Privacy, Cookie & Termini

Privacy Policy

La presente Informativa è resa ai sensi degli articoli 13 e 14 del Regolamento UE 2016/679 ("GDPR"), del D.lgs. 196/2003 come modificato dal D.lgs. 101/2018 ("Codice Privacy") e, per quanto applicabile, del Regolamento UE 2024/1689 ("AI Act"). Descrive in modo trasparente come BlueHood raccoglie, utilizza e protegge i dati personali degli utenti che visitano il sito bluehood.it, utilizzano i suoi servizi (incluse le soluzioni di Intelligenza Artificiale custom) o entrano in contatto con noi attraverso i nostri canali ufficiali.

1. Titolare del trattamento

Il Titolare del trattamento è il Sig. Luca Romani, libero professionista operante con la denominazione "BlueHood di Luca Romani", con sede legale in Viale Roma 62, 00018 Palombara Sabina (RM) e sede operativa in Via Giuseppe Ferrari 2, 00195 Roma, Italia, P.IVA 14858181002.
Per qualsiasi questione relativa al trattamento dei dati personali è possibile contattare il Titolare ai seguenti recapiti:

• E-mail: [email protected]
• PEC: [email protected]
• Telefono: +39 333 898 4682

Non è stato nominato un Responsabile della Protezione dei Dati (DPO) in quanto non ricorrono i presupposti di obbligatorietà di cui all'art. 37 GDPR. Per qualunque richiesta in materia privacy è comunque possibile rivolgersi direttamente al Titolare.

2. Definizioni essenziali

Ai fini della presente Informativa si intendono per:

• Dato personale: qualsiasi informazione riguardante una persona fisica identificata o identificabile.
• Trattamento: qualsiasi operazione compiuta su dati personali (raccolta, registrazione, conservazione, consultazione, comunicazione, cancellazione, ecc.).
• Interessato: la persona fisica cui si riferiscono i dati personali.
• Responsabile del trattamento: il soggetto che tratta dati per conto del Titolare (art. 28 GDPR).
• Sistema di IA: un sistema automatizzato come definito all'art. 3 dell'AI Act.
• Fornitore (Provider) di IA: chi sviluppa un sistema di IA per immetterlo sul mercato.
• Utilizzatore (Deployer) di IA: chi utilizza un sistema di IA sotto la propria autorità.

3. Tipologie di dati personali trattati

3.1 Dati di navigazione

I sistemi informatici e le procedure software preposte al funzionamento del sito acquisiscono, durante il normale esercizio, alcuni dati la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet. In questa categoria rientrano: indirizzi IP, tipo di browser e sistema operativo, URI richiesti, orario della richiesta, dimensione del file ottenuto, codice di stato della risposta e altri parametri tecnici. Tali dati sono utilizzati al solo fine di ricavare informazioni statistiche anonime e per controllare il corretto funzionamento e la sicurezza del sito.

3.2 Dati conferiti volontariamente tramite il form contatti

Quando l'utente compila il form di contatto presente sul sito, BlueHood tratta:

• Nome e cognome o ragione sociale
• Indirizzo e-mail
• Oggetto della richiesta (assistenza, consulenza, soluzioni AI custom, AI Automation, AI Marketing, AI Compliance / AI Act)
• Contenuto libero del messaggio
• Data e ora di invio, conferma del consenso GDPR rilasciato

L'invio della richiesta è subordinato all'accettazione esplicita della presente Informativa tramite checkbox dedicata.

3.3 Dati relativi all'Area Clienti

Per gli utenti che dispongono di un account "Area Clienti", BlueHood tratta i dati necessari all'autenticazione e alla gestione del rapporto contrattuale: e-mail o codice cliente, password (memorizzata in forma cifrata mediante algoritmi di hashing a senso unico), token di sessione, log di accesso, indirizzo IP di provenienza e cronologia delle interazioni con il pannello.

