciale per sei anni. Il periodo applicabile inizia alla fine dell’anno solare pertinente e può essere esteso dove una conservazione legale, audit, disputa o altra norma di legge lo richieda.

Quando un periodo di conservazione termina, eliminiamo o anonimizzamo irreversibilmente i dati personali a meno che un obbligo legale applicabile o una conservazione documentata richieda un’ulteriore memorizzazione restrittiva. Conserviamo i dati personali elaborati per conto di un cliente solo per la restituzione e l’esportazione per 90 giorni dopo la terminazione, in conformità con l’Accordo sul trattamento dei dati, a meno che il cliente non istruisca una cancellazione anticipata. Il periodo inizia quando la terminazione entra in vigore. Restituzione e cancellazione seguono la scelta del cliente in base all’Accordo sul trattamento dei dati; a meno che non sia indicato diversamente in forma documentata, i dati vengono cancellati dopo la scadenza del periodo, soggetti alla legge applicabile.

I tuoi diritti

In base all’Art. 15-22 GDPR, hai il diritto di ottenere l’accesso, la rettifica, la cancellazione, la portabilità e la limitazione del trattamento dei tuoi dati personali, nonché opporti al loro trattamento, e di ritirare il consenso dove il trattamento si basa sul consenso. Per esercitare questi diritti, contatta legal@kotao.com.

Puoi anche presentare un reclamo all’autorità di vigilanza responsabile di Kotao, Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein-Westfalen (LDI NRW).