Chi siamo
Achrome S.r.l. è il titolare del trattamento dei dati raccolti tramite Norma, strumento di risk management per lavoratori autonomi integrato nella piattaforma Achrome Hub. Norma è uno strumento di automonitoraggio professionale: raccoglie i dati che inserisci tu, li elabora tramite formule matematiche trasparenti per calcolare un risk score personalizzato, e te li restituisce in forma leggibile. Norma non prende decisioni vincolanti né automatizzate con effetti legali sulla tua persona.
- —Uno specchio professionale, non un giudice.
- —Non vende dati a terzi, non li usa per addestrare modelli AI.
- —Il calcolo del risk score è basato su formule pubbliche e verificabili.
- —I dati di salute richiedono consenso esplicito separato e possono essere eliminati in qualsiasi momento.
Quali dati raccogliamo
Raccogliamo solo i dati strettamente necessari al funzionamento del servizio. Ogni categoria ha una finalità e una base legale dichiarata.
| Categoria | Dati raccolti | Finalità | Base legale |
|---|---|---|---|
| Account | Email, nome, cognome | Autenticazione | Art. 6(1)(b) |
| Profilo professionale | Tariffa, regime fiscale, città, costi fissi | Calcolo risk score | Art. 6(1)(b) |
| Check-in mensile | Fatturato, riserva, giorni fatturati, stato clienti | Monitoraggio finanziario | Art. 6(1)(b) |
| Dati di salute | Stress (1–10), ore lavorate, ferie, coperture, spese salute | Monitoraggio burnout | Art. 9(2)(a) |
| Portfolio clienti | Nome cliente (opzionale), tipologia, % revenue, tipo progetto | Analisi concentrazione | Art. 6(1)(b) |
| Costi e scadenze | Costi fissi per categoria, scadenze fiscali, importi | Analisi marginalità e alert | Art. 6(1)(b) |
| Dati di utilizzo | Pagine visitate, funzioni usate (aggregati) | Miglioramento prodotto | Art. 6(1)(f) |
Dati sensibili
3.1 Dati di salute — Art. 9 GDPR
I dati di salute (stress percepito, ore lavorate, ferie godute, coperture assicurative, spese mediche) appartengono a una categoria particolare ai sensi dell'art. 9 del GDPR. Il loro trattamento richiede il tuo consenso esplicito, separato e revocabile in qualsiasi momento.
- —Il consenso è chiesto in modo separato durante l'onboarding e nelle impostazioni profilo.
- —Senza consenso, la sezione "Salute · Burnout" resta disattivata: l'app funziona comunque sulle altre 5 aree.
- —Puoi revocare il consenso in qualsiasi momento dalle impostazioni: i dati di salute vengono eliminati entro 72 ore.
- —I dati di salute non concorrono mai alle statistiche anonime aggregate.
- —Nessun terzo (assicurazioni, datori, banche) riceve mai questi dati.
3.2 Dati finanziari
I dati di fatturato, riserva e costi non sono qualificati come categoria particolare dal GDPR, ma li trattiamo con lo stesso livello di riservatezza (crittografia at-rest AES-256, accesso limitato, log).
Come usiamo i dati
- —Calcolare il tuo risk score mensile e i sotto-score per area.
- —Mostrarti grafici, alert e suggerimenti contestuali sulla tua dashboard.
- —Generare il report PDF mensile scaricabile.
- —Suggerirti le coperture welfare Achrome pertinenti alle tue aree di rischio.
- —Inviarti email transazionali (recupero password, alert di sicurezza).
- —Garantire la sicurezza del servizio (audit log, prevenzione frodi).
- —Addestrare modelli di intelligenza artificiale, nostri o di terzi.
- —Profilazione pubblicitaria o targeting comportamentale.
- —Vendita o cessione a broker di dati, assicurazioni o istituti di credito.
- —Scoring creditizio o valutazione del merito di credito da parte di terzi.
- —Comunicazione a datori di lavoro, committenti o piattaforme di gig economy.
- —Qualsiasi finalità diversa da quelle dichiarate in questa informativa.
AI e risk score
Il risk score di Norma è calcolato con formule matematiche deterministiche e verificabili — non con modelli di machine learning opachi. Ai sensi del Regolamento (UE) 2024/1689 (AI Act) e della Legge italiana 132/2025, Norma rientra nei sistemi a rischio minimo: nessuna decisione automatizzata con effetti legali, nessuna profilazione vincolante.
- —Score globale = media pesata dei 6 sotto-score (Finanziario 25%, Portfolio 20%, Salute 20%, Costi 15%, Legale 10%, Skill 10%).
- —Sotto-score Finanziario = f(mesi_copertura, accantonamento_pct, gap_tariffa). Soglie pubblicate nelle impostazioni.
