Coowork

1. Chi tratta i tuoi dati

Il titolare del trattamento è la società che gestisce Coowork. I suoi dati identificativi non sono ancora pubblicati qui perché devono essere confermati da chi ne risponde:

Da completare in revisione legale: ragione sociale, sede legale e partita IVA del titolare del trattamento
Da completare in revisione legale: se debba essere nominato un responsabile della protezione dei dati (DPO) e, in tal caso, con quale recapito

Nel frattempo, per qualunque questione sui tuoi dati puoi scrivere a supporto@coowork.it. La casella è presidiata da una persona.

2. Quali dati trattiamo

Account: indirizzo email, nome, e — se ti registri con una password — la sua impronta crittografica, mai la password in chiaro. Se accedi con Google riceviamo anche l'immagine del profilo.
Profilo professionale: presentazione, competenze, disponibilità, intenti e preferenze di collaborazione che dichiari tu. Il profilo è privato per impostazione predefinita: diventa visibile solo se lo attivi.
Attività sulla piattaforma: richieste, candidature, segnalazioni, collaborazioni, accordi e documenti, riscontri.
Dati riservati di contatto: i recapiti presenti in una richiesta o in una segnalazione, cifrati a riposo con AES-256-GCM e conservati separatamente dal resto.
Conversazioni con l'assistente: quello che scrivi nella chat e quello che l'assistente risponde. Vedi il punto 4.
Registro di sicurezza: indirizzo IP, browser usato, momento e tipo dell'evento. Serve alla sicurezza e a poter ricostruire chi ha fatto cosa.
Reputazione: metriche calcolate dalle attività registrate sulla piattaforma. Vedi il punto 8.

Una segnalazione può contenere i dati di una persona che non è iscritta a Coowork: è il trattamento più delicato che facciamo. I suoi recapiti restano cifrati e chiusi finché qualcuno non li apre esplicitamente, e ogni apertura è registrata.

Da completare in revisione legale: la base giuridica del trattamento dei dati della persona segnalata, il testo dell'informativa a lei destinata e il momento in cui le viene inviata

3. Perché li trattiamo, e con quale base giuridica

Esecuzione del contratto — cioè far funzionare il servizio che ci hai chiesto: account e accesso, pubblicazione di richieste e segnalazioni, candidature, collaborazioni, accordi, notifiche operative, conversazioni con l'assistente e contatori del suo consumo.
Interesse legittimo — solo per sicurezza, prevenzione degli abusi e non ripudiabilità: registro di sicurezza, protezione dagli abusi sui riscontri, conservazione delle azioni proposte dall'assistente e della loro conferma. Mai per profilare le persone a fini decisionali.
Consenso — per ciò che puoi attivare e disattivare quando vuoi: riepiloghi e suggerimenti via email, visibilità del profilo e della reputazione, autorizzazioni che concedi ai singoli strumenti dell'assistente.
Obbligo di legge — quando dobbiamo rispondere a un'autorità competente.

Non facciamo pubblicità e non vendiamo i tuoi dati. Non c'è alcun trattamento di marketing: se un giorno ci fosse, servirebbe un consenso separato e te lo chiederemmo prima.

4. L'assistente Coowork

Coowork ha un assistente conversazionale, attivo in produzione dal 2 settembre 2026. Ti aiuta a scrivere il profilo, a preparare una richiesta o una segnalazione, a capire un'opportunità, a tenere in ordine una collaborazione. All'ingresso di ogni schermata conversazionale leggi sempre la stessa frase: «Stai parlando con un assistente automatico di Coowork».

Chi elabora i testi

Il fornitore è OpenAI, che agisce come responsabile del trattamento per nostro conto.
L'endpoint è quello globale (api.openai.com), non quello a residenza europea: i contenuti che passano dall'assistente escono dall'Unione europea. È una scelta scritta e datata al 2 settembre 2026: la residenza europea del fornitore si ottiene solo creando presso di lui un ambiente nuovo con quella regione, l'opzione non era disponibile sul nostro, e l'alternativa era tenere l'assistente spento a tempo indeterminato. Preferiamo dirlo piuttosto che ometterlo.
Da completare in revisione legale: il meccanismo che rende lecito questo trasferimento fuori dall'Unione (decisione di adeguatezza, clausole contrattuali tipo, valutazione d'impatto sul trasferimento) e l'esito della verifica se sia necessaria una valutazione d'impatto sulla protezione dei dati
Il modello è fissato: gpt-5.6-luna, un identificatore immutabile. Non usiamo alias che cambiano modello sotto di noi senza che nessuno lo abbia deciso.
I tuoi dati non vengono usati per addestrare il modello. Ogni richiesta parte con l'istruzione di non conservare la conversazione presso il fornitore, e nel nostro codice non esiste alcuna configurazione che possa attivare l'addestramento sui dati di Coowork.

