Informativa sulla privacy

Data di efficacia: 19 agosto 2026

Concerto Labs (la «Società») gestisce The CEO Staff (il «Servizio», comprensivo del sito theceostaff.com e dell'applicazione desktop per macOS e Windows) nel rispetto del Personal Information Protection Act coreano («PIPA») e delle altre norme applicabili. Al fine di trattare i dati personali in modo lecito e di gestirli in sicurezza, la Società adotta e pubblica la presente informativa ai sensi dell'articolo 30 del PIPA.

The CEO Staff è un'applicazione desktop che riconosce in tempo reale ciò che dice l'interlocutore durante una videoriunione, fornisce uno script di risposta da leggere e produce una relazione di sintesi al termine dell'incontro. È attualmente disponibile su macOS e Windows e le funzioni offerte possono variare a seconda del sistema operativo. Per la sua stessa natura il Servizio tratta informazioni potenzialmente sensibili — l'audio delle riunioni e il contenuto delle conversazioni — e la Società ne definisce separatamente i principi all'articolo 5.

In sintesi

•Il contenuto delle riunioni — audio, trascrizioni, relazioni, base di conoscenza e simili — è conservato, in linea di principio, solo sul suo dispositivo.

•Fa eccezione l'uso della funzione di condivisione dei verbali: in tal caso la sintesi, la trascrizione e i dati dei partecipanti di quel verbale sono archiviati sui server della Società. Le registrazioni non vengono in alcun caso caricate sui server. Revocando la condivisione viene eliminato anche quanto archiviato (articolo 5, comma 2).

•La Società non utilizza le sue conversazioni per addestrare modelli di IA.

•La Società non vende dati personali dietro corrispettivo. Il sito ospita però un pixel di Meta per misurare il rendimento pubblicitario; nelle aree in cui è richiesto il consenso preventivo funziona solo previo consenso (articolo 10). L'applicazione desktop non contiene alcuna tecnologia pubblicitaria o di tracciamento.

•Informare i partecipanti della registrazione e della trascrizione e ottenerne il consenso è responsabilità dell'utente (articolo 5, comma 4).

•Per i pagamenti la Società non conserva il numero completo della carta né il codice di sicurezza; recesso e rimborsi seguono la Politica di recesso, disdetta e rimborso dei servizi a pagamento.

Articolo 1 (Ambito di applicazione)

① La presente informativa si applica a tutti gli ambiti seguenti.

1. La visita del sito (theceostaff.com) e la registrazione anticipata alla beta
2. L'invio e la ricezione di inviti, nonché l'iscrizione e l'accesso
3. L'uso dell'applicazione desktop (macOS e Windows) (sessioni di riunione, base di conoscenza, prove, relazioni, condivisione dei verbali ecc.)
4. La consultazione del visualizzatore web dei verbali condivisi (theceostaff.com/r/)
5. L'assistenza clienti e le comunicazioni

② Qualora la Società stipuli un contratto separato con un cliente aziendale e tratti i dati personali dei suoi collaboratori su istruzione di quest'ultimo, il cliente aziendale è titolare del trattamento e la Società agisce come responsabile. In tal caso prevale l'informativa privacy del cliente aziendale.

③ La presente informativa non si applica ai siti e servizi esterni collegati dal Servizio; consulti le informative dei rispettivi gestori.

④ Il Servizio può offrire abbonamenti a pagamento di tre mesi o di un anno, oltre a prodotti a pagamento aggiuntivi. Recesso, disdetta e rimborso dei servizi a pagamento sono disciplinati dalla Politica di recesso, disdetta e rimborso dei servizi a pagamento.

Articolo 2 (Definizioni)

I termini impiegati nella presente informativa hanno il significato che segue; quelli non definiti seguono il PIPA e la normativa applicabile.

1. «Dati personali»: informazioni relative a una persona vivente che ne consentono l'identificazione — nome, indirizzo e-mail, voce ecc. —, comprese quelle che la identificano se agevolmente combinate con altre informazioni.
2. «Interessato»: la persona identificabile mediante le informazioni trattate; nella presente informativa comprende gli utenti che accedono al Servizio, si registrano in anticipo, si iscrivono o lo utilizzano, nonché i terzi che partecipano alle loro riunioni.
3. «Utente»: chi ha concluso con la Società un contratto d'uso e utilizza il Servizio.
4. «Contenuto della riunione»: l'audio trattato durante l'uso del Servizio, la relativa trascrizione, le traduzioni, le sintesi e relazioni, nonché la base di conoscenza, le FAQ e le voci di memoria (Memory) registrate dall'utente; cioè tutto ciò che l'utente fornisce o il Servizio genera.
5. «Responsabile»: il soggetto cui la Società affida un trattamento di dati personali.
6. «Trasferimento all'estero»: la comunicazione, l'affidamento o la conservazione di dati personali al di fuori della Repubblica di Corea.

