Informativa sulla Privacy

Versione 2.2 — Ultimo aggiornamento: 1 settembre 2026

La presente informativa descrive come Vincenzi Davide, che opera con il marchio Bruno Capocantiere ("Bruno"), tratta i dati personali ai sensi del Regolamento (UE) 2016/679 (GDPR) e del Regolamento (UE) 2024/1689 (AI Act).

1. Titolare del trattamento

Il titolare del trattamento è Vincenzi Davide, impresa individuale, con sede in Via Cil. Carpano 13A, 10080 Issiglio (TO), Italia.

• Codice fiscale: VNCDVD96M10H294R
• Partita IVA: 13444900016
• Iscrizione Registro Imprese di Torino, REA n. TO-1364174
• PEC: davidevincenzi@superpec.it
• Email per richieste privacy: bruno.plannercantieri@gmail.com

Non è stato designato un Responsabile per la protezione dei dati (DPO). Le richieste relative alla privacy vanno indirizzate direttamente al titolare tramite i recapiti sopra indicati.

2. A chi si rivolge questa informativa

Vincenzi Davide tratta dati personali in tre contesti distinti, con ruoli diversi. Nel seguito "Bruno" indica il servizio offerto con l'omonimo marchio, mentre il soggetto giuridico titolare o responsabile del trattamento è sempre Vincenzi Davide.

2.1 Visitatori del sito

Quando navighi su https://bruno-capocantiere.it o ci contatti tramite il sito (richiesta demo, modulo contatti, bot WhatsApp di prima qualifica), Vincenzi Davide è Titolare del trattamento dei tuoi dati personali.

2.2 Clienti SaaS e loro amministratori

Quando un'azienda sottoscrive un piano (Starter, Pro, Business, Enterprise o accordi custom) e crea il proprio account, Vincenzi Davide è Titolare del trattamento dei dati anagrafici, di fatturazione e di accesso del cliente-azienda e dei suoi amministratori.

2.3 Dati operativi inseriti nei cantieri

Quando il cliente-azienda usa Bruno per gestire cantieri, dipendenti, ore, ferie, buste paga, nota spese e rapportini, l'azienda cliente è Titolare del trattamento di tali dati. Vincenzi Davide opera come Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base del contratto SaaS e di un Atto di nomina a Responsabile esterno sottoscritto in fase di onboarding.

3. Tipologie di dati trattati, finalità e basi giuridiche

3.1 Dati di navigazione e contatto (Vincenzi Davide Titolare)

• Dati di navigazione — misurati in forma aggregata tramite Vercel Web Analytics, che non usa cookie né identificativi persistenti (dettagli nella Cookie Policy). Finalità: capire come viene usato il sito, sicurezza. Base giuridica: legittimo interesse del titolare (art. 6, par. 1, lett. f GDPR).
• Dati di contatto — nome, ragione sociale, email, telefono, contenuto del messaggio forniti volontariamente nei form di richiesta demo o nella chat con il bot WhatsApp. Finalità: rispondere alla richiesta, fissare una demo, qualificare l'interesse commerciale. Base giuridica: esecuzione di misure precontrattuali su richiesta dell'interessato (art. 6, par. 1, lett. b GDPR).

3.2 Dati account cliente SaaS (Vincenzi Davide Titolare)

• Account amministratore — nome, cognome, email aziendale, password (memorizzata solo in forma hash), telefono opzionale, ruolo. Finalità: erogazione del Servizio, autenticazione, comunicazioni operative. Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b GDPR).
• Dati di fatturazione — ragione sociale, P.IVA/CF, indirizzo sede, codice destinatario SDI, PEC, dati identificativi del cliente Stripe. Finalità: emissione fattura elettronica e adempimenti fiscali. Base giuridica: obbligo legale (art. 6, par. 1, lett. c GDPR) e D.P.R. 633/1972.
• Log di accesso e audit — orario e IP di login, operazioni eseguite tramite il sistema (registrate nella tabella audit_events). Finalità: sicurezza, antiabuso, tracciabilità ex GDPR. Base giuridica: legittimo interesse del titolare e adempimento art. 32 GDPR.

