Privacy

Come trattiamo i dati, servizio per servizio. Niente cookie e niente tracciamenti sul sito.

Ultimo aggiornamento: 2 novembre 2026

Informativa generale

Questa informativa spiega quali dati personali trattiamo, perché e per quanto tempo, ai sensi del Regolamento UE 2016/679 (GDPR) e del D.Lgs. 196/2003. Vale per il sito csd-station.it e per tutti i servizi; le sezioni successive aggiungono i dettagli di ciascun servizio.

Titolare del trattamento

Carlo Galli, ditta individuale che opera con il marchio CSD Station

P.IVA 01630510525 · Via Francesco Campana 45, 53034 Colle di Val d’Elsa (SI), Italia

Email carlo@csd-station.it · Telefono e WhatsApp +39 351 862 8203

Quali dati trattiamo

Richieste di contatto: nome, recapiti e contenuto dei messaggi che ci invii via WhatsApp, email o telefono.
Clienti: dati anagrafici e fiscali per preventivi, contratti e fatture, e i materiali che ci consegni per svolgere il lavoro.
Contatti professionali da fonti pubbliche: recapiti di aziende e professionisti presi da fonti pubbliche (ad esempio schede Google o registri delle imprese), usati per proposte commerciali B2B pertinenti, con informativa al primo contatto e possibilità di opporsi in qualsiasi momento.

Perché li trattiamo e su quale base

Rispondere alle richieste e preparare preventivi: misure precontrattuali (art. 6.1.b GDPR).
Svolgere i servizi acquistati: esecuzione del contratto (art. 6.1.b).
Fatturazione e adempimenti fiscali: obbligo di legge (art. 6.1.c).
Proposte commerciali B2B, tutela dei nostri diritti e sicurezza: legittimo interesse (art. 6.1.f), con diritto di opposizione.

Non vendiamo dati, non facciamo profilazione e non prendiamo decisioni automatizzate che ti riguardano.

Per quanto tempo

Richieste senza seguito: fino a 24 mesi dall’ultimo contatto.
Dati contrattuali e fiscali: 10 anni, come previsto dalla legge italiana.
Materiali di lavoro: per la durata del servizio e per i tempi indicati nella sezione di ciascun servizio.

A chi possono arrivare

Google (Google Workspace: email, documenti, videochiamate), come fornitore e responsabile del trattamento.
WhatsApp / Meta, se scegli di scriverci su WhatsApp: il servizio è regolato anche dall’informativa di WhatsApp.
GitHub, che ospita il sito.
Commercialista, banca e servizi di pagamento, solo per amministrazione e pagamenti.
Autorità pubbliche, quando la legge lo richiede.

Alcuni di questi fornitori hanno sede negli Stati Uniti: il trasferimento avviene con le garanzie del Capo V del GDPR (EU-U.S. Data Privacy Framework o Clausole Contrattuali Standard).

I tuoi diritti

Puoi chiedere in ogni momento accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento (artt. 15-22 GDPR), scrivendo a carlo@csd-station.it. Rispondiamo entro un mese. Puoi anche proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Minori

I servizi sono rivolti a maggiorenni. Se un servizio riguarda un minore (ad esempio una tesina di maturità), il rapporto e i dati passano da un genitore o da chi ne fa le veci.

Consulenza AI e automazioni

Sviluppo e consegna: progettiamo, configuriamo e collaudiamo le automazioni nell’ambiente concordato con il Cliente (di norma Google Workspace e Google Cloud).
Durante lo sviluppo, se dobbiamo accedere a dati personali del Cliente, agiamo come responsabile del trattamento (art. 28 GDPR) secondo l’Accordo di Servizio, usando dati di prova ogni volta che è possibile.
Dopo la consegna il sistema passa interamente al Cliente: non conserviamo accessi e non trattiamo i dati che vi transitano. Il Cliente resta titolare dei propri dati; l’infrastruttura fa capo a Google come fornitore.
Strumenti di intelligenza artificiale: scegliamo con il Cliente quali servizi usare e quali dati possono entrarci; non inseriamo dati personali in strumenti AI senza averlo concordato.

Archivio AI

Con l’Archivio AI organizziamo i documenti dell’attività del Cliente e li colleghiamo a un sistema di ricerca con intelligenza artificiale, installato sull’hardware concordato. Nel primo contatto descrivi che tipo di documenti hai e dove si trovano: non allegare documenti, fascicoli o dati di clienti, pazienti o dipendenti su WhatsApp. Concordiamo prima un canale adeguato.

