Informativa sul trattamento dei dati personali

Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") — versione 2026-07, ultimo aggiornamento luglio 2026

1. Titolare del trattamento

Il titolare del trattamento è Sentela (P.IVA IT18201491000), con sede in Via dei Compositori 85, 00128 Roma, contattabile all'indirizzo info@sentela.app (di seguito, "Sentela" o il "Titolare").

2. Ruoli: titolare e responsabile

Sentela è un servizio di gestione centralizzata di caselle di Posta Elettronica Certificata (PEC) rivolto a organizzazioni. Occorre distinguere due ambiti:

• Dati degli utenti del servizio (dati di registrazione, fatturazione, log di utilizzo): Sentela agisce come titolare del trattamento.
• Contenuto dei messaggi PEC e degli allegati gestiti dalle organizzazioni clienti: Sentela agisce come responsabile del trattamento ai sensi dell'art. 28 GDPR, per conto dell'organizzazione cliente che ne è titolare. Un accordo di nomina a responsabile (DPA) è disponibile su richiesta.

3. Dati trattati

• Dati di account: nome, cognome, email, telefono (facoltativo), lingua, credenziali di accesso (password conservata in forma di hash), configurazione 2FA.
• Dati dell'organizzazione: ragione sociale, piano sottoscritto, dati di fatturazione (gestiti dal processore di pagamento).
• Credenziali delle caselle PEC collegate: conservate cifrate (cifratura simmetrica Fernet/AES) e usate esclusivamente per la sincronizzazione dei messaggi.
• Contenuto dei messaggi PEC e allegati: oggetto, corpo, mittenti/destinatari, ricevute, allegati e testo estratto dagli allegati. I messaggi possono contenere qualsiasi categoria di dato, incluse categorie particolari (art. 9 GDPR), sotto la titolarità dell'organizzazione cliente.
• Log di utilizzo: accessi ai messaggi, eventi di sicurezza (es. attivazione/disattivazione 2FA), indirizzi IP per il rate limiting.
• Dati di navigazione sulle pagine pubbliche (solo previo consenso): pagine visitate, provenienza, identificatori pubblicitari e dati tecnici del dispositivo, raccolti tramite Google Analytics 4 e Google Ads. Nessun dato identificativo dell'utente (nome, email, partita IVA, identificativo di account) né alcun contenuto delle PEC viene trasmesso a questi strumenti.

4. Finalità e basi giuridiche

Finalità	Base giuridica
Erogazione del servizio (sincronizzazione, archiviazione e consultazione PEC)	Esecuzione del contratto (art. 6.1.b)
Funzioni di intelligenza artificiale (riassunti, estrazione dati, scadenze, ricerca semantica, OCR) — solo per i piani che le includono	Esecuzione del contratto (art. 6.1.b)
Fatturazione e adempimenti fiscali	Obbligo legale (art. 6.1.c)
Sicurezza del servizio (log, rate limiting, audit)	Legittimo interesse (art. 6.1.f)
Comunicazioni di servizio (verifiche email, avvisi quota, digest se attivato)	Esecuzione del contratto (art. 6.1.b)
Statistiche di utilizzo delle pagine pubbliche (Google Analytics 4)	Consenso (art. 6.1.a), revocabile in ogni momento
Marketing: misurazione delle conversioni e delle campagne pubblicitarie (Google Ads)	Consenso (art. 6.1.a), revocabile in ogni momento

I trattamenti di statistica e marketing riguardano esclusivamente le pagine pubbliche del sito e sono attivati solo se presti il consenso tramite il banner cookie; la revoca è possibile in qualsiasi momento dalla Cookie policy e non pregiudica la fruizione del servizio.

5. Sub-responsabili e destinatari

Per erogare il servizio, Sentela si avvale dei seguenti fornitori (sub-responsabili ex art. 28.4 GDPR):

Fornitore	Finalità	Dati coinvolti
Stripe, Inc.	Elaborazione dei pagamenti e gestione abbonamenti	Dati di fatturazione e pagamento (i dati carta non transitano dai server Sentela)
Mistral AI (Francia, UE)	Analisi AI, embeddings per la ricerca semantica, OCR (solo piani con AI attiva)	Testo dei messaggi e degli allegati inviato per l'elaborazione
Hetzner Online GmbH (Germania; datacenter UE, Finlandia)	Infrastruttura server, database e archiviazione	Tutti i dati del servizio
Brevo — Sendinblue SAS (Francia, UE)	Invio email transazionali	Indirizzo email, contenuto delle notifiche
Google Ireland Limited (Irlanda, UE)	Statistiche di utilizzo (Google Analytics 4) e misurazione delle campagne pubblicitarie (Google Ads) sulle pagine pubbliche — solo previo consenso	Dati di navigazione, identificatori pubblicitari, indirizzo IP (anonimizzato). Nessun dato identificativo dell'utente e nessun contenuto PEC

Il contenuto delle PEC non viene inviato ai fornitori di AI per le organizzazioni il cui piano non include le funzioni di intelligenza artificiale. Nessun dato viene condiviso tra organizzazioni diverse: l'isolamento è applicato a livello di query su ogni funzione, inclusa la ricerca semantica.

6. Trasferimenti extra-UE

L'infrastruttura del servizio (server, database, archiviazione dei messaggi e degli allegati) è interamente localizzata nell'Unione Europea, così come i fornitori di email transazionali (Brevo, Francia) e di intelligenza artificiale (Mistral AI, Francia). I fornitori extra-UE sono Stripe, Inc. (USA), limitatamente ai dati di fatturazione e pagamento, e Google LLC (USA), limitatamente ai dati di navigazione raccolti — previo consenso — da Google Analytics 4 e Google Ads sulle pagine pubbliche: in entrambi i casi il trasferimento avviene sulla base dell'EU-US Data Privacy Framework e, in subordine, di Clausole Contrattuali Standard.

7. Conservazione

• Messaggi PEC e allegati: conservati per tutta la durata del contratto; l'organizzazione può configurare una retention automatica che elimina i messaggi più vecchi di un periodo definito.
• Log di accesso: conservati per il periodo configurato dall'organizzazione o, in mancanza, fino a cancellazione dell'account.
• Dati di account: fino alla cancellazione dell'account; alla cancellazione i dati personali vengono anonimizzati preservando l'integrità dell'audit trail.
• Dati di fatturazione: 10 anni, per obbligo di legge.

8. Diritti dell'interessato

Puoi esercitare in ogni momento i diritti previsti dagli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità e opposizione. In particolare:

• l'export dei dati personali in formato JSON è disponibile in autonomia dal proprio profilo;
• la cancellazione (anonimizzazione) dell'account può essere richiesta al proprio amministratore o al Titolare;
• hai diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

Per l'esercizio dei diritti: info@sentela.app.

9. Sicurezza

Sentela adotta misure tecniche e organizzative adeguate (art. 32 GDPR), tra cui: cifratura TLS in transito, cifratura delle credenziali PEC a riposo, autenticazione a due fattori (TOTP), controllo degli accessi per ruolo, rate limiting, audit log e backup periodici.

10. Modifiche

Eventuali modifiche sostanziali a questa informativa saranno comunicate agli utenti e richiederanno una nuova accettazione al primo accesso successivo.