Informativa sulla privacy — BeMyTalent

Versione : 1.12 Ultimo aggiornamento : 18 ottobre 2026 Entrata in vigore : 18 ottobre 2026 Titolare del trattamento : Ekylibr SA (Svizzera)

La presente informativa descrive come BeMyTalent raccoglie, utilizza e protegge i Suoi dati nel rispetto della Legge federale sulla protezione dei dati (LPD/nLPD) svizzera e del Regolamento generale sulla protezione dei dati (GDPR) europeo, ove applicabile.

🇨🇭 Dove sono archiviati ed elaborati i Suoi dati. Dall'8 agosto 2026 la banca dati, l'autenticazione e i file di BeMyTalent (documenti contabili, fatture, documenti salariali) sono archiviati a Zurigo (Supabase, regione AWS eu-central-2). Dal 12 ottobre 2026 le nostre funzioni server elaborano anche a Zurigo le richieste del nostro sito e della nostra applicazione web, delle nostre attività pianificate e dell'invio delle e-mail di accesso, nonché quelle delle nostre applicazioni mobili non appena hanno ricevuto l'aggiornamento previsto a tale scopo ; le notifiche di RevenueCat (abbonamenti dell'App Store), di Mailgun (fatture ricevute per e-mail), di Meta (Instagram, WhatsApp) e di Ekybot (assistente integrato, §4ter.1) ; e il ritorno a BeMyTalent quando Lei collega Gmail (dal 13 ottobre 2026) o Instagram. Se una di queste richieste arriva fuori dalla Svizzera (per esempio durante un viaggio), passa prima da un punto d'ingresso situato fuori dalla Svizzera, che la riceve per intero e si limita a inoltrarla o a reindirizzarla a Zurigo, dove viene elaborata. Ogni altra richiesta è elaborata il più vicino possibile a chi la invia, quindi fuori dalla Svizzera se questi si trova all'estero : è il caso delle nostre applicazioni mobili finché non hanno ricevuto questo aggiornamento, degli assistenti IA esterni che Lei collega con una chiave API (§4ter.3) e del ritorno a BeMyTalent quando Lei collega Shopify. I file possono essere memorizzati temporaneamente in cache vicino alla persona che li consulta, e i backup e i registri tecnici sono gestiti da Supabase, la cui regione non è a oggi confermata per iscritto. Alcuni compiti specifici sono affidati a fornitori, diversi dei quali fuori dalla Svizzera (lettura dei documenti, e-mail, assistente integrato e dettatura vocale, integrazioni che Lei attiva) : sono indicati ai §4, 4ter e 5.

---

1. Chi siamo?

Ekylibr SA pubblica l'applicazione BeMyTalent, una piattaforma di pilotaggio finanziario (previsionale, contabilità, salari, fatturazione, CRM, preventivi, stock, mandati) destinata a imprenditori, indipendenti e micro/PMI con sede in Svizzera.

Contatto protezione dei dati :

• Email : privacy@bemytalent.com
• Indirizzo postale : Ekylibr SA, Avenue du Mail 18, 2000 Neuchâtel, Svizzera
• IDI : CHE-378.933.385

---

2. Dati che trattiamo

2.1 Dati forniti direttamente da Lei

Dati di terzi (dipendenti, clienti, contatti). Quando inserisce in BeMyTalent dati riguardanti persone diverse da Lei — i Suoi dipendenti (modulo Salari), i Suoi clienti, i Suoi contatti CRM — Lei è il titolare del trattamento di tali dati ai sensi della LPD/del GDPR ; BeMyTalent agisce in qualità di responsabile del trattamento per Suo conto. Spetta a Lei informare tali persone e disporre di una base legale per detto trattamento.