- —Sotto-score Portfolio = f(concentrazione_cliente_top, n_contratti_scritti). Indice Herfindahl normalizzato 0–100.
- —Sotto-score Salute = f(stress, ore_settimanali, ferie_godute, coperture). Calcolato solo se consenso salute attivo.
Hai diritto a chiedere in qualsiasi momento la spiegazione dettagliata del calcolo del tuo score scrivendo a privacy@achrome.io.
Statistiche anonime
Pubblichiamo periodicamente statistiche aggregate sul mondo freelance italiano (es. tariffa media per settore, riserva mediana, ore lavorate). Queste statistiche sono completamente anonime e non possono essere riportate al singolo utente.
- —Rimozione di tutti gli identificatori diretti (email, nome, ID account, città piccole).
- —K-anonimity con k ≥ 50: ogni record è indistinguibile da almeno altri 49.
- —Generalizzazione per fasce (es. tariffa raggruppata in scaglioni da 50€).
- —Differential privacy con ε ≤ 1.0 su tutti gli output aggregati.
Puoi disattivare il contributo alle statistiche anonime dalle impostazioni profilo (opt-out). I dati di salute non sono mai inclusi, neppure in forma anonima.
Con chi condividiamo
Condividiamo i dati strettamente necessari con un numero limitato di fornitori tecnici, tutti vincolati da accordi di trattamento (DPA) e con server nell'Unione Europea.
| Fornitore | Servizio | Dati trasmessi | Sede |
|---|---|---|---|
| Supabase Inc. | Database e autenticazione | Tutti i dati applicativi | UE — Germania |
| Vercel Inc. | Hosting frontend | Dati di sessione, IP anonimizzato | UE — edge network |
| Resend Inc. | Email transazionali | Email e nome | UE |
Eventuali future integrazioni (es. import bancario, sincronizzazione fatturazione elettronica) saranno sempre attivabili in modalità opt-in esplicita, con consenso separato.
I tuoi diritti GDPR
Puoi esercitare i tuoi diritti in qualsiasi momento scrivendo a privacy@achrome.io. Ti risponderemo entro i tempi previsti dalla normativa.
| Diritto | Cosa puoi fare | Come | Tempi |
|---|---|---|---|
| Accesso — Art. 15 | Ottenere copia dei tuoi dati | Email a privacy@achrome.io | 30 giorni |
| Rettifica — Art. 16 | Correggere dati inesatti | Dalle impostazioni o via email | Immediato / 30 giorni |
| Cancellazione — Art. 17 | Eliminare account e dati | Impostazioni → Elimina account | 72 ore |
| Portabilità — Art. 20 | Ricevere i dati in formato JSON/CSV | Email a privacy@achrome.io | 30 giorni |
| Opposizione — Art. 21 | Opporti al trattamento basato su legittimo interesse | Email a privacy@achrome.io | 30 giorni |
| Revoca consenso | Ritirare il consenso ai dati di salute | Impostazioni profilo | Immediato (eliminazione 72h) |
| Reclamo — Art. 77 | Reclamo all'autorità di controllo | garante.privacy.it | — |
Sicurezza e conservazione
- —Crittografia at-rest AES-256 su tutti i dati del database.
- —Crittografia in-transit TLS 1.3 su tutte le connessioni.
- —Row Level Security: ogni utente può accedere solo ai propri dati.
- —Backup automatici giornalieri trattenuti 30 giorni, archiviati in UE.
- —Accesso interno limitato e tracciato con log di audit.
- —Notifica obbligatoria all'utente in caso di data breach entro 72 ore.
Periodi di conservazione
| Categoria | Conservazione |
|---|---|
| Dati account e check-in | Durata del contratto + 12 mesi |
| Dati di salute | Fino a revoca consenso (eliminazione entro 72h) |
| Scadenze fiscali | Durata del contratto + 5 anni (obbligo di legge) |
| Log di sicurezza | 90 giorni |
| Backup | 30 giorni rolling |
| Statistiche anonime aggregate | Indefinito (non riconducibili all'utente) |
Contatti e DPO
| Ruolo | Contatto |
|---|---|
| Titolare del trattamento | Achrome S.r.l. — privacy@achrome.io |
| Data Protection Officer (DPO) | dpo@achrome.io |
| Richieste GDPR | privacy@achrome.io — risposta entro 30 giorni |
| Segnalazione data breach | security@achrome.io — risposta entro 24 ore |
| Autorità di controllo IT | Garante per la Protezione dei Dati Personali — garante.privacy.it |
| Vigilanza AI Act | ACN — Agenzia per la Cybersicurezza Nazionale — acn.gov.it |