English version below.
Questa informativa descrive come Helmium tratta i dati personali quando un’azienda cliente utilizza la piattaforma Helmium e vi collega i propri canali di comunicazione, WhatsApp Business ed email. Integra l’informativa privacy del sito helmium.com.
1. Chi siamo
Helmium è un marchio di Marco Palumbo, ditta individuale, Via Giacomo Matteotti N 144 INT 2, 55049 Viareggio (LU), Italia. Partita IVA IT02763700461, codice fiscale PLMMRC74S04E507A. Email: marco@helmium.com. Telefono: +39 379 350 5330.
Helmium è un software per la gestione delle comunicazioni operative di progetto: cattura, archivia e organizza i messaggi che un’azienda scambia con fornitori, clienti e collaboratori, e ne documenta l’integrità a fini probatori.
2. Ruoli nel trattamento
Dati delle comunicazioni. Il Titolare del trattamento è l’azienda cliente che utilizza Helmium e vi collega i propri account (il “Cliente”). Helmium agisce come Responsabile del trattamento ai sensi dell’art. 28 GDPR, solo su istruzioni documentate del Cliente, secondo l’Accordo sul trattamento dei dati (DPA) sottoscritto con lui.
Dati degli utenti e del rapporto contrattuale. Per i dati degli utenti della piattaforma (account, accessi, assistenza, fatturazione, sicurezza) Helmium agisce come Titolare del trattamento.
Se sei un fornitore, un armatore o un’altra persona che comunica con un nostro Cliente, il titolare dei tuoi dati è l’azienda con cui comunichi: per informazioni e per esercitare i tuoi diritti rivolgiti in primo luogo a lei. Se scrivi a noi, inoltriamo la richiesta al Cliente (sezione 11).
3. Quali dati trattiamo
3.1 Dati dei canali collegati dal Cliente
WhatsApp, tramite la WhatsApp Business Platform di Meta in modalità Coexistence, cioè mentre il Cliente continua a usare la propria app WhatsApp Business:
i messaggi ricevuti dal numero WhatsApp Business del Cliente e i messaggi inviati dal Cliente, compresi quelli inviati dall’app sul telefono;
i contenuti allegati: immagini, note vocali, documenti, video, posizioni e contatti condivisi;
i metadati: numeri di telefono e nomi profilo di mittenti e destinatari, data e ora, identificativi dei messaggi, stato di consegna, modifiche e revoche;
la rubrica dei contatti dell’app WhatsApp Business del Cliente, quando sincronizzata;
lo storico delle conversazioni fino a sei mesi precedenti al collegamento, solo se il Cliente sceglie di condividerlo durante la procedura di collegamento;
gli identificativi tecnici dell’account (account WhatsApp Business, numero, portfolio aziendale Meta) e le credenziali di accesso rilasciate da Meta.
Email: i messaggi e gli allegati delle caselle che il Cliente collega o inoltra a Helmium, con le relative intestazioni (mittente, destinatari, data, oggetto).
Contenuti generati dal servizio: trascrizioni delle note vocali, testo estratto dai documenti, classificazioni, collegamenti ai progetti, eventi di autorizzazione e di decisione, scadenze, report, impronte di integrità e marche temporali.
3.2 Dati degli utenti della piattaforma
Nome, indirizzo email, ruolo, azienda, credenziali e log di accesso, impostazioni, richieste di assistenza, dati di fatturazione.
3.3 Categorie particolari di dati
Helmium non è progettata per trattare categorie particolari di dati (art. 9 GDPR). Queste possono comparire in modo incidentale nei contenuti delle comunicazioni; non sono oggetto di alcun trattamento sistematico.
4. Come accediamo ai dati WhatsApp
Helmium accede ai dati WhatsApp solo dopo l’autorizzazione esplicita del Cliente, data attraverso la procedura di collegamento ufficiale di Meta (Embedded Signup): il Cliente sceglie l’account da collegare e accetta i permessi richiesti. Helmium riceve copia degli eventi esclusivamente tramite le API ufficiali di Meta. Non utilizza API non ufficiali e non accede al telefono del Cliente.