3.4 Dati conferiti via canali diretti (e-mail, telefono, WhatsApp, social)

Le comunicazioni inviate spontaneamente a [email protected], ai numeri telefonici o WhatsApp pubblicati, o tramite messaggi privati sui profili social ufficiali (Facebook, Instagram, LinkedIn) comportano il trattamento dei dati identificativi e di contatto del mittente, oltre al contenuto della comunicazione. I dati raccolti tramite WhatsApp sono altresì soggetti all'informativa di Meta Platforms Ireland Ltd.

3.5 Dati raccolti tramite cookie e strumenti di analytics

Per il dettaglio si rinvia alla Cookie Policy. In sintesi il sito utilizza cookie tecnici di sessione e, previo consenso raccolto tramite cookie banner (Google Consent Mode v2), il tag di misurazione Google Ads e il Meta Pixel per la misurazione aggregata delle conversioni delle campagne pubblicitarie.

3.6 Dati elaborati nell'ambito dei servizi resi

Nell'erogazione dei propri servizi (sviluppo siti web, e-commerce, CMS, applicazioni cross-platform, software custom, soluzioni AI) BlueHood può trattare dati personali appartenenti ai clienti o a terzi forniti dai clienti stessi. In tali casi BlueHood opera tipicamente in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di apposito atto di nomina, con istruzioni dettagliate dal Titolare-Cliente.

3.7 Dati elaborati nei sistemi di Intelligenza Artificiale

Per i servizi AI custom (automation, marketing, software con AI nativa, compliance) possono essere trattati dati personali, dati strutturati e non strutturati (testi, immagini, documenti) forniti dal Cliente o generati dall'interazione con i sistemi sviluppati. Il dettaglio è riportato al paragrafo 6.

3.8 Dati di pagamento

BlueHood non tratta direttamente dati di carte di credito o strumenti di pagamento elettronico. Le transazioni sono gestite da provider PCI-DSS certificati (Stripe, PayPal, Adyen) ai quali i dati vengono trasmessi in modo sicuro e diretto. BlueHood riceve esclusivamente metadati transazionali (importo, data, identificativo della transazione) ai fini contabili e fiscali.

Il conferimento dei dati ai punti 3.2 – 3.4 è facoltativo, ma il loro mancato conferimento può rendere impossibile per BlueHood dare riscontro alle richieste o erogare i servizi.

4. Finalità e basi giuridiche del trattamento

I dati personali sono trattati per le seguenti finalità:

Finalità	Base giuridica	Conferimento
Riscontro a richieste informative o di preventivo (form contatti, e-mail, social, WhatsApp)	Esecuzione di misure precontrattuali su richiesta dell'interessato (art. 6.1.b GDPR)	Necessario
Erogazione dei servizi contrattualizzati (sviluppo software, soluzioni AI, manutenzione, hosting, ecc.)	Esecuzione del contratto (art. 6.1.b GDPR)	Necessario
Gestione dell'Area Clienti (autenticazione, fatturazione, ticket di assistenza)	Esecuzione del contratto (art. 6.1.b GDPR)	Necessario
Adempimento di obblighi legali, fiscali, contabili, antiriciclaggio	Obbligo legale (art. 6.1.c GDPR)	Necessario
Sicurezza del sito e dei sistemi, prevenzione di frodi e abusi	Legittimo interesse del Titolare (art. 6.1.f GDPR)	Necessario
Difesa in sede giudiziaria di un diritto del Titolare	Legittimo interesse (art. 6.1.f GDPR)	Necessario
Misurazione delle conversioni pubblicitarie (Google Ads con Consent Mode v2, Meta Pixel)	Consenso dell'interessato (art. 6.1.a GDPR)	Facoltativo
Invio di comunicazioni commerciali, marketing diretto o newsletter	Consenso dell'interessato (art. 6.1.a GDPR)	Facoltativo
Adempimenti AI Act (documentazione tecnica, monitoring, gestione del rischio) per soluzioni AI sviluppate o gestite	Obbligo legale (art. 6.1.c GDPR) e legittimo interesse (art. 6.1.f GDPR)	Necessario

5. Categorie particolari di dati

BlueHood non richiede né raccoglie deliberatamente categorie particolari di dati personali ai sensi dell'art. 9 GDPR (dati relativi a salute, opinioni politiche, convinzioni religiose, orientamento sessuale, ecc.) né dati relativi a condanne penali e reati (art. 10 GDPR). Si invita l'utente a non inserire tali categorie di dati nei messaggi inviati tramite form, e-mail o canali social. Qualora fossero comunque conferiti, saranno trattati solo se necessario al riscontro della richiesta e, in ogni caso, cancellati nel più breve tempo possibile.