Ruoli prima dell’accesso: i documenti restano del Cliente, che ne è titolare e decide finalità, persone autorizzate e regole di accesso. Se per installare, configurare o assistere il sistema trattiamo dati personali per suo conto, formalizziamo prima l’accordo previsto dall’art. 28 GDPR, con istruzioni, misure di sicurezza, riservatezza e assistenza nella gestione dei diritti.
Accesso minimo: quando possibile lavoriamo su documenti di prova o su un campione concordato. Durante installazione e assistenza accediamo all’archivio solo per quanto necessario, con credenziali dedicate che il Cliente può revocare. Non copiamo l’archivio sui nostri dispositivi senza un accordo specifico.
Dati sanitari, giudiziari ed enti pubblici: gli archivi di studi medici e dentistici, studi legali e notarili e pubbliche amministrazioni possono contenere categorie particolari di dati (art. 9 GDPR) o dati relativi a condanne e reati (art. 10). In questi casi valutiamo prima con il titolare e, se presente, con il DPO basi giuridiche, misure di sicurezza ed eventuale valutazione d’impatto (art. 35). Segreto professionale, regole di settore e norme sulla gestione documentale dell’ente restano in capo al titolare.
Configurazione locale: quando concordata, archivio, indice e modello AI lavorano su hardware nel perimetro del Cliente, senza inviare i documenti a servizi AI esterni. Questa possibilità dipende dall’architettura scelta e non esclude ogni rischio: assistenza remota, backup esterni, servizi cloud e possibili trasferimenti fuori dallo SEE si valutano e si autorizzano prima di attivarli.
Uso limitato all’incarico: non consultiamo i documenti oltre quanto serve al lavoro, non li vendiamo e non li usiamo per addestrare modelli, nostri o di altri clienti.
Trascrizioni e contenuti derivati: trascrizioni di audio e video, testo riconosciuto dalle scansioni, descrizioni e indici sono dati del Cliente come gli originali e seguono le stesse regole di accesso e conservazione. Se le registrazioni riguardano altre persone, il Cliente verifica di poterle conservare e trattare.
Conservazione e fine incarico: l’archivio resta sui sistemi del Cliente per i tempi che stabilisce. A fine installazione o assistenza restituiamo o cancelliamo eventuali copie, campioni e accessi in nostro possesso, secondo l’accordo e salvo obblighi di legge.
Decisioni: il sistema aiuta a ritrovare e riassumere i documenti e ne indica le fonti; non prende decisioni automatizzate sulle persone. Valutazioni professionali, cliniche e amministrative restano alle persone autorizzate.

AI Forecasting

Il servizio di AI Forecasting usa lo storico dell’attività per stimare andamenti futuri. Nel primo contatto descrivi cosa vorresti prevedere e quali dati hai: non allegare archivi, dati di clienti o dipendenti su WhatsApp. Concordiamo prima un canale adeguato per i materiali.

Solo i dati necessari: privilegiamo serie aggregate, come coperti giornalieri, quantità vendute o livelli di magazzino, senza nomi e recapiti. Chiediamo di escludere dati personali non necessari e categorie particolari di dati, come informazioni sulla salute. Aggregare un archivio non lo rende automaticamente anonimo: verifichiamo anche il rischio di identificare le persone.
Ruoli prima dell’accesso: il Cliente definisce le finalità e verifica i presupposti del trattamento dei propri dati. Se trattiamo dati personali per suo conto e su sue istruzioni, formalizziamo prima l’accordo previsto dall’art. 28 GDPR, con accessi autorizzati, misure di sicurezza e assistenza nella gestione dei diritti.
Configurazione locale: quando tecnicamente adatta e concordata, elaborazione e archivi possono restare interamente su hardware nel perimetro aziendale. Questa possibilità dipende dall’architettura scelta: non implica che ogni progetto sia locale né che un’installazione locale escluda ogni rischio. Accessi di assistenza remota, servizi cloud, fornitori e possibili trasferimenti fuori dallo SEE devono essere valutati e concordati prima dell’utilizzo.
Uso limitato all’incarico: non vendiamo gli archivi e non li riutilizziamo per addestrare modelli per altri clienti. L’uso di strumenti AI, fonti esterne e integrazioni è definito con il Cliente; nessun invio dei suoi dati a servizi AI esterni è implicito nella prova.
Conservazione e fine prova: prima dell’avvio concordiamo dove si trovano dati, copie e risultati, per quanto tempo restano e come vengono restituiti o cancellati. Quando agiamo come responsabile, a fine incarico restituiamo o cancelliamo i dati personali secondo la scelta del Cliente e l’accordo, comprese le copie, salvo obblighi di legge. I dati amministrativi seguono i tempi dell’informativa generale.
Decisioni: le stime supportano la pianificazione dell’attività; il servizio non prevede decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi sulle persone. Eventuali impieghi diversi richiedono una valutazione e un accordo specifici.

