Informativa privacy — applicazione Booost

1. Chi siamo — Titolare del trattamento

Il Titolare del trattamento dei dati personali è:

Alfercom S.r.l. Sede legale: Via Altinate 125, 35121 Padova (PD), Italia P.IVA / C.F.: 05068010288 — VAT IT05068010288 N. REA / Registro delle Imprese di Padova: PD-440530 Capitale sociale: € 10.000,00 Richieste in materia di protezione dei dati: modulo di contatto all'indirizzo https://booost.network/it/contact/?reason=dpa, scegliendo l'oggetto Protezione dei dati

Responsabile della Protezione dei Dati (DPO/RPD): Alfercom ha nominato un Responsabile della Protezione dei Dati (DPO/RPD), contattabile tramite il modulo di contatto (https://booost.network/it/contact/?reason=dpa, oggetto Protezione dei dati) oppure per posta all'indirizzo della sede legale. Il modulo non richiede alcuna registrazione: è utilizzabile anche da chi non è Utente di Booost.

2. A chi si rivolge questa informativa

La presente informativa è resa:

• agli Utenti (persone fisiche o giuridiche, consumatori o professionisti/imprese) che si registrano a Booost, accedono al portale abbonati o utilizzano l'applicazione desktop, ai sensi dell'art. 13 GDPR (raccolta diretta dei dati);
• ai terzi prospect i cui dati personali vengono trattati da Alfercom nell'ambito dell'erogazione del servizio, ai sensi dell'art. 14 GDPR (raccolta indiretta), nella misura in cui Alfercom agisce come Titolare autonomo per le proprie finalità (cfr. sezione 6).

Booost è un prodotto rivolto a professionisti e imprese (B2B) e a consumatori individuali (B2C). La sezione 5 evidenzia le basi giuridiche applicabili rispettivamente. Ai consumatori si applica altresì la disciplina del Codice del Consumo (D.Lgs. 206/2005) richiamata nelle Condizioni Generali di Contratto.

3. Definizioni

Ai fini della presente informativa si intendono:

• Alfercom / Titolare: Alfercom S.r.l., Titolare autonomo del trattamento di tutti i Dati Raccolti per le finalità proprie descritte nella sezione 5.
• Booost: l'applicazione desktop (Electron) e i servizi server collegati forniti da Alfercom.
• Utente / Cliente: chi sottoscrive un abbonamento o usa Booost in qualsiasi forma (persona fisica o giuridica; consumatore o professionista).
• Servizi Indipendenti: le piattaforme di terzi che Booost automatizza nell'interesse dell'Utente. Alfercom non ha alcun rapporto di affiliazione, certificazione o partnership con tali piattaforme; l'uso di Booost può essere contrario ai termini di servizio di tali piattaforme (cfr. le Condizioni Generali e la Acceptable Use Policy).
• Account Collegato: l'account dell'Utente sui Servizi Indipendenti gestito tramite Booost.
• Dati dell'Account: dati relativi all'Utente (registrazione, fatturazione, dispositivo, dati di utilizzo e diagnostica, configurazioni).
• Dati di Outreach (o Dati dei Contatti): dati personali di terzi (prospect) che l'Utente raccoglie o elabora tramite Booost nell'ambito delle proprie attività di outreach.
• Dati Raccolti: insieme complessivo di Dati dell'Account, Dati di Outreach e ogni altro dato generato dall'uso di Booost che transita attraverso o viene memorizzato da Alfercom.
• Dati di utilizzo e diagnostica: i dati sullo stato, sull'utilizzo e sugli errori dell'applicazione trasmessi ai server Alfercom, descritti al § 4.4. Facet-sync: i parametri e gli identificativi di ricerca (URN), conservati in locale (§ 12).
• Contenuti AI: testi o contenuti generati dalle funzioni di intelligenza artificiale integrate in Booost.
• Edizione Basic (Tier BYOK, Bring Your Own Key): edizione in cui le funzioni di intelligenza artificiale operano esclusivamente attraverso una chiave API che l'Utente si procura presso un provider di sua scelta. In questa edizione Alfercom non entra nella catena di trattamento del modello linguistico.
• Edizione Pro (Tier Gestito, Booost AI): edizione in cui l'accesso ai modelli linguistici è compreso nel servizio. I contenuti transitano dal dispositivo dell'Utente ai server di Alfercom e da questi al provider di inferenza, che agisce come sub-responsabile ai sensi dell'art. 28(4) GDPR.
• LIA: Legitimate Interest Assessment — valutazione del legittimo interesse documentata da Alfercom ai sensi delle Linee guida EDPB 01/2024.
• SCC: Clausole Contrattuali Standard della Commissione UE nella versione 2021 (Decisione 2021/914), Modulo 2 (Titolare → Responsabile) o Modulo 3 (Responsabile → sub-responsabile).
• TIA: Transfer Impact Assessment — valutazione d'impatto del trasferimento, obbligatoria per i trasferimenti extra-UE.

4. Dati personali che trattiamo

Booost tratta le seguenti categorie di dati personali. Salvo ove indicato, tutti i dati sono forniti direttamente dall'Utente o generati automaticamente dall'uso dell'applicazione.

4.1 Dati di registrazione e account

Nome e cognome (o denominazione sociale), indirizzo email, password (solo se l'Utente sceglie la registrazione con email: conservata in forma di hash irreversibile), denominazione dell'organizzazione (ove indicata).

Registrazione. La creazione dell'account sui servizi Booost avviene, a scelta dell'Utente, con indirizzo email e password oppure tramite autenticazione SSO di LinkedIn (protocollo OAuth). Nel secondo caso Alfercom riceve da LinkedIn — che agisce come fornitore di identità autonomo — i dati di profilo necessari alla creazione dell'account (a titolo esemplificativo: nome e cognome, indirizzo email, identificativo LinkedIn, immagine del profilo). Tali dati sono trattati da Alfercom in qualità di Titolare per la finalità di registrazione ed erogazione del servizio (base giuridica: esecuzione del contratto, art. 6(1)(b) GDPR). Il trattamento dei dati da parte di LinkedIn in questa fase è disciplinato dall'informativa privacy di LinkedIn. Le credenziali di accesso LinkedIn dell'Utente non sono mai conosciute, ricevute né conservate da Alfercom.

4.2 Dati di fatturazione e pagamento

Piano di abbonamento sottoscritto (Personal o Business) ed edizione (Basic o Pro), importi, storico delle transazioni, date di rinnovo, stato ed esito dell'eventuale periodo di prova. I dati degli strumenti di pagamento (carte di credito/debito, IBAN, ecc.) sono raccolti ed elaborati esclusivamente dal processore di pagamento terzo (Stripe Payments Europe, Ltd. e le società del gruppo Stripe) e non sono memorizzati nei sistemi Alfercom: Alfercom non riceve né conserva i dati dello strumento di pagamento.

4.3 Dati del dispositivo e dati tecnici

Indirizzo IP (nei log tecnici dei servizi), versione dell'applicazione Booost installata, sistema operativo e sua versione, lingua dell'interfaccia dei Servizi Indipendenti rilevata dall'applicazione, identificativo di sessione, identificativo del dispositivo assegnato dall'applicazione.