6. Soluzioni AI custom: informativa specifica AI Act

BlueHood progetta, sviluppa e gestisce sistemi di Intelligenza Artificiale custom (AI Automation, AI Marketing, AI Custom Software, AI Compliance) ai sensi del Regolamento UE 2024/1689 ("AI Act"). Questo paragrafo descrive il trattamento dei dati nell'ambito di tali servizi.

6.1 Ruolo di BlueHood ai sensi dell'AI Act

• Fornitore (Provider): quando BlueHood progetta o sviluppa un sistema di IA per immetterlo sul mercato o metterlo in servizio per il Cliente.
• Utilizzatore (Deployer): quando BlueHood utilizza un sistema di IA all'interno dei propri processi (ad esempio strumenti di assistenza interna, generazione di contenuti, analisi).

Per ciascun progetto BlueHood effettua una valutazione preliminare del livello di rischio del sistema (rischio minimo, limitato, alto o inaccettabile) e applica gli adempimenti previsti dall'AI Act in modo proporzionato.

6.2 Modelli e provider di IA utilizzati

A seconda del progetto, BlueHood può integrare modelli di IA forniti da terze parti tra cui (a titolo esemplificativo): OpenAI, Anthropic, Google AI, Mistral AI, modelli open-source self-hosted. La scelta del provider è guidata dai requisiti tecnici, di compliance e di localizzazione dei dati. Per i dettagli relativi a uno specifico progetto è possibile richiedere l'elenco dei provider effettivamente coinvolti e dei relativi flussi dati.

6.3 Dati trasmessi ai provider AI e principio di minimizzazione

Quando un sistema di IA elabora richieste degli utenti, l'input necessario può essere trasmesso al provider del modello. BlueHood applica il principio di minimizzazione (art. 5.1.c GDPR) e adotta le seguenti misure:

• Trasmissione esclusivamente dei dati strettamente necessari all'elaborazione richiesta.
• Utilizzo, ove disponibile, di endpoint API con politiche di "zero data retention" e con esclusione dell'uso dei dati per addestrare modelli.
• Pseudonimizzazione, mascheratura o sintesi dei dati personali prima dell'invio, ove tecnicamente possibile.
• Stipula di accordi sul trattamento dei dati (Data Processing Agreement) con i provider, comprensivi delle Clausole Contrattuali Standard (SCC) per i trasferimenti extra-UE.

6.4 No-training policy

I dati personali e i contenuti dei Clienti non vengono utilizzati per l'addestramento di modelli di IA generali. Eventuali attività di fine-tuning o di ottimizzazione di modelli su dati del Cliente vengono effettuate solo previa specifica autorizzazione contrattuale, con dati segregati e modelli ad uso esclusivo del Cliente stesso.

6.5 Profilazione e decisioni automatizzate (art. 22 GDPR)

Alcuni sistemi di IA sviluppati possono includere componenti di profilazione (ad esempio lead scoring, raccomandazione di contenuti) o di assistenza decisionale automatizzata. In tali casi:

• L'interessato è informato preventivamente in modo chiaro e accessibile.
• Sono garantiti i diritti di cui all'art. 22 GDPR, inclusi il diritto a ottenere l'intervento umano, di esprimere la propria opinione e di contestare la decisione.
• Non vengono adottate decisioni che producano effetti giuridici significativi sull'interessato basate esclusivamente su trattamenti automatizzati, in assenza di una valida base giuridica.

6.6 Trasparenza e disclosure (art. 50 AI Act)

Quando un utente interagisce con un sistema di IA sviluppato da BlueHood (chatbot, assistenti virtuali, generatori di contenuti) viene informato in modo chiaro che sta interagendo con un sistema automatizzato. I contenuti sintetici generati artificialmente (testo, immagini, audio, video) vengono contrassegnati ove richiesto dall'AI Act, anche tramite tecniche di watermarking o metadati C2PA, secondo lo stato dell'arte.

