Informativa sulla privacy

Pleaxy è fornito da Pleaxy Inc., società costituita nello Stato di Delaware, 1318 SE 26th Street, Bellevue, WA 98005, USA («Pleaxy», «noi»). La presente informativa riguarda il sito web, l’applicazione web, l’API e il server MCP di Pleaxy.

Per qualsiasi domanda o richiesta in materia di privacy, scriva a support@pleaxy.ai.

Trattiamo i dati personali in due diverse qualità.

• In qualità di titolare del trattamento decidiamo come vengono utilizzati i dati. Ciò riguarda i dati necessari per gestire il Suo account e la nostra attività: i dati di registrazione e di accesso, il referente per la fatturazione, i log del sito web e dell’API, e i messaggi e le richieste di assistenza che ci invia. Quando una richiesta include lo stato di una fattura, di un ordine d’acquisto, di un contratto, di un fornitore o di un acquirente da Lei indicato, lo leggiamo dal workspace nei limiti delle Sue autorizzazioni e lo copiamo nella richiesta solo per risponderLe.
• In qualità di responsabile del trattamento agiamo su istruzione del nostro cliente. Ciò riguarda tutto ciò che una società inserisce nel proprio workspace Pleaxy: dipendenti, referenti dei fornitori, ordini d’acquisto, fatture, contratti, documenti dei fornitori, storico delle approvazioni e dati di fatturazione cloud. La società titolare del workspace è il titolare del trattamento, e noi agiamo solo su sua istruzione. Il nostro accordo sul trattamento dei dati (Data Processing Agreement, «DPA») ne definisce le condizioni: se Le occorre, scriva a support@pleaxy.ai.
• Acquirenti e fornitori sono clienti distinti. Ogni workspace appartiene alla propria società. Quando un acquirente e un fornitore si collegano, vedono i rispettivi dati del profilo aziendale e si scambiano ordini d’acquisto, fatture o documenti, la condivisione avviene su loro indicazione, e ciascuna società è responsabile di ciò che condivide e di ciò che fa con quanto riceve.

Se il Suo datore di lavoro o un partner commerciale ha inserito i Suoi dati in Pleaxy, La preghiamo di inviare domande o richieste innanzitutto a loro. Se ci contatta, inoltreremo la Sua richiesta e li aiuteremo a rispondere.

• Dati dell’account: nome, email di lavoro, qualifica, ruolo e appartenenza ai workspace. La Sua password è gestita da Amazon Cognito tramite un protocollo (SRP) che non la invia mai ai server di Pleaxy: non la vediamo mai.
• Profilo aziendale: denominazione, logo, email e indirizzo di fatturazione, codice identificativo fiscale, e nome ed email del referente principale. La denominazione, il logo, la regione, la valuta, l’email di fatturazione e l’indirizzo di fatturazione della Sua società sono visibili alle società con cui è collegata, e l’indirizzo di fatturazione e il codice identificativo fiscale sono riportati nei PDF delle fatture che Pleaxy genera per le fatture tra le parti (si veda Con chi condividiamo i dati).
• Documenti del workspace: ordini d’acquisto, fatture, contratti, cataloghi e storico delle approvazioni. Lo storico delle approvazioni include il nome dell’approvatore, l’ID utente e l’ora di ciascuna decisione.
• Documenti dei fornitori caricati da un fornitore, come i moduli fiscali W-9 e W-8BEN (che contengono numeri di identificazione fiscale), i certificati assicurativi e le lettere bancarie (che contengono le coordinate del conto bancario).
• Dati di fatturazione cloud provenienti dagli account cloud collegati da un cliente: registri di fatturazione e di consumo, che riguardano per lo più la società anziché singole persone.
• Messaggi all’assistente IA: ciò che scrive all’assistente e le sue risposte; si veda L’assistente IA.
• Richieste di assistenza: quando apre una richiesta in Pleaxy, il Suo nome e la Sua email di lavoro (ricavati dal Suo account), l’oggetto, la descrizione e i messaggi che scrive, e i dati diagnostici che aggiungiamo: il Suo piano, il Suo ruolo, la versione dell’app, lo stato di qualsiasi fattura o ordine d’acquisto da Lei indicato (incluso il nome dell’altra società e la fase di approvazione corrente), di qualsiasi contratto da Lei indicato (titolo, stato, date e nome dell’altra società, ma non le condizioni né i prezzi), o di qualsiasi fornitore o acquirente da Lei indicato (il nome e lo stato del suo onboarding, ma non le risposte al questionario né i dati di contatto), ed eventuali codici di errore. La Sua conversazione con l’assistente di supporto viene inclusa solo se seleziona «Allega questa conversazione». Gli amministratori del Suo workspace possono vedere le richieste aperte al suo interno.
• Feedback sugli articoli di assistenza: quando risponde a «Questo articolo ha risposto alla tua domanda?» in un articolo di assistenza, la Sua risposta, l’eventuale nota che aggiunge, il Suo ID utente, il workspace e l’articolo. Li utilizziamo solo per migliorare i nostri articoli di assistenza.
• Dati di fatturazione per i piani a pagamento: l’email del referente per la fatturazione e la denominazione della società. I dati delle carte e dei pagamenti bancari vanno direttamente a Stripe; Pleaxy non li riceve mai.
• Log tecnici: quando il Suo browser o la Sua integrazione chiama la nostra API, registriamo l’indirizzo IP, l’endpoint richiesto, il metodo, l’esito e l’ora.
• Messaggi che ci invia: se scrive a support@pleaxy.ai o sales@pleaxy.ai, riceviamo il Suo indirizzo email e il contenuto del messaggio.