Card NFC

Nessun tracciamento dei clienti finali: la card e il QR code portano direttamente alla pagina scelta dal Cliente (ad esempio la scheda Google). Non raccogliamo né vediamo recensioni, stelle o identità di chi la usa.
Statistiche anonime e aggregate (numero di tap, giorni e orari più frequenti), usate solo per i report al Cliente, senza profilazione.
Dati del Cliente: dati di fatturazione e spedizione, link di destinazione ed email per i report, trattati per eseguire l’ordine (art. 6.1.b), per obblighi fiscali (art. 6.1.c) e per la sicurezza del servizio di reindirizzamento (art. 6.1.f).
Conservazione: dati fiscali 10 anni; statistiche aggregate per la durata del servizio di report.

Training AI

Dati dei partecipanti: nome, email di lavoro e ruolo, che riceviamo dall’azienda cliente per organizzare le sessioni e inviare inviti e materiali. La base è l’esecuzione del contratto con l’azienda e il nostro legittimo interesse a svolgerlo bene.
Sessioni da remoto su Google Meet: valgono anche le condizioni di Google. Non registriamo le sessioni, salvo accordo scritto con l’azienda e informativa ai partecipanti.
Esercitazioni: chiediamo di usare dati di esempio. Se un partecipante inserisce dati aziendali o personali negli strumenti AI dell’azienda, lo fa secondo le regole e con gli account dell’azienda, che ne resta titolare.
Conservazione: elenchi dei partecipanti e materiali condivisi fino a 12 mesi dopo l’ultima sessione, per eventuali richiami; poi li cancelliamo.

Lead — riattivazione contatti

Il servizio riguarda il ricontatto, per conto di un’azienda o di un professionista, di persone già presenti nel suo archivio e legittimamente ricontattabili. La lista non viene raccolta attraverso questo sito: nel primo messaggio chiediamo di descriverla senza allegare dati di terzi.

Dati necessari: recapiti, nominativi, contesto del precedente interesse, documentazione sulla provenienza e sulle autorizzazioni, messaggi, risposte ed esiti utili a verificare il risultato. Chiediamo di escludere informazioni non pertinenti e dati particolari non necessari.
Ruoli e istruzioni: prima di ricevere la lista definiamo per iscritto finalità, canali, strumenti, accessi e ruoli effettivi delle parti. Quando operiamo per conto e su istruzioni del Cliente come responsabile, sottoscriviamo l’atto previsto dall’art. 28 GDPR. Il ruolo non è determinato dalla sola etichetta contrattuale; se l’assetto richiede un ruolo diverso, lo definiamo con la relativa informativa prima di avviare i contatti.
Base del ricontatto: il Cliente deve documentare i presupposti del trattamento e le autorizzazioni richieste per il canale e la finalità scelti. Il contratto con CSD Station e la consegna della lista non sostituiscono il consenso dei destinatari né le verifiche richieste. Le persone già opposte o con consenso revocato sono escluse.
Strumenti e destinatari: il trasferimento della lista e gli eventuali servizi di invio, CRM o AI si concordano prima, verificando fornitori, accessi e trasferimenti fuori dallo SEE. Non riutilizziamo la lista per nostre campagne, non la vendiamo e non la inseriamo in strumenti AI senza un accordo e le verifiche necessarie.
Opposizioni e diritti: ogni campagna prevede un modo semplice per interrompere i contatti. Registriamo e trasmettiamo al Cliente opposizioni e richieste ricevute, sospendendo i relativi ricontatti; quando agiamo come responsabile, assistiamo il titolare nella gestione dei diritti.
Conservazione: a fine incarico restituiamo o cancelliamo lista e contenuti operativi entro 30 giorni, salvo diverso termine motivato e concordato. Restano soltanto i dati necessari a obblighi di legge, tutela dei diritti e rispetto delle opposizioni, per il tempo pertinente alla relativa finalità e secondo i ruoli definiti nell’accordo.

Video & Slide

Materiali: testi, dati, immagini e bozze che ci invii, usati solo per realizzare slide e video. Non li usiamo per addestrare sistemi di intelligenza artificiale e non li carichiamo in strumenti AI se contengono dati personali.
Dati di terzi: se i tuoi materiali contengono dati di altre persone (ad esempio risposte a un questionario), inviali in forma anonima o aggregata. Per i clienti aziendali che ci affidano dati personali agiamo come responsabile del trattamento (art. 28 GDPR).
Verifica dello sconto studenti: ci basta vedere un documento che provi l’iscrizione (libretto, badge o certificato), anche in foto. Lo usiamo solo per la verifica e lo cancelliamo entro 30 giorni; teniamo traccia soltanto dell’esito, dell’ateneo e della data.
Portfolio: mostriamo un lavoro come esempio solo con il tuo consenso scritto, e senza dati personali.
Conservazione: file di lavoro e materiali fino a 90 giorni dalla consegna, per eventuali modifiche; poi li cancelliamo, salvo diversa richiesta.