GDPR e Privacy

1. Titolare del trattamento e contatti

2000net S.r.l., con sede legale in Via XXV Aprile 41, 13011 Borgosesia (VC), P.IVA 01962560023, è titolare del trattamento per i dati raccolti tramite il presente sito.

Contatti: privacy@2000net.it · Responsabile della Protezione dei Dati (DPO): dpo@2000net.it · posta elettronica certificata: privacy@pec.2000net.it.

2. A chi si rivolge questa informativa

Il sito smartagency.cloud è sia la vetrina dei servizi sia il punto di accesso alla piattaforma. I ruoli privacy sono diversi a seconda del contesto.

3. Dati raccolti tramite il sito

Attraverso i moduli presenti sul sito sono raccolti i dati che l'utente fornisce volontariamente: nome e cognome, denominazione dell'agenzia o del broker, indirizzo di posta elettronica, recapito telefonico e il contenuto della richiesta. Sono inoltre trattati i dati tecnici di navigazione necessari al funzionamento e alla sicurezza del sito, quali indirizzo IP, tipo di browser e data e ora dell'accesso. Previo consenso dell'utente sono trattati anche i dati di navigazione raccolti dagli strumenti di statistica e di misurazione delle campagne pubblicitarie descritti nella «Cookie Policy».

Il conferimento dei dati contrassegnati come obbligatori nei moduli è necessario per dare riscontro alla richiesta; in mancanza non è possibile procedere.

4. Dati trattati nella piattaforma

Quando un'Agenzia o un Broker utilizza SmartAgency, i dati dei propri clienti, contraenti e assicurati sono trattati sotto la responsabilità dell'Agenzia stessa, che agisce quale titolare del trattamento. 2000net opera quale responsabile del trattamento, sulla base dell'accordo sottoscritto ai sensi dell'art. 28 GDPR, e tratta tali dati esclusivamente per erogare il servizio e secondo le istruzioni documentate del titolare.

2000net non utilizza i dati del Cliente per finalità proprie e, in particolare, non li impiega per addestrare o valutare modelli di intelligenza artificiale, né in forma identificabile né in forma pseudonimizzata o anonimizzata.

5. L'utilizzo dell'intelligenza artificiale

Numerose funzionalità della piattaforma si avvalgono di modelli di intelligenza artificiale per l'analisi e la sintesi di informazioni sui prodotti assicurativi, la comparazione, il supporto alla consulenza, la redazione e l'interpretazione di documenti.

Come sono protetti i dati

Nessuna componente della piattaforma richiama direttamente un fornitore di intelligenza artificiale: tutti i flussi transitano da un microservizio interno ospitato sull'infrastruttura di 2000net in Italia. Prima dell'invio al modello, i dati identificativi presenti nel testo o nel documento — nomi, codici fiscali, partite IVA, IBAN, targhe, recapiti, numeri di polizza — sono sostituiti con segnaposto e ricomposti localmente nella risposta. La corrispondenza fra segnaposto e valori reali resta in memoria per la sola durata della richiesta e non viene mai trasmessa né salvata.

Si tratta di una pseudonimizzazione ai sensi dell'art. 4, n. 5, GDPR e non di un'anonimizzazione: i dati trattati restano dati personali e gli obblighi del titolare restano integri. La pseudonimizzazione costituisce misura tecnica di minimizzazione e sicurezza ai sensi degli artt. 25 e 32 GDPR.

Il presidio opera sui dati che la piattaforma è in grado di riconoscere come identificativi e alcuni dati temporali possono essere mantenuti in chiaro quando necessari alla qualità dell'elaborazione e il rischio di identificazione risulti adeguatamente mitigato. Nessun sistema di rilevamento può garantire l'individuazione della totalità dei dati personali contenuti in testi liberi o in documenti caricati: per questo l'Agenzia, quale titolare, resta tenuta a verificarne preventivamente il contenuto e a inserire soltanto i dati necessari alla finalità perseguita.

I documenti non sono inviati in formato nativo

I documenti che possono contenere dati personali non vengono trasmessi al modello nel loro formato originale: ne viene estratto il testo e, nel caso di scansioni e immagini, il riconoscimento ottico dei caratteri è eseguito localmente nel data center di 2000net, senza ricorso a servizi esterni. Soltanto i documenti pubblici e privi di dati personali, quali le condizioni generali di assicurazione a catalogo, possono essere trasmessi in formato nativo.

Dove avviene l'elaborazione

L'elaborazione da parte dei modelli avviene su infrastruttura enterprise ubicata nell'Unione Europea — Google Cloud Vertex AI con residenza dei dati nell'Unione — con accordo sul trattamento dei dati, isolamento a livello di progetto cloud dedicato e divieto contrattuale di riutilizzo dei contenuti per l'addestramento dei modelli. Non sono utilizzate versioni consumer dei servizi di intelligenza artificiale. I fornitori di servizi di intelligenza artificiale operano quali sub-responsabili del trattamento.