Statistiche delle visite del Suo sito (modulo « Traffico del sito »). Questo modulo è facoltativo : mostra in BeMyTalent le statistiche del Suo account AlpiStats (§5), un servizio di Ekylibr SA, l'editore di BeMyTalent ; AlpiStats ospita queste statistiche in Svizzera. Il proprietario o un amministratore del progetto può collegare volontariamente questo account al progetto : su una pagina di autorizzazione di AlpiStats, che indica il nome del progetto e che i suoi membri vedranno i dati, sceglie un'organizzazione AlpiStats di cui è proprietario e uno o più dei suoi siti. AlpiStats trasmette allora a BeMyTalent un'autorizzazione di lettura su questi siti soltanto : il Suo account e le Sue statistiche restano presso AlpiStats, e BeMyTalent non vi crea, non vi modifica e non vi elimina nulla. BeMyTalent mostra, in un riquadro integrato, i pannelli di controllo AlpiStats di questi siti e dati aggregati (numero di visite, visitatori contati per giorno, pagine viste, provenienza delle visite, stato di disponibilità del sito), visibili ai membri del progetto che hanno accesso alla Pianificazione finanziaria ; non riceve nessun dato su un singolo visitatore. Finché il collegamento esiste, BeMyTalent conserva l'identificativo dell'autorizzazione, il nome dell'organizzazione AlpiStats, nonché il nome, il dominio e lo stato (installazione, inattività, disponibilità) dei siti collegati ; le notifiche di AlpiStats che tengono aggiornato questo stato vengono cancellate dal suo registro dopo 90 giorni. Il collegamento si può ritirare in qualsiasi momento, in BeMyTalent (« Scollega ») o in AlpiStats (« Il mio account › Applicazioni collegate ») : la misurazione continua presso AlpiStats, e BeMyTalent cancella il nome, il dominio e lo stato dei siti collegati ; del collegamento ritirato conserva, finché il progetto esiste, solo l'identificativo dell'autorizzazione, il nome dell'organizzazione e la data del ritiro. Nei confronti dei visitatori del Suo sito, è Lei il titolare del trattamento : la Sua informativa sulla privacy deve menzionare AlpiStats, che misura le visite per Suo conto secondo il proprio accordo sul trattamento dei dati (DPA AlpiStats), senza cookie e solo presso i visitatori che accettano il banner mostrato sul Suo sito. Senza un account collegato, il modulo mostra un esempio fittizio fornito da AlpiStats : non vi viene caricato nessun dato di un cliente.

2.2 Dati raccolti automaticamente

Non utilizziamo né cookie pubblicitari né tracking di marketing di terze parti (niente Google Analytics, niente Meta Pixel, niente Hotjar).

Misurazione del pubblico: questo sito utilizza AlpiStats, un servizio svizzero di statistiche delle visite senza cookie. I dati di frequentazione sono raccolti, archiviati e sottoposti a backup in Svizzera; non consentono di identificarLa. Può rifiutare questa misurazione nel Suo browser tramite il banner predisposto a tale scopo.

Rifiutare la misurazione del pubblico · Gestire le mie scelte

2.3 Applicazioni mobili (iOS e Android)

BeMyTalent è disponibile anche come applicazione installabile (PWA, applicazione iOS distribuita tramite l'App Store e applicazione Android distribuita tramite Google Play). Le applicazioni trattano gli stessi dati della versione web — nessun trattamento supplementare, con le seguenti precisazioni :