Nell’app WhatsApp i messaggi tra utenti sono cifrati end-to-end. Quando un’azienda usa la WhatsApp Business Platform, Meta decifra i messaggi destinati all’azienda e li consegna a Helmium su una connessione cifrata: il tratto tra Meta e Helmium non è quindi cifrato end-to-end.
Helmium non invia messaggi per conto del Cliente, salvo funzioni che il Cliente attivi espressamente. Il Cliente può revocare l’accesso in qualsiasi momento (sezione 10).
Gmail. Per le caselle Gmail, Helmium accede in sola lettura tramite le API ufficiali di Google, dopo l’autorizzazione del titolare della casella (permesso gmail.readonly). L’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, compresi i requisiti di Limited Use. In particolare, questi dati non sono usati per pubblicità né per addestrare modelli di intelligenza artificiale, e sono trasmessi ai fornitori indicati nella sezione 7 solo per erogare le funzioni del servizio.
5. Finalità e basi giuridiche
5.1 Per conto del Cliente (Helmium come Responsabile)
Erogare il servizio richiesto dal Cliente:
ricevere, archiviare e organizzare per progetto le comunicazioni;
trascrivere le note vocali ed estrarre il testo dai documenti;
classificare i messaggi e riconoscere decisioni, autorizzazioni, variazioni e scadenze;
calcolare impronte di integrità e apporre marche temporali, a fini probatori;
produrre report, avvisi e strumenti di ricerca;
fornire assistenza tecnica e garantire la sicurezza del servizio.
La base giuridica di questi trattamenti è determinata dal Cliente in quanto titolare, tipicamente il legittimo interesse a documentare i propri rapporti contrattuali o l’esecuzione dei contratti.
5.2 Come Titolare
gestione dell’account e del contratto con il Cliente (art. 6, par. 1, lett. b GDPR);
fatturazione e adempimento degli obblighi fiscali e di legge (art. 6, par. 1, lett. c GDPR);
sicurezza della piattaforma, prevenzione degli abusi e tutela dei diritti in sede giudiziaria (art. 6, par. 1, lett. f GDPR).
6. Cosa non facciamo
Non vendiamo né cediamo i dati personali.
Non li usiamo per pubblicità o profilazione commerciale.
Non usiamo i dati dei Clienti, compresi quelli ricevuti da Meta, per finalità diverse dall’erogazione del servizio al Cliente.
Non usiamo i contenuti delle comunicazioni per addestrare, sviluppare o migliorare modelli o sistemi di intelligenza artificiale, nostri o di terzi. Collaudiamo il servizio con dati sintetici o di prova; esaminiamo conversazioni reali solo per l’assistenza su un caso segnalato dal Cliente. I fornitori di intelligenza artificiale di cui ci avvaliamo trattano i dati tramite le loro API, a condizioni commerciali che escludono l’uso dei dati per l’addestramento dei loro modelli.
7. Destinatari e sub-responsabili
Per erogare il servizio ci avvaliamo dei seguenti fornitori, designati come sub-responsabili:
Categoria Fornitore attuale Luogo del trattamento
Server di elaborazione dei flussi Hostinger Germania
Database applicativo Airtable Stati Uniti
Archiviazione dei file Hetzner UE
Intelligenza artificiale (trascrizione, classificazione, estrazione) Anthropic, OpenAI Stati Uniti; per Anthropic l’elaborazione può avvenire anche in altri paesi in cui il fornitore opera
Partner Meta per la fatturazione dei costi WhatsApp (Solution Partner): riceve gli identificativi dell’account WhatsApp Business e i dati di consumo, non il contenuto dei messaggi; riceve il contenuto solo in caso di attivazione temporanea di emergenza, su istruzione del Cliente indicato nell’elenco dei sub-responsabili allegato al DPA indicato nell’elenco dei sub-responsabili allegato al DPA
Marcatura temporale servizi di marca temporale e OpenTimestamps ricevono solo impronte crittografiche, mai contenuti
Meta. La WhatsApp Business Platform è fornita da WhatsApp Ireland Limited, società del gruppo Meta, secondo i termini che il Cliente accetta direttamente quando collega il proprio numero. Meta tratta i messaggi nei data center del gruppo, il cui luogo non è indicato da Meta, e li conserva al massimo 30 giorni. Meta non è un sub-responsabile di Helmium.