La conversazione vocale in tempo reale

Ove il relativo Modulo sia attivo, la piattaforma consente la conversazione vocale in tempo reale con l'assistente. In questa modalità la sostituzione preventiva dei dati identificativi non è tecnicamente applicabile: la voce raggiunge il modello così come viene pronunciata. Restano fermi l'elaborazione su infrastruttura ubicata nell'Unione Europea e il divieto contrattuale di riutilizzo dei dati per l'addestramento dei modelli.

Per questo la funzione è attivata dall'amministratore dell'agenzia, ciascun utente accetta un avviso dedicato prima del primo utilizzo e durante la sessione è mantenuto un richiamo permanente al divieto di pronunciare dati identificativi — nomi, cognomi, codici fiscali, numeri di polizza, indirizzi e recapiti — e dati appartenenti alle categorie particolari di cui all'art. 9 GDPR. La modalità vocale non è destinata alla trattazione di sinistri, perizie o pratiche contenenti dati relativi alla salute.

2000net non registra né conserva il flusso audio; l'elaborazione presso il fornitore avviene per il tempo strettamente necessario alla conversazione, secondo l'accordo sul trattamento dei dati in essere. L'eventuale trascrizione conservata nella cronologia dell'assistente è sottoposta, prima del salvataggio, allo stesso processo di rilevamento e mascheramento degli identificativi descritto sopra.

Documenti caricati dall'utente

Alcune funzionalità consentono di caricare documenti il cui contenuto viene elaborato dai modelli. L'Agenzia o il Broker, quale titolare del trattamento, è tenuto a verificare preventivamente il contenuto dei documenti, a disporre di un'idonea base giuridica ai sensi degli artt. 6 e 9 GDPR e a caricare esclusivamente quanto necessario alla finalità perseguita, evitando dati appartenenti a categorie particolari non indispensabili.

6. Trasparenza e supervisione umana

Ai sensi del Regolamento (UE) 2024/1689 (AI Act) e della Legge 132/2025, l'intelligenza artificiale è uno strumento di supporto operativo e non sostituisce la competenza professionale dell'intermediario. Gli elaborati prodotti dalla piattaforma sono generati da processi probabilistici, possono contenere errori o omissioni e sono sempre riesaminabili, modificabili e validabili dall'utente prima dell'utilizzo. Le decisioni finali sulla scelta dei prodotti, sulla valutazione dei rischi e sulle raccomandazioni ai clienti restano in capo all'intermediario.

Ove una funzionalità interagisca direttamente con il cliente finale dell'agenzia, la piattaforma rende evidente che l'interazione avviene mediante un sistema di intelligenza artificiale.

Decisioni automatizzate

La piattaforma non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sugli interessati ai sensi dell'art. 22 GDPR: ogni elaborato è sottoposto alla valutazione dell'intermediario, che ne risponde. Qualora l'Agenzia configuri l'utilizzo della piattaforma in modo da determinare esiti automatici nei confronti dei propri clienti, è tenuta a verificarne l'ammissibilità e a predisporre le garanzie e le informazioni previste dalla citata disposizione.

Classificazione ai sensi dell'AI Act

L'Allegato III del Regolamento (UE) 2024/1689 qualifica come ad alto rischio i sistemi destinati alla valutazione del rischio e alla determinazione dei prezzi nelle assicurazioni sulla vita e sulla salute. La presenza della supervisione umana descritta in questo paragrafo non esclude per sé l'applicazione di tali obblighi: l'inquadramento di ciascuna funzionalità è effettuato in base alla sua finalità e al suo effettivo funzionamento, e le funzionalità eventualmente riconducibili a quell'ambito sono accompagnate dalle misure e dalla documentazione richieste.

7. Dove sono ospitati i dati

I dati registrati sulla piattaforma sono ospitati e trattati in Italia, presso il Campus DATA4 di Cornaredo (Milano), infrastruttura certificata ANSI/TIA-942 e ISO/IEC 27001. 2000net opera nel quadro di un sistema di gestione certificato ISO 9001, ISO/IEC 27001, 27017 e 27018.

2000net si impegna a mantenere l'ospitalità dei dati della piattaforma all'interno dell'Unione Europea: tali dati non sono ospitati né archiviati presso infrastrutture ubicate in Paesi terzi. L'impegno riguarda i dati gestiti nella piattaforma e non i dati di navigazione sul sito raccolti, previo consenso, dagli strumenti di statistica e di misurazione delle campagne, per i quali si rinvia al penultimo capoverso del presente paragrafo e alla «Cookie Policy».

