Informativa sulla privacy di DIRI AI

1. Chi controlla i Suoi dati personali

DIRI AI è gestita da František Mráz, IČO 07961731, con il nome commerciale DIRI AI. La sede legale e i canali di contatto verificati sono indicati nelle Note legali. Le richieste in materia di privacy devono essere inviate a privacy@diriai.com.

DIRI AI è normalmente il titolare del trattamento per le visite al sito web, gli account individuali, le prove, la fatturazione, l'assistenza, la sicurezza, l'amministrazione del prodotto, le operazioni di prima parte dell'applicazione, le analisi del sito pubblico basate sul consenso e il marketing diretto. Quando un'organizzazione fornisce dati personali nel proprio spazio di lavoro e determina perché e come tali dati sono utilizzati, tale organizzazione è il titolare del trattamento e DIRI AI agisce come suo responsabile del trattamento ai sensi dell'Accordo sul trattamento dei dati. Gli utenti devono rivolgersi in primo luogo alla propria organizzazione per le richieste relative ai dati dello spazio di lavoro controllati dall'organizzazione.

2. Ambito

La presente Informativa si applica a diriai.com, alle applicazioni DIRI AI, agli abbonamenti, alle prove, all'assistenza e alle comunicazioni correlate. La misurazione facoltativa con Google Analytics è limitata alle pagine di marketing pubbliche supportate in inglese e in ceco su diriai.com e www.diriai.com; non viene eseguita sulle rotte dell'applicazione, dell'account, dell'autenticazione, della fatturazione, legali, di super-amministrazione o di anteprima. Separatamente, le rotte autenticate dell'applicazione utilizzano analisi operative di prima parte, lato server, con riduzione dei dati al minimo, descritte nella presente Informativa. Tale trattamento non è GA4 e non è collegato a GA4. La presente Informativa non disciplina il sito web indipendente di un terzo né l'uso autonomo, da parte di un cliente, dei dati esportati. Il checkout effettivo deve indicare qualsiasi trattamento sostanzialmente diverso prima che abbia inizio.

3. Dati che trattiamo

A seconda di come utilizza DIRI AI, possiamo trattare:

• dati dell'account e di identità: nome, indirizzo e-mail, identificatore dell'account, eventi di autenticazione, lingua selezionata e conferma di età/idoneità;
• dati dell'organizzazione: nome del datore di lavoro o del cliente, ruolo, appartenenza allo spazio di lavoro, inviti, azioni degli amministratori e assegnazioni di postazioni;
• dati di fatturazione: piano, paese di fatturazione, identificatori aziendali forniti dal cliente, riferimenti di fatture e transazioni, stato del pagamento e metadati limitati della carta forniti dal fornitore di pagamenti; DIRI AI non ha bisogno di ricevere il numero completo della carta;
• contenuti di formazione: scenari, prompt, input vocale, registrazioni facoltative, trascrizioni, annotazioni, punteggi, report, feedback di coaching e risposte degli utenti;
• dati di utilizzo: durata delle sessioni, lingua e voce selezionate, utilizzo delle funzioni, consumo delle quote, impostazioni, esportazioni ed eventi di disdetta;
• analisi operative di prima parte dell'applicazione: pseudonimi HMAC del tenant e dell'utente generati con chiavi indipendenti, una finestra di attività di 15 minuti in UTC, l'ultimo orario di attività accettato all'interno di tale finestra, lingua, classe di dispositivo e origine dell'applicazione inclusi in un elenco consentito, versione dell'informativa sulla privacy, ora di creazione e ora di scadenza; le query di analisi autorizzate creano inoltre un distinto registro di audit contenente pseudonimi HMAC dell'amministratore e della query, l'intervallo di date e la granularità richiesti, le fonti di prima parte incluse, lo stato della cache, lo stato del risultato, la versione dell'informativa sulla privacy, l'ora della richiesta e l'ora di scadenza;
• dati di dispositivo, di rete e di sicurezza: indirizzo IP, informazioni su browser e dispositivo, marche temporali, identificatori di sessione e di richiesta, tracce di errore, registri di audit, indicatori di abuso e posizione approssimativa ricavata da evidenze di rete o di fatturazione;
• dati di assistenza e di comunicazione: messaggi, allegati, dettagli dei reclami, risposte a sondaggi e registrazioni necessarie per risolvere la richiesta;
• dati di analisi di marketing pubblico dopo il consenso: un identificatore di prima parte del browser, host/percorso normalizzati inclusi in un elenco consentito, percorso del referrer dello stesso sito incluso nell'elenco consentito se presente, visualizzazione di pagina o uno di tre eventi di interazione circoscritti, lingua EN/CS e valori di CTA/piano/campagna inclusi nell'elenco consentito, oltre ai metadati tecnici del browser e della rete necessariamente esposti a Google, quali indirizzo IP, user agent, marca temporale e intestazioni di protocollo;
• passaggio volatile dei dati di campagna prima del consenso: la prima sorgente, il primo mezzo e il primo nome di campagna inclusi in un elenco consentito, l'ora di acquisizione, lo stato e un legame casuale per singolo documento, conservati solo nella memoria JavaScript per il documento di pagina corrente per un massimo di 30 minuti, senza alcuna richiesta al fornitore, cookie, local storage, session storage, query grezza, referrer o chiave arbitraria; tutti i parametri utm_* sono rimossi immediatamente dall'indirizzo visibile, e un ricaricamento, una nuova scheda o una scheda duplicata eliminano il passaggio; e
• dati di preferenza e di marketing: scelte sui cookie, prove dell'iscrizione alla newsletter, stato di cancellazione o di soppressione, dati di interazione con le campagne basati sul consenso e lingua delle comunicazioni.

