Privacy Policy — Bonsai MCP Connector

1. Titolare del trattamento

Il titolare del trattamento è Bonsai Srls, Via Francesco Ferrucci 100, 59100 Prato (PO), Italia (P.IVA IT02533060972). Per richieste su privacy, accesso, cancellazione, opposizione o revoca del connettore, scrivere a info@bonsaigrowth.it.

2. Ambito di questa informativa

Questa informativa riguarda solo il connettore MCP Bonsai usato con Claude (server remoto MCP, endpoint pubblico HTTPS, autenticazione OAuth 2.0). Non sostituisce l'informativa privacy generale dei prodotti Bonsai (gestionale Core, Hub-Agency, sito). Si applica quando un utente collega il connettore da Claude, completa il login OAuth ("Sono un'azienda" o "Sono un'agenzia") e invoca i tool del connettore (circa 70 tool di piattaforma e di analytics Amazon già presenti nel gestionale). Il connettore è un servizio B2B. Non è destinato a minori di 18 anni.

3. Cosa raccogliamo

Trattiamo solo i dati necessari a autenticare l'utente, eseguire i tool e garantire sicurezza e audit. Non raccogliamo la trascrizione della chat Claude, la memoria di Claude, la cronologia delle conversazioni, i file caricati dall'utente in Claude, né dati eccedenti rispetto alla funzione del tool.

3.1 Identità e autenticazione

• Identificativo utente sul server MCP (subject del token OAuth "TOKEN A") — al collegamento Claude → MCP;
• Email / credenziali di login sul gestionale o su Hub-Agency — solo durante il login nel broker; le password non sono salvate sul server MCP;
• Tipo di soggetto (azienda / agenzia / staff piattaforma) — dopo il login;
• Organizzazione Hub-Agency e elenco tenant ammessi (path agenzia);
• Codice / id del tenant attivo;
• Token OAuth di accesso e refresh verso MCP, Core o Hub-Agency — conservati in modo protetto (secret store), mai in log.

Il server MCP non accede ai database dei tenant e non memorizza le password del gestionale.

3.2 Argomenti e risultati dei tool

Quando Claude invoca un tool, trattiamo: nome del tool, argomenti inviati (filtri: date, marketplace, paginazione, codice tenant se previsto), esito (successo / errore), codice e messaggio di errore non riservato, durata, identificativo di correlazione, e risultati restituiti a Claude (KPI, serie, tabelle prodotto/SKU e metadati già presenti nel tenant Bonsai dell'utente).

I risultati restano quelli del prodotto Bonsai. Il connettore non chiama Amazon SP-API: non è un wrapper verso Amazon. Unico tool di scrittura: impostare il tenant attivo nel path agenzia (switch_tenant). Non scrive dati Vendor/Ads/Seller nel gestionale.

3.3 Dati tecnici

Infrastruttura e autenticazione possono trattare, per sicurezza e diagnostica: indirizzo IP, user-agent, orario, URL, codice HTTP, identificativi di richiesta. Questi log di sistema hanno durate tipiche dei log di server/WAF e non sono usati per profilazione commerciale.

3.4 Cosa non trattiamo tramite il connettore

• password dopo il login (non persistite sul MCP);
• access token, refresh token, Authorization, cookie o secret nei log di audit;
• chat Claude, memory, riassunti di conversazione, file utente Claude;
• dati sanitari, transazioni finanziarie, contenuti pubblicitari.

4. Finalità e basi giuridiche (GDPR)

• Esecuzione del contratto (art. 6(1)(b)): collegare Claude al gestionale Bonsai, autenticare l'utente ed eseguire i tool richiesti;
• Legittimo interesse (art. 6(1)(f)): audit delle invocazioni tool, sicurezza, prevenzione abusi, supporto;
• Obbligo legale (art. 6(1)(c)): conservazione, autorità.

Il collegamento avviene solo dopo che l'utente autorizza OAuth in Claude e completa il login Bonsai. Non effettuiamo decisioni automatizzate che producano effetti giuridici (art. 22 GDPR).