3.3 Dati operativi inseriti dal cliente (Vincenzi Davide Responsabile)

Per i dati di seguito elencati Vincenzi Davide agisce come Responsabile del trattamento per conto del cliente-azienda Titolare. Il cliente individua la base giuridica adeguata nei rapporti con i propri dipendenti e collaboratori (tipicamente: esecuzione del contratto di lavoro, obblighi in materia di lavoro e sicurezza sociale, legittimo interesse organizzativo).

• Anagrafiche di cantieri, mezzi, attrezzature, fornitori
• Anagrafiche e contatti dei lavoratori del cliente (nome, mansione, telefono, email, foto profilo opzionale)
• Ore lavorate, presenze, timbrature (con eventuale rilevazione GPS al momento della timbratura, solo se attivata dall'amministratore cliente)
• Ferie, permessi, malattia (incluso codice INPS di malattia)
• Foto e contenuti dei rapportini di cantiere
• Nota spese e scontrini caricati dai dipendenti
• Documenti HR caricati dall'amministratore (in particolare buste paga PDF e certificazioni sanitarie/idoneità) e relativi metadati estratti

Categorie particolari di dati personali (art. 9 GDPR). I codici INPS di malattia e talune informazioni contenute nelle buste paga e nei documenti HR (es. certificati di idoneità sanitaria) costituiscono dati relativi alla salute. Il loro trattamento avviene sulla base dell'art. 9, par. 2, lett. b GDPR — adempimento degli obblighi del datore di lavoro in materia di lavoro e di sicurezza sociale — la cui base giuridica specifica è individuata e dichiarata dal cliente-azienda Titolare. Il trattamento è limitato al minimo necessario, con accesso ristretto ai ruoli con esigenza operativa (amministrazione, segreteria, paghe), misure tecniche di controllo accesso (Row Level Security a livello di database) e registrazione di audit.

4. Trattamenti con intelligenza artificiale

Vincenzi Davide integra nel Servizio modelli di intelligenza artificiale forniti da Anthropic PBC (Stati Uniti d'America) tramite la Claude API, per le seguenti finalità:

• Estrazione strutturata da PDF buste paga. Il PDF caricato dall'amministratore cliente viene inviato al modello Claude per identificare i confini delle singole buste paga, le matricole e i nominativi dei lavoratori, e i valori di voci retributive (ferie, ROL, permessi, malattia).
• Estrazione strutturata da scontrini e documenti nota spese (data, importo, categoria di spesa) e catalogazione di attestati e certificazioni HR (tipo, scadenza).
• Classificazione e qualificazione dei lead in arrivo via WhatsApp sul bot "Carmelo".

Caratteristiche del trattamento con AI rilevanti per l'interessato:

• Il modello è utilizzato per estrazione e classificazione di dati, non per assumere decisioni produttive di effetti giuridici o significativi sull'interessato. Ogni distribuzione di documenti HR ai dipendenti è preceduta da una verifica e conferma da parte di un amministratore umano del cliente. Non sussistono pertanto i presupposti dell'art. 22 GDPR su "decisioni unicamente automatizzate".
• Anthropic non utilizza i dati ricevuti tramite API per addestrare i propri modelli. I dati sono mantenuti dal fornitore con retention massima di 30 giorni a fini di sicurezza e antiabuso, salvo attivazione di Zero Data Retention.
• I dati transitano negli Stati Uniti d'America. Il trasferimento è disciplinato dal Data Processing Addendum di Anthropic, che incorpora le Clausole Contrattuali Tipo (Standard Contractual Clauses) della Commissione europea, Moduli 2 e 3 della Decisione di esecuzione (UE) 2021/914, quali misure adeguate ex art. 46 GDPR.

5. Sub-responsabili del trattamento

Per fornire il Servizio, Vincenzi Davide si avvale dei seguenti soggetti, nominati sub-responsabili ai sensi dell'art. 28, parr. 2 e 4 GDPR:

Ciascuno dei fornitori sopra elencati ha sottoscritto con Vincenzi Davide (o reso disponibile pubblicamente) un accordo sul trattamento dei dati conforme all'art. 28 GDPR. L'elenco aggiornato dei sub-fornitori, comprensivo di eventuali sub-fornitori di secondo livello, è disponibile su richiesta all'indirizzo bruno.plannercantieri@gmail.com.