4.4 Dati di utilizzo e diagnostica

L'applicazione trasmette ai server di Alfercom, nel corso del normale funzionamento, dati sul proprio stato e sul proprio utilizzo: stato di presenza (data dell'ultimo avvio, versione installata, esito dell'ultima verifica della sessione dell'Account Collegato); programmazione dei contenuti (elenco degli elementi programmati — post, flussi ricorrenti, commenti in attesa di revisione — con orario previsto e un breve estratto del testo); esiti aggregati delle Automazioni (conteggi di azioni riuscite, fallite o saltate per tipo di operazione, senza identificativi dei destinatari); eventi d'uso delle funzionalità. Alfercom può inoltre raccogliere dati diagnostici (errori, arresti anomali, log applicativi) per individuare e correggere difetti del software. Rientrano in questa categoria i dati sul funzionamento dell'applicazione rispetto ai Servizi Indipendenti: per ciascun gruppo di riferimenti tecnici usati per riconoscere gli elementi dell'interfaccia, il numero di rilevazioni riuscite e non riuscite e la data dell'ultima; il tipo degli eventi tecnici registrati dall'applicazione e il loro numero; l'attivazione delle procedure alternative previste in caso di modifica dei Servizi Indipendenti. Di tali dati sono trasmessi soltanto tipi e conteggi: mai il contenuto dei messaggi o dei post, mai i nomi, i profili o gli indirizzi delle persone contattate. Questa raccolta diagnostica è disattivabile dall'Utente nelle impostazioni dell'applicazione (Impostazioni → Dati e privacy); la disattivazione non incide sul funzionamento delle Automazioni.

I parametri di ricerca (facet) e i relativi identificativi restano sul dispositivo dell'Utente e non sono trasmessi (v. sezione 12).

4.5 Dati dell'Account Collegato

Identificativi dell'account dell'Utente sui Servizi Indipendenti (es. identificativo interno di sessione), stato della sessione attiva, parametri di configurazione antiban (es. orari operativi, limiti di azione).

4.6 Dati di Outreach (dati dei prospect — terzi interessati)

Nell'ambito dell'utilizzo delle funzionalità di automazione dell'outreach, Booost tratta dati personali di terzi (i prospect) per conto dell'Utente e, nella misura descritta nella sezione 6, anche come Titolare per finalità proprie. Tali dati includono:

• nominativi, ruoli/qualifiche professionali, aziende di appartenenza;
• URL e/o identificativi tecnici (URN e slug del profilo) sui Servizi Indipendenti;
• informazioni sulle posizioni lavorative passate e presenti (storico impiego) e sul percorso di istruzione, ove disponibili tramite profilo pubblico;
• località, dimensione aziendale, numero di follower;
• recapiti ulteriori (es. email professionale, numero di telefono), se arricchiti tramite funzionalità di enrichment o importati dall'Utente da fonti proprie;
• note in testo libero e campi personalizzati compilati dall'Utente o importati da un CRM/file esterno (v. avvertenza sotto);
• contenuto integrale dei messaggi inviati e/o ricevuti nell'ambito delle campagne di outreach e della casella di posta;
• stato della connessione (connesso / invito in attesa / non connesso);
• dati di engagement (es. like, commenti, repost su contenuti pubblici) e contenuto dei post pubblicati dal prospect salvati o analizzati;
• esito tecnico degli inviti di collegamento non riusciti, comprensivo dell'identificativo del destinatario e della risposta restituita dal Servizio Indipendente, conservato per finalità di sicurezza dell'account (v. § 5.2);
• etichette, punteggi e classificazioni generati automaticamente sul prospect (v. § 4.10 e § 15-bis).

⚠️ Campi liberi e campi personalizzati — avvertenza. Le note in testo libero e i campi personalizzati non hanno uno schema predefinito: il loro contenuto è determinato esclusivamente dall'Utente o dal sistema di origine da cui importa. Alfercom non è in grado di controllarne a priori la natura e non richiede né desidera che vi siano inserite categorie particolari di dati ex art. 9 GDPR (es. dati relativi alla salute, alle convinzioni religiose o filosofiche, all'orientamento sessuale, all'appartenenza sindacale). L'Utente si obbliga contrattualmente a non inserirvele (v. AUP e DPA); l'eventuale inserimento costituisce violazione delle condizioni d'uso e ricade sotto la responsabilità e la manleva dell'Utente.

Dati di Outreach — la posizione dei terzi interessati. I Dati di Outreach riguardano persone che non hanno rapporti diretti con Alfercom. La base giuridica del trattamento nei loro confronti è il legittimo interesse ex art. 6(1)(f) GDPR, sorretto da una valutazione di bilanciamento documentata e allegata al registro dei trattamenti. L'Utente è contrattualmente obbligato (v. DPA e Condizioni Generali) a disporre di una propria base giuridica verso queste persone e a informarle ai sensi dell'art. 14 GDPR. Cfr. sezioni 6 e 7.

4.7 Configurazioni delle campagne

Tipologie di campagna attivate, sequenze di messaggi, liste target, fonti di importazione dei contatti, argomenti/temi configurati, cluster di ricerca. Questi dati possono contenere dati personali di prospect (inclusi nei paragrafi 4.6) o informazioni riservate dell'Utente.

4.8 Dati LLM — Prompt e output (Contenuti AI)

Edizione Pro (Tier Gestito): i contenuti inviati per l'elaborazione (i dati del profilo pubblico del prospect elencati al § 13.2 e l'obiettivo della comunicazione; istruzioni di stile dell'Utente; testo da valutare o riscrivere) e gli output ricevuti (testi generati, classificazioni, punteggi). Questi contenuti transitano dai server di Alfercom, che li inoltrano al provider di inferenza: Alfercom è quindi parte della catena di trattamento. I contenuti non vengono conservati da Alfercom: dell'operazione resta soltanto una registrazione contabile priva di testo (v. § 13.2).

Edizione Basic (Tier BYOK): i medesimi contenuti transitano direttamente tra il dispositivo dell'Utente e il provider scelto dall'Utente, senza passare da Alfercom, che non li tratta e non vi ha accesso.

V. sezione 13.

4.9 Credenziali tecniche

Se memorizzate in Booost: chiave API fornita dall'Utente nel Tier BYOK, token di accesso ai servizi Booost, credenziali di sessione dell'Account Collegato. Tali dati sono conservati esclusivamente in locale, sul dispositivo dell'Utente, e non sono mai trasmessi né sincronizzati sui server Alfercom.

I cookie di sessione del Servizio Indipendente non risiedono nel database dell'applicazione: restano nell'archivio cookie del motore di rendering, in una partizione separata per ciascun account collegato, e non transitano mai né per il database di Booost né per la rete verso Alfercom.

Cifratura a riposo — limite tecnico da conoscere. Le credenziali sono cifrate tramite il servizio di archiviazione sicura del sistema operativo (DPAPI su Windows, Keychain su macOS, secret service su Linux). Su sistemi Linux privi di un archivio sicuro configurato, tale servizio non è disponibile e il valore viene salvato in chiaro nel database locale. Alfercom non è in grado di garantire la cifratura a riposo su configurazioni prive di questo componente. Si raccomanda agli Utenti Linux di verificare la presenza di un keyring di sistema attivo. In ogni caso il dato resta sul solo dispositivo dell'Utente, che ne è il custode.

4.10 Dati generati da Booost sui prospect (rete dei collegamenti e valutazioni automatiche)

Oltre ai dati osservati sui Servizi Indipendenti, Booost genera dati personali nuovi relativi ai prospect:

• Rete delle relazioni professionali. Booost ricostruisce e conserva l'elenco dei collegamenti diretti dell'Account Collegato e le relazioni fra questi (azienda, scuola, temi in comune). Questo archivio è sincronizzato sui server di Alfercom (v. § 12-bis).
• Etichette e segmentazioni generate automaticamente (es. qualificazione del ruolo decisionale, grado di interesse).
• Punteggi numerici e relative motivazioni testuali su rilevanza tematica, influenza e affinità con il profilo obiettivo dell'Utente.
• Classificazione automatica dei messaggi ricevuti dal prospect (categoria e tono).
• Indicatore di momento opportuno: un punteggio che, superata una soglia, segnala all'Utente che è il momento adatto per contattare quella persona.
• Contrassegno tecnico anti-abuso, che marca un profilo come possibile trappola automatica del Servizio Indipendente e ne esclude il contatto.

