Intakely Privacy Notice / Informativa privacy

Who is responsible

CARTVERTSING di Claudio Bisanti, Via Camillo Prampolini 16 B, Campagnola Emilia (RE), Italy; VAT IT08872281210. Contact: hello@bisanti.agency. We act as controller for account administration, billing, service security and our own optional promotional communications. Customers determine the purposes and lawful basis for their workspace inquiry data; we process that data under the customer DPA and documented instructions. Contact the customer whose form you used about their purposes and privacy notice.

Account, billing and security

We process account identity and email, authentication records, membership/roles, subscription and payment references, support correspondence and proportionate security records. Necessary account administration and requested services rely on contract or pre-contract steps; billing duties rely on applicable legal obligations; proportionate security and business correspondence rely on legitimate interests, subject to individual rights. Required account fields are necessary to provide an account. Payment-card data should be entered only into the payment provider’s hosted checkout, not intake forms.

Customer workspace data

This B2B version supports ordinary contact inquiries, requests and quotations, including requests submitted by private consumers. It may process names, business details, contact information, inquiry contents, attribution, appointment details, workflow outputs and delivery metadata. Customers must provide their own privacy notice and avoid identity, tax and health documents and regulated decisions. Providing data for an inquiry does not subscribe a person to marketing. The customer controls retention and optional AI instructions; our DPA covers assistance with rights and incidents.

Separate choices

Account Terms acceptance, customer DPA acceptance by the workspace OWNER with authority, privacy acknowledgement and optional marketing are distinct. We record the relevant version, server time, actor and workspace where applicable. Marketing is initially off. Product news and offers are sent only with a documented optional choice; withdraw in email preferences or using the promotional unsubscribe link. Necessary service messages remain separate. Existing unsupported preferences do not authorize new campaigns.

AI and human review

New workspaces have AI off. New processing is suspended where documented customer instructions or approved providers are missing or withdrawn; intake and existing outputs remain available. Customer instructions are not the individual’s marketing consent. AI may help classify ordinary inquiries or draft proposals; outputs can be wrong or biased and require meaningful human review before dispatch or decisions. Contact identifiers are removed from prompts when unnecessary. Provider routing, Digital Twin configuration, workflow execution and embeddings are subject to the same instruction controls. See the AI notice and subprocessor list; no model training, residency or zero-retention guarantee follows from an operator account preference.

Recipients and locations

Hosting is provided through OVHcloud; the operator reports the main Intakely server in Canada. Runtime inspection confirms PostgreSQL, Redis, the application, a workflow worker and an embedding service on the inspected host, but does not prove the physical region or every backup location. Shared workflow email uses Resend for sending and receiving. Legacy service messages use a separate Agency SMTP path. These email services, payment and customer integrations are described in the subprocessor inventory. Providers and subprocessors must be reviewed for the actual purchased service. Customer-connected calendar/webhook destinations are separate recipients chosen by the customer. We do not sell customer inquiry data or use it for our own advertising.

International transfers

Canada, US services and other non-EEA recipients may be involved. Transfers require an adequacy decision covering the actual recipient and processing, or appropriate safeguards such as applicable Standard Contractual Clauses with any necessary additional measures. Canadian location alone does not prove adequacy coverage. Supplier agreements, onward subprocessors and backup locations require service-specific evidence. Contact us for safeguards relevant to your service.

Retention and deletion

Customers confirm ordinary-lead retention; the proposed default for new workspaces is 24 months from the request, including related AI outputs. Historical data is previewed before deletion and is not deleted by the migration. Fiscal records, contracts, logs and choice evidence have separate purposes and exceptions. Account records are retained while necessary for the service, legal duties and disputes, then reviewed for deletion. No fixed backup deletion period is asserted without verified configuration. Deletions cover controlled copies identified in the preview; email, external calendars, transformed webhook payloads and backups require the documented follow-up and restore procedure.

Storage and security

Essential browser storage supports authentication, sessions and necessary preferences. This version does not enable third-party Analytics or advertising tags on booking pages. Booking links use random 256-bit tokens persisted only as hashes, expire after seven days and can be revoked; old ID links disclose no lead data. Access checks, role restrictions, HTTPS at the service edge, credentials stored server-side and controlled release procedures are used. We do not claim SOC 2 certification, end-to-end encryption or universal compliance.

Your rights

Where applicable you may request access, correction, erasure, restriction, portability, objection and withdrawal of consent without affecting previous lawful processing. Contact hello@bisanti.agency; requests concerning a customer’s purposes are referred to that customer and we assist under the DPA. Account export is separate from workspace export; individual access requests undergo identity and third-party-data review. We normally respond within one month, subject to lawful extensions. You may complain to the Italian Garante or another competent authority. US state rights are assessed against the applicable law, activities and thresholds rather than presumed from a customer’s location.

