Informativa sulla privacy

Il Titolare del trattamento è Meridian S.r.l., con sede legale in Roma, Italia. Per qualsiasi richiesta relativa al trattamento dei dati personali è possibile contattare il Titolare all'indirizzo [email protected].

Kulmin raccoglie le seguenti categorie di dati personali nell'ambito dell'erogazione del servizio:

• Dati di account: nome, cognome, indirizzo email, password (hash bcrypt), ruolo organizzativo, tenant di appartenenza.
• Trascrizioni delle call: trascrizioni caricate dall'utente o prodotte durante la registrazione in diretta, con la suddivisione delle battute per interlocutore. Kulmin non conserva l'audio: durante la registrazione in diretta l'audio viene inviato a Deepgram, sui suoi server nell'Unione europea, per la trascrizione e non viene salvato sui server di Kulmin.
• Documenti: dei documenti caricati nella deal room Kulmin salva il testo pseudonimizzato e le cifre estratte; il file originale è conservato cifrato, con una chiave propria per ogni documento, solo per poterlo scaricare e ricontrollare, e quella chiave viene distrutta quando il documento è cancellato. Dei documenti allegati a una call viene salvato il testo così com'è, senza pseudonimizzazione.
• Email e calendario (solo se l'utente collega Outlook o Gmail): per Outlook, gli eventi del calendario e, dei messaggi della posta in arrivo, oggetto, anteprima, mittente e destinatari, salvati così come sono. Le email importate in un deal e gli estratti usati come contesto per l'AI vengono salvati solo in forma pseudonimizzata.
• Log di utilizzo: accessi, azioni in piattaforma, tool eseguiti dall'AI, metadati dei file caricati. Conservati per audit di sicurezza.
• Dati di fatturazione (per piani a pagamento): ragione sociale, P.IVA, dati richiesti dalla normativa fiscale.

• Erogazione del servizio: trascrizione, analisi AI, gestione progetti e contatti, generazione di report.
• Miglioramento del prodotto: solo su dati aggregati e anonimi. Non usiamo le tue call per addestrare modelli di terze parti. L'audio della registrazione in diretta passa da Deepgram: con ogni registrazione Kulmin chiede a Deepgram di non usarlo per migliorare i suoi modelli. Per quanto tempo Deepgram lo conserva lo decidono le sue condizioni (cfr. §06).
• Adempimento di obblighi legali: conservazione di log d'accesso, fatturazione, risposta a richieste di autorità competenti.
• Sicurezza: rilevamento di abusi, prevenzione frodi, protezione dell'infrastruttura.

Il trattamento dei dati personali avviene sulle seguenti basi giuridiche, ai sensi dell'art. 6 del Regolamento UE 2016/679 (GDPR):

• Art. 6(1)(b) — esecuzione del contratto: i dati di account e i contenuti caricati sono necessari per fornire il servizio.
• Art. 6(1)(c) — obblighi legali: log di accesso, dati fiscali.
• Art. 6(1)(f) — legittimo interesse: sicurezza dell'infrastruttura, prevenzione di abusi.
• Art. 6(1)(a) — consenso: cookie non tecnici e analytics opzionali.

Natura del conferimento (Art. 13(2)(e) GDPR)

La fornitura di alcuni dati personali costituisce un requisito contrattuale necessario per l'attivazione e l'erogazione del servizio. In particolare:

• Dati obbligatori (email, password, dati aziendali essenziali, eventuali trascrizioni delle call che l'utente sceglie di caricare o registrare): il conferimento è necessario per l'esecuzione del contratto. Il rifiuto comporta l'impossibilità di attivare o utilizzare il servizio.
• Dati opzionali (es. P.IVA per fatturazione, integrazioni Microsoft 365 e Gmail): il conferimento è facoltativo; la mancata comunicazione può limitare l'accesso a specifiche funzionalità.
• Consensi revocabili (es. opt-in al corpus benchmark cross-tenant): il consenso è del tutto opzionale e revocabile in qualsiasi momento dalla pagina /account/privacy senza pregiudizio per il servizio.