L’elenco aggiornato dei sub-responsabili è allegato al DPA; il Cliente è informato in anticipo di ogni modifica. I dati possono inoltre essere comunicati alle autorità pubbliche quando richiesto dalla legge.
8. Trasferimenti fuori dallo Spazio Economico Europeo
Alcuni fornitori trattano dati negli Stati Uniti o in altri paesi fuori dallo Spazio Economico Europeo. Questi trasferimenti avvengono sulla base della decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework) per i destinatari certificati, oppure delle clausole contrattuali standard approvate dalla Commissione europea (Decisione di esecuzione (UE) 2021/914), con una valutazione documentata del trasferimento e le eventuali misure supplementari necessarie. Una copia delle garanzie adottate è disponibile su richiesta.
9. Conservazione
Dati delle comunicazioni: per la durata del contratto, secondo le impostazioni e le istruzioni del Cliente. Alla cessazione del contratto il Cliente può richiederne l’esportazione entro 30 giorni; trascorso tale termine i dati vengono cancellati entro i successivi 30 giorni, salvo diverso obbligo di legge. Le copie di backup vengono sovrascritte nei cicli ordinari entro 30 giorni.
Impronte di integrità e manifesti di sigillo: contengono impronte crittografiche, non i contenuti, e sono conservati per garantire la verificabilità delle prove.
Dati di account e fatturazione: per la durata del contratto; i documenti contabili per 10 anni (art. 2220 c.c.).
Log di sicurezza: 12 mesi.
10. Disconnessione e cancellazione
Il Cliente può scollegare WhatsApp o l’email e chiedere la cancellazione dei dati in qualsiasi momento. Le istruzioni complete sono nella pagina Istruzioni per la cancellazione dei dati.
11. Diritti degli interessati
Persone che comunicano con un Cliente Helmium: rivolgiti all’azienda con cui comunichi, che è il titolare dei tuoi dati. Se scrivi a marco@helmium.com, inoltriamo la tua richiesta al Cliente senza ingiustificato ritardo e lo assistiamo nella risposta.
Utenti della piattaforma: puoi esercitare i diritti previsti dagli articoli da 15 a 22 GDPR (accesso, rettifica, cancellazione, limitazione, portabilità, opposizione) scrivendo a marco@helmium.com. Rispondiamo entro 30 giorni.
In ogni caso hai diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).
12. Sicurezza
Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui la cifratura delle comunicazioni in transito, il controllo degli accessi, la separazione logica dei dati per Cliente, le impronte di integrità e le marche temporali sui contenuti archiviati, e copie di backup periodiche.
13. Modifiche
Possiamo aggiornare questa informativa. La versione in vigore è sempre pubblicata su questa pagina, con la data dell’ultimo aggiornamento. Le modifiche sostanziali sono comunicate ai Clienti in anticipo.
14. Contatti
Per qualunque domanda su questa informativa: marco@helmium.com.
Helmium Platform Privacy Policy
Version 1.0 · Last updated: 16 October 2026
This policy explains how Helmium processes personal data when a business customer uses the Helmium platform and connects its communication channels, WhatsApp Business and email. It supplements the helmium.com website privacy notice.
