Privacy Policy — Made in Show AI Connector

Last updated: October 22, 2026

This page describes how the Made in Show AI connector (the MCP server that serves this page) processes personal data. The connector lets AI assistants chosen by the user (for example Claude or ChatGPT) interact with the Made in Show (MIS) installation of the user's organization.

This page does not cover the marketing website madeinshow.com (which has its own privacy policy) and does not replace the agreements that govern data processing inside the MIS management system between SyncLab Studio and its customer organizations.

Who we are

SyncLab Studio SRL, Via Le Corbusier 33, 48124 Ravenna (RA), Italy — VAT IT02707970394. Contact: [email protected].

How the connector works

Your AI assistant sends a request to the connector; the connector forwards it to your organization's MIS installation, authenticated with your own identity; the result is returned to your assistant. Access requires all of the following: a MIS account, an AI access level enabled for your user by your organization's administrator, and your explicit OAuth authorization on a consent page that lists the installations being connected. The connector sends messages to other people only when you explicitly confirm it (see «Messages sent to technicians on your behalf» below).

What data we process

• Authentication (via AWS Cognito). Your user identifier, e-mail address, name and the list of installations you belong to. During the OAuth authorization we store a one-time code together with your identifier, e-mail and the session tokens issued by the identity provider (access and refresh token): the record expires after at most 5 minutes and is deleted the first time it is used. The refresh token is then embedded in the renewal credential returned to your AI client, which uses it to renew access without asking you to sign in again.
• OAuth client registration. The name and redirect addresses of the AI client that connects.
• Technical request log. For security and diagnostics, each request through the connector is logged with: timestamp, session identifier, user identifier and display name, installation, name of the invoked tool, request parameters (truncated; they may include text you typed to the assistant), outcome, a normalized error code if the request failed, and duration. Log entries are kept for 90 days and then deleted automatically. The responses — your organization's business data — are never logged.
• Pending confirmations. When a change needs your confirmation, the planned change — including the texts it would write, such as a note — and then its receipt are kept for at most 15 minutes in the connector's confirmation store and deleted automatically. For a sending step, the recipients' e-mail addresses are kept only as an irreversible fingerprint, used to check that they have not changed before sending.
• Business data in transit. The data read from or written to your MIS installation passes through the connector in memory only, for the sole purpose of serving your request, and is not stored by the connector, except for the pending confirmations described above.

What the connector returns to your AI assistant

Each tool returns only the business data needed to answer the request. The categories of data that can reach your assistant — and, through it, the AI provider you use — are the following.

• Your own account. Your display name, your AI access level with the resulting permissions (view only, or view and act) and the list of installations you can use. The connector never returns your e-mail address, user identifiers, passwords, configuration keys or the permission tables of your account.
• Productions and estimates. Names, codes, dates, statuses, venues (name and address), the customer's name or company name, the texts of the estimate (subject, description, timing, services, terms) with its product tree, the working days with their type, call time and notes, and the production and venue notes written in MIS by your organization (text, category, visibility, whether they are printed on warehouse documents, and the name of the user who wrote them). The billing address and the contact person of the estimate are not returned.
• Production economics. Only where your permissions include economic data: the sections of a production's economic details, mark-ups and discounts, linked productions, and the totals and operating margin shown in MIS, including the cost of employees and consumables used in those totals.
• Address book. Names and company names of customers, suppliers and contacts, their customer/supplier role and whether the record is active. Fiscal codes, VAT numbers, birth data, licence plates, certified e-mail addresses, payment terms, notes and travel-allowance terms are never returned.
• Crew. Names (and nicknames) of technicians, their province, competences (areas and roles) with their validity dates, courses and their expiry, assignments, availability, the availability requests sent to them with their reply status, scheduling conflicts and unavailability dates; rates, rate history, days worked and cost per technician only where your permissions include economic data. Technicians' e-mail addresses, phone numbers and personal reply links are never returned.
• Warehouse. Products, catalog categories, the contents of kits and containers, the history of product sheets, quantities, availability, reservations, rental prices and purchase costs, the latter only where your permissions include economic data.
• Administration. Invoices, payment schedules and financial summaries, with the supplier or customer name as it appears on the document. VAT numbers, billing addresses and internal notes of the documents are not returned.
• Attachments. The list of files attached in MIS to productions, binders, venues, product sheets and company vehicles: file name, type and size. Only when you ask for it, the connector also returns a temporary download link for up to five files at a time. The link is valid for 5 minutes from its creation and opens the file without signing in to MIS, so anyone who has it during that time can download the file; it also contains the file name and technical details of the storage. The connector never reads or returns the content of the files. Attachments of technicians, invoices and payment schedules are not returned.
• Technical fields. Record identifiers (for example of a production, contact, product or technician) needed to chain tool calls, the dates of the records, and links (web addresses) that open the related page of your MIS installation. Session identifiers, HTTP status codes, request codes and other diagnostic metadata are not returned.