• Fotocamera, microfono, libreria foto : utilizzati unicamente quando Lei scansiona un documento, detta un messaggio vocale all'assistente integrato o allega una foto. L'acquisizione avviene sul Suo dispositivo ; solo il file che Lei convalida viene trasmesso ai nostri server (un messaggio dettato viene trascritto da OpenAI, cfr. §4ter). Nessun accesso in background.
• Nessun tracciamento pubblicitario : le applicazioni non contengono né SDK pubblicitari, né identificatori di tracciamento pubblicitario (IDFA), né tracking tra app.
• Cancellazione dell'account : disponibile direttamente nelle applicazioni (Impostazioni → Account), con gli stessi effetti della versione web (cfr. §6).
• Acquisto in-app (App Store) : su iOS l'abbonamento può essere sottoscritto tramite l'acquisto in-app di Apple. Il pagamento è trattato esclusivamente da Apple — non vediamo mai il Suo mezzo di pagamento. Per collegare l'abbonamento al Suo account, il nostro fornitore RevenueCat tratta il Suo identificativo utente (UUID), l'identificativo della transazione Apple, il prodotto acquistato e lo stato dell'abbonamento (cfr. §5).
• Android : l'applicazione Android non offre acquisti in-app ; l'abbonamento si sottoscrive sul sito web.

---

3. Perché trattiamo questi dati

• Fornire il servizio : tenuta della contabilità, salari, calcoli previsionali, gestione del CRM, generazione di preventivi e fatture, esportazioni legali.
• Sicurezza : audit trail, rilevamento di anomalie, autenticazione.
• Conformità legale : obblighi contabili svizzeri (art. 957–963 CO), IVA, archiviazione.
• Supporto utente : risposta alle Sue richieste, debug se Lei ci autorizza esplicitamente.
• Fatturazione : Stripe (sito web) e Apple (acquisto in-app nell'applicazione iOS) per la gestione degli abbonamenti (cfr. §5).

Non trattiamo mai i Suoi dati a fini di marketing di terzi, di rivendita, di profilazione automatizzata decisionale o di addestramento di modelli di IA. Questo impegno vale per BeMyTalent, con la riserva dell'assistente integrato (§4ter.1) ; gli assistenti IA esterni che Lei sceglie di collegare sono descritti al §4ter.

---

4. OCR — Mistral quale responsabile del trattamento

Da leggere attentamente se utilizza il modulo Contabilità assistita. La lettura automatica (OCR) si avvia a ogni documento caricato in Contabilità, anche tramite foto, condivisione dal telefono o e-mail ; per un documento caricato nell'applicazione non si disattiva, e solo l'indirizzo di deposito per e-mail ha impostazioni che la fermano (cfr. §4.3). Per leggere il documento trasmettiamo a Mistral AI (UE) un link di download temporaneo (valido 5 minuti). Mistral è il nostro unico fornitore per la lettura dei documenti : nessun altro servizio riceve il documento come rete di sicurezza. Dall'11 ottobre 2026 nessun documento viene più trasmesso a OpenAI. Se Mistral non riesce a leggere il documento o non è disponibile, questo viene dichiarato illeggibile e Lei lo inserisce a mano : non inventiamo mai un importo.

4.1 Mistral AI — fornitore OCR (dal 2026-08-11)

• Identità : Mistral AI SAS, Francia (UE)
• Ruolo : responsabile del trattamento ai sensi dell'art. 28 GDPR e dell'art. 9 nLPD
• Dati trasmessi : un link di download firmato, valido 5 minuti, verso il documento (PDF/JPG/PNG) che Lei carica ; Mistral scarica il documento per leggerlo
• Finalità : estrazione dei campi strutturati (fornitore, data, importi IVA esclusa/IVA inclusa/IVA, valuta, modalità di pagamento)
• API utilizzata : api.mistral.ai/v1/ocr (modello mistral-ocr-latest)
• Conservazione e addestramento : le nostre chiamate passano da un account Mistral con piano professionale a pagamento, sul quale l'opzione che autorizza l'uso delle chiamate API per addestrare i modelli è disattivata (verifica del 12 ottobre 2026). Secondo il loro DPA, conservazione temporanea per il trattamento e l'abuse monitoring, poi cancellazione. Verifichi la loro politica : https://mistral.ai/terms/#privacy-policy
• Localizzazione dei server : UE
• Trasferimenti fuori dall'UE : nessuno nella configurazione utilizzata.