6.7 Sicurezza, robustezza e governance

BlueHood adotta misure tecniche e organizzative coerenti con gli standard di settore per la sicurezza dei sistemi di IA, tra cui: protezione contro prompt injection e jailbreak, controllo degli output, monitoraggio post-deployment, gestione delle bias, log di tracciabilità delle inferenze critiche, revisione periodica del modello e aggiornamento documentazione tecnica conforme all'allegato IV dell'AI Act per i sistemi ad alto rischio.

6.8 Limitazioni

BlueHood non sviluppa né mette in servizio sistemi di IA classificati come a rischio inaccettabile ai sensi dell'art. 5 dell'AI Act (manipolazione subliminale, social scoring, identificazione biometrica indiscriminata in spazi pubblici, ecc.).

6.9 Assistente virtuale e demo pubblica del chatbot AI

BlueHood mette a disposizione un assistente virtuale (chatbot AI), accessibile tramite una demo pubblica (es. chat.bluehood.it) e tramite un widget integrabile. Stai interagendo con un sistema di intelligenza artificiale e non con una persona (trasparenza ai sensi dell'art. 50 AI Act): le risposte sono generate automaticamente e possono contenere imprecisioni; non costituiscono consulenza professionale vincolante.

Nell'ambito dell'uso del chatbot vengono trattati:

• Contenuto dei messaggi che scrivi nella chat e le relative risposte;
• un identificativo di sessione casuale salvato nel localStorage del browser (per mantenere la conversazione; non è un cookie e non identifica la persona);
• dati tecnici quali indirizzo IP, URL della pagina e referrer, usati per sicurezza, prevenzione abusi e limiti di utilizzo (anti-spam/anti-bot);
• eventuali dati di contatto (nome, e-mail, telefono) solo se decidi di compilare il modulo di richiamo o di proseguire su WhatsApp.

Finalità e basi giuridiche: erogazione e dimostrazione del servizio e sicurezza del sistema (legittimo interesse, art. 6.1.f GDPR); gestione della tua richiesta di contatto (consenso e/o misure precontrattuali, art. 6.1.a/b GDPR).

Fornitore AI (sub-responsabile): per generare le risposte il contenuto della conversazione è trasmesso a OpenAI, Anthropic o Google (vedi Sez. 9 e 10). I dati inviati tramite API non sono utilizzati per addestrare i modelli del fornitore. Ti invitiamo a non inserire nella chat dati sensibili o riservati non necessari.

Conservazione: le conversazioni della demo sono conservate per un massimo di 90 giorni, poi cancellate automaticamente; gli eventuali lead seguono i termini della Sez. 8. Puoi esercitare i diritti della Sez. 11 scrivendo a [email protected].

7. Modalità del trattamento e misure di sicurezza

Il trattamento è effettuato con strumenti elettronici e con misure di sicurezza tecniche e organizzative idonee a garantire la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento (art. 32 GDPR). In particolare:

• Crittografia dei dati in transito (TLS 1.2+) e a riposo, ove applicabile.
• Hashing delle password con algoritmi di derivazione adattivi.
• Controllo degli accessi basato sul principio del minimo privilegio.
• Backup periodici e procedure di disaster recovery.
• Aggiornamento costante dei sistemi e patching delle vulnerabilità.
• Formazione continua del personale autorizzato al trattamento.
• Procedura di gestione degli incidenti di sicurezza con notifica all'Autorità di controllo entro 72 ore (artt. 33-34 GDPR).

