Privacy Policy

Funzionamento e collegamento degli asset

Le aziende collegano i propri asset mediante le procedure ufficiali Meta e non devono condividere password con Breaking Agent. Sono richiesti soltanto gli asset e i permessi necessari alla funzione attivata. Gli assistenti automatizzati rispondono per conto dell'azienda e gli operatori autorizzati possono subentrare nella conversazione.

Breaking Agent intende utilizzare due developer app Meta distinte, una per ciascun brand, sotto il medesimo soggetto e Business Portfolio se consentito da Meta. Gli account e gli asset collegati non diventano proprietà di Breaking Agent.

Ruoli privacy

• Riccardo Cascone è Titolare per il sito, i rapporti B2B, i referenti, il contratto, la fatturazione, il supporto, la configurazione, la sicurezza, i token e l'amministrazione delle integrazioni.
• Il cliente è normalmente Titolare per conversazioni, lead, prenotazioni, ordini e operazioni svolte dall'agente per suo conto; determina finalità, base giuridica e durata principale e fornisce la propria informativa agli utenti. Breaking Agent opera come Responsabile sulla base di un accordo ai sensi dell'articolo 28 GDPR e questa policy non sostituisce l'informativa del cliente.
• L'Interessato può rivolgersi al cliente Titolare. Breaking Agent lo assiste ed è disponibile a instradare correttamente le richieste ricevute direttamente.
• I fornitori infrastrutturali o funzionali possono essere sub-responsabili. Meta, Stripe e altri soggetti possono anche agire come titolari autonomi per finalità proprie, obblighi normativi, sicurezza, pagamenti o gestione della piattaforma.

Dati Meta e due app dedicate

Il modello target prevede due app Meta distinte, una per Breaking Agent e una per Chat for Food, riferite alla medesima attività quando consentito dai requisiti Meta. L'app Chat for Food risulta allo stato documentale in sviluppo: la presente informativa non ne attesta l'approvazione o l'operatività in produzione.

• dati dell'azienda e degli asset: Business Portfolio e identificativi, WABA ID e nome, numero WhatsApp e phone number ID, Page ID e nome Pagina, Instagram account ID e username, token e autorizzazioni, stato dei template e dell'account, webhook e notifiche tecniche;
• dati delle persone, secondo canale e funzioni: numero WhatsApp, identificativi Messenger/Facebook/Instagram, nome profilo o username, testo, audio e trascrizione, immagini, documenti e allegati, posizione solo se inviata, risposte a pulsanti o moduli, commenti usati come trigger, timestamp, stati di invio/consegna/lettura e dati tecnici;
• dati comunicati durante l'interazione: nome, telefono, email, preferenze di appuntamento, informazioni sul lead, dettagli dell'ordine, indirizzo di consegna e note necessarie alla richiesta.

Quando gli asset Meta sono forniti dal cliente, Business Portfolio, WABA, numero, Pagina e profilo Instagram restano del cliente. Disconnettere l'app interrompe gli accessi futuri autorizzati, ma non cancella automaticamente i dati già conservati: si applica la procedura pubblica di cancellazione dei dati.

Finalità e uso dei dati Meta

I dati sono utilizzati per fornire, proteggere e mantenere il servizio richiesto dal cliente: gestione e risposta automatizzata delle conversazioni, passaggio a operatore, qualifica dei lead, appuntamenti, ordini e pagamenti se attivi, conferme e reminder, template WhatsApp e follow-up nei limiti delle istruzioni del cliente, della base giuridica applicabile e delle policy Meta, statistiche aggregate, sicurezza, prevenzione degli abusi, gestione dei limiti, manutenzione e troubleshooting.

Breaking Agent non determina la base giuridica delle campagne marketing del cliente. I dati Meta non sono venduti, concessi in licenza per finalità proprie estranee al servizio o usati da Breaking Agent per propria pubblicità comportamentale; sono condivisi solo con fornitori necessari, soggetti autorizzati e destinatari previsti dalla legge, nel rispetto dei termini Meta e WhatsApp applicabili.

Funzioni di intelligenza artificiale

Alcune risposte sono generate automaticamente. L'utente viene informato che interagisce con un assistente digitale e può chiedere l'intervento umano. I servizi possono usare modelli linguistici, trascrizione, ricerca vettoriale o reranking solo quando la funzione è abilitata. Il contesto inviato dipende dal profilo configurato; si applicano minimizzazione, separazione per progetto e istruzioni volte a non inviare dati non necessari. Nelle configurazioni che prevedono la minimizzazione preventiva, gli identificativi sono rimossi o sostituiti prima del modello, senza presentare tale esclusione come assoluta finché i test end-to-end non sono completi.

OpenAI/Whisper, Pinecone e SerpAPI sono condizionali; Cohere riceve nei workflow documentati una query e brevi snippet candidati, non l'intera cronologia. Pinecone è destinato a FAQ, procedure e documenti di knowledge base, non ai singoli lead, ma i documenti aziendali possono contenere dati personali incidentali.

Non dichiariamo Zero Data Retention, Modified Abuse Monitoring o analoghe configurazioni se non risultano abilitate nel singolo progetto. Le risposte dell'agente supportano attività informative e operative; non sono destinate ad assumere decisioni unicamente automatizzate con effetti giuridici o analogamente significativi sull'Interessato.

Sicurezza, separazione e trasferimenti

Sono adottate misure proporzionate al rischio, tra cui connessioni protette in transito, accessi individuali e limitati, MFA sugli account critici, credenziali gestite tramite Bitwarden, variabili d'ambiente e API key/token protetti secondo il sistema, minimizzazione dei log, segregazione logica per progetto ove configurata, backup cifrati e ad accesso ristretto e procedure di gestione degli incidenti. Nessuna misura può eliminare ogni rischio e le configurazioni sono verificate periodicamente.

La regione principale dichiarata per i servizi Railway è Europe West (Amsterdam). Cloudflare R2 usa l'hint EEUR, che non costituisce garanzia di giurisdizione esclusivamente UE. Alcuni fornitori possono trattare dati fuori dal SEE; in tali casi si applicano, secondo il fornitore e il flusso, decisioni di adeguatezza, Clausole Contrattuali Standard e misure supplementari previste dai DPA.

Trasparenza sui fornitori e cancellazione

L'elenco condiviso di fornitori attivi, condizionali e piattaforme collegate, con ruoli, localizzazioni e garanzie dichiarate, è disponibile nella pagina Subprocessors. I campi di audit interno e le attività di verifica non sono pubblicati nel registro web.

Le richieste di cancellazione possono essere inviate a info@breakingagent.ai. Se Breaking Agent tratta per conto di un cliente, la richiesta viene coordinata con il cliente Titolare. Non viene presentato un comando “delete memory” come procedura ai sensi dell'articolo 17, perché la cancellazione end-to-end automatica non risulta ancora verificata.

L'azienda può revocare l'integrazione dalle impostazioni del proprio account o Business Portfolio Meta e chiedere la revoca dei token, la restituzione o la cancellazione dei dati secondo il contratto. Non viene promesso un comando di scollegamento nel pannello finché tale funzione non è verificata.