2000net si riserva la facoltà di trasferire l'infrastruttura presso un diverso data center ubicato in Italia, al fine di migliorare le prestazioni, la continuità o la sicurezza del servizio. Il data center di destinazione deve possedere certificazioni di livello equivalente o superiore a quelle indicate sopra. Il trasferimento non comporta alcuna variazione delle finalità, delle modalità e delle misure di sicurezza del trattamento ed è comunicato al Cliente secondo quanto previsto dal Contratto SmartAgency e dall'accordo ex art. 28 GDPR, con aggiornamento della presente informativa.

L'elaborazione mediante modelli di intelligenza artificiale avviene su infrastruttura enterprise con residenza dei dati nell'Unione Europea, secondo quanto indicato al paragrafo 5.

Per i servizi accessori — l'invio dei messaggi di verifica, i servizi di pagamento e gli strumenti di statistica e di misurazione delle campagne pubblicitarie attivati previo consenso — l'eventuale trasferimento di dati verso gli Stati Uniti o altri Paesi terzi avviene esclusivamente nel rispetto delle garanzie previste dal Capo V del GDPR: decisione di adeguatezza della Commissione europea, ove applicabile, ovvero clausole contrattuali tipo. I dati gestiti nella piattaforma non sono oggetto di tali trasferimenti.

L'ubicazione dei sistemi non esclude di per sé accessi remoti: gli interventi di assistenza e manutenzione sono eseguiti da personale autorizzato e da fornitori vincolati da accordi sul trattamento dei dati, con tracciamento degli accessi.

8. Destinatari e sub-responsabili

I dati possono essere trattati da personale autorizzato di 2000net e comunicati ai fornitori che agiscono quali responsabili o sub-responsabili del trattamento, tra cui il fornitore dell'infrastruttura del data center, i fornitori dei servizi di intelligenza artificiale, il prestatore dei servizi di pagamento e il fornitore del servizio di invio dei messaggi. L'elenco aggiornato dei sub-responsabili è disponibile su richiesta. I dati non sono oggetto di diffusione.

Previo consenso dell'utente, i dati di navigazione sul sito sono comunicati a Google Ireland Limited (Google Analytics e Google Ads) e a Meta Platforms Ireland Limited (Meta Pixel) per le finalità di statistica e di misurazione delle campagne pubblicitarie. Tali soggetti operano secondo i rispettivi termini e informative e, per i trattamenti che determinano autonomamente, quali titolari. La comunicazione non ha luogo in assenza di consenso e cessa con la sua revoca.

9. Proprietà, esportazione e cancellazione dei dati

I dati inseriti, caricati o generati nella piattaforma restano di esclusiva titolarità del Cliente. 2000net non rivendica alcun diritto sui contenuti e non li utilizza per finalità diverse dall'erogazione del servizio.

• Durante il rapporto il Cliente può esportare autonomamente i propri dati in qualsiasi momento e senza costi, tramite l'apposita funzione della piattaforma, in formato strutturato e leggibile da dispositivo automatico.
• Alla cessazione del contratto il Cliente conserva per 30 giorni un accesso limitato alle sole funzioni di esportazione e migrazione; 2000net presta ragionevole assistenza alla transizione verso il Cliente stesso o verso un diverso fornitore.
• Decorso tale periodo si procede alla cancellazione dell'account e dei dati, anche dai sistemi di backup secondo i tempi tecnici dei relativi cicli, fatto salvo quanto debba essere conservato per obblighi di legge.
• Il Cliente può in ogni momento cancellare autonomamente i propri dati mediante la funzione di inizializzazione dell'account. L'operazione è irreversibile: si raccomanda di esportare preventivamente quanto si intende conservare.

I log di sistema e di sicurezza sono conservati per un periodo massimo di 180 giorni.

10. Diritti dell'interessato

Gli interessati possono esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione previsti dagli artt. 15-22 GDPR, nonché revocare in ogni momento i consensi prestati. Le richieste relative ai trattamenti di cui 2000net è titolare vanno indirizzate a privacy@2000net.it. Le richieste relative ai dati trattati nella piattaforma per conto di un'Agenzia o di un Broker vanno indirizzate a quest'ultimo, quale titolare del trattamento; 2000net presta la necessaria assistenza. È inoltre possibile proporre reclamo al Garante per la protezione dei dati personali.

11. Aggiornamenti

La piattaforma è in costante evoluzione: le funzionalità di intelligenza artificiale, i fornitori integrati e le modalità di trattamento possono cambiare nel tempo. La presente informativa viene aggiornata di conseguenza e le modifiche rilevanti sono comunicate attraverso i canali della piattaforma.

Altri documenti: Cookie Policy Termini e condizioni