Non raccogliamo categorie particolari di dati, come i dati relativi alla salute, e La preghiamo di non caricarli.

I dati di cui siamo titolari del trattamento li utilizziamo per:

• Fornire il Servizio: creare e proteggere gli account, inviare email di registrazione, verifica e invito, far funzionare il prodotto e fatturare i piani a pagamento. Base giuridica: esecuzione del contratto con Lei o con la Sua società.
• Mantenere Pleaxy sicuro e funzionante: rilevare abusi e attacchi, applicare limiti di frequenza, correggere errori e monitorare le prestazioni. Base giuridica: il nostro legittimo interesse a un servizio sicuro e affidabile.
• Fornirle assistenza: rispondere alle Sue richieste di assistenza e alle Sue email. Utilizziamo le richieste, e le eventuali conversazioni allegate, solo per rispondervi e darvi seguito, per mantenere l’assistenza sicura ed entro i suoi limiti, e ove richiesto dalla legge. Non le utilizziamo per finalità di marketing, per redigere articoli di assistenza, né per addestrare o valutare modelli di IA. Base giuridica: legittimo interesse, o contratto.
• Adempiere agli obblighi di legge: conservare le registrazioni contabili e fiscali e rispondere a richieste legittime delle autorità. Base giuridica: obbligo legale.

Attualmente non inviamo email di marketing. Se iniziassimo a farlo, rispetteremo la normativa sul consenso, e ogni email includerà un modo per disiscriversi.

I dati che trattiamo per conto dei clienti li utilizziamo solo per fornire il Servizio secondo le istruzioni del cliente.

Non adottiamo decisioni che La riguardano e che producono effetti giuridici o effetti analogamente significativi basate unicamente su un trattamento automatizzato. Ogni approvazione automatica in Pleaxy segue regole stabilite dal cliente, e tali regole si applicano agli acquisti, non alle persone.

