Informativa Privacy del servizio HelloAI

La presente informativa riguarda il servizio di messaggistica automatizzata HelloAI ("l'assistente"), reso disponibile su WhatsApp e Telegram dalle aziende che lo adottano. Riguarda quindi i dati delle persone che scrivono all'assistente — pazienti, clienti, utenti finali.

Non riguarda il sito onecloudsrl.schedy.app né la demo "Parla con Schedy", che hanno un'informativa distinta: Informativa Privacy del sito. I due perimetri sono realmente diversi — la demo non conserva nulla, il servizio sì — e per questo sono tenuti separati.

1. Chi tratta i dati, e con quale ruolo

Il Titolare del trattamento è l'azienda con cui l'utente ha un rapporto e che gestisce il numero WhatsApp o il canale Telegram: lo studio medico, il salone, l'attività. È l'azienda a decidere finalità e mezzi del trattamento, ed è a lei che ci si può rivolgere per primo.

La tecnologia è fornita all'azienda da ONe Cloud Srl, con sede legale in Via XXIV Maggio, 64021 Giulianova (TE), Italia, P.IVA IT01881490674, che agisce come Responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679 ("GDPR"), trattando i dati esclusivamente su istruzioni documentate del Titolare, nei termini del DPA.

Il trasporto dei messaggi avviene tramite WhatsApp, servizio di Meta Platforms Ireland Ltd, oppure tramite Telegram, secondo i termini di tali servizi applicabili all'utente.

Per l'esercizio dei diritti e per ogni richiesta: [email protected].

2. Quali dati vengono trattati

Dato	Finalità	Base giuridica (per il Titolare)
Numero di telefono (WhatsApp) o identificativo della chat (Telegram)	Identificare la conversazione e recapitare le risposte	Esecuzione di un contratto o di misure precontrattuali — art. 6.1.b
Nome e, se forniti, e-mail e altro recapito	Intestare l'appuntamento, inviare conferme e promemoria	Art. 6.1.b
Contenuto dei messaggi (testo)	Comprendere la richiesta e rispondere	Art. 6.1.b
Messaggi vocali	Trascritti in testo per essere compresi. L'audio non viene mai conservato: viene trascritto e scartato	Art. 6.1.b
Memoria della conversazione (ultimi messaggi scambiati)	Dare continuità alla conversazione senza far ripetere le informazioni	Art. 6.1.b
Dati dell'appuntamento (servizio, data, ora, operatore, sede, note)	Gestire la prenotazione	Art. 6.1.b
Dati di utilizzo (numero di prenotazioni, mancate presentazioni, ultimo appuntamento)	Gestione ordinaria del rapporto da parte dell'azienda	Legittimo interesse del Titolare — art. 6.1.f

Dati relativi alla salute (art. 9 GDPR)

Presso gli studi medici, e solo presso di essi, l'assistente può trattare dati relativi alla salute: il nome del paziente associato a una richiesta di ricetta ripetibile, l'elenco dei farmaci indicati, il medico di riferimento e il testo con cui la richiesta è stata formulata. La base giuridica è quella individuata dal Titolare, di norma il consenso dell'interessato (art. 9.2.a) o le finalità di cura (art. 9.2.h).

Tre limiti sono imposti dal servizio stesso, non lasciati alla configurazione:

• Nessun contenuto multimediale viene mai letto. Immagini, video e documenti inviati in chat non vengono scaricati né analizzati dall'assistente: l'utente riceve un avviso che invita a non inviarli.
• Nessuna valutazione clinica. L'assistente gestisce la logistica degli appuntamenti e la trasmissione di richieste. Non fornisce diagnosi, consulti né triage.
• Le richieste con possibili segnali di urgenza vengono intercettate da un controllo automatico che invita a chiamare il 112 e avvisa lo studio, senza che il messaggio venga elaborato dal modello linguistico.

Il servizio non chiede e non registra la data di nascita né altri identificativi sanitari (codice fiscale, tessera sanitaria, referti).

3. Come si attiva il trattamento

L'interazione si attiva solo quando è l'utente a scrivere per primo. Non esistono iscrizione, account o registrazione preliminare. L'utente può interrompere la comunicazione in qualsiasi momento scrivendo STOP o bloccando il numero direttamente da WhatsApp. L'avvio di una conversazione per prenotare non costituisce consenso a comunicazioni promozionali, che richiedono un consenso specifico e separato ed è sempre revocabile. Il quadro completo è nelle Condizioni d'uso utenti WhatsApp.

4. Destinatari e sub-responsabili

Per erogare il servizio, ONe Cloud Srl si avvale dei sub-responsabili elencati di seguito, nominati ai sensi dell'art. 28.4 GDPR. Nessun dato viene ceduto, venduto o comunicato a terzi per finalità proprie di questi ultimi.