1. Who we are
Helmium is a brand of Marco Palumbo, sole proprietorship, Via Giacomo Matteotti N 144 INT 2, 55049 Viareggio (LU), Italy. VAT number IT02763700461, tax code PLMMRC74S04E507A. Email: marco@helmium.com. Phone: +39 379 350 5330.
Helmium is software for managing operational project communications: it captures, archives and organises the messages a business exchanges with its suppliers, clients and partners, and documents their integrity for evidentiary purposes.
2. Roles
Communications data. The data controller is the business customer that uses Helmium and connects its accounts (the “Customer”). Helmium acts as a data processor under Article 28 GDPR, only on the Customer’s documented instructions, as set out in the Data Processing Agreement (DPA) signed with the Customer.
User and contract data. For data about platform users (accounts, access, support, billing, security), Helmium acts as data controller.
If you are a supplier, an owner or anyone else communicating with one of our Customers, the controller of your data is the business you communicate with: please contact them first for information and to exercise your rights. If you write to us, we forward your request to the Customer (section 11).
3. What data we process
3.1 Data from channels connected by the Customer
WhatsApp, through Meta’s WhatsApp Business Platform in Coexistence mode, meaning the Customer keeps using its own WhatsApp Business app:
messages received by the Customer’s WhatsApp Business number and messages sent by the Customer, including those sent from the app on the phone;
attached content: images, voice notes, documents, videos, locations and shared contacts;
metadata: phone numbers and profile names of senders and recipients, date and time, message identifiers, delivery status, edits and revocations;
the contact list of the Customer’s WhatsApp Business app, when synchronised;
chat history covering up to six months before connection, only if the Customer chooses to share it during the connection flow;
technical account identifiers (WhatsApp Business Account, phone number, Meta business portfolio) and the access credentials issued by Meta.
Email: messages and attachments from the mailboxes the Customer connects or forwards to Helmium, with their headers (sender, recipients, date, subject).
Content generated by the service: voice note transcriptions, text extracted from documents, classifications, links to projects, authorisation and decision events, deadlines, reports, integrity fingerprints and timestamps.
3.2 Platform user data
Name, email address, role, company, credentials and access logs, settings, support requests, billing data.
3.3 Special categories of data
Helmium is not designed to process special categories of data (Article 9 GDPR). Such data may appear incidentally in the content of communications; it is not subject to any systematic processing.
4. How we access WhatsApp data
Helmium accesses WhatsApp data only after the Customer’s explicit authorisation, given through Meta’s official connection flow (Embedded Signup), in which the Customer selects the account to connect and accepts the requested permissions. Helmium receives copies of events exclusively through Meta’s official APIs. It does not use unofficial APIs and does not access the Customer’s phone.
In the WhatsApp app, messages between users are end-to-end encrypted. When a business uses the WhatsApp Business Platform, Meta decrypts the messages addressed to the business and delivers them to Helmium over an encrypted connection: the leg between Meta and Helmium is therefore not end-to-end encrypted.
Helmium does not send messages on the Customer’s behalf, except through features the Customer expressly enables. The Customer can revoke access at any time (section 10).
Gmail. For Gmail mailboxes, Helmium has read-only access through Google’s official APIs, after authorisation by the mailbox owner (gmail.readonly permission). Helmium’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. In particular, this data is not used for advertising or to train artificial intelligence models, and is shared with the providers listed in section 7 only to deliver the features of the service.
5. Purposes and legal bases
5.1 On behalf of the Customer (Helmium as processor)
To provide the service requested by the Customer:
receiving, archiving and organising communications by project;
transcribing voice notes and extracting text from documents;
classifying messages and identifying decisions, authorisations, changes and deadlines;
computing integrity fingerprints and applying timestamps for evidentiary purposes;
producing reports, alerts and search tools;
providing technical support and keeping the service secure.
The legal basis for this processing is determined by the Customer as controller, typically its legitimate interest in documenting its contractual relationships or the performance of contracts.