• L’assistente integrato nell’app utilizza il modello Claude di Anthropic, erogato da Amazon Bedrock (AWS), che richiamiamo dal nostro account AWS.
• Cosa viene inviato. Per risponderLe, l’assistente invia ad Amazon Bedrock i Suoi messaggi, la conversazione fino a quel momento e i documenti del workspace che consulta. Tali documenti possono includere nomi, dati dei fornitori e importi. L’assistente vede solo ciò che il Suo ruolo può vedere.
• Salvate nel Suo account. Salviamo le Sue conversazioni con Pleaxy Assistant sotto il Suo utente, nel workspace che ha utilizzato, in modo che possa riprenderle, cercarle e rinominarle. Le altre persone del workspace non possono vederle. Può eliminare una conversazione in qualsiasi momento, e ciascuna viene eliminata automaticamente 180 giorni dopo l’ultimo messaggio. Conserviamo inoltre un conteggio dei messaggi, ai fini dei limiti di utilizzo, per circa 8 giorni, e ogni azione proposta dall’assistente, che scade dopo 10 minuti e viene poi eliminata automaticamente.
• Non utilizzate per l’addestramento. In base ai termini di AWS per Bedrock, AWS non utilizza i Suoi prompt e le risposte per addestrare modelli e non li condivide con Anthropic. Nemmeno noi li utilizziamo per addestrare modelli.
• Il controllo resta a Lei. L’assistente può solo proporre approvazioni, pagamenti registrati, rifiuti di fatture, risoluzioni di discrepanze e modifiche alle regole, e una persona conferma ciascuna di esse. Su Sua richiesta, può anche rifiutare un ordine d’acquisto, creare un ordine d’acquisto o trasformarne uno in fattura senza un passaggio di conferma separato; si vedano i nostri Termini. Agisce solo nei limiti delle autorizzazioni della persona che lo utilizza.
• L’assistente di supporto, nella pagina Assistenza, si basa sullo stesso modello e servizio. Opera in sola lettura. Legge i nostri articoli di assistenza, il Suo piano, il Suo utilizzo di Pleaxy Assistant, il Suo ruolo, lo stato delle Sue connessioni e un’eventuale singola fattura o ordine d’acquisto da Lei indicato, solo nella misura in cui il Suo ruolo può vederli.
• Le conversazioni con l’assistente di supporto restano nella scheda del Suo browser (nel suo session storage) e scompaiono quando chiude la scheda, a meno che non ne alleghi una a una richiesta di assistenza: in tal caso la conserviamo insieme alla richiesta (si veda Per quanto tempo conserviamo i dati). Conserviamo i conteggi giornalieri dei messaggi ai fini dei limiti di utilizzo per circa 8 giorni, e un totale mensile di messaggi e token per ciascun workspace, senza dati personali, per circa 13 mesi.
• Non utilizzate per l’addestramento né per la valutazione. Né le conversazioni con i due assistenti né le richieste di assistenza vengono utilizzate per addestrare o valutare modelli di IA.

• Può collegare un agente IA, come Claude o ChatGPT, al Suo account Pleaxy tramite il nostro server MCP, eseguito sul Suo computer oppure ospitato da noi su mcp.pleaxy.ai. Al momento del collegamento sceglie quali dei Suoi workspace l’agente può utilizzare. L’agente agisce solo nei limiti delle Sue autorizzazioni in tali workspace, per un massimo di 30 giorni, e Lei può disconnetterlo in qualsiasi momento in Pleaxy (si veda Collegare un agente IA).
• Cosa riceve l’app dell’agente. I documenti del workspace richiesti dall’agente vengono inviati all’app che ha collegato, e il relativo fornitore (ad esempio Anthropic o OpenAI) li tratta in base ai propri termini, come servizio che Lei ha scelto di collegare (si veda Con chi condividiamo i dati).
• Cosa riceviamo noi. Solo le richieste effettuate dall’agente, mai la Sua conversazione con esso. Il nostro server ospitato inoltra ogni richiesta alla nostra API e non ne conserva nulla oltre ai nostri log tecnici.
• Cosa conserviamo. Per ogni collegamento: il nome dell’app, l’indirizzo a cui La reindirizza, il nome del dispositivo per un agente eseguito sul Suo computer, i workspace che ha consentito, e quando lo ha collegato e utilizzato l’ultima volta. I relativi token di accesso sono conservati solo come hash unidirezionali. Registriamo inoltre ogni modifica che l’agente effettua o richiede, e ogni richiesta in attesa della Sua conferma. Un’app che si registra presso di noi lascia il proprio nome e i propri indirizzi, che non sono dati personali. Per quanto tempo conserviamo ciascun dato è indicato in Per quanto tempo conserviamo i dati.
• Il controllo resta a Lei. Le approvazioni, i pagamenti registrati e le altre decisioni richieste da un agente Le vengono inviati per conferma in Pleaxy, e nulla accade finché non conferma. La avvisiamo quando un agente si collega al Suo account e Le inviamo un’email se ne disconnettiamo uno per proteggere il Suo account.

Pleaxy verifica i fornitori degli acquirenti rispetto agli elenchi pubblici delle sanzioni (si vedano i nostri Termini). Ciò riguarda i dati personali in due modi.