Articolo 3 (Finalità del trattamento)

La Società tratta i dati personali per le finalità che seguono e non li utilizza per finalità diverse. In caso di modifica della finalità adotta le misure necessarie, tra cui l'acquisizione di un consenso specifico ai sensi dell'articolo 18 del PIPA.

1. Ricezione delle registrazioni alla beta ed esame degli inviti: verifica dei richiedenti, valutazione dell'idoneità, gestione dell'ordine di invito, invio delle e-mail di invito
2. Iscrizione e gestione dell'account: verifica dell'identità (conferma via e-mail), mantenimento della sessione, sicurezza dell'account, prevenzione di iscrizioni duplicate o fraudolente
3. Gestione del programma di inviti: emissione, consegna e scadenza degli inviti, attribuzione e conguaglio dei premi (crediti d'uso gratuiti) per chi invita e per chi si iscrive
4. Erogazione del Servizio: riconoscimento vocale in tempo reale, generazione di script di risposta, traduzione e interpretariato, sintesi e relazioni di riunione, archiviazione e ricerca nella base di conoscenza, nelle FAQ e nella memoria, prove di riunione
5. Condivisione dei verbali: creazione del collegamento web di condivisione del verbale richiesto dall'utente, gestione dei diritti di accesso, invio del collegamento ai partecipanti via e-mail e gestione della revoca della condivisione
6. Gestione dei consumi: attribuzione, consumo e scadenza dei crediti gratuiti
7. Assistenza e comunicazioni: risposta alle richieste, supporto all'avvio, invio di comunicazioni indispensabili quali disservizi e modifiche delle politiche
8. Miglioramento del Servizio e statistiche: analisi statistiche quali l'uso per funzionalità e la diagnosi degli errori (di norma in forma pseudonimizzata o aggregata)
9. Prevenzione degli abusi e conformità normativa: individuazione di abusi e di acquisizioni fraudolente di crediti, gestione delle controversie, adempimento degli obblighi di legge
10. Invio di comunicazioni di marketing (con consenso specifico): novità, eventi e promozioni
11. Misurazione del rendimento pubblicitario: misurazione del comportamento degli utenti giunti tramite un annuncio — visite al sito, download e simili —, analisi dell'efficacia pubblicitaria e creazione di pubblici pubblicitari
12. Pagamento e rimborso dei servizi a pagamento: pagamento di abbonamenti e prodotti aggiuntivi, gestione dei pagamenti ricorrenti, conferma del pagamento, emissione di ricevute, gestione di recesso, disdetta e rimborso, prevenzione dei pagamenti fraudolenti e gestione delle controversie relative ai pagamenti

Articolo 4 (Categorie di dati trattati e modalità di raccolta)

① Registrazione anticipata alla beta (manifestazione di interesse)

È possibile registrarsi anche senza i dati facoltativi, sebbene l'esame dell'invito disponga in tal caso di minori informazioni.

② Iscrizione e inviti

Numero di telefono: conservato convertito in formato internazionale (E.164, senza trattini), è utilizzato unicamente per le comunicazioni indispensabili relative all'account e per la verifica dell'identità e i contatti nell'ambito dell'assistenza clienti. Nessun uso a fini di marketing senza consenso separato.

Avvertenza sull'invio degli inviti: inserire l'indirizzo e-mail di un terzo per inviargli un invito equivale a comunicare i suoi dati personali alla Società. È necessario ottenerne preventivamente il consenso. La Società utilizza tale indirizzo unicamente per inviare l'invito e verificarne l'esito, e lo distrugge senza indugio quando l'invito è scaduto o non è stato utilizzato.

③ Utilizzo del Servizio (contenuto della riunione)

In linea di principio il contenuto della riunione è conservato esclusivamente all'interno del dispositivo dell'utente. I server della Società e i fornitori esterni di IA e riconoscimento vocale intervengono solo come percorso di trattamento transitorio che produce un risultato e lo restituisce allo schermo dell'utente.

In via eccezionale, quando l'utente utilizza la funzione di condivisione dei verbali, un'istantanea di quel verbale viene archiviata sui server della Società. Il dettaglio è disciplinato all'articolo 5, comma 2.

L'istantanea condivisa non comprende le registrazioni. Gli orari della trascrizione, inoltre, sono conservati solo come tempo trascorso dall'inizio della riunione e non come ora assoluta.

