Documenti legali

Informativa privacy

Versione dell’11 ottobre 2026 · Termini e condizioni

Custodo conserva i documenti, la posta e i dati commerciali di aziende italiane. Questa pagina dice quali dati tratta, dove stanno fisicamente, chi li tratta per nostro conto, per quanto tempo restano e — la parte che nessun altro gestionale ha ancora dovuto scrivere — che cosa succede esattamente quando colleghi un assistente AI.

Chi tratta i dati

Il titolare del trattamento è Archiva Srl, la società che sviluppa ed eroga Custodo, con sede legale in Via Spagna 24, 37069 Villafranca di Verona (VR), codice fiscale e partita IVA 03237470236, iscritta al Registro delle Imprese di Verona con il numero REA VR-319751. PEC: [email protected].

Per qualunque questione relativa ai dati personali si scrive a [email protected]. In questa pagina «Custodo» e «noi» indicano Archiva Srl.

Ruoli: quando siamo responsabili e quando titolari

La distinzione conta, perché cambia a chi ci si rivolge per esercitare un diritto.

• I dati dentro l’applicazione — i documenti che carichi, la posta che ricevi, i tuoi clienti, le tue note spese — restano tuoi. Su quelli l’azienda cliente è il titolare e Custodo è responsabile del trattamento ai sensi dell’art. 28 GDPR: li trattiamo solo per erogare il servizio e solo secondo le tue istruzioni. Se sei un dipendente, un fornitore o un cliente di un’azienda che usa Custodo e vuoi esercitare un diritto, l’interlocutore è quell’azienda, non noi; noi la assistiamo.
• I dati del rapporto commerciale — chi ha aperto l’account, la fatturazione, i log di accesso, le comunicazioni di servizio — sono trattati da noi in qualità di titolari.

Quali dati trattiamo

Categoria	Che cosa contiene
Account e organizzazione	Nome e cognome, email, ruolo e permessi, reparto, metodo di autenticazione (password, SSO aziendale), preferenze di lingua e fuso.
Dati dell’azienda cliente	Ragione sociale, partita IVA verificata tramite VIES, sede, referenti, il contratto firmato in fase di registrazione.
Contenuti dell’archivio	I file caricati e ogni loro versione, il testo estratto, i metadati che l’AI ricava (importi, date, controparti) e quelli che correggi a mano.
Email e PEC	Messaggi, allegati, ricevute di consegna, etichette, e le credenziali delle caselle configurate — cifrate, mai in chiaro.
WhatsApp	I numeri che l’organizzazione collega e la sessione che li tiene collegati; per ogni chat il numero e il nome del profilo della persona; il testo dei messaggi inviati e ricevuti, con data e ora, stato di consegna e chi li ha scritti; di foto, messaggi vocali e documenti il tipo, il nome e la dimensione. Il collegamento passa da un servizio che gira sui nostri server e che conserva anche i file ricevuti; un file ricevuto entra nell’archivio solo quando risponde a una richiesta di Raccolta documenti. I messaggi viaggiano sul servizio WhatsApp a cui il numero dell’organizzazione è registrato, come quelli scritti dal telefono.
Anagrafiche	Aziende e persone con cui l’organizzazione lavora — clienti, fornitori, agenti, dipendenti, collaboratori, consulenti: denominazione o nome, partita IVA e codice fiscale, contatti, indirizzi, ruoli, note, la base giuridica dichiarata e i collegamenti a documenti e messaggi. Le anagrafiche con un ruolo riservato, come i dipendenti, le vede solo chi ha il permesso apposito.
CRM	Trattative, attività e note commerciali, riferite alle anagrafiche.
Note spese	Giustificativi, importi, categorie, percorsi chilometrici e i rimborsi di ciascuna persona.
Firme	Documenti inviati alla firma, dati dei firmatari, esiti e marche temporali.
Log e audit	Chi ha fatto cosa e quando: accessi, download, modifiche, chiamate degli assistenti AI. È una catena con hash concatenati, pensata per non poter essere riscritta.
Diagnostica dell’applicazione	Gli errori che l’app web e l’app per telefono incontrano, e i tempi di caricamento delle pagine dell’app web. Partono da soli, senza che nessuno apra una richiesta di assistenza: il messaggio d’errore ripulito di indirizzi email, numeri, codici e testi tra virgolette, la posizione nel codice, la schermata come modello (per esempio «/documents/:id», mai l’indirizzo completo), il tipo di app e la sua versione. Non contengono l’organizzazione né la persona, né il contenuto di documenti, ricerche o campi compilati.
Fatturazione	Piano, moduli attivi, consumi e stato dei pagamenti. Gli estremi della carta non passano dai nostri sistemi: li gestisce Stripe.