Il payload degli eventi di Analytics non ammette stringhe di query, frammenti di URL, URL di referrer esterni, titoli di documenti, testo libero, nomi, indirizzi e-mail, numeri di telefono, identificatori di account/cliente/azienda, contenuto delle chiamate, registrazioni, trascrizioni, dati di pagamento, token di checkout/stato, User-ID o identificatori pubblicitari forniti da DIRI AI. Tali restrizioni del payload non eliminano i normali metadati di trasporto sopra descritti né rendono anonimi, ai sensi della normativa sulla protezione dei dati, tutti i dati di Analytics.

Le analisi operative di prima parte dell'applicazione non contengono identificatori grezzi del tenant o dell'utente, nomi, indirizzi e-mail, numeri di telefono, indirizzi IP, stringhe user-agent, posizione precisa, valori di referrer o URL completi, stringhe di query, parametri di campagna, Contenuti del Cliente, contenuto delle chiamate, registrazioni, trascrizioni, prompt, messaggi di assistenza, dati di pagamento, testo libero o metadati arbitrari. I relativi pseudonimi HMAC restano dati personali finché DIRI AI può ricalcolarli e sono protetti come tali.

Otteniamo i dati da Lei, dall'amministratore del Suo spazio di lavoro, dal Suo dispositivo e dall'uso del servizio, da fornitori di pagamenti e di infrastruttura, da Google Analytics solo dopo la scelta richiesta, e da segnali antifrode o di sicurezza leciti. Non acquistiamo profili di consumatori né vendiamo dati personali.

4. Perché trattiamo i dati e le nostre basi giuridiche

Quando ci basiamo sul legittimo interesse, valutiamo necessità, impatto e garanzie. Lei può richiedere informazioni sulla relativa valutazione e opporsi al trattamento come descritto di seguito. Non convertiremo una finalità basata sul consenso in legittimo interesse semplicemente perché il consenso è stato rifiutato o revocato. La misurazione facoltativa con GA4 resta disattivata dopo il rifiuto e in presenza del Global Privacy Control.

5. Audio di formazione, trascrizioni e output dell'IA

DIRI AI invia a un fornitore di voce o di IA indicato nell'Elenco dei sub-responsabili del trattamento e attivato per quella funzione soltanto i dati necessari per un'interazione di formazione richiesta. I dati vocali sono utilizzati per fornire una conversazione simulata; DIRI AI non intende utilizzarli per l'identificazione biometrica, la corrispondenza di impronte vocali o il riconoscimento delle emozioni.