• Nomi nel workspace di un acquirente. La ragione sociale di un fornitore può essere il nome di una persona (un imprenditore individuale), e l’intestatario del conto indicato nelle sue coordinate bancarie può essere una persona. Verifichiamo questi nomi in qualità di responsabile del trattamento, per conto dell’acquirente: l’acquirente è il titolare del trattamento e decide che cosa fare di fronte a una possibile corrispondenza. Il risultato, la voce dell’elenco a cui il nome somiglia e la decisione dell’acquirente, con chi l’ha presa e il perché, sono mostrati solo nel workspace dell’acquirente, mai al fornitore. Nessun nome esce da Pleaxy per la verifica: il confronto avviene sulla nostra copia degli elenchi.
• Gli elenchi stessi. Gli elenchi indicano le persone e le organizzazioni designate dai loro editori, con dati come pseudonimi, cittadinanze, numeri di documenti d’identità e date. Conserviamo una copia di ogni elenco così come pubblicato, per eseguire la verifica e come traccia di ciò rispetto a cui ogni verifica è stata eseguita, e non la usiamo per nient’altro. La base giuridica è il nostro legittimo interesse a offrire una verifica che aiuta gli acquirenti a rispettare i propri obblighi di legge. Gli editori sono il Dipartimento del Tesoro degli Stati Uniti (OFAC), il Foreign, Commonwealth and Development Office del Regno Unito, la Commissione europea e il Consiglio di sicurezza dell’ONU: le domande su una voce vanno rivolte a loro.

Non vendiamo né condividiamo informazioni personali a fini pubblicitari, compresi la «vendita» («selling») e la «condivisione» («sharing») come definite dalla legge della California. Non utilizziamo strumenti di tracciamento pubblicitari o di analisi.

Condividiamo i dati personali solo con:

• I nostri sub-responsabili del trattamento, i fornitori di servizi che gestiscono Pleaxy per nostro conto (elencati di seguito). Aggiorneremo questo elenco prima di aggiungere un nuovo sub-responsabile, e i clienti con un DPA ne riceveranno comunicazione prima della modifica.
• Le società con cui opera in Pleaxy. Dopo che un fornitore ha accettato l’invito di un acquirente, può vedere la denominazione, il logo, la regione, i paesi, la valuta, l’email di fatturazione e l’indirizzo di fatturazione dell’acquirente, come attualmente impostati nel profilo aziendale dell’acquirente. Dopo che il fornitore ha avviato il questionario dell’acquirente, l’acquirente può vedere gli stessi dati del fornitore. Ciascuno può inoltre vedere gli ordini d’acquisto, le fatture, i documenti e i dati di contatto scambiati tra loro, incluse note come i motivi di rifiuto. Il Suo codice identificativo fiscale non viene mostrato in questo modo. Quando Pleaxy genera il PDF di una fattura tra un acquirente e un fornitore collegati (perché il fornitore non ha caricato il proprio), il PDF riporta l’indirizzo di fatturazione e il codice identificativo fiscale di entrambe le società, come impostati nei rispettivi profili aziendali al momento della creazione della fattura, e ciascuna delle due società può aprirlo.
• Acquirenti alla ricerca di fornitori. La denominazione di un fornitore verificato, l’email del suo referente principale e i nomi dei workspace in cui è attivo possono essere trovati dagli acquirenti che invitano fornitori in Pleaxy.
• Altri clienti Pleaxy del Suo dominio e-mail. Se crea una nuova società il cui nome somiglia molto a quello di una società già presente su Pleaxy con persone del Suo dominio e-mail, inviamo il Suo indirizzo e-mail agli amministratori di quella società, così possono invitarLa se in realtà voleva unirsi a loro. Glielo diciamo prima che confermi.
• Servizi che sceglie di collegare, come i Suoi account cloud, il Suo gestionale contabile (QuickBooks Online o Xero: quando un amministratore ne collega uno, Pleaxy gli invia le fatture e le note di credito approvate, con righe, importi e PDF, e ne legge fornitori, conti e pagamenti), il catalogo punchout di un fornitore o uno strumento di IA che collega tramite la nostra API o il nostro server MCP. Si applicano i rispettivi termini.
• Motivi legali e di sicurezza: quando la legge lo richiede, o per tutelare diritti, l’incolumità delle persone o la sicurezza del Servizio. Ove la legge lo consenta, informeremo prima il cliente interessato.
• Un acquirente della nostra attività, in caso di fusione o cessione di Pleaxy. Questi dovrà rispettare gli impegni assunti nella presente informativa.

Questo sito web non imposta cookie e non carica script di analisi, pubblicità o altri script di tracciamento di terze parti.