Perché, e su quale base giuridica

• Esecuzione del contratto (art. 6.1.b GDPR) — erogare il servizio, tenere l’archivio, inviare e ricevere la posta, emettere le fatture.
• Obblighi di legge (art. 6.1.c) — conservazione fiscale, conservazione a norma quando il modulo è attivo, contabilità.
• Legittimo interesse (art. 6.1.f) — sicurezza della piattaforma, prevenzione degli abusi, log tecnici, la diagnostica automatica degli errori dell’applicazione, e il miglioramento del servizio a partire da dati aggregati che non identificano nessuno.
• Consenso (art. 6.1.a) — solo dove serve davvero: l’iscrizione alla lista d’attesa sul sito, e l’attivazione di un assistente AI esterno, che il singolo utente autorizza da una schermata dedicata.

Dove stanno i dati

L’applicazione, il database e la posta girano su server virtuali privati (VPS) nell’Unione europea, e nell’Unione europea restano anche le copie di backup del database. I file dell’archivio sono conservati su Cloudflare R2: i contenitori che li ospitano non sono vincolati alla giurisdizione dell’Unione europea, quindi Cloudflare può conservarli anche fuori dall’UE, con le garanzie descritte in Trasferimenti fuori dall’Unione europea. I pacchetti della conservazione a norma stanno invece in un contenitore vincolato alla giurisdizione dell’Unione europea.

Il contenuto dei documenti che l’AI del prodotto analizza è elaborato da OpenAI negli Stati Uniti: per questo servizio non è attiva la residenza dei dati nell’Unione europea.

Chi li tratta per nostro conto

Questi sono tutti i fornitori che trattano dati per erogare Custodo. L’elenco è completo: se un fornitore non è qui, non riceve dati.

Fornitore	Che cosa fa	Dove
OpenAI	Legge i documenti per estrarne i campi e fa funzionare gli agenti AI. È il fornitore a cui arriva il contenuto dei documenti.	Stati Uniti
Cloudflare	Archiviazione dei file (R2), CDN e DNS, hosting del sito, verifica anti-bot con Turnstile e gestione tecnica delle richieste dei moduli di contatto.	UE / globale
Fornitore dei server (VPS)	I server virtuali privati su cui gira tutto il resto.	UE
Stripe	Abbonamenti, incassi e strumenti di pagamento.	Irlanda / Stati Uniti
Commissione europea (VIES)	Verifica della partita IVA in fase di registrazione.	UE
Brevo	Invio delle richieste di demo e delle proposte di moduli personalizzati ricevute dal sito pubblico al referente commerciale. Nessuna iscrizione automatica a newsletter.	UE
PostHog	Statistiche di utilizzo e registrazione delle sessioni di navigazione del sito custodo.ai, solo se il visitatore le accetta dal banner dei cookie. Non riceve dati dell’applicazione.	UE (Germania)
OpenFreeMap	Disegna la mappa su cui si colloca una sede in Timbratura. Il browser di chi configura la sede chiede le immagini della mappa direttamente ai suoi server, che vedono l’indirizzo IP e la zona mostrata; nessun dato dell’applicazione e nessun cookie.	UE (Ungheria) / CDN globale

Il riconoscimento ottico dei documenti, l’autenticazione, l’invio della posta in uscita, il collegamento dei numeri WhatsApp, la validazione delle firme e la diagnostica degli errori dell’applicazione girano sui nostri stessi server: per queste funzioni non esiste un fornitore terzo e nessun dato esce. Il sigillo elettronico qualificato e le marche temporali del modulo Firme li appone il servizio di firma della stessa Archiva Srl, in Italia.