④ Informazioni raccolte automaticamente

⑤ Principio di minimizzazione

1. La Società non raccoglie alcun identificativo univoco, quale il numero di registrazione del residente o il numero di passaporto.
2. La Società non ha per finalità la raccolta di dati sensibili quali opinioni politiche, salute, vita sessuale, dati genetici o precedenti penali. Poiché tali contenuti possono emergere naturalmente in una riunione, la Società applica all'intero contenuto delle riunioni le misure rafforzate dell'articolo 5.
3. La Società non crea né conserva dati biometrici quali impronte vocali per identificare chi parla. La distinzione tra i parlanti avviene unicamente trattando separatamente i canali audio (il proprio microfono / l'audio dell'interlocutore).
4. La Società non conserva un proprio registro degli indirizzi IP dei visitatori del sito; del Paese di accesso registra solo il codice presente nell'intestazione della richiesta (ad esempio KR).

⑥ Pagamento e rimborso dei servizi a pagamento

I dettagli dello strumento di pagamento — numero della carta, scadenza, codice di sicurezza e simili — sono trattati direttamente dal gestore dei pagamenti. La Società non conserva il numero completo della carta né il codice di sicurezza.

⑦ Download dell'app

Il numero di telefono è conservato convertito in formato internazionale (E.164, senza trattini) e non è utilizzato a fini di marketing senza consenso separato.

Articolo 5 (Disposizioni speciali sul contenuto delle riunioni)

Il contenuto delle riunioni racchiude le conversazioni tra l'utente e il suo interlocutore e richiede quindi una tutela particolare. La Società osserva i principi seguenti.

① In linea di principio il contenuto delle riunioni è conservato solo sul dispositivo dell'utente (progettazione «local first»)

1. Registrazioni, trascrizioni, traduzioni, script di risposta, sintesi e relazioni, voci di memoria, base di conoscenza e FAQ, nonché le informazioni sugli interlocutori sono conservati cifrati per account nell'area dati riservata all'applicazione sul dispositivo dell'utente. Salvo che sia eseguita la condivisione dei verbali di cui al comma 2, tali informazioni non sono trasmesse né archiviate sui server della Società, che non può detenerle né consultarle.
2. I server della Società e i fornitori esterni intervengono solo come percorso di trattamento transitorio che genera un risultato e lo restituisce allo schermo. Il flusso audio per il riconoscimento vocale è inviato al fornitore soltanto durante la sessione e non viene archiviato; il testo per generare risposte e sintesi è inviato al fornitore di IA e il trattamento termina con la restituzione del risultato (articolo 12). Se il verbale in tempo reale è attivo, anche durante la riunione gli interventi di ciascuna fascia sono inviati al fornitore di IA a intervalli regolari per generarne la sintesi. Quanto inviato si esaurisce con la restituzione del risultato e non viene archiviato.
3. Si consideri che, risiedendo il contenuto solo sul suo dispositivo, esso non è recuperabile nei casi seguenti.
   • Eliminazione dell'applicazione unitamente ai suoi dati
   • Ripristino o sostituzione del dispositivo
   • Danneggiamento o reimpostazione dell'archivio delle credenziali del sistema operativo (portachiavi macOS, API di protezione dei dati di Windows e simili) con conseguente impossibilità di leggere la chiave di cifratura
   • Accesso da un altro dispositivo (la sincronizzazione tra dispositivi non è supportata)
   • Accesso con un altro account (i dati sono archiviati separatamente per account)

   La chiave di cifratura che apre i dati dell'account è vincolata all'area protetta del sistema operativo di quel dispositivo: copiare i soli file di dati su un altro dispositivo non consente quindi di decifrarli. Si tratta di una scelta progettuale voluta, affinché chi si impossessi dei file non possa leggerne il contenuto. La Società non conserva copie di backup e non può quindi assistere nel ripristino. Conservi separatamente relazioni e documenti importanti tramite la funzione di download del Servizio.

