Informativa privacy

A cosa si applica questa informativa

Si applica a LML MCP Connector, il server MCP (Model Context Protocol) con cui un assistente AI consulta e gestisce la tua agenda integrandosi con Google Calendar.

È un documento autonomo e specifico di questa applicazione. Non sostituisce e non è sostituita dall’informativa generale del sito lmltech.it, che riguarda la navigazione del sito ed è un documento distinto.

1. Accesso — quali dati del tuo account Google consultiamo

Il connettore richiede quattro ambiti di autorizzazione (scope) sul tuo account Google: due riguardano il calendario, gli altri due l’account con cui hai autorizzato. I due ambiti di calendario ti vengono presentati come permessi da approvare nella schermata di consenso Google al primo utilizzo. Gli altri due fanno parte dell’accesso con Google e non compaiono come voci separate, perché non danno accesso ad alcun contenuto: servono unicamente a identificare l’account collegato. In nessun caso avviene un accesso prima che tu abbia autorizzato l’applicazione.

Nessun altro ambito viene richiesto. Il connettore non accede al contenuto di Gmail, né a Contatti, Drive, Foto o ad alcun altro servizio del tuo account Google.

2. Utilizzo — per quali finalità li usiamo

I dati di calendario elencati sopra vengono usati per un’unica finalità: eseguire le operazioni sull’agenda che richiedi tramite il tuo assistente AI. L’indirizzo email e l’identificativo dell’account non entrano in quelle operazioni: servono soltanto a riconoscere il collegamento e a mostrartelo.

• Mostrarti gli impegni presenti in un intervallo di tempo.
• Individuare le fasce ancora libere quando chiedi di verificare la disponibilità.
• Creare un nuovo evento con i dati che indichi.
• Aggiornare un evento esistente quando chiedi di spostarlo o modificarlo.
• Mostrarti quale account Google risulta collegato, così che tu possa verificarlo e, se serve, correggerlo.

Non vengono usati per nessun’altra finalità. Il connettore non compie operazioni di propria iniziativa e non opera in background: ogni lettura e ogni scrittura nasce da una tua richiesta esplicita.

3. Condivisione — con chi vengono condivisi o trasferiti

Quando chiedi al tuo assistente AI di consultare o modificare l’agenda, i dati di calendario necessari a rispondere vengono trasmessi al client MCP che hai collegato — cioè all’assistente AI stesso e, di conseguenza, al fornitore che lo eroga. È il funzionamento proprio del Model Context Protocol: il connettore recupera i dati da Google Calendar e li restituisce al client che li ha richiesti.

Questa trasmissione avviene esclusivamente su tua azione, in risposta a una tua richiesta, e mai in autonomia. Il trattamento successivo da parte del fornitore dell’assistente AI è regolato dall’informativa privacy di quel fornitore, che ti invitiamo a consultare.

Oltre al client MCP che hai collegato, i dati possono essere trattati dai fornitori di infrastruttura di cui LML Technologies si avvale, in qualità di responsabili del trattamento ai sensi dell’art. 28 GDPR e vincolati contrattualmente a operare solo su istruzione del titolare: il fornitore dell’infrastruttura di hosting su cui il connettore è erogato, situato nell’Unione Europea. L’elenco aggiornato dei responsabili del trattamento è disponibile su richiesta scrivendo a info@lmltech.it.

I dati di calendario non vengono in nessun caso:

• venduti, ceduti o comunicati a terzi o a data broker;
• usati per pubblicità, retargeting o profilazione;
• usati per addestrare, ri-addestrare o migliorare modelli di intelligenza artificiale o di machine learning generalizzati;
• usati per valutazioni di merito creditizio o per determinare l’affidabilità creditizia.

L’uso e il trasferimento, da parte di LML MCP Connector, delle informazioni ricevute dalle API di Google aderiscono alle Norme relative ai dati utente dei servizi API di Google, inclusi i requisiti di Uso Limitato (Limited Use). Il testo integrale delle norme è disponibile su https://developers.google.com/terms/api-services-user-data-policy

Accesso da parte del personale di LML Technologies

Il personale di LML Technologies non accede ai dati di calendario degli utenti. Fanno eccezione tre soli casi:

• quando l’utente presta un consenso esplicito e specifico a quell’accesso;
• quando l’accesso è necessario per ragioni di sicurezza o per attività di debug circoscritte a un problema segnalato;
• quando sussiste un obbligo di legge o un ordine dell’autorità competente.

