Informativa Privacy

Questa informativa riguarda i trattamenti per i quali Lytheron determina finalità e mezzi essenziali del trattamento. È rivolta a visitatori, referenti di aziende clienti e potenziali clienti, utenti autorizzati e persone che contattano il servizio. Non sostituisce l'informativa dell'azienda cliente ai propri dipendenti, fornitori e collaboratori.

Lytheron OÜ opera normalmente come titolare del trattamento per account, relazione commerciale, fatturazione, contatti e sicurezza del proprio servizio. L'azienda cliente decide invece di regola finalità e mezzi essenziali dei dati operativi che inserisce: dipendenti, fornitori, formazione, DPI, documenti, incidenti e attività. Per questi trattamenti Lytheron opera di regola come responsabile del trattamento, nei limiti delle istruzioni documentate del cliente.

I ruoli dipendono dalle attività effettive, non soltanto dalla denominazione contrattuale. Prima di usare dati personali aziendali occorre concordare ruoli, istruzioni, misure e, quando applicabile, un accordo ex art. 28 GDPR. Gli accordi di trattamento non sono presentati su questo sito come già firmati o automaticamente approvati: per concordarli scrivere a legal@lytheron.com.

Il cliente individua gli utenti autorizzati e le eventuali deleghe: l'assegnazione di un ruolo nel software non sostituisce l'autorizzazione organizzativa al trattamento.

Per i trattamenti di cui Lytheron è titolare, le principali categorie sono collegate alle seguenti finalità:

• Account e servizio: dati identificativi e di contatto, azienda, credenziali gestite dal sistema di autenticazione e ruoli. Finalità: registrazione, accesso, erogazione del servizio e comunicazioni operative. Base: contratto o misure precontrattuali ove l'interessato ne sia parte; per gli utenti dei clienti business, legittimo interesse alla gestione del rapporto e degli accessi, ove applicabile e previa valutazione.
• Contratto e fatturazione: referenti, dati aziendali e fiscali, ordine, piano e stato dei pagamenti. Finalità: gestione commerciale e adempimenti contabili. Basi: contratto nei casi applicabili e obblighi di legge; legittimo interesse alla gestione dei rapporti con i referenti business ove pertinente.
• Richieste e assistenza: contatti, contenuto della richiesta e informazioni tecniche necessarie. Finalità: rispondere, gestire problemi e richieste privacy. Basi: misure precontrattuali o contratto ove applicabili, obblighi di legge per i diritti privacy, legittimo interesse alla gestione dell'assistenza negli altri casi.
• Sicurezza e tutela dei diritti: log, eventi di accesso, informazioni di dispositivo e rete pertinenti alla funzione tecnica. Finalità: prevenire abusi, diagnosticare incidenti e difendere diritti. Basi: legittimo interesse, soggetto a necessità e bilanciamento, oppure specifici obblighi di legge quando applicabili.
• Promozione e strumenti non necessari: soltanto se effettivamente attivati e con informativa dedicata; consenso quando richiesto. La creazione dell'account o la lettura di questa informativa non equivale a consenso marketing.

Per il contenuto aziendale trattato per conto del cliente, la base giuridica è individuata dall'azienda titolare. Le categorie possono includere persone, sedi, asset, ticket, checklist e allegati: non tutte sono necessarie per ogni utilizzo.

I dati necessari all'account, al contratto o agli adempimenti fiscali sono richiesti per tali finalità; senza di essi il servizio o la richiesta potrebbero non essere gestibili. I dati facoltativi vanno limitati a quelli pertinenti al caso. Il cliente deve valutare quali campi e documenti usare e quali persone autorizzare.

Non inserire dati di altre persone nelle richieste di assistenza se non strettamente necessari; preferire descrizioni del problema e dati dimostrativi. Un bisogno di supporto non autorizza automaticamente l'accesso a tutti i contenuti del cliente.

Sorveglianza sanitaria e incidenti possono coinvolgere dati particolari ai sensi dell'art. 9 GDPR. Il titolare deve individuare le condizioni degli artt. 6 e 9 GDPR, le responsabilità del medico competente, le persone autorizzate e la necessità di una valutazione d'impatto. La disponibilità di un modulo non prova l'idoneità a qualsiasi trattamento sanitario.

Non caricare referti, diagnosi o dettagli clinici non necessari. Prima di impiegare questi moduli con dati particolari, concordare istruzioni e misure con i propri consulenti e con Lytheron. Non inviare dati sanitari nei prompt AI o nelle richieste generiche di supporto.

Possono accedere ai dati persone autorizzate per le rispettive funzioni e fornitori necessari per infrastruttura cloud, autenticazione, archiviazione, pagamenti, comunicazioni e funzioni AI effettivamente utilizzate. I dati possono essere comunicati ad autorità o consulenti quando richiesto dalla legge o necessario alla tutela di diritti.

Ruoli, dati trasmessi e condizioni dipendono dal servizio concreto. L'elenco contrattuale dei sub-responsabili, le relative garanzie e gli allegati devono essere verificati e concordati; questa pagina non certifica un elenco completo né presume che ogni fornitore riceva tutti i dati. Informazioni e accordi possono essere richiesti a legal@lytheron.com.

Le operazioni possono coinvolgere fornitori nello Spazio economico europeo e, se applicabile, in paesi terzi. Non viene dichiarata una localizzazione esclusivamente europea: sedi di trattamento, accessi e flussi dei singoli fornitori richiedono verifica.