8. Conservazione dei dati

I dati sono conservati per il tempo strettamente necessario al raggiungimento delle finalità per cui sono stati raccolti, e comunque secondo i seguenti criteri massimi:

• Dati form contatti e richieste informative: massimo 24 mesi dalla chiusura del riscontro, salvo evoluzione in rapporto contrattuale.
• Dati contrattuali, fiscali e contabili: 10 anni dalla cessazione del rapporto, ai sensi della normativa civilistica e tributaria.
• Dati Area Clienti: per la durata del rapporto contrattuale e successivamente per il tempo necessario all'adempimento degli obblighi legali.
• Log di navigazione e di sicurezza: massimo 12 mesi.
• Log di sistemi AI (input/output, decisioni rilevanti): durata definita per ciascun progetto in base al livello di rischio AI Act, con un minimo di 6 mesi per i sistemi ad alto rischio (art. 12 AI Act).
• Conversazioni della demo pubblica del chatbot AI: massimo 90 giorni, poi cancellazione automatica (cfr. § 6.9).
• Dati per finalità di marketing (previo consenso): fino a revoca del consenso e comunque non oltre 24 mesi dall'ultima interazione.
• Dati per la difesa in giudizio: per la durata necessaria alla tutela del diritto, fino al passaggio in giudicato della relativa controversia.

Al termine dei periodi indicati i dati sono cancellati o anonimizzati in modo irreversibile.

9. Comunicazione dei dati e Responsabili del trattamento

I dati possono essere comunicati a soggetti terzi opportunamente designati come Responsabili del trattamento ai sensi dell'art. 28 GDPR, sulla base di contratti che ne disciplinano natura, finalità, durata e misure di sicurezza. Le principali categorie di destinatari sono:

• Provider di hosting e infrastruttura cloud (es. Oracle Cloud, Google Cloud, fornitori europei).
• Provider di posta elettronica e PEC.
• Provider di misurazione e advertising (Google Ireland Ltd per Google Ads, Meta Platforms Ireland Ltd per il Meta Pixel e le campagne su Facebook e Instagram).
• Provider di pagamento (Stripe Payments Europe Ltd, PayPal (Europe) S.à r.l. et Cie, Adyen N.V.): i dati di pagamento sono trasmessi direttamente ai provider.
• Provider di messaggistica e SMS (incluso WhatsApp Business / Meta Platforms Ireland Ltd, provider SMS API).
• Provider di servizi pubblicitari e social (Meta Platforms, LinkedIn, Google) per le campagne sponsorizzate erogate per i Clienti.
• Provider di modelli di Intelligenza Artificiale (OpenAI, Anthropic, Google AI, Mistral AI o altri, secondo il progetto).
• Consulenti professionali in ambito legale, fiscale, contabile e tecnico, vincolati al segreto professionale.
• Pubbliche autorità, qualora ciò sia richiesto dalla legge o da provvedimento dell'Autorità.

L'elenco aggiornato e nominativo dei Responsabili del trattamento è disponibile su richiesta scritta inviata a [email protected].

I dati personali non vengono in nessun caso ceduti, venduti o diffusi a terzi per finalità di marketing autonome.

10. Trasferimenti di dati al di fuori dello Spazio Economico Europeo

Alcuni Responsabili del trattamento (in particolare provider di analytics e di modelli AI) hanno sede negli Stati Uniti o in altri Paesi extra-SEE. In tali casi il trasferimento avviene esclusivamente nel rispetto del Capo V GDPR (artt. 44 e seguenti), ovvero:

• Verso Paesi oggetto di decisione di adeguatezza della Commissione Europea (art. 45 GDPR), incluso il EU-U.S. Data Privacy Framework per i provider statunitensi certificati.
• Mediante Clausole Contrattuali Standard approvate dalla Commissione Europea (art. 46 GDPR), affiancate da misure supplementari ove necessarie.
• Sulla base di una delle deroghe di cui all'art. 49 GDPR, in casi specifici e residuali.

Una copia delle garanzie adottate è disponibile su richiesta.

11. Diritti dell'interessato

In ogni momento l'interessato può esercitare nei confronti del Titolare i diritti previsti dagli articoli 15 – 22 GDPR:

• Accesso ai propri dati personali (art. 15).
• Rettifica dei dati inesatti o integrazione di quelli incompleti (art. 16).
• Cancellazione ("diritto all'oblio") quando ricorrano le condizioni di legge (art. 17).
• Limitazione del trattamento (art. 18).
• Portabilità dei dati in formato strutturato, di uso comune e leggibile da dispositivo automatico (art. 20).
• Opposizione al trattamento basato sul legittimo interesse o per finalità di marketing diretto (art. 21).
• Diritto di non essere sottoposto a decisioni unicamente automatizzate che producano effetti giuridici o significativi sull'interessato (art. 22), incluso il diritto a ottenere l'intervento umano.
• Revoca del consenso in qualsiasi momento, senza pregiudizio per la liceità del trattamento basata sul consenso prestato prima della revoca (art. 7.3).