② Trattamento in caso di condivisione di un verbale (eccezione al principio «local first»)

1. Quando l'utente utilizza la funzione di condivisione, il titolo, la sintesi strutturata, il registro per fasce orarie, i nomi degli interlocutori, gli indirizzi e-mail e i nomi dei partecipanti e la trascrizione di quel verbale sono archiviati come istantanea sui server della Società, affinché i partecipanti che non usano l'applicazione possano consultare il verbale tramite un collegamento web. L'e-mail inviata ai partecipanti contiene solo il titolo del verbale, il collegamento di consultazione e l'eventuale nota inserita dall'utente; il verbale integrale non vi è riportato.
2. Le registrazioni non rientrano nell'oggetto della condivisione e non sono in alcun caso archiviate sui server della Società.
3. Gli orari riportati nella trascrizione sono conservati solo come tempo trascorso dall'inizio della riunione e non come ora assoluta.
4. L'utente può scegliere l'ambito della condivisione tra «chiunque abbia il collegamento» e «solo i partecipanti».
5. L'utente può revocare la condivisione in qualsiasi momento; con la revoca l'istantanea archiviata sul server è eliminata e i collegamenti già inviati non consentono più l'accesso.
6. Se l'utente inserisce gli indirizzi e-mail dei partecipanti per inviare il collegamento, ciò equivale a fornire alla Società dati personali di terzi. L'utente deve informare preventivamente tali partecipanti della condivisione del verbale e ottenere il consenso necessario.
7. La Società utilizza gli indirizzi e-mail dei partecipanti ricevuti unicamente per inviare il collegamento al verbale e verificarne l'esito.
8. Se la funzione di condivisione non viene utilizzata, il verbale non lascia il dispositivo dell'utente.

③ Nessun utilizzo per l'addestramento di modelli di IA

La Società non utilizza audio, trascrizioni, base di conoscenza o relazioni degli utenti per addestrare (training) o affinare (fine-tuning) modelli di intelligenza artificiale. Anche i contratti con i fornitori esterni di IA impiegati (articolo 12) stabiliscono che tali dati non siano usati per l'addestramento dei modelli.

④ Responsabilità dell'utente di informare e raccogliere il consenso

1. Il trattamento della voce dell'interlocutore prende avvio dalla scelta e dall'azione dell'utente, e la Società lo esegue su sua istruzione.
2. Prima di qualsiasi registrazione o trascrizione, è responsabilità dell'utente informare i partecipanti e ottenere il consenso richiesto dalla legge applicabile. La legge coreana sulla protezione del segreto delle comunicazioni vieta la registrazione da parte di chi non è parte della conversazione, e alcuni Paesi e Stati — la California negli Stati Uniti, ad esempio — richiedono il consenso di tutti i partecipanti (all-party consent).
3. La Società non risponde delle controversie derivanti dall'inadempimento di tale obbligo e può limitare l'uso del Servizio in caso di utilizzo illecito accertato.

⑤ Controllo degli accessi

1. Poiché il contenuto delle riunioni non condiviso è conservato solo sul dispositivo dell'utente, il personale della Società non può consultarlo. Anche laddove la Società dovesse esaminarlo per assistenza tecnica o risoluzione di un disservizio, l'accesso resta impossibile se l'utente non lo fornisce direttamente. Le istantanee dei verbali condivisi ai sensi del comma 2 sono però archiviate sui server della Società e vi si può quindi accedere tecnicamente. La Società attribuisce i relativi diritti al minor numero possibile di persone, registra e gestisce la cronologia degli accessi e non li consulta per finalità diverse dalla risoluzione dei disservizi e dall'adempimento di obblighi di legge.
2. Quando un utente trasmette direttamente parte del proprio contenuto nell'ambito di una richiesta o di una segnalazione di errore, la Società lo utilizza unicamente per gestire tale richiesta e lo distrugge senza indugio una volta conclusa. In tal caso data, motivo e identità di chi accede sono registrati e conservati per un anno.
3. Per le informazioni ospitate sui server della Società, come i dati dell'account, i permessi sono concessi al numero minimo di persone e la cronologia degli accessi è registrata e gestita.

⑥ Controllo della cancellazione

1. L'utente può eliminare autonomamente e in qualsiasi momento, all'interno del Servizio, singole sessioni (registrazione, trascrizione, relazione), documenti della base di conoscenza, voci di memoria e cartelle.
2. Eliminando l'applicazione unitamente ai suoi dati, l'intero contenuto delle riunioni è eliminato immediatamente.
3. Poiché il contenuto delle riunioni non condiviso non risiede sui server della Società, non è necessaria una richiesta di cancellazione rivolta alla Società.
4. Il verbale condiviso è eliminato dal server non appena la condivisione viene revocata all'interno del Servizio. Qualora la revoca risulti difficoltosa, la cancellazione può essere richiesta al contatto di cui all'articolo 14.