Gli eventuali trasferimenti soggetti al Capo V GDPR devono avere uno strumento idoneo, come decisione di adeguatezza o clausole contrattuali standard, e valutazioni e misure supplementari dove necessarie. Per chiarimenti sui flussi pertinenti e sulle garanzie applicabili scrivere al contatto privacy; non si presume che tali verifiche siano completate per ogni scenario.

Quando si usa una funzione AI, il contenuto necessario alla richiesta può essere inviato a un servizio AI di terzi. Limitare i contenuti al minimo indispensabile; non usare prompt per trasmettere dati particolari senza preventiva valutazione e autorizzazione.

Gli output possono essere incompleti o errati e richiedono verifica umana. Non sono pareri legali, medici o di sicurezza e non certificano la conformità. La descrizione delle funzioni non prova accesso dell'AI a ogni dato del cliente, né addestramento sui contenuti aziendali. Condizioni dei fornitori, uso dei prompt e conservazione vanno verificati prima di trattamenti regolati dal contratto.

Questa informativa non attesta un processo decisionale esclusivamente automatizzato con effetti giuridici; eventuali trattamenti di quel tipo richiedono una valutazione e informazioni specifiche.

Quando il sistema FlowOps Sign viene attivato, Lytheron può trattare in qualità di titolare autonomo le informazioni strettamente necessarie alla formazione, prova, gestione e conservazione degli accordi B2B e alla tutela dei diritti: azienda, identificativo dell'account, email verificata, nome e qualifica dichiarati, dichiarazione dei poteri di rappresentanza, versione e impronta SHA-256 del documento, presa visione, volontà espressa di sottoscrivere, eventi e date registrate dal server, identificativo del codice monouso, esito della verifica OTP e ricevute archiviate.

Il codice OTP non viene conservato in chiaro nei registri; eventuali informazioni di rete sono limitate e pseudonimizzate per le finalità di sicurezza e di prova. La base giuridica è individuata, in relazione al trattamento concreto, nella gestione degli accordi e negli interessi legittimi alla certezza dei rapporti e alla difesa dei diritti, previa valutazione di necessità e bilanciamento; gli obblighi legali rilevanti si applicano quando presenti. La sola presa visione dell'informativa non è un consenso privacy.

La dichiarazione dei poteri viene resa dal firmatario sotto la propria responsabilità, senza attestare che Lytheron abbia svolto una verifica indipendente dei poteri. Il fornitore di invio email e quello di hosting ricevono soltanto le informazioni necessarie alle rispettive funzioni, secondo ruoli, contratti e trasferimenti effettivamente applicabili da verificare.

I contratti e le relative prove vengono conservati secondo esigenze documentate di gestione del rapporto, obblighi applicabili e termini di prescrizione e tutela dei diritti; periodi dettagliati, backup e procedure di cancellazione sono soggetti al registro di conservazione approvato. Gli accordi sottoscritti non vengono resi pubblici e i download sono sottoposti a controllo di accesso e collegamenti a tempo.

Per account e contatti si considera la durata del rapporto e la necessità residua di assistenza, gestione o tutela dei diritti; per fatture e documentazione fiscale gli obblighi di conservazione applicabili; per log e sicurezza il tempo necessario alla finalità, la gravità degli eventi e gli eventuali obblighi di legge. Questi criteri non costituiscono un calendario tecnico di retention già validato.

I dati gestiti per conto del cliente seguono istruzioni e accordi da definire, inclusi restituzione, esportazione e cancellazione alla fine del servizio. Formati, copertura dei moduli e tempi tecnici devono essere verificati. La cancellazione dai sistemi attivi non prova l'eliminazione immediata dai backup: non viene promessa la cancellazione istantanea di ogni copia.

La configurazione esaminata include autenticazione, ruoli applicativi, policy Row Level Security e bucket documentali privati. La loro presenza non prova isolamento completo, assenza di vulnerabilità o ripristinabilità. Test di autorizzazione, accessi privilegiati e recupero richiedono verifiche specifiche.

La pagina Sicurezza e trasparenza distingue controlli osservati e verifiche aperte, senza presentare certificazioni non dimostrate.

Quando Lytheron è titolare, gli interessati possono chiedere accesso, rettifica, cancellazione, limitazione, portabilità ove applicabile, opposizione nei casi previsti e informazioni sulle decisioni automatizzate. Il consenso, quando costituisce la base, può essere revocato senza pregiudicare il trattamento lecito precedente.

Scrivere a legal@lytheron.com indicando la richiesta e il rapporto con il servizio, senza allegare documenti personali non richiesti. Potrebbero essere necessari chiarimenti proporzionati per identificare il richiedente e proteggere i dati. Le richieste sono valutate nei termini e alle condizioni previste dal GDPR; eventuali limitazioni o proroghe devono essere motivate nei casi previsti.

Per i contenuti inseriti da un'azienda cliente, il referente è di regola l'azienda titolare; Lytheron la assiste nei limiti delle istruzioni e degli accordi. Resta il diritto di reclamo all'autorità di controllo competente, anche nel paese di residenza abituale, lavoro o presunta violazione. Non viene dichiarata una nomina di DPO non verificata: il canale privacy è quello indicato sopra.

Per il browser consultare la Cookie Policy; per l'ambito dei documenti il Centro legale. La data di versione indica la revisione del testo, non quella della visita. Modifiche sostanziali saranno comunicate quando richiesto.

Riferimenti: GDPR, in particolare artt. 13 e 28 e EDPB: titolare e responsabile.