Per esercitare tali diritti è sufficiente inviare una richiesta scritta a [email protected], allegando una copia di un documento di identità in corso di validità ove necessario per verificare l'identità del richiedente. La risposta sarà fornita senza ingiustificato ritardo e comunque entro 30 giorni dalla ricezione della richiesta, salvo proroga nei casi previsti dal GDPR.

12. Reclamo all'Autorità di controllo

Qualora l'interessato ritenga che il trattamento dei propri dati personali violi il GDPR o la normativa nazionale, ha il diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it), ferma restando ogni altra forma di tutela amministrativa o giurisdizionale.

13. Minori

I servizi offerti da BlueHood sono rivolti a soggetti maggiorenni e, in particolare, a operatori professionali. Il Titolare non raccoglie consapevolmente dati personali di minori di 14 anni (soglia di cui all'art. 2-quinquies del Codice Privacy). Qualora venisse rilevata la presenza di dati personali di minori conferiti in assenza del consenso del genitore o di chi esercita la responsabilità genitoriale, il Titolare provvederà alla loro cancellazione tempestiva.

14. Modifiche alla presente Informativa

BlueHood si riserva il diritto di aggiornare la presente Informativa in qualsiasi momento per riflettere modifiche dei servizi, delle tecnologie utilizzate o della normativa applicabile. Le modifiche sono efficaci dal momento della loro pubblicazione sul sito. In caso di modifiche sostanziali, gli utenti registrati saranno informati anche mediante e-mail. Si invita comunque l'utente a consultare periodicamente questa pagina, indicata in fondo dalla data di ultimo aggiornamento.

15. Contatti

Per qualsiasi domanda o richiesta in merito alla presente Informativa o al trattamento dei dati personali è possibile contattare il Titolare ai seguenti recapiti:

• E-mail: [email protected]
• Telefono: +39 333 898 4682
• Indirizzo: sede legale Viale Roma 62, 00018 Palombara Sabina (RM); sede operativa Via Giuseppe Ferrari 2, 00195 Roma

Versione 2.0, in vigore dal 29 aprile 2026.

Termini e Condizioni

L'utilizzo del sito bluehood.it e l'invio di richieste tramite i canali messi a disposizione comportano l'accettazione dei seguenti Termini e Condizioni.

1. Oggetto

BlueHood offre servizi di sviluppo software, consulenza tecnologica, soluzioni di Intelligenza Artificiale custom (automation, marketing, compliance) e servizi correlati. Le condizioni economiche e operative dei singoli progetti sono regolate da specifico contratto stipulato con il cliente.

2. Utilizzo del sito

L'utente si impegna a utilizzare il sito nel rispetto delle leggi vigenti e in modo tale da non arrecare danno o pregiudicare il regolare funzionamento del servizio. È vietato qualsiasi uso fraudolento, automatizzato non autorizzato o lesivo dei diritti di terzi.

3. Proprietà intellettuale

Tutti i contenuti del sito (testi, grafica, loghi, codice, immagini) sono di proprietà di BlueHood o dei rispettivi titolari e sono protetti dalle normative vigenti in materia di proprietà intellettuale. È vietata qualsiasi riproduzione, anche parziale, senza preventiva autorizzazione scritta.

4. Limitazione di responsabilità

Pur impegnandosi a mantenere il sito aggiornato e privo di errori, BlueHood non garantisce l'assenza di interruzioni o malfunzionamenti né l'esattezza e la completezza delle informazioni pubblicate. L'utilizzo del sito avviene a esclusivo rischio dell'utente.

5. Foro competente e legge applicabile

I presenti Termini sono regolati dalla legge italiana. Per ogni controversia inerente al sito o ai servizi è competente in via esclusiva il Foro di Roma.