Il trattamento affidato a ciascun fornitore è regolato dalle condizioni sulla protezione dei dati che quel fornitore applica ai propri clienti. Il cliente che vuole formalizzare con Archiva Srl l’accordo di nomina a responsabile del trattamento (art. 28 GDPR) lo richiede a [email protected].

Assistenti AI, agenti e integrazioni

Questa sezione è la ragione per cui questa pagina esiste in questa forma, e va letta anche se non si legge il resto.

L’AI che fa parte del prodotto

Quando carichi un documento, Custodo lo legge per capire di che tipo è e per estrarne i campi. Il riconoscimento del testo avviene sui nostri server; l’estrazione dei campi è affidata a OpenAI, a cui viene inviato il contenuto del documento. I contenuti dei clienti non vengono usati per addestrare modelli.

L’assistente che colleghi tu

Custodo può essere collegato a un assistente AI esterno — Claude, o qualunque altro client che parli il protocollo MCP. Quando lo fai:

• è un singolo utente a deciderlo, da una schermata che elenca per nome i permessi che sta prestando e quanti strumenti ciascuno abilita, quanti scrivono e quanti cancellano;
• l’assistente non può mai fare più di quanto quella persona possa già fare: i permessi vengono ricalcolati a ogni singola chiamata sull’organizzazione in cui agisce;
• il contenuto dei documenti e dei messaggi che l’assistente legge arriva al fornitore di quell’assistente, e su quei dati vale la sua informativa, non la nostra. È un rapporto che il cliente instaura direttamente;
• ogni chiamata finisce nel registro, con la credenziale usata e l’esito, e un amministratore può revocare l’autorizzazione o spegnere del tutto l’accesso degli assistenti per l’intera organizzazione.

Lo stesso vale per le chiavi API e per gli agenti automatici: sono credenziali che non superano mai i permessi della persona che le ha create.

Per quanto tempo li conserviamo

• I documenti restano finché li tieni. Ogni tipo di documento ha una durata di conservazione che decidi tu, e un documento sotto blocco legale non si cancella nemmeno volendo.
• Le versioni di un documento non vengono sovrascritte: ogni versione resta com’era.
• Il registro di audit è concatenato con hash e non viene cancellato selettivamente: è ciò che permette di dimostrare chi ha fatto cosa.
• I log tecnici e il registro delle chiamate degli assistenti hanno una finestra configurabile dall’organizzazione; il riepilogo mensile aggregato resta.
• La diagnostica dell’applicazione — errori e tempi di caricamento, raccolti per ora e senza nulla che identifichi l’organizzazione o la persona — si cancella da sola dopo 90 giorni.
• I dati fiscali e contabili per il tempo imposto dalla legge italiana.
• Alla cessazione del contratto i dati vengono restituiti o cancellati secondo quanto previsto dai Termini.

Come li proteggiamo

• Isolamento fra clienti a livello di database. Non è un filtro applicativo che qualcuno può dimenticare: ogni riga è protetta da politiche PostgreSQL di row-level security e l’utenza applicativa non ha il privilegio di aggirarle.
• Credenziali sigillate. Le password delle caselle di posta e i segreti di firma sono cifrati con una chiave dedicata e non sono leggibili nemmeno da chi legge il database.
• Traffico cifrato in transito, sempre.
• Permessi granulari per persona e per reparto, autenticazione con SSO aziendale dove richiesto, e sessioni con scadenza configurabile.
• Audit non riscrivibile e versioni sigillate sul contenuto reale del file.

Non dichiariamo certificazioni che non abbiamo.