Personal data of third parties (contacts, technicians, customers' staff) is business data of your organization, which remains its data controller: use it in your assistant in line with your organization's policies.

Messages sent to technicians on your behalf

If your organization's administrator allows it, you can ask the assistant to send an availability request to technicians of your MIS installation. Before anything is sent, the assistant shows every recipient and the content of the request (production, customer, venue, dates, number of technicians needed and the crew note), and you must confirm this sending step separately; where your AI client supports it, the confirmation is also requested inside the client. Each recipient then receives, from your MIS installation, an e-mail with a personal link to reply and, if they use the Made in Show app, a push notification. The connector does not keep the recipients' contact details. Sending is currently disabled on every installation.

Legal basis and roles

We process the data above to provide the service you request (performance of a contract) and to keep it secure (legitimate interest: abuse prevention, security, diagnostics). For the business data held in MIS installations, the customer organization remains the data controller and SyncLab Studio acts within the agreements signed with it; for the connector's own technical data (OAuth records and request log), SyncLab Studio is the data controller.

Third parties

• AWS Cognito — identity provider used for authentication.
• Cloudflare — network protection and proxying in front of the connector.
• Hetzner Online — hosting of the servers (Germany).
• Amazon Web Services — storage of backups (Ireland) and of the files attached in MIS, which the temporary download links point to, and delivery of the e-mails your MIS installation sends (Amazon SES).
• Expo, with the Apple and Google push services — delivery of push notifications to the Made in Show app, for the availability requests you have confirmed; these services may process the notification outside the European Union, under their own terms.
• The AI provider you choose (for example Anthropic or OpenAI): the data returned by the connector becomes part of your conversation with the assistant and is processed by that provider under its own terms and your workspace settings. We never send data to AI providers on our own initiative.

We do not sell personal data, we do not use it for advertising, and we do not use it to train AI models.

Where data is processed

Our servers are located in the European Union (Germany); backups are kept in the European Union as well (Ireland).

Security

TLS encryption in transit, OAuth 2.1 with PKCE, per-user and per-installation access levels controlled by your organization (deny-by-default), rate limiting, and limited retention as described above.

Your rights

Under the GDPR you can request access, rectification, erasure, restriction, objection and portability by writing to [email protected]. You can revoke the connector's authorization at any time by disconnecting it from your AI assistant, or by asking your administrator to disable your AI access level. You can lodge a complaint with your supervisory authority (in Italy, the Garante per la Protezione dei Dati Personali).

Changes

We will update this page when the connector's data processing changes; the date at the top reflects the latest revision.

Informativa privacy — Connettore AI Made in Show

Ultimo aggiornamento: 22 ottobre 2026

Questa pagina descrive come il connettore AI Made in Show (il server MCP che serve questa pagina) tratta i dati personali. Il connettore consente agli assistenti AI scelti dall'utente (ad esempio Claude o ChatGPT) di interagire con l'installazione Made in Show (MIS) della propria organizzazione.

Questa pagina non riguarda il sito madeinshow.com (che ha una propria informativa) e non sostituisce gli accordi che regolano il trattamento dei dati all'interno del gestionale MIS tra SyncLab Studio e le organizzazioni clienti.

Chi siamo

SyncLab Studio SRL, Via Le Corbusier 33, 48124 Ravenna (RA), Italia — P.IVA IT02707970394. Contatto: [email protected].