5. Uso e conservazione

I dati sono usati per: autenticare Claude sul server MCP e mantenere la sessione OAuth; risolvere il tenant e i permessi (moduli prodotto e RBAC del gestionale); chiamare le API first-party Bonsai (/api/v1/mcp/v1/... sul Core; Hub-Agency nel path agenzia); restituire a Claude solo l'output del tool; registrare un audit trail (chi ha invocato quale tool, su quale tenant, con quali filtri, con quale esito).

Luoghi di trattamento: mcp-bonsai (server MCP centrale: identità OAuth, contesto sessione, secret cifrati, log di audit); Core del cliente (dati analytics restano nel tenant; il MCP li legge via API, non copia il database); Hub-Agency (solo path agenzia).

Bonsai non vende questi dati e non li usa per addestrare modelli di intelligenza artificiale.

6. Destinatari e terze parti

• Anthropic / Claude: il client MCP scelto dall'utente. Riceve argomenti e risultati dei tool nella conversazione. Trattamento regolato dai termini e dalla privacy policy di Anthropic. Bonsai non controlla Claude.
• Core Bonsai del cliente: origine dei KPI e delle tabelle; path azienda via OAuth utente; path agenzia via credenziali di servizio Hub-Agency.
• Hub-Agency (solo se l'utente sceglie "Sono un'agenzia").
• Fornitori di hosting / infrastruttura: hosting, backup, WAF, posta, come responsabili del trattamento.
• Hub-Dev (ops Bonsai): fuori dal percorso chat, accesso limitato a configurazione tenant MCP e consultazione audit.

Non condividiamo i dati del connettore con Amazon per il funzionamento del MCP.

7. Conservazione (retention)

• Token OAuth e contesto di sessione MCP → fino a disconnessione, scadenza, rotazione o revoca.
• Log di audit invocazioni tool su mcp-bonsai (mcp_tool_audit_logs) → 90 giorni, poi cancellazione automatica.
• Log di audit proxy Hub-Agency (proxy_audit_logs), path agenzia → 90 giorni.
• Log tecnici di infrastruttura → durata ordinaria di sicurezza / diagnostica.
• Dati di business nel Core del cliente → restano nel tenant secondo il contratto del gestionale.

8. Trasferimenti extra-SEE

Il server MCP e i sistemi Bonsai sono operati da Bonsai e dai suoi fornitori di infrastruttura. L'uso di Claude implica che argomenti e risultati dei tool siano trasmessi ad Anthropic, che può trattare dati anche fuori dallo Spazio Economico Europeo. Per garanzie: privacy policy di Anthropic.

9. Sicurezza

• HTTPS e OAuth 2.0 con PKCE;
• separazione dei token (Claude→MCP vs MCP→gestionale);
• secret e token non scritti nei log di audit;
• nessun accesso SQL o database tenant da parte del MCP;
• tenant di dominio non scelto liberamente da Claude (allowlist / contesto di sessione);
• tool di analytics in sola lettura, con unica eccezione del cambio tenant attivo in path agenzia;
• audit delle invocazioni per tracciabilità ops.

In caso di violazione di dati personali si procederà secondo gli artt. 33–34 GDPR.

10. Diritti dell'interessato

L'interessato può chiedere, nei limiti di legge: accesso, rettifica, cancellazione, limitazione o opposizione, portabilità, revoca del collegamento.

1. Disconnettere il connettore dalle impostazioni Claude (Connectors). Interrompe nuove chiamate da Claude.
2. Revocare gli accessi Bonsai (logout, revoca token OAuth, rimozione membership agenzia, disattivazione tenant MCP).
3. Scrivere a info@bonsaigrowth.it per accesso o cancellazione dei log di audit ancora in retention.

Reclamo: Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma.

11. Minori

Il connettore è un servizio professionale per titolari di account Bonsai. Non è rivolto a minori di 18 anni. Non raccogliamo consapevolmente dati di minori.

12. Modifiche

Possiamo aggiornare questa informativa. La data in testa alla pagina è quella vigente. Per modifiche sostanziali, ove richiesto, informeremo gli utenti con mezzi ragionevoli (sito e/o email).