La memorizzazione delle registrazioni è disattivata per impostazione predefinita. Se è attivata una funzione di registrazione facoltativa, l'interfaccia deve comunicare tale circostanza, la sua finalità e la conservazione prima che la registrazione abbia inizio. Una trascrizione, un punteggio o un suggerimento di coaching può essere errato e non deve essere utilizzato come unico fondamento di una decisione relativa al rapporto di lavoro o di altra decisione giuridicamente rilevante.

Non inserisca segreti reali dei clienti, dati di carte di pagamento, credenziali, dati sanitari, dati biometrici o altre categorie particolari di dati, salvo che una funzione approvata separatamente lo richieda espressamente e sussistano tutte le basi giuridiche, le informative e le garanzie necessarie. DIRI AI non utilizza i Contenuti del Cliente per addestrare modelli di uso generale senza una scelta distinta, volontaria e specifica e una base giuridica lecita.

I dati di formazione, i Contenuti del Cliente e le analisi operative di prima parte dell'applicazione sono esclusi dall'ambito di raccolta di GA4. GA4 non viene eseguito sulle rotte dell'applicazione o dell'account e non riceve i Contenuti del Cliente né gli pseudonimi delle analisi di prima parte dell'applicazione. DIRI AI non collega tali registrazioni operative di prima parte agli identificatori o ai report di GA4.

6. Trattamento automatizzato

Il servizio genera automaticamente simulazioni, trascrizioni, punteggi, suggerimenti, limiti di utilizzo e report. Le regole di sicurezza e antifrode possono segnalare o limitare temporaneamente un account o una prova ripetuta. Questi processi non sono destinati ad assumere una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici o incida in modo analogo significativamente. Quando una restrizione automatizzata La riguarda in modo rilevante, contatti support@diriai.com per richiedere un riesame umano, salvo che la divulgazione comprometta la sicurezza o un'indagine legale.

I report sul traffico di GA4 non sono utilizzati per assegnare punteggi agli utenti, decidere l'accesso, profilare dipendenti né assumere decisioni giuridiche o che incidano in modo analogo significativamente.

7. Quando le informazioni sono obbligatorie

Le informazioni su account, idoneità, sicurezza e fatturazione contrassegnate come obbligatorie sono necessarie per concludere o eseguire il contratto. Se non vengono fornite, potremmo non essere in grado di creare un account, avviare una prova con carta, elaborare un pagamento o proteggere il servizio. Il consenso al marketing e il consenso ai cookie/analisi non essenziali sono facoltativi. Il rifiuto o la revoca non impediscono l'accesso alle pagine pubbliche o al servizio a pagamento di base.

8. Chi riceve i dati

L'accesso è limitato al personale autorizzato di DIRI AI e ai fornitori di servizi che necessitano dei dati per hosting, database, caching, e-mail, pagamenti, monitoraggio degli errori, sicurezza, elaborazione vocale o di IA. I fornitori utilizzati per tali funzioni e le relative finalità sono elencati nell'Elenco dei sub-responsabili del trattamento. I messaggi aziendali inviati agli indirizzi di ruolo di DIRI AI sono ospitati, instradati e archiviati tramite Google Workspace con un account aziendale; non sono inoltrati a una casella di posta personale. I fornitori che agiscono come responsabili del trattamento devono essere vincolati da condizioni in materia di protezione dei dati. I fornitori di pagamenti possono inoltre agire come titolari autonomi del trattamento per finalità regolamentate di pagamento, antifrode e conformità.

Dopo il consenso espresso alle analisi, Google Analytics 4 riceve i dati limitati del sito pubblico descritti nella sezione 3. Google Ireland Limited è l'entità contraente ai sensi del contratto di account Google Analytics e dei Termini sul trattamento dei dati applicabili. DIRI AI utilizza una sola proprietà Analytics e un solo flusso web per diriai.com e www.diriai.com. La spiegazione di Google sul trattamento dei dati per i siti partner è disponibile all'indirizzo https://policies.google.com/technologies/partner-sites.