4.2 Nessuna rete di sicurezza

• Mistral è l'unico fornitore che riceve i Suoi documenti per leggerli : nessun altro servizio di lettura subentra.
• Se Mistral non è disponibile, non riesce a leggere un documento o ne ricava solo una lettura troppo incerta, il documento viene dichiarato illeggibile : resta nella Sua Contabilità, Lei lo inserisce personalmente o ne rilancia la lettura più tardi, e non inventiamo mai un importo.

4.3 I Suoi diritti specifici OCR

• Disattivazione : per un documento caricato nell'applicazione (caricamento, foto, condivisione) l'OCR è automatico e non si disattiva. Per l'indirizzo di deposito per e-mail, l'impostazione « Documenti letti al mese » a 0 ferma la lettura automatica dei documenti ricevuti, e l'impostazione « Solo i membri del progetto » non legge i documenti inviati da un'altra persona : questi documenti vengono conservati, senza essere letti. Se non desidera che un documento venga trasmesso, non lo carichi in Contabilità e non lo invii all'indirizzo di deposito per e-mail : il modulo Contabilità resta pienamente utilizzabile con l'inserimento manuale.
• Cancellazione : la cancellazione di un allegato in BeMyTalent attiva la cancellazione del file dal nostro Storage. Il link trasmesso a Mistral scade da solo dopo 5 minuti ; l'eventuale copia temporanea presso Mistral segue la sua politica (cfr. §4.1).

---

4bis. Migrazione e sincronizzazione Bexio (responsabile del trattamento)

Da leggere se attiva l'integrazione Bexio. L'integrazione Bexio è opzionale ma, se attivata, comporta trasferimenti bidirezionali di dati contabili tra BeMyTalent e Bexio AG.

4bis.1 Bexio AG — responsabile del trattamento

• Identità : Bexio AG, Pulverstrasse 11, 3063 Ittigen, Svizzera
• Ruolo : responsabile del trattamento ai sensi dell'art. 9 nLPD e dell'art. 28 GDPR (equivalente)
• Quadro legale : Svizzera — decisione di adeguatezza UE → Svizzera in vigore (compatibile GDPR)

4bis.2 Casi d'uso e dati interessati

Connessione iniziale con un token personale : Lei stesso crea presso Bexio un token personale API (« Personal Access Token ») e lo incolla in BeMyTalent. I diritti di questo token sono quelli che Lei gli attribuisce presso Bexio : BeMyTalent non ne controlla la portata, e Lei può revocarlo presso Bexio in qualsiasi momento. Il token è cifrato dalle nostre funzioni server con AES-256-GCM prima di essere registrato, con una chiave conservata al di fuori della banca dati (§8).

Sincronizzazione in uscita BeMyTalent → Bexio (preventivi, fatture Shopify, ecc.) :

• Preventivi e fatture clienti che Lei crea in BeMyTalent e sceglie di inviare verso Bexio
• Righe di prodotti, importi, IVA, scadenze
• Contatti associati (clienti) al momento del push

Migrazione in uscita Bexio → BeMyTalent (modulo Contabilità, opt-in) :

• Tier 1 (saldi di apertura) : pull del piano dei conti + contatti non archiviati + saldi alla data di ripresa. Volume : ~200 conti + ~500 contatti + 200 saldi per progetto tipico.
• Tier 2 (storici aggregati) : pull dei saldi mensili per conto su un periodo da 1 a 10 anni a Sua scelta. Volume : N conti × M mesi.
• Tier 3 (registrazioni dettagliate) : pull dell'integralità delle registrazioni contabili Bexio su un periodo da 1 a 10 anni a Sua scelta. Volume : potenzialmente diverse migliaia di registrazioni, con descrizioni, conti, importi, date.