Trasferimenti fuori dall’Unione europea

I fornitori che possono trattare dati fuori dall’Unione europea sono quelli indicati come tali nella tabella dei fornitori: in particolare OpenAI, negli Stati Uniti, che riceve il contenuto dei documenti da analizzare; Cloudflare, i cui contenitori dell’archivio non sono vincolati all’UE e la cui rete è globale; e Stripe, per i pagamenti.

Il trasferimento avviene con le garanzie previste dal capo V del GDPR: la decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework) per i fornitori che vi aderiscono e, in ogni caso, le clausole contrattuali standard adottate dalla Commissione europea, previste dalle condizioni sulla protezione dei dati di ciascun fornitore.

I tuoi diritti

Puoi chiedere l’accesso ai tuoi dati, la loro rettifica o cancellazione, la limitazione o l’opposizione al trattamento, e la portabilità in un formato leggibile da una macchina (artt. 15–22 GDPR). Puoi revocare in qualsiasi momento un consenso che hai dato, senza che questo tocchi la liceità di quanto fatto prima.

Le richieste vanno a [email protected] e ricevono risposta entro un mese. Se i dati riguardano la tua attività dentro l’ambiente di un’azienda che usa Custodo, la richiesta va indirizzata a quell’azienda: noi siamo il suo responsabile e la assistiamo. Resta sempre possibile proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Il sito custodo.ai

Il sito pubblico non usa cookie di profilazione e non ha strumenti di tracciamento pubblicitario. I moduli delle richieste usano Cloudflare Turnstile per verificare che l’invio non sia automatizzato, prima di trasmettere la richiesta al referente commerciale. Nelle pagine di approfondimento salva nel browser la preferenza di lingua.

Cookie e statistiche di utilizzo

Il sito usa cookie tecnici, necessari al suo funzionamento: la verifica antispam dei moduli, la preferenza di lingua e la registrazione della scelta che fai sul banner dei cookie. Per questi non è richiesto il consenso.

Solo se lo accetti dal banner, il sito usa anche cookie analitici per capire quali pagine vengono visitate e su quali elementi si clicca, e migliorare il sito di conseguenza. Lo strumento è PostHog, con i dati ospitati nell’Unione europea. Finché non dai il consenso non viene caricato alcun componente di PostHog e non viene scritto alcun cookie analitico. Non vengono creati profili utente e i valori digitati nei campi dei moduli sono sempre oscurati.

Con lo stesso consenso PostHog registra anche le sessioni di navigazione sulle pagine del sito: i movimenti del puntatore, i clic, lo scorrimento e il passaggio da una pagina all’altra, per rivedere dove una pagina non è chiara o un pulsante non risponde. I valori digitati nei campi dei moduli vengono oscurati nel browser prima dell’invio: la registrazione non contiene quindi l’email, l’azienda, il nome o il testo di una richiesta. Insieme alla registrazione vengono raccolti i tempi di caricamento delle risorse della pagina, i messaggi tecnici della console del browser e gli eventuali errori della pagina. Le registrazioni sono conservate per 30 giorni e poi cancellate automaticamente. Se scegli «Solo necessari» non viene avviata alcuna registrazione.

Puoi cambiare idea in qualsiasi momento dal collegamento «Preferenze cookie» presente in fondo a ogni pagina: revocando il consenso il sito smette di raccogliere statistiche, interrompe la registrazione della sessione e cancella i cookie analitici già presenti nel tuo browser.

Quando richiedi una demo o proponi un modulo, l’email, l’azienda, il nome facoltativo e il testo della richiesta vengono trasmessi tramite Brevo al referente commerciale per risponderti e valutare la tua esigenza. L’invio non ti iscrive a una newsletter. Puoi esercitare i diritti descritti in questa informativa.

Modifiche a questa informativa

Quando cambia qualcosa di sostanziale — un nuovo fornitore che tratta contenuti, una finalità nuova — aggiorniamo questa pagina e ne diamo notizia ai clienti prima che la modifica abbia effetto. La data in testa alla pagina è quella dell’ultima versione.