Il trattamento di questi dati è descritto alla sezione 15-bis (profilazione), la loro sincronizzazione alla sezione 12-bis (rete dei collegamenti).

Credenziali e sessione (architettura confermata, 2026-06-29). Le credenziali e i token di sessione dell'Account Collegato risiedono esclusivamente in locale sul dispositivo dell'Utente e non sono sincronizzati sui server Alfercom. La creazione dell'account sui servizi Booost avviene con email e password oppure tramite SSO LinkedIn (v. § 4.1): in quest'ultimo caso Alfercom riceve i soli dati di profilo restituiti dall'OAuth, non le credenziali LinkedIn dell'Utente.

5. Finalità del trattamento e basi giuridiche

5.1 Erogazione del servizio, gestione dell'account e fatturazione

Finalità: creazione e gestione dell'account Utente, attivazione e gestione dell'abbonamento, emissione di fatture, supporto tecnico, comunicazioni di servizio (aggiornamenti, notifiche operative).

Dati interessati: Dati di registrazione (4.1), Dati di fatturazione (4.2), Dati dispositivo/tecnici (4.3).

Basi giuridiche:

• Esecuzione del contratto con l'Utente (art. 6(1)(b) GDPR) per la gestione dell'account e dell'abbonamento.
• Adempimento di obblighi legali (art. 6(1)(c) GDPR), in particolare: obblighi fiscali e contabili (D.P.R. 633/1972, D.Lgs. 127/2015 e normativa fiscale italiana applicabile); obblighi di conservazione documentale.

Il conferimento dei dati necessari a queste finalità è indispensabile per la conclusione e l'esecuzione del contratto (v. sezione 8).

5.2 Sicurezza del servizio, prevenzione di abusi e funzionalità antiban

Finalità: garantire la sicurezza e la continuità dell'infrastruttura Booost, rilevare e prevenire accessi non autorizzati, frodi, abusi della piattaforma; implementare e gestire le funzionalità di protezione dell'Account Collegato (orari operativi, limiti di azione, circuit breaker) al fine di ridurre il rischio di limitazioni imposte dai Servizi Indipendenti.

Dati interessati: Dati di utilizzo e diagnostica (4.4), Dati dispositivo (4.3), Dati Account Collegato (4.5), Credenziali tecniche (4.9).

Base giuridica: Legittimo interesse di Alfercom (art. 6(1)(f) GDPR), individuato nella necessità di proteggere la sicurezza della propria infrastruttura, prevenire frodi e garantire la fruibilità del servizio. L'interesse è bilanciato con i diritti degli interessati, risultando prevalente in quanto il trattamento si limita a dati tecnici strettamente necessari e non incide in modo significativo sui diritti fondamentali degli Utenti. LIA documentata disponibile su richiesta.

5.3 Dati di utilizzo e diagnostica — erogazione, sicurezza e miglioramento del servizio

Finalità: erogare il servizio (ad esempio mostrare all'Utente, anche dal portale, lo stato e la programmazione delle proprie Automazioni); garantirne la sicurezza e la continuità; comprendere come le funzionalità vengono utilizzate; individuare e correggere errori; migliorare il software e sviluppare nuove funzionalità.

Dati interessati: Dati di utilizzo e diagnostica (4.4), Dati dispositivo/tecnici (4.3).

Basi giuridiche: esecuzione del contratto (art. 6(1)(b) GDPR) per i dati necessari al funzionamento del servizio; legittimo interesse di Alfercom (art. 6(1)(f) GDPR) per la sicurezza, la correzione degli errori e il miglioramento del prodotto. L'interesse è bilanciato con i diritti degli interessati: i dati sono tecnici, non contengono dati dei prospect e non sono utilizzati per profilare l'Utente. L'Utente può opporsi al trattamento fondato sul legittimo interesse ai sensi dell'art. 21 GDPR (v. sezione 14). La raccolta diagnostica descritta al §4.4 è disattivabile in ogni momento dalle impostazioni dell'applicazione (Impostazioni → Dati e privacy) e resta disattivata finché l'Utente non la riattiva; la trasmissione dei dati necessari al funzionamento del servizio non è invece disattivabile dalle impostazioni.

Conservazione: 24 mesi dalla raccolta (v. sezione 11).

Nota. Qualora Alfercom estendesse la raccolta a nuove categorie di dati diagnostici, la presente informativa sarà aggiornata prima dell'attivazione.

5.4 Misurazione del sito web

Per la misurazione delle visite sul sito web booost.network — attività distinta e disciplinata dall'informativa pubblicata sul sito stesso — si utilizza uno strumento senza cookie che non costruisce profili individuali. Nessuno strumento di analytics di terze parti è integrato nell'applicazione desktop.

5.5 Miglioramento del prodotto e sviluppo di nuove funzionalità

Finalità: analisi dei Dati Raccolti al fine di individuare opportunità di miglioramento delle funzionalità esistenti, sviluppo di nuove funzionalità, ottimizzazione degli algoritmi interni di Booost (es. logica antiban, raccomandazione di campagne), ricerca e sviluppo di nuove funzioni basate sui pattern di utilizzo.

Dati interessati: Dati Raccolti in senso ampio (sezione 4), con preferenza per l'utilizzo in forma anonimizzata o aggregata laddove possibile.

Base giuridica: Legittimo interesse di Alfercom (art. 6(1)(f) GDPR), bilanciato con i diritti degli interessati. Tale legittimo interesse comprende il miglioramento della qualità e della sicurezza del servizio commercializzato. LIA documentata.

Addestramento di modelli AI — posizione di Alfercom (decisa dal DPO, 2026-06-29). Alfercom non utilizza i Dati Raccolti per addestrare modelli di intelligenza artificiale propri (né in forma diretta né indiretta): le finalità di "miglioramento del prodotto" di cui alla presente sezione non comprendono l'addestramento di modelli AI proprietari. Qualora in futuro Alfercom intendesse introdurre tale finalità, essa richiederebbe consenso specifico, separato e granulare ex art. 6(1)(a) GDPR e, per i Dati di Outreach relativi a prospect, un'analisi dedicata sulla base giuridica verso i terzi. Allo stesso modo, Alfercom non cede né vende i Dati Raccolti a terzi per finalità proprie di questi ultimi; un'eventuale cessione richiederebbe consenso specifico. La clausola di no-training verso i provider LLM esterni (sezione 13) resta ferma.

5.6 Marketing dei servizi propri di Alfercom

Finalità: invio di comunicazioni commerciali relative a Booost e agli altri prodotti e servizi di Alfercom (es. aggiornamenti di piano, nuove funzionalità a pagamento, offerte, newsletter).

Dati interessati: Dati di registrazione (4.1), in particolare indirizzo email.

Base giuridica: Consenso dell'Utente (art. 6(1)(a) GDPR), espresso con l'iscrizione alla lista d'attesa o alla newsletter tramite l'apposito modulo, accanto al quale è indicata la finalità. Per i soli prodotti e servizi analoghi a quelli già acquistati dall'Utente, Alfercom può inviare comunicazioni all'indirizzo email fornito in occasione dell'acquisto ai sensi dell'art. 130, comma 4, D.Lgs. 196/2003, con facoltà di opposizione in ogni messaggio.

Il consenso al marketing è facoltativo e separato dal consenso all'erogazione del servizio; la sua mancata prestazione non comporta alcuna conseguenza sull'accesso a Booost.

5.7 Trattamento dei Dati di Outreach per finalità proprie di Alfercom (come Titolare autonomo)

Finalità: nella misura in cui Alfercom tratta i Dati di Outreach per finalità proprie (es. aggregazione di statistiche cross-account per il miglioramento del prodotto, analisi dei pattern di outreach ai fini dello sviluppo delle funzionalità, sicurezza e rilevamento di abusi), lo fa in qualità di Titolare autonomo.