Fornitore	Ruolo	Dati che riceve	Sede
Meta Platforms Ireland Ltd	Trasporto dei messaggi WhatsApp	Numero e contenuto dei messaggi scambiati sul canale	Irlanda (UE)
Contabo GmbH	Hosting dei server e del database	Tutti i dati del servizio, in archivio isolato per ciascuna azienda	Germania (UE)
OpenRouter, Inc.	Accesso ai modelli linguistici	Testo della richiesta e memoria recente della conversazione	Stati Uniti
Deepgram, Inc.	Trascrizione dei messaggi vocali	L'audio del messaggio vocale, per il solo tempo della trascrizione	Stati Uniti
Sendinblue SAS (Brevo)	Invio delle e-mail di servizio	Indirizzo del destinatario e contenuto dell'e-mail (conferme, promemoria)	Francia (UE)
Cloudflare, Inc.	Gestione dei nomi di dominio	Nessun contenuto delle conversazioni	Stati Uniti / UE

A seconda della configurazione scelta dal Titolare, possono inoltre intervenire: Telegram (se l'azienda offre quel canale), Google Ireland Ltd (se l'azienda collega il proprio Google Calendar: riceve servizio, nome del cliente, data e ora dell'appuntamento), il server di posta indicato dall'azienda in alternativa a Brevo, e un gateway per i modelli linguistici alternativo a OpenRouter, eventualmente con instradamento all'interno dell'Unione Europea. L'elenco aggiornato e riferito alla singola azienda è disponibile scrivendo a [email protected].

Trasferimenti fuori dall'Unione Europea

I fornitori con sede negli Stati Uniti indicati in tabella trattano i dati sulla base delle Clausole Contrattuali Standard adottate dalla Commissione europea (art. 46.2.c GDPR). Il database di ciascuna azienda risiede in Unione Europea (Germania): verso i fornitori extra-UE transitano soltanto i dati necessari alla singola operazione — il testo da comprendere, l'audio da trascrivere — non l'archivio.

5. Per quanto tempo

Dato	Conservazione
Memoria della conversazione	24 ore dall'ultimo messaggio, poi cancellazione automatica. In ogni caso sono conservati solo gli ultimi 10 messaggi di ciascuna chat: i precedenti vengono sovrascritti.
Audio dei messaggi vocali	Mai conservato. Trascritto e scartato; resta solo il testo, soggetto alla regola precedente.
Richieste di ricetta (studi medici)	24 ore dalla lavorazione. Le richieste rifiutate o da ricontattare: 7 giorni. Poi cancellazione automatica definitiva. Non è conservato alcuno storico.
Scheda anagrafica e appuntamenti	Conservati dall'azienda per la durata del rapporto, secondo le sue politiche e i suoi obblighi di legge. Sono dati che l'azienda gestisce nel proprio gestionale: la cancellazione della scheda comporta la cancellazione automatica della relativa memoria di conversazione.

6. Misure di sicurezza

Ciascuna azienda dispone di un archivio isolato, con credenziali e chiave di cifratura proprie: i dati di un'azienda non sono raggiungibili da un'altra. I dati identificativi (nome, telefono, e-mail) e il contenuto della memoria delle conversazioni sono cifrati con algoritmo AES-256-GCM; il nome del paziente associato a una richiesta di ricetta è cifrato con lo stesso algoritmo. Le credenziali di integrazione dell'azienda sono anch'esse cifrate. Tutte le comunicazioni avvengono su canale cifrato (TLS). L'accesso al gestionale avviene tramite collegamento temporaneo inviato via e-mail, senza password permanenti.

Nessuna misura di sicurezza è totale. In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà degli interessati, ONe Cloud Srl assiste il Titolare negli adempimenti previsti dagli artt. 33-34 GDPR nei termini stabiliti dal DPA.

7. Decisioni automatizzate

L'assistente utilizza un modello linguistico per comprendere le richieste e comporre le risposte. Non adotta decisioni che producono effetti giuridici o incidano in modo analogamente significativo sull'interessato ai sensi dell'art. 22 GDPR: gestisce la logistica degli appuntamenti, e ogni richiesta che esca da quel perimetro viene trasmessa a una persona dell'azienda. L'utente può in qualsiasi momento chiedere di parlare con un operatore.

8. I diritti dell'interessato

L'utente ha diritto di chiedere l'accesso ai propri dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità e di opporsi al trattamento (artt. 15-22 GDPR).

Poiché il Titolare è l'azienda che gestisce il canale, la via più diretta è rivolgersi a quest'ultima. In alternativa è possibile scrivere a [email protected]: ONe Cloud Srl inoltra la richiesta al Titolare competente e lo assiste nel darvi seguito. Le istruzioni operative per la cancellazione sono descritte alla pagina Cancellazione dei dati.

L'utente ha inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

9. Avviso importante: non è un servizio di emergenza

Il servizio non è destinato alle emergenze e non fornisce consulenza medica. In presenza di sintomi urgenti, situazioni di pericolo o emergenza sanitaria occorre chiamare immediatamente il 112 o rivolgersi al pronto soccorso. Non si deve fare affidamento sui tempi di risposta dell'assistente per questioni urgenti.

10. Modifiche

La presente informativa può essere aggiornata per adeguarla a variazioni del servizio o della normativa. La data in testa e in calce indica l'ultima revisione. Le modifiche sostanziali all'elenco dei sub-responsabili sono comunicate ai Titolari secondo quanto previsto dal DPA.

---

Ultimo aggiornamento: 17 luglio 2026