Umami, Vercel Web Analytics, Vercel Speed Insights, Cloudflare Web Analytics, pixel, riproduzione di sessioni, mappe di calore, segmenti di pubblico pubblicitari e collegamenti a Google Ads non sono destinatari di analisi ai sensi della presente Informativa. Vercel e Cloudflare possono comunque trattare separati dati di infrastruttura per hosting, DNS, instradamento, archiviazione o sicurezza come indicato nell'Elenco dei sub-responsabili del trattamento.

Le analisi operative di prima parte dell'applicazione restano all'interno dell'ambiente di hosting e di database dell'applicazione di DIRI AI e non sono inviate a Google Analytics né ad altro fornitore di analisi di marketing. L'accesso ai relativi report aggregati e all'audit delle query è limitato agli amministratori autorizzati.

Possiamo comunicare dati a consulenti professionali, autorità, tribunali o controparti di operazioni quando ciò sia lecitamente necessario, proporzionato e protetto. Non comunichiamo Contenuti del Cliente per pubblicità di terzi.

9. Trasferimenti internazionali

Ove il servizio e l'accordo applicabili lo consentano, DIRI AI seleziona regioni di trattamento europee, ma reti globali, assistenza e fornitori possono trattare i dati al di fuori del SEE, del Regno Unito o della Svizzera. Prima di un trasferimento soggetto a restrizioni, dobbiamo utilizzare una decisione di adeguatezza applicabile, le Clausole contrattuali tipo della Commissione europea con una valutazione del trasferimento e misure supplementari, oppure un'altra garanzia lecita. La sola dichiarazione commerciale di un fornitore non costituisce prova sufficiente. DIRI AI registra le garanzie applicabili nel proprio Registro dei fornitori e dei trasferimenti.

Google dichiara che il traffico di Analytics proveniente da dispositivi di UE, Svizzera e Regno Unito è raccolto tramite domini e server regionali prima di essere inoltrato ai server di Analytics per il trattamento. I termini di trattamento di Google consentono il trattamento ove Google o i suoi sub-responsabili dispongano di strutture e contengono disposizioni europee sui trasferimenti. DIRI AI registra il meccanismo di trasferimento applicabile nel proprio Registro dei fornitori e dei trasferimenti.

Lei può richiedere a privacy@diriai.com informazioni sulla relativa garanzia; i termini riservati o sensibili sotto il profilo della sicurezza possono essere oscurati.

10. Conservazione

Conserviamo i dati personali solo per il periodo più breve necessario per la finalità, il contratto, la sicurezza e gli obblighi di legge. Il calendario predefinito è il seguente:

Google dichiara che i dati scaduti di utenti/eventi sono cancellati tramite un processo mensile e che la sua impostazione di conservazione non incide sui report aggregati standard. DIRI AI pertanto non promette che ogni report aggregato sia cancellato dopo due mesi. La Politica di conservazione dei dati dettagliata illustra la cancellazione presso i fornitori, la registrazione della scelta solo da browser, le eccezioni e i blocchi legali.

La cancellazione dai sistemi attivi non garantisce l'immediata cancellazione dai backup cifrati isolati; i backup devono scadere secondo un ciclo verificato del fornitore e non devono essere ripristinati per l'uso ordinario. I termini di trattamento applicabili di Google e i controlli di cancellazione dell'account disciplinano le sue copie di responsabile del trattamento, in aggiunta alla conservazione configurata di Analytics.

11. I Suoi diritti

Nel rispetto delle condizioni e delle eccezioni previste dalla normativa applicabile, Lei può richiedere:

• l'accesso ai Suoi dati personali e una copia degli stessi;
• la rettifica dei dati inesatti;
• la cancellazione o la limitazione del trattamento;
• la portabilità dei dati da Lei forniti quando il trattamento è automatizzato e basato sul consenso o su un contratto;
• l'opposizione al trattamento basato sul legittimo interesse o al marketing diretto;
• la revoca del consenso in qualsiasi momento, senza pregiudicare il trattamento lecito precedente; e
• il riesame umano e le informazioni ove sorgano i diritti applicabili in materia di decisioni automatizzate.