Dati interessati: Dati di Outreach (4.6), Configurazioni campagne (4.7).

Base giuridica: Legittimo interesse di Alfercom (art. 6(1)(f) GDPR), documentato in una LIA specifica che bilancia l'interesse al miglioramento del prodotto con i diritti dei prospect. Il trattamento è limitato al minimo necessario, preferibilmente in forma aggregata o pseudonimizzata.

Il limite dell'autorizzazione dell'Utente — informazione dovuta ai terzi interessati. L'autorizzazione che l'Utente presta ad Alfercom vale nel rapporto fra Utente e Alfercom, ma non vincola i prospect, che non hanno sottoscritto alcunché con Alfercom. Per i Dati di Outreach trattati da Alfercom come Titolare per proprie finalità, Alfercom risponde direttamente verso queste persone degli obblighi del GDPR: informativa ex art. 14, riscontro ai diritti degli artt. 15–22, verifica della base giuridica. Le misure adottate a loro tutela sono la valutazione di bilanciamento documentata, la garanzia contrattuale dell'Utente sulla propria base giuridica, la procedura di cui al § 12.4 e la gestione delle richieste di opposizione e cancellazione ai recapiti del § 14.1.

5.8 Erogazione del Tier Gestito tramite provider LLM (sub-responsabilità)

Finalità: nell'edizione Pro, Alfercom riceve dal dispositivo dell'Utente i contenuti necessari all'elaborazione (dati del prospect, istruzioni, testo da generare o da valutare), vi antepone le proprie istruzioni di redazione, li inoltra al provider di inferenza sub-responsabile e restituisce il risultato all'Utente. Alfercom contabilizza inoltre il volume di elaborazione consumato, per l'applicazione dei limiti di piano e per la fatturazione.

Dati interessati: Dati LLM — prompt e output (4.8), contenenti i dati di prospect elencati al § 13.2, e i dati di contabilizzazione dell'uso (identificativo dell'Utente e dell'Account Collegato, modello impiegato, numero di unità elaborate, costo, data e ora).

Base giuridica: Esecuzione del contratto (art. 6(1)(b) GDPR) nella misura in cui la funzione LLM è parte integrante del servizio sottoscritto. Il provider LLM agisce esclusivamente come sub-responsabile ai sensi dell'art. 28(4) GDPR e dichiara di non utilizzare i contenuti per addestrare modelli. V. sezione 13.

6. Ruoli di Alfercom: Titolare e Responsabile del trattamento

6.1 Alfercom come Titolare autonomo

Per tutte le finalità descritte nelle sezioni 5.1–5.7, Alfercom agisce come Titolare autonomo del trattamento, determinando in modo indipendente finalità e mezzi del trattamento dei Dati Raccolti. In tale veste, Alfercom è direttamente responsabile del rispetto di tutti gli obblighi GDPR applicabili.

Non sussiste contitolarità. Alfercom e l'Utente non sono, in nessun caso, da considerarsi contitolari ai sensi dell'art. 26 GDPR rispetto ai trattamenti disciplinati dalla presente informativa. I rispettivi ruoli e responsabilità sono distinti e regolati separatamente: dalla presente informativa per quanto riguarda Alfercom, e dal Data Processing Agreement (DPA) per quanto riguarda i flussi in cui Alfercom agisce come Responsabile ai sensi dell'art. 28 GDPR.

6.2 Alfercom come Responsabile del trattamento (DPA)

Per i flussi di trattamento svolti esclusivamente per conto dell'Utente (es. invio dei messaggi che l'Utente compone e indirizza, nella misura in cui il Titolare del trattamento di quei dati è l'Utente), Alfercom agisce come Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di un apposito Data Processing Agreement (DPA), che costituisce l'Allegato A delle Condizioni Generali e si intende concluso con la loro accettazione per i flussi cui si applica.

In tale veste, Alfercom:

• agisce esclusivamente su istruzione documentata dell'Utente-Titolare;
• non utilizza i dati trattati per conto dell'Utente per proprie finalità autonome, fatte salve le finalità espressamente disciplinate dalla presente informativa nella sua veste di Titolare;
• garantisce le misure di sicurezza appropriate ai sensi dell'art. 32 GDPR;
• notifica all'Utente ogni violazione dei dati personali senza ingiustificato ritardo dopo esserne venuta a conoscenza (art. 33(2) GDPR), per consentire all'Utente di assolvere il proprio obbligo di notifica all'autorità di controllo entro 72 ore;
• assiste l'Utente nell'esercizio dei diritti degli interessati;
• cancella o restituisce i dati al termine del rapporto contrattuale, secondo le scelte dell'Utente.

Il testo completo del DPA è disponibile su richiesta all'indirizzo https://booost.network/it/contact/?reason=dpa.

7. Licenza/autorizzazione dell'Utente e garanzie sui Dati di Outreach

7.1 Licenza/autorizzazione dell'Utente

Mediante l'accettazione delle Condizioni Generali di Contratto (ToS) e della presente informativa, l'Utente concede ad Alfercom una licenza/autorizzazione ampia, non esclusiva, mondiale e per la durata del rapporto contrattuale (più la coda di conservazione prevista dalla sezione 11) a trattare i Dati Raccolti — ivi compresi i Dati di Outreach — per le finalità indicate nella presente informativa.

L'Utente dichiara e garantisce che:

• ha titolo legittimo per raccogliere e mettere a disposizione di Alfercom i Dati di Outreach;
• ha fornito ai prospect un'informativa ai sensi dell'art. 14 GDPR o dispone di altra legittima base per ometterla;
• i Dati di Outreach riguardano esclusivamente persone fisiche che agiscono in un contesto professionale (prospect B2B), e non consumatori o soggetti vulnerabili;
• rispetta le prescrizioni dell'Acceptable Use Policy di Booost.

7.2 Garanzia e manleva dell'Utente

L'Utente si impegna a tenere indenne e manlevare Alfercom da qualsiasi pretesa, azione, sanzione, danno, costo (incluse le spese legali) derivante da:

• una violazione da parte dell'Utente degli obblighi GDPR verso i prospect (es. mancanza di base giuridica, omessa informativa art. 14, mancata gestione di richieste di diritti);
• l'uso da parte dell'Utente di Booost in violazione delle condizioni contrattuali o dell'Acceptable Use Policy;
• dati forniti dall'Utente che risultino inesatti, incompleti o acquisiti in violazione di legge.

Limite della manleva verso i consumatori. La manleva di cui alla sezione 7.2 opera nei rapporti fra professionisti. Nei confronti degli Utenti che agiscono come consumatori, essa non si applica nella misura in cui risulti vessatoria ai sensi degli artt. 33–38 del Codice del Consumo (D.Lgs. 206/2005); restano ferme in ogni caso le tutele inderogabili previste dall'Allegato B2C delle Condizioni Generali.

8. Conferimento dei dati e conseguenze del rifiuto

Il conferimento dei dati personali indicati nella sezione 4 può essere obbligatorio o facoltativo a seconda della finalità:

9. Destinatari e sub-responsabili del trattamento

I Dati Raccolti possono essere comunicati alle seguenti categorie di destinatari:

9.1 Personale Alfercom autorizzato

I dati sono accessibili, nei limiti strettamente necessari per ciascun ruolo, al personale di Alfercom (sviluppatori, team di supporto, team amministrativo/finanziario) che ha sottoscritto impegni di riservatezza.