4. Protezione — misure di sicurezza

Le chiamate alle API di Google avvengono esclusivamente su HTTPS con cifratura TLS. Di seguito le misure tecniche e organizzative adottate sull’infrastruttura su cui il connettore è erogato:

• Cifratura in transito: tutte le comunicazioni fra il client MCP e il connettore avvengono su HTTPS con cifratura TLS 1.2 o superiore. Le connessioni non cifrate non sono accettate.
• Cifratura a riposo: i dati sensibili sono cifrati a riposo con algoritmo AES a 128 bit in modalità CBC con autenticazione HMAC-SHA256. Le chiavi di cifratura non risiedono nel database e sono fornite all’applicazione tramite variabili d’ambiente protette; il sistema supporta la rotazione periodica delle chiavi senza interruzione del servizio.
• Token OAuth: i token di autorizzazione rilasciati da Google sono conservati esclusivamente in forma cifrata all’interno di un database PostgreSQL non accessibile dall’esterno, ospitato nella medesima infrastruttura del connettore. Non vengono mai scritti in chiaro, né registrati nei log, né trasmessi a terzi.
• Controllo degli accessi: l’accesso ai sistemi è riservato al personale tecnico autorizzato di LML Technologies, tramite credenziali nominative e individuali. Gli accessi amministrativi sono registrati. Ogni azienda cliente accede esclusivamente tramite una credenziale a lei dedicata, revocabile singolarmente.
• Isolamento fra clienti: ogni azienda cliente dispone di una credenziale di accesso dedicata e distinta. Il connettore determina l’appartenenza dei dati esclusivamente da tale credenziale: non è possibile, per un cliente, accedere ai dati di calendario di un altro cliente, in quanto l’identificazione non dipende da alcun parametro modificabile dal chiamante.
• Hosting: l’infrastruttura su cui il connettore è erogato è ospitata presso un data center situato nell’Unione Europea.

5. Conservazione e cancellazione

Puoi revocare l’accesso in qualsiasi momento, senza passare da LML Technologies, dalla pagina di gestione degli accessi del tuo account Google: https://myaccount.google.com/permissions

Dalla revoca in poi il connettore non ha più alcun accesso ai tuoi calendari. I token di autorizzazione e i dati a essi associati vengono eliminati immediatamente: alla revoca, il connettore revoca a sua volta il token presso Google e lo elimina dai sistemi attivi senza ritardo. Le eventuali copie residue presenti nei backup vengono eliminate entro 30 giorni.

Puoi in ogni caso richiedere la cancellazione scrivendo a info@lmltech.it. La richiesta viene evasa entro un mese, come previsto dall’art. 12 GDPR.

• Token di autorizzazione: i token restano conservati per tutta la durata del collegamento e sono eliminati alla revoca o alla cessazione del servizio, secondo i tempi indicati sopra.
• Dati di calendario: i dati di calendario non vengono memorizzati. Sono letti da Google al momento della richiesta, trasmessi al client MCP che li ha richiesti e non conservati: non esiste alcun archivio di eventi, partecipanti o contenuti di calendario presso LML Technologies.
• Indirizzo email e identificativo dell’account: sono conservati insieme all’autorizzazione a cui appartengono, per la sola durata del collegamento, ed eliminati alla revoca con gli stessi tempi dei token.
• Log tecnici: i log tecnici registrano esclusivamente dati di funzionamento — data e ora, azienda cliente, identificativo dell’utente, operazione richiesta, esito e durata — e sono conservati per 365 giorni per finalità di sicurezza e diagnostica. Non contengono in alcun caso titoli, partecipanti, luoghi o descrizioni degli eventi, né i token di autorizzazione.

Basi giuridiche del trattamento

• Esecuzione del contratto stipulato con l’azienda cliente presso cui il servizio è attivo (art. 6.1.b GDPR).
• Consenso che presti attraverso la schermata di autorizzazione Google, per l’accesso ai dati del calendario, revocabile in qualsiasi momento (art. 6.1.a GDPR).
• Legittimo interesse a garantire la sicurezza e il corretto funzionamento del servizio, per i soli log tecnici (art. 6.1.f GDPR).

Trasferimenti verso Paesi terzi

L’infrastruttura del connettore è collocata nell’Unione Europea e i dati di calendario non vengono trasferiti fuori dallo Spazio economico europeo da parte di LML Technologies.

Restano fermi i trasferimenti eventualmente effettuati da Google, in qualità di titolare autonomo del trattamento per i dati che restano nel tuo account Google, e dal fornitore dell’assistente AI collegato dall’utente, ciascuno secondo la propria informativa.

Qualora un trasferimento abbia luogo, avviene sulla base di una decisione di adeguatezza della Commissione europea oppure di clausole contrattuali standard ai sensi dell’art. 46 GDPR.

I tuoi diritti e come esercitarli

Puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15-22 GDPR: accesso ai tuoi dati, rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione. Puoi inoltre revocare in ogni momento il consenso prestato, senza che ciò pregiudichi la liceità del trattamento svolto prima della revoca.

Per esercitarli è sufficiente scrivere a info@lmltech.it, indicando il diritto che intendi esercitare. Riceverai riscontro entro un mese dalla richiesta, come previsto dall’art. 12 GDPR.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).

LML Technologies non ha nominato un Responsabile della protezione dei dati, non ricorrendone i presupposti di cui all’art. 37 GDPR. Per ogni questione relativa alla protezione dei dati è possibile scrivere a info@lmltech.it.

Modifiche a questa informativa

Gli aggiornamenti vengono pubblicati su questa pagina, con la data di ultima modifica indicata in cima. L’indirizzo di questa pagina è stabile e non cambia.

Contatti

Per qualsiasi domanda su questa informativa o sul trattamento dei tuoi dati: info@lmltech.it