Utilizzi privacy@diriai.com. Possiamo richiedere una verifica proporzionata dell'identità e normalmente rispondiamo entro un mese ai sensi del GDPR, fatta salva una proroga lecita per richieste complesse o numerose. Normalmente non è previsto alcun costo, ma la legge consente un contributo ragionevole o il rifiuto per richieste manifestamente infondate o eccessive. Se i dati sono controllati da un cliente dello spazio di lavoro, indirizzeremo o assisteremo la richiesta ai sensi del DPA.

Analytics non utilizza alcun identificatore di account DIRI AI né User-ID, pertanto l'e-mail di un account non identifica di per sé un browser in GA4. Può interrompere la raccolta futura tramite le Impostazioni cookie e cancellare i cookie locali. DIRI AI utilizzerà i controlli di cancellazione di Google disponibili ove una richiesta possa essere associata senza raccogliere identificatori aggiuntivi non necessari.

Per le analisi operative di prima parte dell'applicazione, DIRI AI conserva le versioni delle chiavi HMAC dell'attività per la durata applicabile di 35 giorni delle registrazioni di attività e le versioni delle chiavi HMAC dell'amministratore/della query per l'intera durata di 90 giorni dell'audit delle query. Per una richiesta autenticata di accesso, esportazione o cancellazione approvata, DIRI AI utilizza ogni versione di chiave conservata per la durata pertinente per individuare, esportare o cancellare le registrazioni corrispondenti di attività e di audit delle query. La ricerca è eseguita solo per la richiesta, non crea alcun collegamento con GA4 ed è soggetta alle eccezioni lecite in materia di sicurezza, azioni legali e conservazione dei registri.

Può presentare reclamo all'Ufficio per la protezione dei dati personali della Repubblica Ceca o a un'altra autorità di controllo competente, e può far valere un ricorso giurisdizionale. I dati dell'autorità sono riportati nelle Note legali.

12. Scelte in materia di marketing e analisi

L'iscrizione alla newsletter deve avvenire mediante una scelta chiara e distinta e con evidenza di quanto concordato. Ogni e-mail di marketing deve identificare il mittente e contenere un metodo funzionante per annullare l'iscrizione. La revoca è gratuita e interromperà il marketing futuro al termine della procedura operativa di soppressione. I messaggi di servizio, fatturazione, sicurezza e quelli richiesti dalla legge possono continuare finché pertinenti per l'account.

La misurazione del traffico con GA4 utilizza una scelta facoltativa distinta. La Basic Consent Mode mantiene il tag di Google completamente bloccato prima del consenso espresso e dopo il rifiuto. Un visitatore può in seguito revocare tramite le Impostazioni cookie; la pagina rimuove il tag, tenta di cancellare i cookie di prima parte di Analytics e viene ricaricata senza Analytics. Il Global Privacy Control mantiene disattivate le analisi facoltative. Il consenso è legato alla versione dell'informativa EN/CS e alla versione della configurazione del fornitore GA4, pertanto una modifica rilevante rende obsoleta la scelta memorizzata.

La configurazione facoltativa di analisi non comprende segmenti di pubblico pubblicitari, tracciamento cross-site, pixel pubblicitari o di conversione, retargeting, riproduzione di sessioni, mappe di calore, collegamenti a Google Ads, personalizzazione pubblicitaria o funzioni pubblicitarie di Google Analytics. Non considereremo la registrazione di un account, un banner chiuso, lo scorrimento, il silenzio o una casella preselezionata come consenso alle analisi o al marketing.

Il rifiuto o la revoca della misurazione facoltativa con GA4 non disattiva le analisi operative di prima parte dell'applicazione, con riduzione dei dati al minimo, utilizzate per fornire, proteggere e mantenere il servizio. Tali registrazioni utilizzano le basi giuridiche, le garanzie, i periodi di conservazione e i diritti di opposizione sopra descritti e non sono mai collegate a GA4.