⑦ Informazioni sugli interlocutori (terzi)

1. Quando un utente registra nella base di conoscenza nome, organizzazione o atteggiamento di un interlocutore, o richiede una ricerca su fonti pubbliche, la Società opera su sua istruzione. Spetta all'utente verificare che tale raccolta e utilizzo siano leciti.
2. La ricerca su fonti pubbliche cerca e sintetizza esclusivamente informazioni pubblicate su internet; la Società non costruisce una propria banca dati di persone.
3. Il terzo che sia stato interlocutore può chiedere l'accesso o la cancellazione delle informazioni che lo riguardano tramite il contatto di cui all'articolo 14. La Società trasmetterà la richiesta all'utente che detiene tali informazioni e ne supporterà la gestione.

Articolo 6 (Trattamento e periodi di conservazione)

① La Società tratta e conserva i dati personali entro il periodo previsto dalla legge o acconsentito dall'interessato.

② La Società può, previo avviso, rendere inattivo o eliminare l'account di un utente che non utilizza il Servizio da un anno o più.

Articolo 7 (Procedura e modalità di distruzione)

① Quando i dati personali non sono più necessari — per decorso del periodo di conservazione o raggiungimento della finalità —, la Società li distrugge senza indugio.

② I dati conservati in formato elettronico sono cancellati definitivamente con modalità che ne impediscono il recupero; i documenti cartacei sono triturati o inceneriti.

③ I dati che devono essere conservati in forza di altre norme sono archiviati e gestiti in una banca dati separata o in un diverso luogo di conservazione.

Articolo 8 (Comunicazione a terzi)

① La Società tratta i dati personali soltanto nell'ambito delle finalità dell'articolo 3 e li comunica a terzi solo con il consenso dell'interessato o nei casi previsti dagli articoli 17 e 18 del PIPA, ad esempio in forza di una specifica disposizione di legge.

② Attualmente la Società non comunica dati personali a terzi. Fanno eccezione i casi seguenti.

1. Richiesta legittima di un'autorità pubblica, quale un organo inquirente, secondo la procedura di legge
2. Trasferimento necessario per fusione o cessione d'azienda (in tal caso il fatto e i diritti dell'utente sono comunicati in anticipo)

③ La Società non vende dati personali dietro corrispettivo. Le informazioni trasmesse a Meta tramite il pixel pubblicitario di cui all'articolo 10 possono tuttavia configurare una «vendita» (sale) o una «comunicazione» (share) di dati personali ai sensi di alcune leggi statali statunitensi sulla privacy. L'utente può opporvisi in qualsiasi momento da «Impostazioni cookie» in fondo al sito (articolo 18, comma 2).

④ Di fronte a una richiesta di informazioni di un organo inquirente, la Società verifica presupposti e procedura di legge e ne dà notizia all'utente interessato, salvo divieto normativo.

Articolo 9 (Affidamento del trattamento)

① Per garantire il regolare funzionamento del Servizio, la Società affida parte dei trattamenti a fornitori esterni.

② Tra i responsabili indicati, Supabase, Inc. conserva i dati in una regione situata in Corea ma, avendo sede all'estero, può verificarsi un accesso dall'estero durante l'assistenza tecnica o la risoluzione di disservizi. La Società illustra questa e le altre ipotesi di trasferimento all'estero all'articolo 12.

③ Gli altri responsabili situati all'estero sono indicati all'articolo 12.

④ Nel concludere il contratto di affidamento, la Società definisce per iscritto, ai sensi dell'articolo 26 del PIPA, il divieto di trattamenti estranei alla finalità, le misure di sicurezza, i limiti al subaffidamento, la vigilanza e la responsabilità per danni, e verifica che il responsabile tratti i dati in sicurezza.

⑤ Ogni modifica delle attività affidate o del responsabile è pubblicata senza indugio tramite la presente informativa.

Articolo 10 (Dispositivi di raccolta automatica e loro rifiuto)

① La Società utilizza i cookie e le tecnologie simili seguenti.

② Per gli utenti delle aree in cui è richiesto il consenso preventivo (UE, SEE, Regno Unito, Svizzera e Brasile), i cookie diversi da quelli necessari sono memorizzati solo previo consenso. Gli script di marketing non vengono nemmeno scaricati prima del consenso. La scelta è modificabile in qualsiasi momento da «Impostazioni cookie» in fondo al sito.

③ È possibile rifiutare o eliminare i cookie dalle impostazioni del browser.

④ La Società non utilizza strumenti di analisi web. Per misurare il rendimento pubblicitario impiega, unicamente sul sito, il pixel di Meta (Meta Platforms, Inc.), al fine di rilevare se chi ha visto un annuncio abbia visitato il sito o sia arrivato al download, e per creare pubblici pubblicitari. Il contenuto delle riunioni, i verbali e i dati dell'account non sono mai trasmessi al fornitore pubblicitario.