Che cosa non esce mai verso il fornitore

i dati riservati della persona segnalata da qualcun altro;
il contenuto dei file caricati;
token, credenziali e segreti;
i punteggi interni con cui calcoliamo gli abbinamenti;
i termini economici di un accordo.

Il testo di un procedimento interno — per esempio una contestazione — esce solo con una conferma esplicita, registrata, presa una apertura alla volta.

Che cosa esce, e per quanto resta

Escono le informazioni che servono a rispondere: il tuo profilo, le tue richieste, le preferenze che hai dichiarato, la parte pubblica delle segnalazioni, i messaggi di una collaborazione a cui partecipi. Da noi le conversazioni restano 90 giorni, le azioni proposte e il loro registro 24 mesi, i contatori di consumo 13 mesi. Puoi cancellare una conversazione quando vuoi, dall'elenco delle conversazioni dell'assistente, e una preferenza che gli hai dichiarato dalle Impostazioni.

L'assistente propone, decidi tu

L'assistente non scrive nulla per conto tuo. Ogni modifica passa da una proposta che vedi e confermi su un modulo, e non sceglie lui su quale richiesta, segnalazione o collaborazione agire: la relazione è determinata dal server, non dal testo. Se preferisci non usarlo, il percorso manuale è completo: con l'assistente spento il prodotto funziona interamente.

5. A chi comunichiamo i dati

Non vendiamo i tuoi dati e non li cediamo a terzi per scopi commerciali. Li trattano per nostro conto, come responsabili, i fornitori che ci servono per far funzionare il servizio:

Neon — il database. Regione europea (eu-central-1).
Vercel — l'hosting dell'applicazione e l'archiviazione dei file caricati. Da completare in revisione legale: verifica e dichiarazione della regione in cui Vercel archivia i file
Resend — l'invio delle email. Regione europea (eu-west-1).
OpenAI — l'elaborazione dei testi dell'assistente, sull'endpoint globale. Vedi il punto 4.

Oltre a questi, i tuoi dati raggiungono le controparti delle tue collaborazioni — e solo nella misura che decidi tu: i recapiti riservati si aprono a una persona per volta, dopo un'azione esplicita, e ogni apertura è registrata. Infine possono essere comunicati alle autorità competenti, se la legge lo impone.

6. Per quanto tempo li conserviamo

Contatti riservati di segnalazioni e richieste: 90 giorni dopo la scadenza, la chiusura o il ritiro — cancellazione automatica notturna.
Notifiche: 90 giorni — cancellazione automatica notturna.
Conversazioni e messaggi con l'assistente: 90 giorni — cancellazione automatica notturna.
Bozze che l'assistente prepara per te (per esempio una candidatura): 90 giorni: vivono dentro la conversazione e se ne vanno con lei — cancellazione automatica notturna.
Azioni che l'assistente ha proposto e la tua conferma o il tuo rifiuto: 24 mesi — cancellazione automatica notturna.
Registro delle azioni dell'assistente (metadati, mai il contenuto): 24 mesi — cancellazione automatica notturna.
Contatori di consumo dell'assistente (solo numeri, nessun testo): 13 mesi — cancellazione automatica notturna.
Documenti, prove e materiali caricati in una collaborazione: 24 mesi — periodo dichiarato; oggi la cancellazione di questa voce non è ancora automatica.
Registro di sicurezza (audit) e storico delle operazioni: a tempo indeterminato — non vengono cancellati; se elimini l'account restano in forma anonima.
Sessioni di accesso: 30 giorni, o meno se esci prima — scadenza del cookie di sessione.
Impronta dell'indirizzo email dopo l'eliminazione dell'account: a tempo indeterminato — conservata come impronta SHA-256, non come indirizzo leggibile.

Da completare in revisione legale: conferma della conservazione a tempo indeterminato del registro di sicurezza e dello storico delle operazioni: è una posizione che qualcuno deve firmare

7. Come li proteggiamo

I dati riservati — i recapiti presenti in richieste e segnalazioni — sono cifrati con AES-256-GCM e conservati separatamente da quelli visibili. Chi può leggerli è deciso su ogni singola operazione, lato server, e ogni accesso amministrativo finisce nel registro di sicurezza. Le email che ti mandiamo non contengono il titolo dell'entità di cui parlano e non hanno pixel di tracciamento: l'apertura di un messaggio non viene rilevata.