9.2 Sub-responsabili del trattamento (fornitori esterni)

Alfercom si avvale di fornitori terzi che trattano dati personali per conto di Alfercom in qualità di Responsabili/sub-responsabili ex art. 28 GDPR. L'elenco completo e aggiornato è disponibile su richiesta tramite il modulo di cui al § 14.1, e per i Clienti che hanno sottoscritto il DPA secondo le modalità ivi previste. Le categorie principali sono:

a) Hosting e infrastruttura dei servizi Booost Hetzner Online GmbH — sede: Germania (UE); server situati nell'Unione Europea. Servizi: server dei sistemi di autenticazione, fatturazione ed eventi, e relative banche dati (incluso l'archivio della rete dei collegamenti di cui alla sezione 12-bis). Trattandosi di trattamento interamente all'interno dell'UE, non si configura alcun trasferimento verso Paesi terzi.

b) Infrastruttura del sito web, protezione anti-bot e rete di distribuzione Cloudflare, Inc. — sede: USA, con erogazione tramite rete distribuita. Servizi: hosting del sito booost.network, archiviazione delle iscrizioni alla lista d'attesa e dei messaggi del modulo di contatto, verifica anti-bot dei moduli, esecuzione del modello linguistico della chat pubblica del sito, misurazione delle visite senza cookie. Garanzie di trasferimento: SCC 2021 (Modulo 2). Riguarda i visitatori del sito, non i dati trattati dentro l'applicazione desktop.

c) Processore di pagamenti Stripe, Inc. (e le società del gruppo per l'area europea) — sede: USA. Riceve indirizzo email e identificativo cliente; i dati degli strumenti di pagamento sono raccolti e conservati direttamente da Stripe, che per essi agisce come Titolare autonomo, e non transitano né sono conservati nei sistemi di Alfercom. Garanzie di trasferimento: SCC 2021 (Modulo 2) e valutazione d'impatto sul trasferimento. Nessun dato di prospect è comunicato a Stripe.

d) Servizio di invio email transazionali sending.dev — utilizzato per l'email di benvenuto alla lista d'attesa del sito e per l'inoltro dei messaggi scritti dal modulo di contatto. Riceve l'indirizzo email del destinatario e il contenuto del messaggio. Garanzie di trasferimento: SCC 2021 ove il recapito avvenga fuori dallo Spazio Economico Europeo. Nessun dato di prospect è comunicato a questo fornitore.

e) Provider di inferenza dei modelli linguistici (solo edizione Pro) Scaleway S.A.S. — sede: Francia (UE); infrastruttura e servizio di inferenza situati nell'Unione Europea. Riceve i contenuti trasmessi nell'ambito di Booost AI, descritti alla sezione 13.2, e agisce quale sub-responsabile del trattamento ex art. 28(4) GDPR. Nelle proprie condizioni del servizio di inferenza il fornitore dichiara di non raccogliere, leggere né riutilizzare i contenuti delle richieste e delle risposte, di non utilizzarli per addestrare o migliorare modelli e di trattarli nella regione di Parigi.

Trattandosi di trattamento interamente all'interno dell'Unione Europea, non si configura alcun trasferimento verso Paesi terzi per questo flusso, e non sono pertanto necessarie Clausole Contrattuali Standard né una valutazione d'impatto sui trasferimenti.

f) Provider LLM scelti dall'Utente (Tier BYOK) Nel Tier BYOK il provider è scelto e contrattualizzato dall'Utente, non da Alfercom, e i contenuti viaggiano direttamente dal dispositivo dell'Utente al provider senza transitare da Alfercom. Alfercom non è parte di tale comunicazione e non ne è né Titolare né Responsabile. Le implicazioni per i dati dei prospect sono descritte alla sezione 13.1.

Nessuno strumento di analytics o di monitoraggio di terze parti è integrato nell'applicazione desktop: i dati di utilizzo e diagnostica di cui al § 4.4 sono trasmessi esclusivamente ai server di Alfercom (v. § 5.3).

9.3 Autorità pubbliche e forze dell'ordine

Alfercom può comunicare dati personali ad autorità pubbliche, forze dell'ordine o giudiziarie nei casi previsti dalla legge, su richiesta motivata e nelle forme prescritte.

9.4 Soggetti coinvolti in operazioni straordinarie

In caso di fusione, acquisizione, cessione di ramo d'azienda o ristrutturazione societaria, i Dati Raccolti possono essere trasferiti al soggetto subentrante, il quale sarà vincolato dalla presente informativa o da una informativa equivalente comunicata agli interessati con congruo preavviso.

10. Trasferimenti di dati verso Paesi terzi

Alcuni destinatari indicati nella sezione 9 sono stabiliti al di fuori dell'Unione Europea (UE) o dello Spazio Economico Europeo (SEE). Qualsiasi trasferimento di dati personali verso Paesi terzi è effettuato nel rispetto del Capo V del GDPR.

10.1 Meccanismi di garanzia adottati

Clausole Contrattuali Standard 2021 (SCC) — Modulo 2 (Titolare → Responsabile) o Modulo 3 (Responsabile → sub-responsabile): adottate in conformità alla Decisione della Commissione UE 2021/914. Alfercom non utilizza le SCC 2010, ormai superate.

Transfer Impact Assessment (TIA): per ogni trasferimento verso Paesi privi di decisione di adeguatezza UE (in particolare USA), Alfercom ha condotto o condurrà un TIA documentato che valuta: (i) il quadro giuridico del Paese di destinazione; (ii) la probabilità di accesso da parte di autorità pubbliche ai dati trasferiti; (iii) le misure supplementari eventualmente necessarie (es. crittografia end-to-end, pseudonimizzazione).

Alfercom non fa affidamento esclusivo sul Data Privacy Framework UE-USA (DPF), considerata la sua potenziale fragilità in prospettiva ("Schrems III"). Le SCC costituiscono il meccanismo primario di garanzia per i trasferimenti verso USA.

10.2 Provider LLM e minimizzazione dei dati

Per il Tier Gestito, i dati inviati al provider LLM sono minimizzati rispetto alla funzione richiesta: per la generazione di testi e l'analisi del profilo vengono trasmessi i dati del profilo pubblico elencati al § 13.2 e l'obiettivo della comunicazione, non lo storico delle conversazioni. Fa eccezione la classificazione dei messaggi in arrivo, che per sua natura riceve il testo integrale del singolo messaggio da valutare (v. § 13.2).

Alfercom non si avvale di provider LLM con sede in Paesi che presentano rischi specifici di accesso governativo ai dati personali di cittadini UE quando esistono alternative adeguate. Il provider selezionato per il Tier Gestito è Scaleway (Francia), con infrastruttura e servizio di inferenza interamente situati nell'Unione Europea: per questo flusso non si verifica alcun trasferimento verso Paesi terzi, e la questione delle garanzie ex Capo V non si pone.

La scelta è deliberata anche rispetto a un'alternativa diffusa: le regioni europee dei grandi fornitori statunitensi non offrono la stessa garanzia, poiché la società capogruppo resta soggetta alla legislazione del proprio Paese in materia di accesso ai dati. Un fornitore europeo con infrastruttura propria evita il problema alla radice anziché mitigarlo contrattualmente.

11. Periodi di conservazione

I dati personali sono conservati per il tempo strettamente necessario alle finalità per cui sono stati raccolti, nel rispetto degli obblighi di legge e dei periodi indicati nella seguente tabella. Trascorso il periodo applicabile, i dati sono cancellati in modo sicuro o resi irrimediabilmente anonimi.

Cancellazione anticipata su richiesta. I termini sopra indicati sono termini massimi. L'Utente può cancellare in qualsiasi momento, dall'applicazione, un singolo contatto, l'intero account collegato o tutti i dati dell'applicazione; i dati già sincronizzati sui server di Alfercom sono cancellati su richiesta dell'Utente tramite il modulo di cui al § 14.1. Un prospect che eserciti i diritti di cui alla sezione 14 ottiene la cancellazione indipendentemente dal decorso dei termini, salvo che sussista un obbligo di conservazione di legge.