⑤ L'applicazione desktop non contiene alcun cookie né alcuna tecnologia di tracciamento a fini pubblicitari o di analisi. Il pixel di cui al comma 4 esiste solo sul sito. Conserva sul dispositivo soltanto le impostazioni scelte dall'utente — lingua di visualizzazione, preimpostazioni di sessione, testi del gobbo e simili — e tali informazioni non sono trasmesse ai server della Società.

Articolo 11 (Decisioni automatizzate e trattamento con IA)

① Il Servizio analizza le conversazioni con l'intelligenza artificiale per generare script di risposta, sintesi e relazioni. Si tratta di materiale di riferimento a supporto dell'utente; la Società non assume su tale base decisioni automatizzate con effetti giuridici o analogamente rilevanti.

② I risultati generati possono essere inesatti: la verifica e la valutazione finali spettano all'utente.

③ La Società non adotta decisioni automatizzate basate sulla profilazione.

Articolo 12 (Trasferimenti all'estero)

① Nella misura necessaria a erogare il Servizio e ai sensi dell'articolo 28-8, comma 1, punto 3 del PIPA (affidamento o conservazione per la conclusione ed esecuzione di un contratto con l'interessato), la Società trasferisce dati personali all'estero come segue.

② Le registrazioni delle sessioni non sono trasferite ad alcuno dei fornitori sopra indicati.

③ Il contenuto delle riunioni è solo trasmesso ed elaborato in modo transitorio per generare un risultato e non è archiviato presso fornitori esteri. Fanno eccezione le istantanee dei verbali condivisi dall'utente: sono archiviate nella regione di Seul, in Repubblica di Corea, e nel corso dell'assistenza tecnica del fornitore può verificarsi un accesso dall'estero (articolo 5, comma 2).

④ I dati di pagamento non sono trasferiti all'estero. I pagamenti sono gestiti tramite un gestore dei pagamenti con sede in Corea (articolo 9).

⑤ Gli interessati possono opporsi al trasferimento all'estero dei propri dati tramite il contatto di cui all'articolo 14. Poiché però tali trasferimenti sono indispensabili alle funzioni essenziali del Servizio (riconoscimento vocale, generazione con IA, autenticazione, archiviazione), l'opposizione può limitare o impedire l'uso del Servizio.

⑥ Le trasmissioni automatiche relative ai caratteri web e alle CDN possono essere bloccate dalle impostazioni di blocco dei contenuti del browser, con possibile compromissione parziale della visualizzazione.

⑦ Nella stipula di contratti con responsabili esteri la Società applica garanzie adeguate riconosciute dalla normativa, quali le clausole contrattuali tipo (SCC), e assicura contrattualmente il divieto di addestramento dei modelli e di utilizzo per finalità diverse.

Articolo 13 (Diritti degli interessati e dei rappresentanti legali)

① Gli interessati possono esercitare in qualsiasi momento nei confronti della Società i diritti seguenti.

1. Accesso alle informazioni sul trattamento
2. Rettifica in caso di errore
3. Cancellazione
4. Limitazione del trattamento
5. Revoca del consenso
6. Portabilità (download): relazioni, trascrizioni e base di conoscenza risiedono sul suo dispositivo e possono essere scaricate direttamente dal Servizio.
7. Revoca di un verbale condiviso: può revocarlo direttamente dalla schermata di gestione delle condivisioni del Servizio oppure farne richiesta al contatto di cui all'articolo 14.

② Tali diritti si esercitano dalla schermata delle impostazioni del Servizio oppure per iscritto o via e-mail al contatto di cui all'articolo 14; la Società interviene entro 10 giorni dal ricevimento della richiesta. Poiché però la Società non detiene il contenuto delle riunioni non condiviso, accesso, rettifica e cancellazione devono essere effettuati dall'utente all'interno del Servizio. L'esercizio è possibile anche tramite rappresentante, previa presentazione di una procura.

③ È possibile rifiutare liberamente il consenso alla raccolta e all'uso dei dati. Il rifiuto relativo ai dati obbligatori limita però l'iscrizione e l'uso del Servizio. Il rifiuto dei dati facoltativi (quali le comunicazioni di marketing) non comporta alcuno svantaggio.

④ La Società verifica che chi esercita tali diritti sia l'interessato o un rappresentante debitamente incaricato.

⑤ Gli interessati esercitano i propri diritti nel rispetto della normativa applicabile e senza ledere i dati personali altrui.

