Informativa sulla Privacy — HeyChat

Ultimo aggiornamento: 6 settembre 2026 Versione: 1.1

---

1. Chi siamo

HeyChat è un servizio software-as-a-service (SaaS) che consente a professionisti e aziende di gestire conversazioni WhatsApp Business con i propri clienti finali utilizzando un assistente conversazionale basato su intelligenza artificiale.

Il servizio è offerto da:

RMS GROUP SRLS (“Titolare”, “noi”) Sede legale: Piazza Montessori 11 — 80011 Acerra (NA), Italia Uffici tecnici: Via G. Falcone 43 — 80016 Marano di Napoli (NA), Italia P.IVA / Codice Fiscale: 09624941218 PEC: rmsgroupsrl@pec.cgn.it Email contatto privacy: privacy@heychat.it

Per qualsiasi richiesta relativa al trattamento dei tuoi dati personali, scrivi a privacy@heychat.it oppure invia comunicazione formale tramite PEC.

1.1 Responsabile della Protezione dei Dati (DPO)

RMS GROUP SRLS non ha designato un Responsabile della Protezione dei Dati. La nomina del DPO non è obbligatoria ai sensi dell’art. 37 del Regolamento (UE) 2016/679 (“GDPR”), in quanto le nostre attività non rientrano tra quelle che richiedono designazione obbligatoria (non svolgiamo trattamenti su larga scala di dati particolari, né monitoraggio sistematico su larga scala di interessati).

Le richieste degli interessati sono gestite direttamente dal Titolare all’indirizzo privacy@heychat.it.

---

2. A chi si rivolge questa informativa

HeyChat tratta dati personali di due categorie distinte di soggetti, con ruoli differenti:

Questa informativa illustra in dettaglio entrambe le categorie. Se sei un Cliente HeyChat, ti riguarda l’intera informativa. Se sei un cliente finale di uno dei nostri Clienti, riguardano te in particolare le sezioni 4 e 9.

---

3. Quali dati raccogliamo dai Clienti HeyChat

Quando ti registri e usi HeyChat come titolare di un account, raccogliamo e trattiamo i seguenti dati:

3.1 Dati di registrazione e account

• Nome e cognome del referente
• Ragione sociale
• Partita IVA e Codice Fiscale
• Indirizzo della sede operativa
• Email
• Numero di telefono
• Settore di attività (tra le 14 macro-categorie disponibili)
• Password (cifrata, mai conservata in chiaro)

3.2 Dati di pagamento

• Tipologia di metodo di pagamento (carta, addebito diretto SEPA, PayPal)
• Identificativo del cliente presso il provider di pagamento (Stripe Customer ID, PayPal Subscription ID)
• Storico delle transazioni e delle fatture

Importante: non vediamo né conserviamo i numeri completi della tua carta di credito, il CVV, le credenziali di accesso al tuo conto corrente o di PayPal. Queste informazioni sono trattate esclusivamente da Stripe Payments Europe Ltd. e PayPal (Europe) S.à r.l. et Cie, S.C.A., titolari autonomi del trattamento dei dati di pagamento.

3.3 Dati di utilizzo del servizio

• Numero WhatsApp Business collegato
• Configurazioni dell’assistente AI (testi di benvenuto, orari di apertura, listino, FAQ, ecc.)
• Log di accesso al pannello (data, ora, indirizzo IP)
• Metriche di utilizzo (numero di conversazioni, ticket aperti, appuntamenti gestiti)

3.4 Comunicazioni di assistenza

• Messaggi scambiati con il nostro supporto via email, WhatsApp o telefono
• Eventuali documentazione tecnica fornita per la risoluzione di problemi

---

4. Quali dati trattiamo dei clienti finali (per conto del Cliente HeyChat)

Quando uno dei nostri Clienti HeyChat collega il proprio numero WhatsApp Business al servizio, trattiamo per suo conto i dati dei suoi clienti finali (le persone che gli scrivono via WhatsApp):

• Numero di telefono WhatsApp
• Nome del profilo WhatsApp (così come impostato dal cliente finale)
• Contenuto integrale dei messaggi scambiati (testo, immagini, audio, documenti, sticker)
• Trascrizione automatica degli audio (effettuata tramite OpenAI Whisper)
• Eventuali appuntamenti prenotati e dati anagrafici forniti per la prenotazione
• Ticket di assistenza generati automaticamente dalla conversazione
• Metadati (data, ora, tipo di messaggio, stato di lettura)

Ruolo di HeyChat su questi dati. Per i dati dei clienti finali, RMS GROUP SRLS agisce come Responsabile del trattamento ai sensi dell’art. 28 GDPR, nominato dal Cliente HeyChat (che è il Titolare) attraverso l’accettazione dei nostri Termini di Servizio, che valgono anche come Accordo sul Trattamento dei Dati (DPA).