• Dati di call (trascrizioni e analisi): conservati fino a quando l'utente non li elimina. Eliminando una call dalla piattaforma, la trascrizione, l'analisi, le azioni, le scadenze e i documenti allegati vengono cancellati subito dal database. Restano le schede dei contatti e le persone e aziende del Brain che la call aveva contribuito a creare, finché non vengono cancellate a parte.
• Documenti della deal room: il file originale resta conservato cifrato finché l'utente non cancella il documento, e chiunque nell'organizzazione apra il deal può scaricarlo. La tabella che collega i segnaposti ai nomi reali è conservata cifrata per circa 90 giorni: finché esiste, chi apre il deal vede i nomi reali nei testi; dopo restano i segnaposti.
• Dati di account: conservati per la durata del contratto. Alla cancellazione dell'account, eliminati entro 90 giorni (salvo dati richiesti per obblighi legali).
• Registro delle risposte dell'AI Desk: per ogni risposta restano la domanda, il testo mandato all'AI e la risposta, per ricostruire perché l'AI ha detto una cosa. Si cancellano da soli dopo 90 giorni.
• Audit log e log di sicurezza: le voci su accessi, organizzazione, fatturazione, amministrazione, gestione dei dati, registri MAR e privacy sono conservate 7 anni (art. 2220 c.c.); le altre 3 anni. Alla scadenza la voce resta, ma senza dati personali: rimangono solo il tipo di azione, la data e il riferimento tecnico all'elemento interessato.
• Dati fiscali e di fatturazione: 10 anni ai sensi della normativa tributaria.

Per l'erogazione del servizio Kulmin si avvale di fornitori tecnologici qualificati (sub-processor) che trattano dati per conto del Titolare sulla base di accordi conformi all'art. 28 GDPR. L'elenco completo e versionato dei sub-processor è pubblicato alla pagina /legal/sub-processors ed è consultabile anche su richiesta a [email protected]. A titolo esemplificativo: Anthropic (modelli Claude per l'analisi AI), Deepgram (trascrizione vocale), Railway (hosting infrastruttura), Vercel (hosting del sito), Resend (invio delle email del servizio).

Per i clienti del verticale Lex, i dati, compresi quelli coperti da segreto professionale, sono trattati dagli stessi fornitori elencati in questa informativa, alcuni dei quali hanno sede negli Stati Uniti: oggi non esiste un percorso riservato a fornitori con sede nell'UE/SEE.

Cosa viene pseudonimizzato prima dell'invio all'AI

Prima di arrivare all'AI, nomi, codici e recapiti diventano segnaposto in tutto il deal: documenti, email, call, chat, coach, Brain e schede dei contatti. La stessa persona ha lo stesso segnaposto in tutto il deal. I nomi tornano visibili solo sullo schermo di chi lavora nel deal.

Il primo controllo gira sui server di Kulmin: riconosce nomi e dati identificativi e cerca nel testo i nomi che il deal conosce già. Nei documenti e nelle call salvate c'è un secondo controllo, affidato a un modello di Anthropic (Claude Haiku), che riceve il testo già coperto dal primo. Se i nomi non si possono coprire, l'AI non riceve niente e Kulmin lo dice.

La tabella che collega i segnaposto ai nomi veri è una per deal (o una per call, se la call non ha un deal), resta a Kulmin ed è conservata cifrata. Quando una richiesta non riguarda né un deal né una call salvata, per esempio una domanda all'AI Desk fuori da un deal, una call non ancora salvata o la scheda di un contatto, i segnaposto valgono solo per quella richiesta e non vengono conservati. Per gli estratti email usati come contesto la tabella non viene conservata.

Vengono pseudonimizzati prima dell'invio:

• i documenti caricati nella deal room, compresi quelli arrivati dall'app Kulmin per Mac;
• i thread email dei deal, importati da Outlook o Gmail oppure incollati a mano;
• gli estratti email usati come contesto per l'AI, letti da Outlook o Gmail;
• le trascrizioni delle call, la loro analisi e i documenti allegati a una call;
• le conversazioni con l'AI Desk: domande, cronologia, trascrizioni e risultati degli strumenti richiamati;
• il Live Coach: la parte più recente della trascrizione, i nomi di chi parla, i dati del deal usati come riferimento e il briefing preparato prima della call;
• l'estrazione dei contatti dalle call e la scheda AI di un contatto;
• la costruzione del Brain (il grafo delle conoscenze);
• i suggerimenti di richieste di due diligence e il Leverage Brief del deal;
• la sintesi del periodo e il riepilogo settimanale;
• la lettura dei siti web di aziende e parti;
• il testo del mandato scritto dall'utente;
• i documenti di contesto aziendale caricati dall'utente.

Restano in chiaro, in ogni richiesta all'AI, documenti compresi, i nomi delle aziende e dei luoghi che non contengono il nome di una persona, le date e le cifre. Uno studio può coprire anche aziende e luoghi con l'impostazione «Nascondi anche le società»: allora diventano segnaposto e delle date resta solo il trimestre. I nomi che i controlli non riconoscono possono arrivare all'AI: per questo nei documenti e nelle call salvate c'è un secondo controllo.