8. Decisioni automatizzate e reputazione

Non prendiamo decisioni automatizzate che producano effetti giuridici su di te o che ti riguardino in modo analogamente significativo. Non è una promessa generica: è come è costruito il prodotto. L'assistente propone e una persona conferma; nessuno strumento scrive senza quel passaggio. E i provvedimenti sull'account — una limitazione, una sospensione — sono decisi da una persona e riesaminati da una persona.

La reputazione è calcolata automaticamente, e non è una decisione automatizzata. La differenza conta, quindi vale la pena scriverla per esteso: la reputazione è un riassunto di fatti già accaduti — collaborazioni confermate da entrambe le parti, riscontri ricevuti, accordi portati a termine. Non decide nulla da sola: non ti esclude da una richiesta, non ti apre o chiude un accesso, non stabilisce un compenso. Serve a chi ti legge per farsi un'idea, come la farebbe leggendo la stessa storia riga per riga.

Se non sei d'accordo con quello che dice, hai tre strade:

guardare le prove: dalla tua pagina Reputazione vedi l'elenco dei fatti che l'hanno costruita, uno per uno;
segnalare un riscontro che ritieni scorretto: viene esaminato e può essere invalidato;
nasconderla: puoi tenerla privata dalle Impostazioni, e non comparirà agli altri.

Per contestare un provvedimento sul tuo account, invece, scrivi a supporto@coowork.it: il riesame è fatto da una persona, non da un sistema automatico.

Da completare in revisione legale: se e in che misura Coowork sia una «piattaforma di lavoro digitale» ai sensi della Direttiva (UE) 2024/2831, e quali obblighi ulteriori di informazione e riesame ne discendano

9. I tuoi diritti

Accesso e portabilità: puoi esportare i tuoi dati in formato JSON dalla pagina Privacy del tuo profilo.
Rettifica: puoi correggere profilo, competenze e preferenze in qualsiasi momento.
Cancellazione: puoi eliminare l'account. Leggi il punto 10: una parte dei dati resta, e diciamo quale.
Opposizione e limitazione: puoi disattivare le comunicazioni non essenziali, nascondere reputazione e riscontri, togliere il profilo dalla ricerca interna, revocare le autorizzazioni date agli strumenti dell'assistente.
Revoca del consenso: dove il trattamento si basa sul tuo consenso puoi ritirarlo quando vuoi, senza che questo tolga validità a quanto fatto prima.
Reclamo: se ritieni che i tuoi dati siano trattati in modo scorretto puoi presentare un reclamo al Garante per la protezione dei dati personali (garanteprivacy.it), l'autorità di controllo italiana. Puoi farlo anche senza esserti prima rivolto a noi — ma se ci scrivi, ti rispondiamo.

Per esercitare un diritto scrivi a supporto@coowork.it.

10. Che cosa resta dopo la cancellazione dell'account

Quando elimini l'account, nome e indirizzo email vengono sostituiti da valori anonimi, l'account viene chiuso e vengono cancellate le sessioni, i collegamenti con Google, le preferenze di notifica, le conversazioni con l'assistente, le sue preferenze e le autorizzazioni che gli avevi dato.

Non tutto sparisce, e non ha senso far finta di sì:

Le azioni proposte dall'assistente e la tua conferma restano fino alla loro scadenza di 24 mesi. Sono la prova di che cosa è stato proposto e di che cosa una persona ha approvato: una prova che sparisce su richiesta di una delle parti non è una prova.
Il registro di sicurezza e lo storico delle operazioni restano, in forma anonima, per l'integrità della piattaforma e la prevenzione degli abusi.
Un'impronta crittografica del tuo indirizzo email resta conservata — l'indirizzo no, solo l'impronta — per impedire che lo stesso indirizzo venga usato per ricreare un account eludendo un provvedimento.
Ciò che riguarda anche altri — documenti e cronologia di una collaborazione, accordi, riscontri già pubblicati — resta accessibile alla controparte, in forma anonimizzata rispetto a te.

11. Contatti e modifiche

Per qualunque domanda sui tuoi dati scrivi a supporto@coowork.it. Se aggiorniamo questa informativa cambiamo la data in cima alla pagina; se la modifica è sostanziale, te lo diciamo anche dentro il prodotto.

Privacy Policy