L’app Pleaxy utilizza solo ciò che le serve per mantenere attivo il Suo accesso:

• pleaxy_signed_in: un cookie che contiene solo il valore 1, che consente al sito web di mostrare «Vai alla dashboard» anziché «Accedi». L’app lo imposta per pleaxy.ai e i suoi sottodomini, in modo che il sito web possa leggerlo, e lo rimuove quando Lei esce. Non contiene dati personali, dura 30 giorni ed è impostato con SameSite=Lax.
• Token di accesso di Amazon Cognito, conservati nel local storage del Suo browser e rimossi quando Lei esce.

Si tratta di strumenti strettamente necessari per il servizio da Lei richiesto, pertanto non chiediamo il consenso. Aggiorneremo questa sezione, e chiederemo il consenso, prima di aggiungere qualsiasi elemento che non sia strettamente necessario.

Pleaxy conserva e tratta i dati negli Stati Uniti, su AWS nella regione US East (N. Virginia), incluso l’assistente IA, che richiama Amazon Bedrock in tale regione. I nostri sub-responsabili del trattamento sono società statunitensi.

Se si trova nell’UE, nel SEE, nel Regno Unito o in Svizzera, l’utilizzo di Pleaxy comporta il trasferimento dei Suoi dati negli Stati Uniti.

• Per i dati dei clienti che trattiamo, il nostro DPA tutela il trasferimento con le Clausole contrattuali tipo della Commissione europea, insieme all’Addendum per il Regno Unito (UK Addendum) per i dati del Regno Unito.
• Per i dati di cui siamo titolari del trattamento, li trasferiamo nella misura necessaria a fornire il Servizio a cui si è registrato.

Pleaxy non è certificata ai sensi del Data Privacy Framework UE-USA.

• I dati sono crittografati in transito (solo HTTPS) e a riposo, con chiavi gestite da AWS.
• Ogni richiesta viene verificata rispetto al workspace e al ruolo di chi la effettua.
• Le approvazioni vengono registrate indicando chi le ha effettuate (o che erano automatiche) e quando.

La nostra pagina Sicurezza descrive in dettaglio i nostri controlli. Se una violazione riguarda i Suoi dati, informeremo i clienti interessati senza ingiustificato ritardo, forniremo loro le informazioni necessarie per adempiere ai propri obblighi e informeremo le autorità di controllo ove richiesto dalla legge.

A seconda del luogo in cui risiede (ad esempio ai sensi del GDPR e del GDPR del Regno Unito, delle leggi sulla privacy degli Stati USA come quella della California, e delle leggi del Canada e dell’Argentina), può avere il diritto di accedere ai Suoi dati personali, rettificarli, cancellarli, limitarne il trattamento od opporsi all’uso che ne facciamo, riceverne una copia portabile e revocare il consenso nei casi in cui ci basiamo sul consenso.

• Come presentare una richiesta. Scriva a support@pleaxy.ai. Potremmo doverne verificare l’identità, e risponderemo entro i termini previsti dalla legge, di norma un mese. Non La tratteremo diversamente per aver esercitato i Suoi diritti.
• Dati presenti nel workspace di una società. Trattiamo tali dati per conto della società, quindi le inoltreremo la Sua richiesta e la aiuteremo a rispondere (si veda I nostri due ruoli).
• Gli amministratori possono rimuovere autonomamente gli utenti dal proprio workspace. Le esportazioni e le cancellazioni relative all’intero workspace vengono effettuate su richiesta, via email.
• Eliminare il tuo account. Scrivi a support@pleaxy.ai dall’indirizzo con cui accedi. Lo eliminiamo quando non sei più membro di alcun workspace: se lo sei ancora, chiediamo prima ai suoi amministratori di rimuoverti. Ti avvisiamo via email quando è fatto. Cosa conserviamo è indicato in Per quanto tempo conserviamo i dati.
• Reclami. Se si trova nell’UE, nel SEE o nel Regno Unito, può presentare reclamo all’autorità di protezione dei dati competente, ad esempio l’ICO nel Regno Unito. Le saremmo grati se ci desse prima l’opportunità di aiutarLa.

Pleaxy è un servizio aziendale destinato a persone che lo utilizzano per lavoro. Non è destinato a persone di età inferiore ai 18 anni e non raccogliamo consapevolmente dati di minori.

Aggiorneremo la presente informativa quando cambieranno le nostre pratiche, ad esempio quando aggiungeremo un sub-responsabile del trattamento o un nuovo tipo di dati. La data di «Ultimo aggiornamento» in alto indica la versione in vigore e, in caso di modifiche sostanziali, informeremo i titolari degli account via email o nell’app prima che la modifica abbia effetto.