Titolare e responsabile

CARTVERTSING di Claudio Bisanti, Via Camillo Prampolini 16 B, Campagnola Emilia (RE), Italia; P.IVA IT08872281210. Contatti: hello@bisanti.agency. Per account, fatturazione, sicurezza e proprie comunicazioni promozionali facoltative operiamo come titolare. Per i dati dei workspace il cliente stabilisce finalità e base giuridica; Intakely opera come responsabile secondo DPA e istruzioni documentate. Per le finalità del modulo contatta il cliente che lo pubblica.

Dati e finalità proprie

Trattiamo identità ed email dell’account, autenticazione, ruoli, riferimenti di abbonamento e pagamento, assistenza e dati di sicurezza proporzionati. Le basi sono contratto o misure precontrattuali richieste, obblighi di legge e legittimo interesse alla sicurezza e alla corrispondenza professionale, nel rispetto dei diritti. I campi obbligatori sono necessari a fornire l’account. I dati delle carte vanno inseriti solo nel checkout del fornitore, mai nei form.

Dati dei clienti

La versione B2B gestisce contatti, richieste e preventivi ordinari, anche ricevuti da consumatori privati: recapiti, attività, contenuti delle richieste, provenienza, appuntamenti, output e metadati di consegna. Il cliente deve pubblicare la propria informativa. Documenti fiscali, sanitari e d’identità e decisioni regolamentate sono fuori perimetro. Una richiesta non implica iscrizione marketing.

Scelte distinte

Accettazione termini, DPA riservato all’OWNER con autorità a rappresentare il cliente, presa visione privacy e marketing facoltativo sono distinti. Registriamo versione, data server, utente e workspace pertinente. Il marketing nasce disattivato: novità e offerte richiedono una scelta separata documentata. Puoi revocarla nelle preferenze email o con il collegamento promozionale, mantenendo i messaggi necessari al servizio. Preferenze storiche senza prova non autorizzano campagne.

AI

I nuovi workspace hanno AI disattivata. Senza istruzioni documentate del cliente e fornitori approvati, o dopo revoca, nuove elaborazioni sono sospese; intake e output storici restano disponibili. L’istruzione del cliente non equivale al consenso marketing dell’interessato. Classificazione e bozze possono contenere errori o distorsioni: richiedono revisione umana prima di invii o decisioni. Si minimizzano identificativi non necessari nei prompt. I controlli coprono workflow, instradamento Digital Twin e embedding. Si vedano informativa AI e sub-responsabili; una preferenza dell’account dell’operatore non garantisce residenza UE o conservazione zero.

Destinatari e trasferimenti

Il titolare dichiara OVHcloud in Canada per il server principale. L’ispezione verifica servizi applicativi, PostgreSQL, Redis, worker ed embedding, non la regione fisica né tutte le copie. Resend gestisce invio/ricezione dei workflow; la posta di servizio legacy usa un percorso SMTP Agency distinto. Posta, pagamenti e integrazioni sono inventariati separatamente. Le destinazioni calendario e webhook scelte dal cliente sono destinatari distinti. Non vendiamo i lead né li usiamo per pubblicità nostra. Trasferimenti fuori SEE richiedono adeguatezza applicabile al destinatario concreto oppure garanzie appropriate, come SCC e misure supplementari necessarie; la localizzazione canadese da sola non prova la copertura.

Conservazione e cancellazione

Il cliente conferma durata e finalità: proposta iniziale di 24 mesi dalla richiesta per lead ordinari e relativi output AI. La migrazione non cancella dati storici; si produce prima un’anteprima. Fatture, contratti, log e prove delle scelte hanno regole separate ed eccezioni motivate. Non indichiamo tempi certi dei backup senza configurazioni dimostrate. La cancellazione copre le copie controllate censite; posta, calendari esterni, payload trasformati e backup richiedono le azioni documentate e la riapplicazione dopo ripristino.

Sicurezza e storage

Storage essenziale supporta accesso, sessione e preferenze necessarie. Le pagine di prenotazione non attivano Analytics o tag pubblicitari esterni. I link protetti hanno token casuali di 256 bit conservati solo come hash, revocabili e validi sette giorni; i vecchi link non mostrano dati dei lead. Si usano controlli di accesso e ruoli, HTTPS al perimetro e segreti lato server. Non dichiariamo SOC 2, cifratura end-to-end o conformità universale.

Diritti

Nei casi applicabili puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione e revocare i consensi. Scrivi al contatto sopra. Le richieste sui dati dei clienti vengono inoltrate al rispettivo titolare con assistenza prevista dal DPA. Export account e workspace sono distinti; l’accesso individuale richiede verifica dell’identità e dei dati di terzi. Rispondiamo normalmente entro un mese, salvo estensioni consentite. Puoi reclamare al Garante o altra autorità competente. L’applicabilità delle leggi statali US richiede valutazione di attività e soglie effettive.