4bis.3 Direzione dei dati e finalità

• Pull Bexio → BeMyTalent : i dati importati diventano i Suoi dati in BeMyTalent, soggetti alla durata di conservazione di 10 anni (art. 958f CO). Bexio resta la fonte storica, ma BeMyTalent ne diventa una copia.
• Push BeMyTalent → Bexio : i dati inviati sono memorizzati presso Bexio secondo il Suo contratto con Bexio, indipendentemente da BeMyTalent.
• Nessun utilizzo terzo : non consultiamo i Suoi dati contabili Bexio per altre finalità (statistiche, raccomandazioni, ecc.). La pipeline di migrazione è puramente transitoria.

4bis.4 Rate-limit e piano API Bexio

Per rispettare i limiti dell'API Bexio (free ~100 req/min, pro ~500 req/min), Lei dichiara il Suo piano in BeMyTalent all'avvio di ogni migrazione. Questa informazione serve unicamente ad adeguare il throttling lato BeMyTalent e non viene trasmessa a Bexio.

4bis.5 Verifica post-migrazione

Al termine di ogni migrazione Bexio → BeMyTalent, BeMyTalent confronta automaticamente i saldi importati con i saldi Bexio (re-pull di controllo) per rilevare eventuali scostamenti. Questa doppia lettura non crea alcun trasferimento supplementare : si tratta degli stessi dati già importati.

4bis.6 Conservazione presso Bexio

Bexio applica la propria politica di conservazione. Si veda : https://bexio.com/fr-CH/dpa

4bis.7 Disattivazione

Può revocare la connessione Bexio in qualsiasi momento tramite Impostazioni → Bexio → Disconnetti. La disconnessione :

• Elimina presso di noi il token personale Bexio cifrato (presso Bexio resta valido finché Lei non lo revoca)
• Non cancella i dati già importati in BeMyTalent (tali dati sono diventati i Suoi)
• Non cancella i dati inviati in Bexio (il Suo contratto con Bexio disciplina tali dati)

---

4ter. Assistente integrato, dettatura vocale e assistenti IA esterni

Facoltativo. Questa sezione La riguarda solo se utilizza il modulo Agenti IA (assistente integrato), la dettatura vocale, oppure se collega Lei stesso un assistente IA ai Suoi dati. In caso contrario, nessun dato viene inviato a questi servizi.

4ter.1 Assistente integrato (modulo Agenti IA) — Ekybot

• Ruolo : responsabile del trattamento che fa funzionare l'assistente integrato in BeMyTalent (modulo facoltativo, attivato progetto per progetto)
• Dati trasmessi : i messaggi che Lei scrive all'assistente, la cronologia della conversazione, link firmati verso gli allegati e gli identificativi tecnici dell'utente, del progetto e del canale
• Localizzazione : l'hosting di Ekybot e il modello di IA utilizzato sono in corso di conferma ; aggiorneremo la presente informativa non appena confermati. Nel frattempo, affidi all'assistente solo ciò che accetta di veder trattato fuori dalla Svizzera. Finché il modello utilizzato non è confermato, non possiamo garantire che i Suoi messaggi all'assistente integrato non servano ad addestrare un modello di IA ; l'impegno del §3 si applica pienamente non appena confermato.

4ter.2 Dettatura vocale — OpenAI

• Identità : OpenAI, L.L.C., Stati Uniti
• Ruolo : responsabile del trattamento ai sensi dell'art. 28 GDPR e dell'art. 9 nLPD
• Dati trasmessi : il file audio del messaggio che Lei detta all'assistente integrato, unicamente quando utilizza la dettatura. Nessun documento contabile viene trasmesso a OpenAI.
• Finalità : trascrizione del messaggio in testo (modello Whisper)
• Endpoint : api.openai.com (USA)
• Conservazione OpenAI : OpenAI dichiara di non addestrare i propri modelli sui dati inviati tramite l'API (per impostazione predefinita da marzo 2023). Conservazione massima di 30 giorni per l'abuse monitoring, poi cancellazione.
• Localizzazione : Stati Uniti
• Trasferimenti fuori da UE/CH : disciplinati dalle Standard Contractual Clauses (SCC). Per gli utenti CH, la nLPD riconosce le SCC come garanzie appropriate.