⑥ Le informazioni la cui conservazione è imposta dalla legge sulla tutela dei consumatori nel commercio elettronico, quali le registrazioni di pagamento e rimborso, possono essere escluse da una richiesta di cancellazione o limitazione; in tal caso la Società ne indica il motivo.

Articolo 14 (Responsabile della protezione dei dati e richieste di accesso)

① La Società ha designato la persona seguente per sovrintendere al trattamento dei dati personali e gestire reclami e richieste di tutela degli interessati.

• Responsabile della protezione dei dati: Jemin You (COO)
• Contatto: hello@theceostaff.com
• Richieste su pagamenti e rimborsi: hello@theceostaff.com

② Gli interessati possono rivolgere a tale contatto qualsiasi richiesta, reclamo o istanza di tutela relativa al trattamento, comprese le richieste di accesso ai sensi dell'articolo 35 del PIPA. La Società risponde e provvede senza indugio e in buona fede.

Articolo 15 (Minori di 14 anni)

① Il Servizio non si rivolge ai minori di 14 anni e la Società non ne raccoglie i dati personali.

② Ove risulti che sono stati raccolti dati di un minore di 14 anni, la Società li distrugge senza indugio.

Articolo 16 (Misure di sicurezza)

Ai sensi dell'articolo 29 del PIPA, la Società adotta le misure seguenti.

1. Misure organizzative: predisposizione e attuazione di un piano di gestione interno, limitazione del personale che tratta dati personali al minimo indispensabile per l'esercizio del Servizio, formazione periodica di tale personale, gestione dello storico di attribuzione, modifica e revoca dei permessi
2. Misure tecniche
   • Cifratura end-to-end delle trasmissioni (TLS 1.2 o superiore)
   • Cifratura dei dati archiviati (password con hash unidirezionale; il contenuto delle riunioni è cifrato con una chiave AES-256 per account, a sua volta cifrata a busta tramite l'archivio delle credenziali del sistema operativo)
   • Isolamento dei dati per account e controllo degli accessi a livello di riga (Row Level Security)
   • Eliminazione strutturale del rischio di fuga grazie a una progettazione «local first» che tiene il contenuto delle riunioni non condiviso fuori dai server
   • Architettura in cui i dettagli dello strumento di pagamento sono trattati direttamente dal gestore dei pagamenti e mai archiviati sui server della Società
   • Conservazione dei registri di accesso e protezione contro le alterazioni
   • Prevenzione e rilevamento delle intrusioni e verifiche periodiche delle vulnerabilità
3. Misure fisiche: i dati sono ospitati in strutture situate in Corea di fornitori cloud dotati di certificazioni di sicurezza fisica (ISO 27001 / SOC 2 e simili)
4. Gestione degli incidenti: in caso di violazione, notifica agli interessati e segnalazione alle autorità entro i termini di legge

Articolo 17 (Mezzi di tutela)

Per ottenere tutela a fronte di una violazione, gli interessati possono rivolgersi agli organismi seguenti per la risoluzione delle controversie o per una consulenza. Si tratta di organismi distinti dalla Società; li contatti se non è soddisfatto della gestione da parte della Società o se necessita di assistenza più approfondita.

1. Comitato di mediazione delle controversie sui dati personali: 1833-6972 (www.kopico.go.kr)
2. Centro segnalazioni per violazioni della privacy (Korea Internet & Security Agency): 118 (privacy.kisa.or.kr)
3. Procura suprema: 1301 (www.spo.go.kr)
4. Agenzia nazionale di polizia: 182 (ecrm.police.go.kr)

Articolo 18 (Disposizioni aggiuntive per UE, SEE, Regno Unito e altre giurisdizioni)

① Agli interessati situati in aree in cui si applica il GDPR o normativa equivalente si applica inoltre quanto segue.

1. Titolare del trattamento: Concerto Labs. Contatto: Jemin You (COO) / hello@theceostaff.com.
2. Basi giuridiche del trattamento
   • Iscrizione ed erogazione del Servizio: esecuzione di un contratto (articolo 6, par. 1, lett. b del GDPR)
   • Trattamento dell'audio e delle trascrizioni: consenso (articolo 6, par. 1, lett. a) ed esecuzione di un contratto (articolo 6, par. 1, lett. b)
   • Gestione di pagamenti e rimborsi: esecuzione di un contratto (articolo 6, par. 1, lett. b) e obbligo legale (articolo 6, par. 1, lett. c)
   • Sicurezza, prevenzione degli abusi e miglioramento: legittimo interesse della Società (articolo 6, par. 1, lett. f)
   • Comunicazioni di marketing: consenso (articolo 6, par. 1, lett. a)
   • Obblighi di legge: articolo 6, par. 1, lett. c
3. Diritti aggiuntivi: oltre ai diritti dell'articolo 13, spettano i diritti di limitazione, opposizione e portabilità, nonché il diritto di proporre reclamo all'autorità di controllo del luogo di residenza.
4. Trasferimenti fuori dal SEE: sono applicate garanzie adeguate quali decisioni di adeguatezza e clausole contrattuali tipo (CCT). La Repubblica di Corea ha ottenuto una decisione di adeguatezza della Commissione europea nel dicembre 2021.
5. Decisioni automatizzate: la Società non adotta decisioni automatizzate ai sensi dell'articolo 22 del GDPR.

