Informativa Estesa sul Trattamento dei Dati Personali

2. Ambito B2B Internazionale / PA e Distinzione dei Ruoli Privacy (Titolare vs Responsabile)

Data la natura professionale e istituzionale della piattaforma SaaS Monaci.AI Agent Cloud — destinata a imprese di ogni dimensione nel mondo (startup, PMI, gruppi multinazionali) e a Pubbliche Amministrazioni ed Enti Pubblici — è fondamentale distinguere due distinti perimetri giuridici di trattamento:

• MONACI.AI S.R.L. quale Titolare Autonomo del Trattamento (Art. 4, n. 7 GDPR): per tutti i dati personali relativi alla navigazione sui siti pubblici, alla creazione e gestione dell'account organizzativo aziendale o istituzionale (/register, /login), alla fatturazione elettronica (SDI, FatturaPA, Reverse Charge UE ed extra-UE) e contabilità degli abbonamenti, alla gestione delle richieste di consulenza Enterprise/PA o di sviluppo di nuovi Agenti AI (/enterprise), all'assistenza tecnica, alla sicurezza dell'infrastruttura e, previo specifico consenso, all'invio di aggiornamenti sui rilasci settimanali. La presente Informativa disciplina integralmente tali trattamenti.
• MONACI.AI S.R.L. quale Responsabile del Trattamento (Art. 28 GDPR): con riferimento ai dati personali di terzi (es. clienti finali, cittadini/utenti istanti, fornitori, dipendenti, referenti commerciali o amministrativi) eventualmente immessi, elaborati o visualizzati dall'Azienda o dalla Pubblica Amministrazione Cliente all'interno dei propri Agenti AI, dei Desktop Remoti isolati, del Workspace documentale o dei connettori gestionali e istituzionali (ERP/CRM/Protocollo/Marketplace). Rispetto a tali dati, l'Organizzazione o l'Ente Cliente agisce in qualità di Titolare del Trattamento (con il proprio eventuale Responsabile della Protezione dei Dati — DPO ex Art. 37 GDPR) e MONACI.AI S.R.L. opera esclusivamente su istruzione documentata in forza dell' Accordo sul Trattamento dei Dati Personali (DPA ex Art. 28 GDPR), parte integrante dei Termini contrattuali.

3. Categorie di Dati Personali Oggetto di Trattamento

Nell'ambito delle attività in cui opera quale Titolare del Trattamento, MONACI.AI S.R.L. tratta le seguenti categorie di dati:

1. Dati anagrafici, identificativi e aziendali di registrazione: nome e cognome del referente, ragione sociale/denominazione dell'impresa o ente, indirizzo email aziendale, ruolo nell'organizzazione (owner, operator, viewer) e credenziali di autenticazione sottoposte a hashing crittografico irreversibile (bcrypt/Argon2 gestito da Supabase Auth; MONACI.AI S.R.L. non conserva mai le password in chiaro).
2. Dati amministrativi, fiscali e di pagamento: codice fiscale, partita IVA, sede legale, codice destinatario SDI o PEC per la fatturazione elettronica, storico delle fatture, piano tariffario attivo, consumo mensile di token e ore macchina. I dati completi delle carte di pagamento sono acquisiti ed elaborati direttamente dal prestatore certificato PCI-DSS Livello 1 Stripe Payments Europe, Limited, senza transitare né essere memorizzati sui server di MONACI.AI S.R.L..
3. Dati di contatto e progettuali nei moduli di richiesta: recapito telefonico, dimensione aziendale, software gestionali in uso e descrizione dei flussi operativi forniti spontaneamente nei moduli “Richiedi Consulenza Enterprise” o “Richiedi Nuovo Agente”.
4. Log tecnici di navigazione, sicurezza e audit (Human-in-the-Loop): indirizzo IP, user-agent del browser, timestamp di accesso, identificativi di sessione, ricevuta crittografica delle preferenze cookie (CMP), registro consensi GDPR (user_consents) e log di revisione delle azioni umane (action_requests con firma HMAC-SHA256 di approvazione o rifiuto da parte dell'operatore autorizzato).
5. Segreti applicativi cifrati del Tenant: eventuali chiavi API o token verso software terzi configurati dal Cliente sono cifrati a livello applicativo con algoritmo autenticato AES-256-GCM con vettore di inizializzazione (IV) univoco per singolo segreto nella tabella vault_secrets.