12. Parametri di ricerca (Facet-sync)

12.1 Cosa raccoglie la Facet-sync

La funzionalità Facet-sync registra i parametri di ricerca impostati dall'Utente nelle funzionalità di ricerca di Booost (es. criteri di settore, area geografica, titolo lavorativo, dimensioni azienda) e i corrispondenti identificativi tecnici (URN) restituiti dai Servizi Indipendenti. Gli identificativi riferiti a persone fisiche costituiscono dati personali.

Stato attuale: questi dati restano sul dispositivo dell'Utente. La sincronizzazione dei parametri di ricerca verso i server di Alfercom non è ad oggi attiva: la funzione opera in sola modalità locale. La presente sezione descrive quindi un trattamento locale; qualora la sincronizzazione venisse attivata, questa informativa sarà aggiornata prima dell'attivazione.

Ciò non riguarda la rete dei collegamenti, che è invece effettivamente sincronizzata sui server di Alfercom ed è descritta alla sezione 12-bis.

12.2 Finalità della Facet-sync

• Riproporre all'Utente i criteri di ricerca già impostati, senza doverli ricostruire.
• Migliorare la qualità e la coerenza dei risultati di ricerca.

Finché la funzione opera in sola modalità locale, tali finalità sono perseguite sul dispositivo dell'Utente.

12.3 Base giuridica

Esecuzione del contratto (art. 6(1)(b) GDPR) per il funzionamento della ricerca; legittimo interesse di Alfercom (art. 6(1)(f) GDPR) per la sicurezza e la prevenzione degli abusi.

12.4 Opposizione e interruzione della sincronizzazione

Alfercom dà seguito alle opposizioni degli interessati ai sensi dell'art. 21 GDPR interrompendo, per l'Account Collegato interessato, la sincronizzazione dei dati cui l'opposizione si riferisce e cancellando dai propri archivi i dati della persona che si è opposta, secondo la procedura di cui alla sezione 14. Alfercom può inoltre sospendere, in via preventiva, la sincronizzazione per singoli Account Collegati per ragioni di conformità o di sicurezza (art. 10 delle Condizioni Generali).

Nota sulla disattivazione da parte dell'Utente. Alfercom non offre all'Utente un comando applicativo per disattivare la sincronizzazione descritta alla sezione 12-bis: essa costituisce parte integrante del servizio. L'Utente che non intenda conferire tali dati può astenersi dall'utilizzare le funzioni di mappatura della rete di contatti, oppure richiedere ad Alfercom la sospensione della sincronizzazione per il proprio account.

12-bis. Rete dei collegamenti sincronizzata sui server Alfercom

Questa sezione descrive il trattamento che comporta la maggiore incidenza sui diritti di terzi. Va letta con attenzione.

12-bis.1 Cosa viene trasmesso

Periodicamente (di norma ogni dodici ore) Booost trasmette ai server di Alfercom un aggiornamento incrementale della rete di contatti dell'Account Collegato, comprendente per ciascun contatto:

• nome e identificativo del profilo;
• qualifica professionale, azienda, ruolo attuale, località;
• storico delle esperienze lavorative e dell'istruzione;
• data del collegamento ed etichette attribuite dall'Utente.

La trasmissione riguarda i collegamenti diretti (di primo grado) dell'Account Collegato. I dati sono conservati su infrastruttura situata in Germania (Unione Europea), in un archivio incrementale che associa ciascun contatto all'Account Collegato da cui proviene.

12-bis.2 Finalità

Ricostruzione della rete professionale dell'Utente e individuazione dei percorsi di presentazione fra l'Utente e un potenziale interlocutore (cd. warm intro), funzione centrale del servizio; sicurezza e prevenzione degli abusi.

12-bis.3 Base giuridica e posizione degli interessati

Legittimo interesse di Alfercom e dell'Utente (art. 6(1)(f) GDPR), in un contesto esclusivamente professionale e su dati che le persone interessate hanno reso visibili nella propria rete professionale.

Le persone incluse nell'archivio sono collegamenti diretti dell'Utente: hanno reso visibili i propri dati professionali nella propria rete e hanno un rapporto con l'Utente, non con Alfercom. Per questo trattamento Alfercom ha documentato la valutazione del legittimo interesse e la valutazione d'impatto ex art. 35 GDPR, tenute a disposizione dell'Autorità di controllo, e dà seguito alle opposizioni secondo il § 12.4.

12-bis.4 Diritti delle persone incluse nell'archivio

Le persone incluse nell'archivio hanno pieno accesso ai diritti della sezione 14, compreso il diritto di opporsi al trattamento e di ottenere la cancellazione dei propri dati dall'archivio. Le richieste si inviano con il modulo di cui al § 14.1, che non richiede alcuna registrazione.

13. Funzioni di intelligenza artificiale — edizione Basic (chiave propria) ed edizione Pro (Booost AI)

13.1 Edizione Basic — chiave propria (Tier BYOK)

Nell'edizione Basic — e, se l'Utente lo preferisce, anche nell'edizione Pro — l'Utente configura la propria chiave API presso un provider di sua scelta fra quelli supportati dall'applicazione. In questo caso:

• Alfercom non è parte della catena di comunicazione tra il dispositivo dell'Utente e il provider LLM scelto;
• Alfercom non tratta i prompt inviati né gli output ricevuti dall'Utente;
• il rapporto contrattuale e la responsabilità del trattamento dei dati verso il provider LLM sono esclusivamente tra l'Utente e il provider LLM (inclusi i rispettivi termini di servizio e privacy policy);
• la chiave API è memorizzata sul dispositivo dell'Utente in forma cifrata; Alfercom non ha accesso alla chiave API in chiaro.

L'Utente è responsabile della conformità GDPR del proprio uso del provider LLM. Alfercom consiglia all'Utente di verificare le condizioni del proprio provider LLM in materia di addestramento di modelli sui dati degli Utenti.

⚠️ Attenzione — nel Tier BYOK escono dati di terzi, non solo dati dell'Utente. Configurando una propria chiave, l'Utente abilita l'invio al provider da lui scelto di dati personali di prospect. In particolare:

- per l'analisi del profilo e le funzioni di affinità: nome, qualifica, ruolo e azienda attuali, località, etichette attribuite dall'Utente, storico delle esperienze e della formazione, numero di follower, biografia e testo dei post pubblici recenti del prospect con i relativi dati di interazione; - per la classificazione dei messaggi in arrivo (categoria e tono): il testo integrale del messaggio ricevuto dal terzo, non un estratto.

Rispetto a questi dati il Titolare del trattamento è l'Utente, che sceglie il provider, ne accetta le condizioni e ne sopporta le conseguenze, comprese quelle relative a eventuali trasferimenti extra-UE e alle politiche di addestramento del provider. Alfercom non è parte della comunicazione e non vi ha accesso. L'Utente è tenuto a selezionare un provider compatibile con i propri obblighi verso i prospect e a informarli ai sensi dell'art. 14 GDPR.

L'Utente che non desideri trasmettere alcun dato a provider esterni può non configurare alcuna chiave — le funzioni AI restano semplicemente inattive — oppure utilizzare un modello eseguito localmente sul proprio dispositivo, opzione supportata da Booost, nel qual caso nessun dato lascia la macchina.

Nota AI Act (art. 50): nel Tier BYOK, il deployer del sistema di AI generativa è l'Utente. Le relative responsabilità ai sensi dell'art. 50 del Regolamento UE 2024/1689 (AI Act, applicabile dal 2 agosto 2026) ricadono sull'Utente. Alfercom informa gli Utenti che i Contenuti AI prodotti tramite sistemi generativi possono essere rilevati come tali da strumenti di rilevazione automatica o dai destinatari, e che il rischio reputazionale o contrattuale conseguente è a carico dell'Utente.

13.2 Edizione Pro — Booost AI (Tier Gestito)

Nell'edizione Pro l'accesso ai modelli linguistici è compreso nel servizio: l'Utente non deve procurarsi né configurare alcuna chiave.

