MultiverbeBOS

Legitimate Interest Assessment (LIA) · Cold outreach B2B

Valutazione del legittimo interesse per il trattamento dei dati di contatto professionali nel cold outreach B2B di Multiverbe. Base giuridica per api/sales/generate-outreach.ts e per l'invio delle sequenze (Loris/founder).

Versione 1.0 · 2026-06-02 · da adottare formalmente dal founder (titolare). Da rivedere con consulente legale prima dello scaling dell'outreach.

1. Titolare e contesto

  • Titolare del trattamento: Metaverbe / Multiverbe (Lugano, CH).
  • Trattamento: generazione assistita da AI di email e messaggi di cold outreach verso decisori di PMI svizzere e italiane, e loro invio.
  • Interessati: persone fisiche identificabili tramite il loro ruolo professionale (titolare, direttore, responsabile marketing di una PMI).
  • Dati trattati: nome, azienda, ruolo, settore, città. Sono dati di contatto professionale, non dati della sfera privata. Nessun dato particolare (art. 9 GDPR / dati sensibili nDSG).

2. Base giuridica

Legittimo interesse: art. 6(1)(f) GDPR e principio equivalente nella nLPD / revFADP (interesse preponderante del titolare). La scelta è motivata dal test tripartito qui sotto. Non si usa il consenso perché il primo contatto B2B non lo prevede e il consenso preventivo non è ottenibile prima del contatto.

3. Test tripartito

3.1 Test della finalità (c'è un interesse legittimo?)

Sì. Promuovere un prodotto SaaS B2B verso aziende potenzialmente interessate è un interesse commerciale legittimo e riconosciuto (considerando 47 GDPR cita il marketing diretto come possibile legittimo interesse). Il messaggio è pertinente al ruolo professionale dell'interessato.

3.2 Test di necessità (il trattamento è necessario?)

Sì, ed è minimizzato. Per personalizzare un messaggio rilevante servono nome, azienda e ruolo. Non trattiamo dati eccedenti: niente dati privati, niente profilazione comportamentale, niente acquisto di liste opache. La personalizzazione meno invasiva (solo contesto professionale) è anche la più efficace, quindi non esiste un mezzo meno intrusivo a parità di risultato.

3.3 Test di bilanciamento (l'interesse prevale sui diritti?)

Sì, con le garanzie sotto. Aspettativa ragionevole: un decisore aziendale si aspetta comunicazioni commerciali pertinenti sul canale professionale. Impatto basso: nessun dato sensibile, nessuna decisione automatizzata con effetti giuridici, opt-out immediato a ogni messaggio. Il bilanciamento pende a favore del trattamento a condizione che restino attive le garanzie seguenti.

4. Garanzie applicate (condizioni di validità)

  1. Minimizzazione: solo dati di contatto professionale. La PII strutturale accidentale (email/telefono/IBAN/codice fiscale eventualmente incollata nei campi) viene rimossa dal gate api/_lib/pii.ts prima del dispatch.
  2. Residenza dati: la generazione del testo passa dal gateway sovrano → Mistral FR (EU, ZDR + DPA). I dati del prospect non escono dal confine UE/CH in chiaro. Nessun provider US nel percorso di outreach.
  3. Trasparenza: ogni messaggio identifica mittente reale e scopo, con istruzioni di opt-out chiare in ogni invio.
  4. Diritto di opposizione: opt-out onorato immediatamente e in modo permanente (suppression list). Nessun re-contatto dopo opt-out.
  5. Niente dati particolari e niente decisioni automatizzate ex art. 22 GDPR.
  6. Registro: ogni generazione è loggata in content_generations con base giuridica (legitimate_interest_b2b_outreach), regione provider e flag di sovranità → registro del trattamento popolato in automatico.
  7. Limiti di volume: l'outreach resta mirato (account-based), non massivo.

5. Diritti dell'interessato

Accesso, rettifica, cancellazione, opposizione. Gestiti tramite i canali DSAR di Multiverbe (skill multiverbe-ch-compliance). Il contatto è informato al primo messaggio su fonte dei dati, finalità e modo per opporsi.

6. Conclusione

Il legittimo interesse di Multiverbe prevale sui diritti degli interessati finché restano attive le garanzie della sezione 4. Se una garanzia viene meno (es. invio massivo, provider non sovrano, opt-out non onorato) la base giuridica decade e il trattamento va sospeso.

7. Da fare (founder)

  • [ ] Adozione formale di questa LIA (data + firma nel decisions-log).
  • [ ] Review con consulente legale CH/IT prima dello scaling outreach.
  • [ ] Predisporre l'informativa breve "fonte dati + opt-out" nel template email.
  • [ ] Confermare la suppression list tecnica nel flusso di invio.

Documento di compliance interno. Non è una consulenza legale. La validità della base giuridica dipende dal mantenimento delle garanzie elencate.