6. Trasferimenti extra-UE

I dati conservati nei database operativi e negli archivi del Servizio rimangono all'interno dell'Unione europea (Supabase Francoforte, Hetzner Germania). Alcuni trattamenti specifici comportano un trasferimento di dati verso paesi terzi, in particolare gli Stati Uniti d'America:

• Inferenza del modello Claude su Anthropic (USA)
• Hosting frontend e funzioni serverless su Vercel (USA, con edge UE)
• Invio e ricezione di messaggi WhatsApp tramite Twilio (USA)

Tali trasferimenti sono effettuati in presenza di garanzie adeguate ex art. 46 GDPR, tramite l'adozione delle Clausole Contrattuali Tipo della Commissione europea contenute nei rispettivi Data Processing Addendum. Su richiesta è possibile ricevere copia delle clausole applicabili.

7. Tempi di conservazione

• Dati di contatto per richieste demo non andate a buon fine: 24 mesi dall'ultimo contatto, poi cancellazione
• Dati di account cliente attivo: per tutta la durata del contratto
• Dati di account dopo disdetta: 60 giorni di accesso in sola lettura per export, poi cancellazione (salvo conservazione separata di documenti fiscali)
• Documenti fiscali e di fatturazione: 10 anni dalla data di emissione, ai sensi dell'art. 2220 c.c. e della normativa fiscale
• Log di audit applicativo: 5 anni
• Buste paga e documenti HR: conservati nel periodo indicato dal cliente-azienda Titolare (tipicamente 10 anni per esigenze contributive e civilistiche); Vincenzi Davide fornisce strumenti di export e cancellazione su richiesta del Titolare
• Dati transitati su Anthropic: massimo 30 giorni presso Anthropic per finalità di sicurezza, salvo Zero Data Retention attivo

8. Diritti dell'interessato

In qualità di interessato puoi esercitare i diritti previsti dagli articoli 15-22 del GDPR, e in particolare:

• accesso ai tuoi dati personali e copia degli stessi (art. 15)
• rettifica di dati inesatti o incompleti (art. 16)
• cancellazione ("diritto all'oblio") nei casi previsti (art. 17)
• limitazione del trattamento (art. 18)
• portabilità dei dati che hai fornito, in formato strutturato e di uso comune (art. 20)
• opposizione ai trattamenti basati sul legittimo interesse del titolare (art. 21)
• revoca del consenso in qualsiasi momento, ove il trattamento sia basato sul consenso (art. 7, par. 3)

Per esercitare i diritti scrivi a bruno.plannercantieri@gmail.com o, per comunicazioni con valore legale, alla PEC davidevincenzi@superpec.it.

Lavoratori e collaboratori di un'azienda cliente. Se i tuoi dati sono trattati perché la tua azienda utilizza il Servizio, il Titolare dei tuoi dati è la tua azienda. Le richieste di esercizio dei diritti vanno rivolte in primo luogo all'azienda stessa; Vincenzi Davide assiste il Titolare nell'evasione di tali richieste in qualità di Responsabile.

Hai inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (www.garanteprivacy.it) qualora ritenga che il trattamento violi la normativa applicabile.

9. Misure di sicurezza

Vincenzi Davide adotta misure tecniche e organizzative adeguate al rischio ai sensi dell'art. 32 GDPR, tra cui:

• cifratura dei dati in transito (TLS) e a riposo lato database e storage
• isolamento dei dati per tenant tramite Row Level Security a livello di database
• autenticazione degli amministratori del Servizio con secondo fattore ove disponibile
• backup periodici cifrati
• registro centralizzato di audit delle operazioni sensibili
• accesso ai dati riservato al personale autorizzato e ai sub-responsabili nominati

10. Modifiche all'informativa

La presente informativa può essere aggiornata in caso di modifiche normative, organizzative o tecnologiche. La versione e la data di ultimo aggiornamento sono indicate in cima alla pagina. Le modifiche sostanziali sono comunicate ai clienti attivi tramite email o avviso nell'applicazione con preavviso ragionevole.

11. Cookie

Vedi la Cookie Policy per i dettagli sugli strumenti di analisi usati.

12. Contatti

• Email ordinaria: bruno.plannercantieri@gmail.com
• PEC: davidevincenzi@superpec.it
• Posta ordinaria: Vincenzi Davide — Via Cil. Carpano 13A, 10080 Issiglio (TO), Italia