Come circolano i dati. L'applicazione desktop invia la richiesta ai server di Alfercom (api.booost.network, infrastruttura situata in Germania — Unione Europea). Il servizio di Alfercom verifica l'abbonamento e i limiti di consumo, antepone al contenuto le proprie istruzioni di redazione e inoltra il tutto al provider di inferenza, restituendo poi la risposta all'applicazione.

Provider di inferenza: Scaleway S.A.S. (Francia), con infrastruttura e servizio di inferenza situati nell'Unione Europea. I contenuti non transitano da provider extra-UE.

Che cosa Alfercom conserva di questo flusso. Il servizio di Alfercom non registra né archivia il contenuto delle richieste e delle risposte: i testi attraversano il servizio e non vengono scritti in alcun archivio. Viene conservata unicamente una registrazione contabile dell'operazione, composta da identificativo dell'Utente e dell'Account Collegato, modello impiegato, tipo di funzione richiesta, numero di unità elaborate, costo corrispondente e data e ora. Tale registrazione non contiene testo né dati dei prospect e serve ad applicare i limiti di piano, a fatturare e a rilevare gli abusi.

Rapporto con il provider di inferenza: il provider agisce come sub-responsabile del trattamento ai sensi dell'art. 28(4) GDPR, alle condizioni del proprio servizio di inferenza, che prevedono: nessuna raccolta, lettura o riutilizzo dei contenuti delle richieste e delle risposte; nessun utilizzo dei contenuti per addestrare o migliorare modelli; trattamento nella regione di Parigi, senza trasferimento extra-UE; misure di sicurezza ai sensi dell'art. 32 GDPR.

Minimizzazione: Alfercom invia al provider solo i dati necessari alla funzione richiesta (principio di minimizzazione ex art. 5(1)(c) GDPR). Il contenuto varia secondo la funzione:

• generazione di testi e analisi del profilo: nome, qualifica, ruolo e azienda attuali, località, etichette attribuite dall'Utente, storico delle esperienze e della formazione, numero di follower, biografia, testo dei post pubblici recenti con i relativi dati di interazione, e l'obiettivo della comunicazione — non lo storico delle conversazioni con il prospect;
• classificazione dei messaggi in arrivo (categoria e tono): il testo integrale del singolo messaggio ricevuto, poiché la funzione consiste precisamente nel valutarne il contenuto. In tal caso la minimizzazione opera sul perimetro (viene inviato il solo messaggio da classificare, non la conversazione né altri dati del prospect), non sulla riduzione del testo.

Questa distinzione è dichiarata espressamente perché una formula generica del tipo "non vengono mai trasmessi messaggi" non corrisponderebbe al vero per le funzioni di classificazione.

13.3 Controllo automatico della qualità dei testi

L'edizione Pro comprende funzioni che valutano un testo prima della pubblicazione o dell'invio — ad esempio per segnalare formule retoriche inadeguate al contesto professionale. Per queste funzioni l'applicazione trasmette ai server di Alfercom il solo testo da valutare e la lingua, e riceve in risposta un punteggio con l'elenco dei rilievi.

Il testo è valutato al momento della richiesta e non viene conservato: nessun archivio ne trattiene copia. La valutazione è svolta in due livelli: regole deterministiche eseguite sui server di Alfercom e, in aggiunta, una valutazione affidata a un modello linguistico del provider di inferenza di cui al § 13.2, al quale il testo è trasmesso con le stesse garanzie (nessuna conservazione, nessun addestramento). Il testo può contenere dati personali se l'Utente ve li ha inseriti; per i messaggi diretti a un prospect valgono le indicazioni sulla minimizzazione del § 13.2.

Le istruzioni di redazione e le regole di controllo risiedono sui server di Alfercom e costituiscono know-how proprietario: è la ragione per cui, nell'edizione Pro, l'elaborazione passa dai server di Alfercom anziché avvenire interamente sul dispositivo.

AI Act (art. 50): nel Tier Gestito, Alfercom è deployer del sistema di AI generativa. Alfercom si impegna a valutare l'adozione di meccanismi di marcatura machine-readable dei Contenuti AI (watermarking, es. C2PA) non appena tecnicamente disponibili e supportati dal provider LLM, in conformità all'art. 50(2) dell'AI Act. Alfercom non sopprime eventuali watermark già apposti dal provider.

14. Diritti degli interessati

Ai sensi degli artt. 15–22 GDPR, gli interessati (Utenti e, ove applicabile, i prospect terzi) hanno i seguenti diritti nei confronti di Alfercom:

Art. 15 — Diritto di accesso: ottenere conferma che Alfercom tratti dati personali che li riguardano e, in caso affermativo, riceverne una copia.

Art. 16 — Diritto di rettifica: ottenere la correzione di dati inesatti o il completamento di dati incompleti.

Art. 17 — Diritto alla cancellazione ("diritto all'oblio"): ottenere la cancellazione dei propri dati, nei casi previsti dalla norma (es. dati non più necessari, revoca del consenso, opposizione al trattamento, trattamento illecito), salvo obblighi di conservazione legale prevalenti.

Art. 18 — Diritto di limitazione del trattamento: ottenere che il trattamento sia limitato in determinati casi (es. periodo di verifica dell'esattezza dei dati contestati).

Art. 19 — Diritto di notifica: Alfercom comunica ai destinatari dei dati le rettifiche, cancellazioni o limitazioni effettuate, salvo che ciò sia impossibile o implichi uno sforzo sproporzionato.

Art. 20 — Diritto alla portabilità: ricevere i dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e trasmetterli a un altro titolare, nei casi in cui il trattamento sia basato su consenso o contratto ed effettuato con mezzi automatizzati.

Art. 21 — Diritto di opposizione: opporsi, in qualsiasi momento, al trattamento dei propri dati basato sul legittimo interesse di Alfercom (art. 6(1)(f)), compresi i trattamenti a fini di marketing diretto. In caso di opposizione al marketing, Alfercom cessa immediatamente il trattamento a tale scopo.

Art. 22 — Diritto di non essere sottoposti a decisioni automatizzate: non essere sottoposti a decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici significativi, nei casi previsti dalla norma. Per la profilazione effettuata da Booost sui prospect si veda la sezione 15-bis.

Attuazione tecnica dei diritti di cancellazione e opposizione. Booost consente la cancellazione di una singola persona e di tutti i dati che la riguardano (messaggi scambiati, valutazioni automatiche, presenza nella rete dei collegamenti, indici di ricerca), oltre alla cancellazione integrale di un account collegato o dell'intera base dati locale. Su richiesta, Alfercom cancella i dati della stessa persona dagli archivi sincronizzati sui propri server. Ciò consente di onorare la richiesta di un singolo interessato senza incidere sugli altri.

14.1 Come esercitare i diritti

Le richieste di esercizio dei diritti possono essere inviate:

• Tramite il modulo di contatto: https://booost.network/it/contact/?reason=dpa, scegliendo l'oggetto Protezione dei dati. Non serve un account, e la richiesta arriva alla persona che si occupa di protezione dei dati.
• Via posta: Alfercom S.r.l., Via Altinate 125, 35121 Padova (PD), all'attenzione del Responsabile Privacy

Alfercom risponde entro 30 giorni dalla ricezione della richiesta. Tale termine può essere prorogato di ulteriori 60 giorni in casi di particolare complessità, previa comunicazione motivata all'interessato entro il primo termine.

Il servizio è gratuito, salvo richieste manifestamente infondate, eccessive o ripetitive, per le quali Alfercom si riserva di addebitare un contributo spese ragionevole o di rifiutare di ottemperarvi, motivando il rifiuto.

Per la verifica dell'identità del richiedente, Alfercom può chiedere la produzione di un documento di identità; tale richiesta sarà proporzionata alla sensibilità dei dati interessati.