I clienti finali che desiderano esercitare i propri diritti GDPR devono rivolgersi prima di tutto al Cliente HeyChat (il professionista o l’azienda con cui stanno comunicando via WhatsApp), che è il vero Titolare di quei dati. Su richiesta del Cliente HeyChat, noi forniamo l’assistenza tecnica necessaria.

---

5. Perché trattiamo i tuoi dati (finalità) e su quale base giuridica

Per i Clienti HeyChat:

Per i clienti finali dei Clienti HeyChat:

Trattiamo i loro dati esclusivamente sulla base delle istruzioni del Cliente HeyChat (che è il loro Titolare), per le finalità descritte nell’informativa che il Cliente HeyChat deve fornire ai propri contatti (es. nella propria privacy policy aziendale, cartelli in negozio, primo messaggio automatico via WhatsApp).

---

6. Per quanto tempo conserviamo i tuoi dati

Decorsi i termini, i dati vengono cancellati o resi anonimi in via permanente.

---

7. Con chi condividiamo i tuoi dati

Per erogare il servizio ci avvaliamo di fornitori tecnici qualificati, ciascuno nominato Responsabile del trattamento o sub-Responsabile ai sensi dell’art. 28 GDPR. Tutti i nostri fornitori sono vincolati da contratti che impongono adeguate misure di sicurezza.

La lista aggiornata dei sub-Responsabili è disponibile su richiesta scritta a privacy@heychat.it. Eventuali aggiunte o sostituzioni verranno notificate ai Clienti HeyChat con almeno 30 giorni di preavviso, con possibilità di opporsi e recedere senza penali.

Possiamo inoltre comunicare i tuoi dati a: - autorità pubbliche, tributarie o giudiziarie su loro richiesta nei casi previsti dalla legge; - consulenti professionali (commercialista, avvocato) per la gestione di obblighi fiscali o contenziosi, vincolati da segreto professionale.

Non vendiamo né cediamo dati personali a terzi per finalità di marketing.

---

8. Trasferimenti di dati fuori dall’Unione Europea

Una parte limitata dei dati viene trasferita verso gli Stati Uniti, esclusivamente per l’erogazione di:

• Anthropic PBC (Claude AI): è il motore conversazionale che genera le risposte automatiche ai clienti finali. Trattiamo verso Anthropic il contenuto dei messaggi ricevuti via WhatsApp limitatamente al tempo necessario per generare la risposta.
• Google LLC / Google Ireland Ltd. (Gemini AI): per il funzionamento e il miglioramento del servizio, i contenuti delle conversazioni possono essere trattati anche da questo fornitore di intelligenza artificiale, nel rispetto delle relative policy sulla protezione dei dati.
• OpenAI Inc. (Whisper): trascrive automaticamente i messaggi audio inviati dai clienti finali.

Per Anthropic e OpenAI il trasferimento avviene sulla base delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea con Decisione di esecuzione (UE) 2021/914, integrate con valutazione di impatto del trasferimento (TIA) e misure supplementari (cifratura in transito, accordi contrattuali che vietano l’uso dei dati per addestramento dei modelli).

Per Google, il trasferimento avviene nell’ambito del Cloud Data Processing Addendum di Google, incorporato automaticamente nei termini applicabili all’uso a pagamento (“Paid Service”) dell’API Gemini: anche questo regime prevede Standard Contractual Clauses per i trasferimenti extra-UE e l’impegno contrattuale di Google a non utilizzare i contenuti delle richieste e delle risposte per addestrare i propri modelli. Utilizziamo l’offerta standard dell’API Gemini, non l’offerta enterprise Vertex AI di Google (che prevede garanzie contrattuali più estese): la valutazione della soluzione più adeguata per un utilizzo a regime resta in corso.

Per richiedere copia delle SCC scrivi a privacy@heychat.it.