13. Minori

DIRI AI non è rivolta ai minori di 13 anni e non offre loro consapevolmente un account né tratta la loro voce. Un utente di età compresa tra 13 e 17 anni non può completare il checkout self-service diretto. Un genitore, un tutore legale o un'organizzazione cliente autorizzata deve creare o accettare l'account/abbonamento, assumere l'obbligo di pagamento e soddisfare eventuali ulteriori requisiti locali. Una via tramite organizzazione non sostituisce l'autorizzazione del genitore ove la legge applicabile la richieda. Il trattamento facoltativo basato sul consenso non è attivato per tale utente, salvo che l'utente o il titolare della responsabilità genitoriale possa fornirlo validamente ai sensi della legge applicabile.

Per un utente ceco, ove il consenso ai sensi dell'articolo 8 del GDPR sia la base giuridica per un'attività facoltativa di servizio della società dell'informazione, un utente di età inferiore a 15 anni richiede l'autorizzazione del titolare della responsabilità genitoriale. La capacità contrattuale è valutata separatamente e può richiedere l'accettazione di un adulto o di un tutore anche quando la soglia del consenso in materia di protezione dei dati è raggiunta.

La registrazione deve utilizzare un controllo dell'età neutro e minimizzare le evidenze di età conservate. Se veniamo a conoscenza del fatto che un utente di età inferiore a 13 anni ha fornito dati personali, sospenderemo il trattamento interessato, richiederemo una verifica proporzionata ove lecito e cancelleremo i dati, salvo che la conservazione sia richiesta dalla legge. Contatti privacy@diriai.com senza inviare documenti di identità, salvo che siano richiesti tramite un canale sicuro.

14. Sicurezza

Utilizziamo misure organizzative e tecniche basate sul rischio descritte nella Panoramica sulla sicurezza e, per i dati trattati come responsabile, nel DPA. Nessun sistema è perfettamente sicuro. Invii le presunte vulnerabilità o gli incidenti a security@diriai.com e non includa dati personali non necessari nella segnalazione iniziale.

DIRI AI limita Analytics a host, percorsi, eventi e proprietà inclusi in un elenco consentito e basati sul consenso, mantiene disattivate le impostazioni pubblicitarie e supporta la revoca. Queste restrizioni riducono i dati ma non eliminano ogni rischio per la privacy o legato al fornitore.

15. Diritti regionali al di fuori del SEE

Se una legge del luogo supportato in cui Lei si trova Le attribuisce diritti aggiuntivi in materia di privacy, li rispetteremo ove applicabile. Tra questi possono rientrare i diritti di conoscere, accedere, rettificare, cancellare, ottenere una copia portabile, opporsi alla vendita o alla pubblicità mirata, limitare determinati usi di dati sensibili, revocare il consenso o impugnare una decisione. DIRI AI non vende dati personali e non deve attivare la comunicazione per pubblicità mirata senza un'informativa e una facoltà di opposizione o un consenso appropriati alla regione.

La presente sezione non significa che DIRI AI sia offerta in ogni paese o stato degli Stati Uniti. La disponibilità a pagamento è limitata ai luoghi e alle categorie di clienti accettati dal checkout dopo la valutazione fiscale, normativa e del fornitore applicabile.

16. Modifiche e contatti

Pubblicheremo una versione datata e daremo un congruo preavviso di una modifica rilevante. Una nuova finalità o un nuovo fornitore che richieda il consenso non avrà inizio per il solo fatto che la presente Informativa è stata modificata. Le versioni archiviate devono rimanere disponibili. Una modifica rilevante del fornitore GA4, dell'informativa o dell'ambito di raccolta invalida la scelta del browser memorizzata e richiede una nuova decisione.

L'identità e l'indirizzo del titolare del trattamento sono indicati nelle Note legali. Contatto per la privacy: privacy@diriai.com.

Versione: 1.2.0. Data di efficacia: 30 agosto 2026.