4ter.3 Assistenti IA esterni che Lei collega

Può dare a un assistente IA di Sua scelta (ad esempio Claude o ChatGPT) un accesso delimitato ai Suoi dati, tramite una chiave API che crea nelle Impostazioni. Questi assistenti sono servizi dei loro fornitori, che Lei sceglie e collega : ciò che leggono, negli ambiti che Lei apre loro, viene trasmesso al loro fornitore (spesso negli Stati Uniti), per Sua iniziativa e secondo le sue condizioni. Ogni chiave è limitata agli ambiti che Lei sceglie e revocabile in qualsiasi momento ; le operazioni sensibili restano riservate a un'azione umana nell'applicazione.

---

4quater. Dati utente Google (Gmail)

Da leggere se collega Gmail. Questa sezione La riguarda solo se fa clic su « Autorizza Gmail » (Impostazioni → CRM & comunicazione → scheda Gmail). In caso contrario, BeMyTalent non riceve alcun dato da Google. Completa la riga « Google » del §5.

4quater.1 Che cosa BeMyTalent chiede a Google

Con l'applicazione Google di BeMyTalent (pulsante « Autorizza Gmail »), BeMyTalent chiede a Google tre autorizzazioni, e solo queste :

• Inviare e-mail a Suo nome (gmail.send) : per far partire, dal Suo indirizzo Gmail, le e-mail che Lei redige o invia da BeMyTalent, compresi i Suoi preventivi, le Sue fatture e i Suoi solleciti di pagamento (con il relativo PDF) ;
• Conoscere l'indirizzo e-mail del Suo account Google (userinfo.email) : per mostrarlo nell'applicazione e usarlo come indirizzo del mittente ;
• Identificarla (openid) : affinché la risposta di Google designi l'account che Lei ha autorizzato.

BeMyTalent non chiede l'autorizzazione di leggere, modificare o eliminare la Sua casella Gmail : non può leggere né le Sue e-mail ricevute o inviate, né le Sue bozze, né le Sue etichette, né i Suoi contatti Google.

Opzione « la Sua applicazione Google ». Se desidera leggere le Sue e-mail anche in BeMyTalent (Inbox, sincronizzazione degli scambi con i contatti del CRM), Lei crea la Sua applicazione presso Google e ce ne affida il Client ID e il Client Secret ; Lei le concede allora la lettura della casella oltre all'invio. In questa modalità, BeMyTalent scorre le Sue e-mail recenti e legge l'elenco dei Suoi indirizzi di invio (alias) ; conserva solo le e-mail scambiate con gli indirizzi dei Suoi contatti CRM (mittente, destinatario, oggetto, testo, data ; non gli allegati) e le registra nella Sua Inbox e nel Suo CRM. Il resto della presente sezione si applica anche a questa modalità.

4quater.2 Dati ricevuti da Google, uso e conservazione

Finalità unica. BeMyTalent utilizza questi dati solo per inviare, dal Suo indirizzo, le e-mail che Lei redige in BeMyTalent e il cui invio Lei stesso avvia (messaggio del CRM, bozza che Lei rilegge e poi invia, invio multiplo che Lei avvia, risposta dall'Inbox, invio di un preventivo, di una fattura o di un sollecito di pagamento, sollecito di un preventivo da un dossier). Nessuna e-mail parte tramite Gmail senza questo Suo gesto. Se Gmail rifiuta l'invio di un preventivo, di una fattura o di un sollecito di pagamento, l'e-mail parte dall'indirizzo di BeMyTalent, come senza Gmail.