5.2 As controller
managing the account and the contract with the Customer (Article 6(1)(b) GDPR);
billing and compliance with tax and legal obligations (Article 6(1)(c) GDPR);
platform security, abuse prevention and the establishment or defence of legal claims (Article 6(1)(f) GDPR).
6. What we do not do
We do not sell or rent personal data.
We do not use it for advertising or commercial profiling.
We do not use Customer data, including data received from Meta, for any purpose other than providing the service to the Customer.
We do not use the content of communications to train, develop or improve artificial intelligence models or systems, ours or anyone else’s. We test the service with synthetic or test data; we look at real conversations only to support a case reported by the Customer. The AI providers we rely on process data through their APIs under commercial terms that exclude using that data to train their models.
7. Recipients and sub-processors
To provide the service we rely on the following providers, appointed as sub-processors:
Category Current provider Processing location
Workflow processing server Hostinger Germany
Application database Airtable United States
File storage Hetzner EU
Artificial intelligence (transcription, classification, extraction) Anthropic, OpenAI United States; for Anthropic, processing may also take place in other countries where the provider operates
Meta partner for billing WhatsApp fees (Solution Partner): receives the WhatsApp Business Account identifiers and usage data, not message content; receives content only if temporarily activated in an emergency, on the Customer’s instructions named in the sub-processor list attached to the DPA stated in the sub-processor list attached to the DPA
Timestamping timestamping services and OpenTimestamps receive cryptographic fingerprints only, never content
Meta. The WhatsApp Business Platform is provided by WhatsApp Ireland Limited, a Meta company, under terms the Customer accepts directly when connecting its number. Meta processes messages in its group’s data centres, whose location Meta does not state, and keeps them for at most 30 days. Meta is not a sub-processor of Helmium.
The up-to-date list of sub-processors is attached to the DPA; Customers are informed in advance of any change. Data may also be disclosed to public authorities where required by law.
8. Transfers outside the European Economic Area
Some providers process data in the United States or other countries outside the European Economic Area. These transfers rely on the EU-U.S. Data Privacy Framework adequacy decision for certified recipients, or on the Standard Contractual Clauses approved by the European Commission (Implementing Decision (EU) 2021/914), with a documented transfer assessment and any necessary supplementary measures. A copy of the safeguards is available on request.
9. Retention
Communications data: for the duration of the contract, according to the Customer’s settings and instructions. When the contract ends, the Customer may request an export within 30 days; after that period the data is deleted within a further 30 days, unless the law requires otherwise. Backup copies are overwritten in ordinary cycles within 30 days.
Integrity fingerprints and seal manifests: contain cryptographic fingerprints, not content, and are kept to ensure that evidence remains verifiable.
Account and billing data: for the duration of the contract; accounting records for 10 years (Article 2220 of the Italian Civil Code).
Security logs: 12 months.
10. Disconnection and deletion
The Customer can disconnect WhatsApp or email and request deletion of its data at any time. Full instructions are on the Data Deletion Instructions page (Italian and English).
11. Data subject rights
People communicating with a Helmium Customer: please contact the business you communicate with, which is the controller of your data. If you write to marco@helmium.com, we forward your request to the Customer without undue delay and assist it in responding.
Platform users: you can exercise your rights under Articles 15 to 22 GDPR (access, rectification, erasure, restriction, portability, objection) by writing to marco@helmium.com. We reply within 30 days.
You always have the right to lodge a complaint with the Italian data protection authority, the Garante per la protezione dei dati personali (garanteprivacy.it).
12. Security
We apply technical and organisational measures appropriate to the risk, including encryption of communications in transit, access control, logical separation of data by Customer, integrity fingerprints and timestamps on archived content, and periodic backups.
13. Changes
We may update this policy. The version in force is always published on this page with its last update date. Material changes are communicated to Customers in advance.
14. Contact
For any question about this policy: marco@helmium.com.