4. Finalità del Trattamento, Basi Giuridiche e Tempi di Conservazione

Ogni trattamento svolto da MONACI.AI S.R.L. poggia su una specifica base giuridica di liceità ai sensi dell'art. 6 del GDPR, come riepilogato nella seguente matrice analitica:

5. Natura Obbligatoria o Facoltativa del Conferimento

Il conferimento dei dati contrassegnati da asterisco (*) nei moduli di registrazione, fatturazione e consulenza (finalità A, B e C) è necessario per perfezionare il rapporto precontrattuale o contrattuale; il mancato conferimento comporta l'impossibilità di attivare l'account o dar seguito alla richiesta. Il conferimento del consenso per le comunicazioni sui nuovi rilasci settimanali e marketing (finalità F) e per i cookie non tecnici (finalità G) è invece interamente facoltativo: il suo mancato rilascio non pregiudica in alcun modo la registrazione o la piena fruizione della piattaforma Monaci.AI Agent Cloud.

6. Modalità del Trattamento, Cifratura Vault e Isolamento Micro-VM

I dati personali sono trattati con strumenti elettronici e telematici progettati secondo i principi di Privacy by Design e Privacy by Default (Art. 25 GDPR) e mediante misure tecniche e organizzative adeguate al rischio ai sensi dell'Art. 32 GDPR:

• Isolamento Multi-Tenant Database (Row Level Security): ogni tabella del database PostgreSQL applica policy obbligatorie di Row Level Security (ENABLE ROW LEVEL SECURITY) vincolate all'identificativo dell'organizzazione (org_id), impedendo strutturalmente qualsiasi accesso trasversale tra clienti diversi.
• Cifratura in Transito e a Riposo: tutte le comunicazioni avvengono esclusivamente su canale cifrato TLS 1.2/1.3 (HTTPS/WSS); i database e i dischi cloud sono cifrati a riposo (AES-256) e i segreti operativi dei tenant sono ulteriormente cifrati a livello applicativo con AES-256-GCM.
• Isolamento Hardware tramite Micro-VM Firecracker: i Desktop Remoti e le Sandbox degli Agenti AI non girano in container condivisi multi-cliente, bensì in micro-macchine virtuali dedicate dotate di proprio kernel isolato tramite hypervisor KVM/Firecracker su infrastruttura europea (Germania - UE), oppure direttamente su nodo On-Premises Zero-Egress nella rete locale del Cliente.

7. Intelligenza Artificiale, Assenza di Addestramento Modelli e Governance di Autonomia / Sorveglianza Umana

MONACI.AI S.R.L. garantisce espressamente che:

1. Zero Training sui Dati dei Clienti: né MONACI.AI S.R.L. né i fornitori di modelli linguistici di grandi dimensioni (LLM) utilizzati tramite API commerciali enterprise utilizzano i dati, i documenti, i prompt o gli output aziendali dei Clienti per addestrare o perfezionare modelli AI pubblici o generalisti.
2. Assenza di Profilazione Automatizzata su Persone Fisiche e Governance Configurabile (Art. 22 GDPR & Art. 14 Reg. UE 2024/1689): MONACI.AI S.R.L. non adotta decisioni automatizzate o profilazioni che producano effetti giuridici sulle persone fisiche. Il Cliente configura liberamente per ciascun Agente AI il livello di supervisione umana: Human-in-the-Loop completo (full_hitl), selettivo per specifica attività (activity_based, con blocco preventivo request_action e firma crittografica HMAC-SHA256 sulle sole attività scelte dal Cliente) oppure esecuzione completamente autonoma (full_autonomous) per flussi operativi B2B interni, fermo restando l'obbligo di convalida umana per atti amministrativi della Pubblica Amministrazione e trattamenti ricadenti nell'Art. 22 GDPR.

8. Destinatari dei Dati e Registro dei Sub-Fornitori Tecnologici

I dati personali non sono mai oggetto di diffusione né di cessione a terzi per fini commerciali altrui. Possono accedere ai dati esclusivamente dipendenti e collaboratori autorizzati di MONACI.AI S.R.L. (istruiti ex art. 29 GDPR e art. 2-quaterdecies Codice Privacy) e fornitori qualificati nominati Responsabili del Trattamento ex art. 28 GDPR:

9. Localizzazione dei Dati nello Spazio Economico Europeo e Trasferimenti Extra-SEE

Il database primario di produzione (eu-north-1, Stoccolma — Svezia) e le micro-VM europee dei Desktop Remoti (Germania) risiedono all'interno dello Spazio Economico Europeo (SEE). Qualora per specifiche componenti tecnologiche (es. CDN globale, telemetria anti-frode o chiamate API verso fornitori con capogruppo negli Stati Uniti) si verifichi un trasferimento o accesso da Paesi terzi, esso avviene esclusivamente nel pieno rispetto del Capo V del GDPR, sulla base di: (i) Decisioni di Adeguatezza della Commissione Europea ex Art. 45 GDPR (incluso l'EU-U.S. Data Privacy Framework per le società certificate), oppure (ii) Clausole Contrattuali Tipo (SCC) adottate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914 ex Art. 46 GDPR, corredate da misure supplementari di cifratura. Per i trattamenti ad altissima criticità, il Cliente può attivare la modalità Monaci.AI On-Premises Zero-Egress mantenendo il 100% del traffico dati all'interno del proprio perimetro fisico aziendale.

10. Periodo di Conservazione (Data Retention) e Cancellazione Sicura

Al termine dei periodi di conservazione indicati nella tabella dell'Articolo 4, i dati personali vengono cancellati in modo definitivo o resi irreversibilmente anonimi. Le micro-VM effimere (Sandbox/Swarm) vengono distrutte immediatamente al termine del task operativo; per i volumi persistenti (Agent Box) e per i record del tenant, alla cessazione del contratto viene eseguita una cancellazione a cascata (ON DELETE CASCADE) entro 90 giorni, fatti salvi i soli documenti fiscali soggetti a conservazione decennale obbligatoria.

11. Diritti degli Interessati (Artt. 15-22 GDPR) e Modalità di Esercizio

In qualità di interessato, puoi esercitare in qualsiasi momento e gratuitamente i seguenti diritti previsti dal GDPR:

• Diritto di accesso (Art. 15 GDPR): ottenere conferma che sia o meno in corso un trattamento di dati personali che ti riguardano e riceverne copia intelligibile.
• Diritto di rettifica (Art. 16 GDPR): ottenere la correzione o l'integrazione dei dati personali inesatti o incompleti.
• Diritto alla cancellazione / “oblio” (Art. 17 GDPR): ottenere la cancellazione dei dati personali nei casi previsti dalla normativa.
• Diritto di limitazione di trattamento (Art. 18 GDPR): ottenere il contrassegno dei dati conservati con l'obiettivo di limitarne il trattamento in futuro.
• Diritto alla portabilità dei dati (Art. 20 GDPR): ricevere in formato strutturato, di uso comune e leggibile da dispositivo automatico (JSON/CSV) i dati forniti e trasmetterli a un altro titolare.
• Diritto di opposizione (Art. 21 GDPR): opporti in qualsiasi momento al trattamento basato sul legittimo interesse o finalizzato al marketing diretto.
• Diritto di revoca del consenso (Art. 7, par. 3 GDPR): revocare in qualsiasi momento i consensi facoltativi prestati (email settimanali o cookie), senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca.

Le richieste possono essere inviate via email a info@monaci.ai oppure via PEC a monaci.ai@pec.it. MONACI.AI S.R.L. fornirà riscontro entro 30 giorni dal ricevimento ai sensi dell'art. 12, par. 3 GDPR.

12. Diritto di Reclamo al Garante per la Protezione dei Dati Personali

Qualora ritenga che il trattamento dei propri dati personali avvenga in violazione del GDPR o del Codice Privacy, l'interessato ha il diritto di proporre reclamo all'Autorità di controllo competente ai sensi dell'Art. 77 GDPR (in Italia: Garante per la protezione dei dati personali, Piazza Venezia 11 — 00187 Roma, sito web www.garanteprivacy.it, PEC protocollo@pec.gpdp.it), ovvero di adire le opportune sedi giudiziarie ai sensi dell'Art. 79 GDPR.

13. Tutela dei Minori e Aggiornamenti della Presente Informativa

La piattaforma Monaci.AI Agent Cloud è destinata esclusivamente a soggetti maggiorenni che operano nell'esercizio della propria attività imprenditoriale, commerciale, artigianale, professionale o istituzionale (B2B/PA). MONACI.AI S.R.L. non raccoglie consapevolmente dati personali riferiti a minori di anni 18. Eventuali modifiche sostanziali alla presente Informativa saranno rese note mediante pubblicazione su questa pagina con aggiornamento del numero di versione e, ove opportuno, tramite avviso via email agli utenti registrati.