Prospect (terzi interessati): i prospect che desiderino esercitare i propri diritti nei confronti di Alfercom (inclusi il diritto di opposizione al trattamento dei propri dati come Titolare per finalità proprie, e il diritto alla cancellazione) possono inviare richiesta ai recapiti sopra indicati. Alfercom gestisce tali richieste coordinandosi con l'Utente-Titolare ove i dati ricadano nell'ambito del DPA.

15. Tutela dei minori

Booost è un servizio destinato esclusivamente a persone fisiche che abbiano compiuto 18 anni (o la maggiore età applicabile nel Paese di residenza dell'Utente, se superiore). Non è destinato a minori di 16 anni ai sensi dell'art. 8 GDPR.

Alfercom non raccoglie consapevolmente dati personali di minori. Qualora Alfercom venisse a conoscenza di aver trattato dati di un minore senza il consenso del titolare della responsabilità genitoriale, provvederà alla cancellazione di tali dati nel più breve tempo possibile. Chi dovesse scoprire o sospettare che un minore abbia creato un account Booost è pregato di segnalarlo con il modulo di cui al § 14.1.

15-bis. Profilazione dei prospect e processo decisionale automatizzato

15-bis.1 In che cosa consiste

Booost analizza automaticamente i dati dei prospect e ne produce valutazioni sintetiche, che costituiscono profilazione ai sensi dell'art. 4(4) GDPR. In particolare:

15-bis.2 Perché

Aiutare l'Utente a stabilire con chi parlare, quando e in che termini, riducendo i contatti irrilevanti — nell'interesse anche dei destinatari, che ricevono meno comunicazioni non pertinenti.

15-bis.3 Base giuridica

Legittimo interesse (art. 6(1)(f) GDPR), nell'ambito della medesima valutazione di bilanciamento dei Dati di Outreach. Le valutazioni sono conservate per il tempo del dato cui si riferiscono e cancellate insieme ad esso.

15-bis.4 Automazione delle campagne e rapporto con l'art. 22 GDPR

Questa sezione descrive con precisione quanto è automatico il contatto verso un prospect, perché è il punto su cui l'Utente e l'interessato hanno diritto a un'informazione esatta.

Le campagne si eseguono automaticamente. Una volta che l'Utente ha costruito un flusso e lo ha avviato — o ne ha programmato l'esecuzione ricorrente — Booost percorre l'intera lista di destinatari ed esegue le azioni verso le persone (visita, richiesta di collegamento, messaggio, reazione) senza chiedere una conferma per ciascun destinatario. Non esiste una coda di approvazione per le azioni di outreach. I flussi programmati possono partire senza alcuna interazione dell'Utente in quel momento.

Alcune diramazioni si basano su valutazioni prodotte da un modello. Un flusso può ramificare sulla categoria attribuita automaticamente a un messaggio ricevuto o su etichette generate automaticamente, e la diramazione può condurre direttamente a un'azione verso la persona. In tali casi fra la valutazione automatica e l'azione non si interpone alcun intervento umano.

Il testo può essere generato al momento dell'invio. Se l'Utente attiva la personalizzazione automatica, il testo del messaggio è prodotto per quel singolo destinatario nell'istante dell'invio, quindi non è letto da nessuno prima di partire.

Cosa resta invece all'Utente. L'Utente decide e configura consapevolmente: quali persone entrano nel flusso o con quali criteri sono cercate; quali azioni il flusso compie; le regole di diramazione; il testo o le istruzioni di stile; se e quando avviare o programmare il flusso. Le decisioni sono quindi umane a livello di regola, non a livello di singolo destinatario.

Valutazione ex art. 22(1) GDPR. La norma richiede due presupposti cumulativi: che la decisione sia basata unicamente su un trattamento automatizzato e che produca effetti giuridici sull'interessato o incida in modo analogamente significativo sulla sua persona.

• Il primo presupposto può ricorrere nei percorsi sopra descritti, dove una valutazione automatica determina l'invio senza intervento umano sul singolo caso.
• Il secondo presupposto non ricorre nella generalità dei casi: ricevere — o non ricevere — un messaggio professionale su una rete professionale non produce effetti giuridici né incide significativamente sulla persona nel senso richiesto dalla norma, secondo l'interpretazione consolidata (Linee guida WP251 rev.01 sul processo decisionale automatizzato, adottate dal Gruppo Art. 29 e fatte proprie dall'EDPB).

Alfercom ritiene pertanto che l'art. 22(1) non trovi applicazione, non perché vi sia un intervento umano sul singolo contatto — non c'è — ma perché manca l'incidenza significativa richiesta dalla norma.

Resta fermo, in ogni caso, che:

• la profilazione in quanto tale è soggetta al GDPR anche fuori dall'art. 22: trasparenza (artt. 13-14), accesso (art. 15) e opposizione (art. 21);
• la profilazione su larga scala di soggetti che non hanno rapporti con il Titolare rende necessaria una valutazione d'impatto ex art. 35 (v. sezione 12-bis);
• un prospect può opporsi alla profilazione e ottenere la cancellazione delle valutazioni che lo riguardano tramite il modulo di cui al § 14.1.

16. Modifiche alla presente informativa

Alfercom si riserva il diritto di aggiornare la presente informativa in qualsiasi momento, per adeguarla a modifiche normative, a nuovi trattamenti, o ad aggiornamenti del servizio.

Per le modifiche sostanziali (nuovi tipi di dati trattati, nuove finalità, nuovi destinatari, variazioni delle basi giuridiche, variazioni dei periodi di conservazione), Alfercom:

• ne darà notizia agli Utenti prima che le modifiche abbiano effetto, via email all'indirizzo registrato o tramite notifica nell'applicazione;
• indicherà in modo chiaro quali sezioni sono state modificate e la data di efficacia.

Le modifiche non comportano accettazione tacita per silenzio: ove richiesto dalla legge o dalla natura della modifica, Alfercom chiederà un nuovo consenso esplicito. Se l'Utente non accetta le modifiche sostanziali, potrà recedere dal contratto secondo le modalità previste nelle Condizioni Generali.

Per le modifiche non sostanziali (correzioni redazionali, aggiornamento di riferimenti normativi, aggiornamento di dati di contatto), la notifica potrà avvenire con preavviso ridotto.

La versione vigente della presente informativa è sempre disponibile all'indirizzo https://booost.network/it/legal/app-privacy. Le versioni precedenti sono archiviate e disponibili su richiesta.

17. Reclamo all'Autorità di controllo

Fermo restando ogni altro rimedio amministrativo o giurisdizionale, l'Utente (e qualsiasi interessato) ha il diritto di proporre reclamo all'Autorità di controllo competente ai sensi dell'art. 77 GDPR.

Per gli interessati residenti in Italia, l'autorità di controllo è:

Garante per la protezione dei dati personali Piazza Venezia 11, 00187 Roma Telefono: +39 06.696771 Email: garante@gpdp.it PEC: protocollo@pec.gpdp.it Sito web: www.garanteprivacy.it

Gli interessati residenti in altri Stati membri dell'UE possono rivolgersi all'autorità di controllo del proprio Paese di residenza abituale.

Appendice — Clausola di lingua

La presente informativa è redatta in italiano, che costituisce la versione autoritativa per i consumatori residenti in Italia ai sensi dell'art. 49 del Codice del Consumo (D.Lgs. 206/2005). Anche nei rapporti con i clienti B2B, in caso di discrepanza tra la versione italiana e una eventuale traduzione, prevale la versione italiana, in coerenza con l'art. 17.5 delle Condizioni Generali di Servizio. Le traduzioni sono fornite a solo scopo di cortesia.

Storico delle versioni

Titolare del trattamento: Alfercom S.r.l. — Alfercom S.r.l., Via Altinate 125, 35121 Padova (PD)