4quater.3 Dove e come questi dati sono conservati

I token e l'indirizzo sono conservati nella banca dati di BeMyTalent, a Zurigo (per la portata esatta di questa garanzia, v. il riquadro all'inizio della presente informativa). I token sono custoditi in una cassaforte privata, non accessibile dal browser né da altri utenti, che solo le nostre funzioni server leggono al momento dell'invio ; non sono mai restituiti all'applicazione. Ogni token è inoltre cifrato con AES-256-GCM, con una chiave conservata al di fuori della banca dati (§8). Gli scambi con Google passano da TLS ; la cifratura a riposo è quella del nostro fornitore di hosting (§8).

4quater.4 Che cosa non facciamo con i dati ricevuti da Google

• Li utilizziamo esclusivamente per fornire la funzione di invio descritta sopra, che è visibile per Lei nell'applicazione.
• Non li vendiamo e non li utilizziamo per la pubblicità (né targeting né retargeting), né per valutare la Sua solvibilità o a fini di credito.
• Non li trasferiamo a nessuno, salvo : a Google ; ai nostri responsabili tecnici del trattamento quando è strettamente necessario per fornire questa funzione (hosting, §5) ; se la legge lo richiede ; per la sicurezza (indagine su un abuso o un incidente) ; o in caso di fusione o rilevamento dell'impresa, con il Suo previo consenso esplicito.
• Nessuno da noi legge il contenuto delle Sue e-mail né i dati ricevuti da Google, salvo con il Suo consenso esplicito per un caso preciso (ad esempio una richiesta di assistenza), per la sicurezza (indagine su un abuso o un incidente) o se la legge lo richiede.
• Non li utilizziamo per sviluppare, migliorare o addestrare modelli di intelligenza artificiale o di apprendimento automatico di uso generale. Il Suo indirizzo Gmail e i Suoi token non sono mai trasmessi all'assistente integrato né agli assistenti IA esterni (§4ter).
• Il testo di un'e-mail che Lei invia, una volta copiato nel Suo CRM, è un dato CRM come gli altri (§2.1) : se Lei stesso collega un assistente IA esterno al Suo CRM (§4ter.3), è Lei a decidere che cosa può leggere.

4quater.5 Scollegare Gmail e revocare l'accesso

• In BeMyTalent : Impostazioni → CRM & comunicazione → scheda Gmail → « Scollega Gmail ». BeMyTalent chiede a Google di revocare l'autorizzazione, poi cancella i Suoi token e l'indirizzo registrato della connessione. Se lo stesso account Google è ancora collegato in un altro dei Suoi progetti, la revoca presso Google non viene richiesta (interromperebbe l'altro progetto) : i token di questo progetto sono cancellati, ma l'autorizzazione resta valida per l'altro progetto. Se Google non risponde, la disconnessione si completa comunque in BeMyTalent : verifichi allora presso Google.
• Presso Google, in qualsiasi momento : https://myaccount.google.com/permissions → BeMyTalent → rimuovi l'accesso. BeMyTalent non può più inviare nulla.
• Eliminazione del progetto o dell'account : i token sono cancellati insieme al progetto al momento della sua eliminazione definitiva. Questa eliminazione non richiede la revoca a Google : scolleghi Gmail prima, oppure revochi l'accesso presso Google.
• Copie di e-mail : restano nel Suo CRM fino alla loro cancellazione secondo il §6 ; per chiederne la cancellazione, scriva a privacy@bemytalent.com (§7).

4quater.6 Conformità alla politica di Google

BeMyTalent's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.

Traduzione : l'utilizzo da parte di BeMyTalent, e il trasferimento a qualsiasi altra applicazione, delle informazioni ricevute dalle API di Google rispetteranno la Google API Services User Data Policy (politica di Google sui dati utente dei servizi API), compresi i suoi requisiti di « uso limitato » (« Limited Use »).

---

5. Altri responsabili del trattamento (sub-processor)

Elenco tenuto aggiornato. Per ogni aggiornamento sostanziale, La informeremo per email almeno 15 giorni prima dell'entrata in vigore.