---

9. I tuoi diritti

In qualsiasi momento puoi esercitare i diritti previsti dagli artt. 15-22 del GDPR:

• Accesso (art. 15): sapere se trattiamo i tuoi dati e ottenerne una copia.
• Rettifica (art. 16): correggere dati inesatti o incompleti.
• Cancellazione (“diritto all’oblio”, art. 17): chiedere la cancellazione dei tuoi dati, salvo obblighi di conservazione di legge.
• Limitazione (art. 18): chiedere di sospendere temporaneamente il trattamento.
• Portabilità (art. 20): ricevere i tuoi dati in formato strutturato e leggibile da macchina (JSON/CSV) e trasmetterli ad altro titolare.
• Opposizione (art. 21): opporti al trattamento basato sul legittimo interesse o per marketing diretto.
• Revoca del consenso (art. 7): in qualsiasi momento, senza pregiudicare la liceità dei trattamenti svolti prima della revoca.
• Reclamo all’Autorità di controllo (art. 77): rivolgerti al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) se ritieni che il trattamento violi il GDPR.

Come esercitare i diritti. Scrivi a privacy@heychat.it indicando: - il diritto che intendi esercitare; - la tua identità (anche con copia di un documento, se necessario per evitare richieste fraudolente); - eventuali specifiche.

Risponderemo entro 30 giorni dalla ricezione, salvo proroga di massimo 60 giorni per richieste complesse (con motivazione scritta).

Per i clienti finali dei Clienti HeyChat: come spiegato nella sezione 4, le richieste vanno rivolte in primo luogo al Cliente HeyChat (il professionista con cui stai comunicando via WhatsApp). Se non riesci a contattarlo o non ricevi risposta, puoi scriverci a privacy@heychat.it e ti aiuteremo a inoltrare la richiesta.

---

10. Cookie e tecnologie simili

10.1 Sito heychat.it (landing page)

Il sito heychat.it utilizza esclusivamente cookie tecnici strettamente necessari al funzionamento e alla sicurezza, per i quali non è richiesto consenso ai sensi dell’art. 122 del Codice Privacy.

Sezione da aggiornare se sulla landing venissero introdotti tracker analitici (es. Google Analytics, Meta Pixel, Hotjar). In tal caso sarà necessario implementare un banner di consenso cookie conforme alle Linee Guida del Garante del 10 giugno 2021.

10.2 Pannello app.heychat.it

Il pannello operativo utilizza esclusivamente cookie tecnici di sessione (autenticazione, mantenimento della sessione di lavoro, preferenze di interfaccia). Nessun cookie di profilazione o tracciamento di terze parti.

---

11. Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui:

• cifratura dei dati in transito (TLS 1.2+) e a riposo (cifratura del database Supabase);
• autenticazione forte per il personale interno con accesso ai sistemi;
• politica di gestione delle credenziali con principio del minimo privilegio (RLS, Row Level Security, sul database);
• backup automatici cifrati con rotazione di 30 giorni;
• log di accesso e tracciamento delle operazioni amministrative;
• procedure interne di gestione degli incidenti e notifica al Garante entro 72 ore in caso di data breach (art. 33 GDPR).

Nessun sistema è impenetrabile al 100%. In caso di violazione dei dati personali con rischio per i diritti e le libertà degli interessati, ti informeremo senza ingiustificato ritardo.

---

12. Minori

HeyChat è un servizio rivolto esclusivamente a soggetti maggiorenni titolari di partita IVA. Non trattiamo consapevolmente dati di minori.

Per quanto riguarda i clienti finali che scrivono via WhatsApp ai nostri Clienti HeyChat: la verifica dell’età è di responsabilità del Cliente HeyChat (Titolare). Se rilevi che un minore di 14 anni ci ha inviato dati personali senza il consenso di chi esercita la responsabilità genitoriale, scrivi a privacy@heychat.it e provvederemo alla cancellazione.

---

13. Modifiche all’informativa

Potremmo aggiornare questa informativa per riflettere modifiche del servizio, dei fornitori o della normativa. La versione aggiornata sarà pubblicata su https://heychat.it/privacy con indicazione della data di ultimo aggiornamento.

Per modifiche sostanziali (es. nuove finalità di trattamento, nuovi sub-fornitori extra-UE, modifica dei periodi di conservazione) ti informeremo via email con almeno 30 giorni di preavviso prima dell’entrata in vigore.

---

14. Contatti

---

Informativa redatta in conformità al Regolamento (UE) 2016/679 (GDPR) e al D.lgs. 196/2003 e successive modifiche.

Versione 1.1 — 6 settembre 2026