Trasferimenti extra-UE / adeguatezza (Schrems II)

Alcuni fornitori hanno sede fuori dallo Spazio Economico Europeo (SEE), negli Stati Uniti. Per questi trasferimenti il GDPR richiede una base giuridica, tipicamente le Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea (art. 46(2)(c) GDPR) accompagnate da una valutazione d'impatto del trasferimento (TIA), come indicato dalla sentenza Schrems II (CGUE C-311/18). La verifica del meccanismo in essere con ciascun fornitore è in corso. Tra le misure tecniche c'è la pseudonimizzazione prima dell'invio, che copre i contenuti elencati sopra.

• Anthropic Inc. (Stati Uniti) — fornitore dei modelli Claude per analisi e sintesi AI. Meccanismo di trasferimento in corso di verifica. Prima dell'invio nomi, codici e recapiti diventano segnaposto, come descritto sopra; restano in chiaro, in ogni richiesta all'AI, i nomi di aziende e luoghi che non contengono il nome di una persona, le date e le cifre, salvo l'impostazione dello studio detta sopra. Kulmin non ha oggi un accordo di conservazione zero con Anthropic: con l'impostazione predefinita dell'organizzazione, Anthropic conserva i dati ricevuti per 30 giorni e può consultarli per finalità di sicurezza.
• Deepgram Inc. (Stati Uniti) — fornitore del servizio di trascrizione vocale in diretta. Meccanismo di trasferimento in corso di verifica. L'audio viene trascritto sui server di Deepgram nell'Unione europea; Deepgram resta una società statunitense. Deepgram riceve l'audio della call così com'è: la voce non si può pseudonimizzare. Kulmin non salva l'audio e salva la trascrizione senza pseudonimizzarla. A ogni registrazione Kulmin chiede l'esclusione dal programma di miglioramento dei modelli di Deepgram; la conservazione dell'audio presso Deepgram è regolata dalle sue condizioni.
• Voyage AI (Stati Uniti) — ricerca semantica. Oggi non è attiva e Kulmin non invia dati a Voyage AI. Se verrà attivata, questa informativa sarà aggiornata prima.
• Resend (Stati Uniti) — invio delle email del servizio: inviti, reimpostazione della password e promemoria delle scadenze. Oltre all'indirizzo del destinatario, le email possono contenere nomi, nome dell'organizzazione, credenziali di primo accesso, testo delle scadenze (che può venire dalle call) e nomi dei progetti. Il meccanismo di trasferimento è in corso di verifica.
• Microsoft (Microsoft 365) — solo se l'utente collega il proprio account. Kulmin legge, in sola lettura, calendario, posta in arrivo, le conversazioni email che l'utente sceglie di importare in un deal e i report di presenza delle riunioni Teams. Dove risiedono questi dati dipende dal contratto Microsoft 365 dell'organizzazione cliente, non da Kulmin.
• Google (Gmail) — solo se l'utente collega il proprio account. Kulmin legge, in sola lettura, i messaggi della posta in arrivo e ne salva solo estratti pseudonimizzati, oppure li importa in un deal con la stessa pseudonimizzazione. Dove risiedono questi dati dipende dall'account Google dell'utente. Kulmin non si collega a Google Meet: le pagine di Teams e di Google Meet le legge solo l'estensione per browser, descritta alla pagina /legal/extension-privacy.

Per domande sui trasferimenti fuori dal SEE scrivi a [email protected].

Ai sensi degli artt. 15-22 GDPR, l'utente ha diritto a:

• Accesso ai propri dati personali e ricezione di una copia.
• Rettifica di dati inesatti o incompleti.
• Cancellazione ("diritto all'oblio"): è possibile richiedere l'eliminazione dell'account dalla pagina /account/delete.
• Portabilità: ricezione dei dati in formato strutturato e leggibile da macchina (JSON).
• Opposizione al trattamento e limitazione.
• Revoca del consenso in qualsiasi momento, senza pregiudizio per la liceità del trattamento basata sul consenso prima della revoca.

Le richieste possono essere inviate a [email protected] e saranno evase entro 30 giorni.

Kulmin utilizza modelli di intelligenza artificiale — in particolare Claude (Anthropic) — per attività di analisi, estrazione e sintesi dei contenuti delle call e dei documenti caricati. Tutti gli output AI hanno natura consultiva: ogni decisione operativa (assunzioni, conclusione di un deal, accettazione o rifiuto di una controparte, esecuzione di un contratto, comunicazioni esterne) resta sempre sotto il controllo dell'utente umano, che la valuta e la conferma prima dell'esecuzione.

Conseguentemente, Kulmin non adotta decisioni automatizzate ai sensi dell'art. 22(1) GDPR che producano effetti giuridici o che incidano in modo analogamente significativo sull'interessato. In particolare, Kulmin non esegue scoring del credito, non seleziona automaticamente personale, non accetta o rifiuta autonomamente transazioni o controparti.