---

6. Durata di conservazione

---

7. I Suoi diritti

Conformemente alla LPD/nLPD svizzera e, ove applicabile, al GDPR europeo, Lei dispone dei seguenti diritti :

• Accesso : ottenere una copia dei Suoi dati — pulsante « Esporta tutti i dati » in Impostazioni progetto.
• Rettifica : modificare i Suoi dati tramite l'applicazione o su richiesta per email.
• Cancellazione (« diritto all'oblio ») : fatti salvi gli obblighi legali di conservazione (10 anni per la contabilità). Cancellazione dell'account disponibile in Impostazioni → Account (web e applicazioni iOS e Android).
• Limitazione : chiedere la sospensione di un trattamento.
• Portabilità : recuperare i Suoi dati in un formato strutturato (CSV, Excel, PDF — già disponibili tramite le esportazioni native).
• Opposizione : rifiutare un trattamento basato sull'interesse legittimo.
• Revoca del consenso : in qualsiasi momento per i trattamenti basati sul consenso (integrazioni OAuth). La lettura automatica dei documenti (OCR) si basa sull'esecuzione del contratto : per evitare che un documento venga letto, veda il §4.3.
• Reclamo : può presentare reclamo presso l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) in Svizzera, o presso l'autorità di controllo del Suo Paese UE di residenza.

Per esercitare questi diritti : invii la Sua richiesta a privacy@bemytalent.com. Termine di risposta ≤ 30 giorni.

---

8. Sicurezza

• Cifratura TLS 1.3 in transito, cifratura at-rest su Supabase Storage e Postgres.
• Bucket degli allegati privati — accesso unicamente tramite URL firmati effimeri (15 minuti).
• Password con hash (bcrypt tramite Supabase Auth).
• I segreti di connessione delle Sue integrazioni (token di accesso Gmail, Instagram, WhatsApp e Shopify, token personale API Bexio, chiave API Odoo, segreti client e token di verifica dei webhook) sono cifrati uno per uno dalle nostre funzioni server, con AES-256-GCM, prima di essere registrati, con una chiave conservata al di fuori della banca dati, nella configurazione protetta delle nostre funzioni server ; ciascun valore cifrato è legato al suo progetto, al suo fornitore e al suo uso, ed è decifrato solo in memoria, al momento della chiamata al servizio interessato. I dati che queste integrazioni importano o inviano (registrazioni, fatture, messaggi) non sono coperti da questa cifratura : rientrano nella cifratura a riposo del nostro fornitore di hosting e nei diritti di accesso descritti sopra.
• RLS (Row-Level Security) Postgres applicata su tutte le tabelle — un utente non può mai leggere i dati di un altro progetto.
• Audit trail completo sulle azioni contabili sensibili.
• Whitelist MIME rigorosa sugli upload (solo PDF/JPG/PNG, 10 MB max).
• Scansione antivirus : ogni allegato viene analizzato (ClamAV su Google Cloud Run, Zurigo). Un file riconosciuto come infetto viene messo in quarantena e non può più essere aperto in alcun modo. Finché un documento non è stato dichiarato sicuro resta accessibile al suo proprietario, ma non viene mai visualizzato nell'applicazione : viene fornito in download, in modo che un file manipolato non possa essere eseguito nella pagina.

---

9. Modifiche della presente informativa

Possiamo aggiornare la presente informativa. Le modifiche sostanziali (nuovo responsabile del trattamento, nuova finalità di trattamento, inasprimento delle condizioni) saranno comunicate :

• Per email al Suo indirizzo di contatto ≥ 15 giorni prima dell'entrata in vigore.
• In-app tramite un banner persistente fino all'accettazione.

La versione in vigore e il suo giornale delle modifiche sono pubblicati in permanenza su https://www.bemytalent.com/it/privacy.

---

10. Giornale delle modifiche

---

La presente informativa è redatta in francese. Fa fede la versione francese.