② Per gli interessati situati in aree soggette a leggi statali statunitensi sulla privacy, quale la California, la Società non vende dati personali dietro corrispettivo in denaro. La trasmissione tramite il pixel di Meta di cui all'articolo 10 può tuttavia configurare, ai sensi di tali leggi, una «vendita» (sale) di dati personali o una «comunicazione» (share) per finalità di pubblicità profilata; gli interessati possono opporvisi (opt-out) da «Impostazioni cookie» in fondo al sito. La Società rispetta come opposizione anche il segnale GPC (Global Privacy Control) del browser. I diritti di accesso, cancellazione, rettifica e non discriminazione sono garantiti come all'articolo 13.

③ La presente informativa è redatta assumendo il testo coreano come versione facente fede; in caso di difformità con una traduzione, prevale il testo coreano nei limiti in cui ciò non contrasti con norme imperative locali.

Articolo 19 (Modifiche della presente informativa)

① In caso di integrazioni, modifiche o soppressioni, la Società ne dà avviso almeno 7 giorni prima dell'entrata in vigore (30 giorni per le modifiche che incidono in modo sostanziale sui diritti degli interessati) tramite gli avvisi del sito o la presente pagina.

② La presente revisione ha introdotto le modifiche seguenti.

1. Precisazione che, quando l'utente utilizza la funzione di condivisione dei verbali, la sintesi, la trascrizione e i dati dei partecipanti di quel verbale sono archiviati sui server della Società (Sintesi, articoli 3 e 4, articolo 5, comma 2)
2. Aggiunta del periodo di conservazione dei verbali condivisi e delle modalità di cancellazione mediante revoca della condivisione (articolo 6, articolo 5 comma 6, articolo 13)
3. Aggiunta degli elementi di responsabilità del trattamento e di trasferimento all'estero connessi alla condivisione (articoli 9 e 12)
4. Rettifica della forma del Servizio come applicazione desktop (macOS e Windows) e allineamento dei luoghi di archiviazione e dei casi di irrecuperabilità all'archivio delle credenziali del sistema operativo (articoli 1, 4, 5 comma 1, 10 e 16)
5. Rettifica del fornitore di IA generativa in base all'uso effettivo e indicazione della trasmissione delle sintesi per fasce del verbale in tempo reale (articolo 12)
6. (Modifica del 15 agosto 2026) Aggiunta del numero di telefono ai dati obbligatori raccolti all'iscrizione e aggiornamento della relativa voce sul trasferimento all'estero (articoli 4 e 12)
7. (Modifica del 15 agosto 2026) Indicazione della raccolta del numero di telefono al download dell'app (articoli 4 e 6)
8. (Modificato il 19 agosto 2026) Recepimento del pixel di Meta per la misurazione del rendimento pubblicitario (Sintesi, articoli 3, 4, 6, 8, 10, 12 e 18). Nelle aree in cui è richiesto il consenso preventivo lo script non viene scaricato prima del consenso e, altrove, può essere rifiutato in qualsiasi momento da «Impostazioni cookie»

Come in precedenza, le registrazioni non sono in alcun caso archiviate sui server della Società e, se la funzione di condivisione non viene utilizzata, il verbale non lascia il dispositivo dell'utente.

③ Le versioni precedenti sono consultabili di seguito.

1. In vigore dal 29 luglio 2026 al 31 luglio 2026 (v1, sola registrazione alla beta): consulta la versione precedente
2. In vigore dal 1º agosto 2026 al 5 agosto 2026 (v2, prima dei piani a pagamento): consulta la versione precedente

Disposizione finale

La presente informativa entra in vigore l'11 agosto 2026.

La presente informativa modificata (aggiunta del numero di telefono ai dati raccolti) entra in vigore il 15 agosto 2026.

La presente modifica (introduzione del pixel pubblicitario) entra in vigore il 19 agosto 2026.