Logiche coinvolte e finalità:

• Estrazione e sintesi: Claude (Anthropic) genera riassunti, action item e classificazioni clausola-per-clausola dei documenti legali e finanziari.
• Classificatori: Claude (Anthropic) classifica le clausole di term sheet, LPA e NPL secondo una tassonomia definita da Kulmin, sempre come supporto al revisore umano.
• Ricerca nel Brain: oggi per parole chiave, sui server di Kulmin. La ricerca semantica con Voyage AI non è attiva (cfr. §06).

Diritto a intervento umano (art. 22(3) GDPR): qualora l'utente ritenga che un output AI abbia inciso in modo significativo su una sua decisione, può richiedere revisione umana, contestare il risultato e ottenere l'intervento manuale di un operatore Kulmin inviando una richiesta a [email protected]. La trasparenza è garantita dal registro per-call delle esecuzioni AI (ToolRun history) e dall'audit log della ricostruzione del Brain, consultabili dall'utente.

Kulmin costruisce un Knowledge Graph del "cervello aziendale" del cliente: entità (persone, organizzazioni, deal, concetti), relazioni storiche, decisioni ricorrenti e action item. Su queste rappresentazioni il sistema calcola score di rilevanza per contatti, deal e azioni di follow-up al fine di suggerire all'utente le informazioni più pertinenti al contesto della call in corso.

Tale attività si configura come profilazione ai sensi dell'art. 4(4) GDPR ("qualsiasi forma di trattamento automatizzato di dati personali consistente nell'utilizzo di tali dati per valutare determinati aspetti personali relativi a una persona fisica"). La base giuridica è l'art. 6(1)(b) GDPR (esecuzione del contratto: la generazione del Brain aziendale è parte essenziale del servizio richiesto dall'utente).

La profilazione opera esclusivamente all'interno del tenant del cliente e non viene utilizzata per decisioni con effetti giuridici o significativi (cfr. §08 Decisioni automatizzate). L'utente può consultare il grafo, modificare o eliminare singoli nodi e relazioni direttamente dall'interfaccia "Brain".

Le chiamate registrate o catturate tramite Live Coach possono contenere voci, nomi e dichiarazioni di partecipanti che non sono titolari di un account Kulmin (controparti, clienti, investitori, advisor esterni). Si tratta di dati personali raccolti indirettamente, per i quali si applica l'art. 14 GDPR.

Nel rapporto contrattuale Kulmin opera in qualità di responsabile del trattamento (data processor) ai sensi dell'art. 28 GDPR; il titolare (data controller) è il tenant operatore (l'organizzazione cliente che decide quali call registrare e per quali finalità). Conseguentemente, è responsabilità dell'utente Kulmin che carica o avvia la registrazione di:

• Acquisire il consenso preventivo dei partecipanti prima dell'inizio della registrazione, oppure verificare la sussistenza di un'altra base giuridica (art. 6(1) GDPR — tipicamente legittimo interesse ex art. 6(1)(f) o consenso ex art. 6(1)(a)).
• Informare i partecipanti che la registrazione sarà elaborata tramite sub-processori AI (Anthropic e Deepgram, Stati Uniti — cfr. §06) ai fini di trascrizione, analisi e sintesi: l'audio arriva a Deepgram così com'è, mentre la trascrizione arriva ad Anthropic con i nomi delle persone, i codici e i recapiti sostituiti da segnaposto.
• Comunicare ai partecipanti i loro diritti ai sensi degli artt. 15-22 GDPR e indicare il proprio canale di contatto per l'esercizio di tali diritti.

La ripartizione delle responsabilità fra Kulmin e l'organizzazione cliente, e le istruzioni che il cliente dà a Kulmin come responsabile del trattamento, saranno regolate da un accordo sul trattamento dei dati (DPA), oggi in preparazione. Per richiederne la bozza scrivi a [email protected].

I partecipanti terzi che vengano a conoscenza del trattamento dei propri dati possono esercitare i diritti previsti dal GDPR rivolgendosi anzitutto al titolare (l'organizzazione che ha avviato la registrazione) oppure, in subordine, a Kulmin all'indirizzo [email protected].

Kulmin utilizza cookie tecnici strettamente necessari al funzionamento del servizio (autenticazione, sessione) per i quali non è richiesto il consenso ai sensi dell'art. 122 del Codice Privacy. Cookie analitici e funzionali opzionali sono attivati esclusivamente previa raccolta del consenso tramite il banner cookie, le cui preferenze sono modificabili in qualsiasi momento dal banner stesso (riapribile dal footer del sito).

Kulmin non ha nominato un Data Protection Officer (DPO). Per ogni domanda o richiesta sui dati personali scrivi a [email protected].

L'interessato ha inoltre diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o all'autorità di controllo dello Stato membro dell'Unione europea in cui risiede o lavora.

Per qualsiasi controversia, foro competente è quello di Roma.