Come funziona il connettore

L'assistente AI invia una richiesta al connettore; il connettore la inoltra all'installazione MIS della tua organizzazione, autenticata con la tua identità; il risultato torna all'assistente. L'accesso richiede tutte queste condizioni: un account MIS, un livello di accesso AI abilitato per il tuo utente dall'amministratore della tua organizzazione, e la tua autorizzazione OAuth esplicita su una pagina di consenso che elenca le installazioni collegate. Il connettore manda messaggi ad altre persone solo quando lo confermi esplicitamente (vedi «Messaggi inviati ai tecnici per tuo conto» più avanti).

Quali dati trattiamo

• Autenticazione (tramite AWS Cognito). Il tuo identificativo utente, l'indirizzo e-mail, il nome e l'elenco delle installazioni a cui appartieni. Durante l'autorizzazione OAuth conserviamo un codice monouso insieme a identificativo, e-mail e i token di sessione emessi dall'identity provider (token di accesso e di rinnovo): la registrazione scade entro 5 minuti al massimo e viene eliminata al primo utilizzo. Il token di rinnovo viene poi incluso nella credenziale di rinnovo consegnata al tuo client AI, che la usa per rinnovare l'accesso senza chiederti di autenticarti di nuovo.
• Registrazione del client OAuth. Il nome e gli indirizzi di redirect del client AI che si collega.
• Log tecnico delle richieste. Per sicurezza e diagnostica, ogni richiesta che passa dal connettore viene registrata con: data e ora, identificativo di sessione, identificativo ed etichetta dell'utente, installazione, nome dello strumento invocato, parametri della richiesta (troncati; possono includere testo digitato all'assistente), esito, un codice d'errore normalizzato in caso di fallimento e durata. Le voci di log sono conservate per 90 giorni e poi eliminate automaticamente. Le risposte — i dati aziendali della tua organizzazione — non vengono mai registrate.
• Conferme in sospeso. Quando una modifica richiede la tua conferma, la modifica prevista — compresi i testi che scriverebbe, per esempio una nota — e poi la sua ricevuta sono conservate al massimo per 15 minuti nell'archivio delle conferme del connettore ed eliminate automaticamente. Per un passo d'invio, gli indirizzi e-mail dei destinatari sono conservati solo come impronta non reversibile, usata per controllare che non siano cambiati prima dell'invio.
• Dati aziendali in transito. I dati letti o scritti nella tua installazione MIS attraversano il connettore solo in memoria, al solo scopo di servire la tua richiesta, e non vengono conservati dal connettore, salvo le conferme in sospeso descritte sopra.

Cosa il connettore restituisce al tuo assistente AI

Ogni strumento restituisce solo i dati aziendali necessari a rispondere alla richiesta. Le categorie di dati che possono raggiungere il tuo assistente — e, tramite esso, il fornitore AI che usi — sono le seguenti.

• Il tuo account. Il tuo nome visualizzato, il tuo livello di accesso AI con i permessi che ne derivano (sola consultazione, oppure consultazione e modifica) e l'elenco delle installazioni che puoi usare. Il connettore non restituisce mai il tuo indirizzo e-mail, gli identificativi utente, password, chiavi di configurazione o le tabelle dei permessi del tuo account.
• Produzioni e preventivi. Nomi, codici, date, stati, location (nome e indirizzo), il nome o la ragione sociale del cliente, i testi del preventivo (oggetto, descrizione, tempistiche, servizi, condizioni) con il suo albero prodotti, i giorni di lavorazione con tipologia, orario di convocazione e note, e le note di produzione e di location scritte in MIS dalla tua organizzazione (testo, categoria, visibilità, stampa sui documenti di magazzino e nome dell'utente che le ha scritte). L'indirizzo di fatturazione e il referente del preventivo non vengono restituiti.
• Quadro economico delle produzioni. Solo se i tuoi permessi includono i dati economici: le sezioni dei dettagli economici di una produzione, ricarichi e sconti, le produzioni collegate, e i totali e il margine operativo mostrati in MIS, compresi il costo dei dipendenti e quello dei materiali di consumo usati in quei totali.
• Rubrica. Nomi e ragioni sociali di clienti, fornitori e contatti, il loro ruolo di cliente/fornitore e lo stato attivo della scheda. Codice fiscale, partita IVA, dati di nascita, targhe, indirizzi PEC, condizioni di pagamento, note e condizioni di rimborso spese non vengono mai restituiti.
• Crew. Nomi (e soprannomi) dei tecnici, la provincia, le competenze (aree e ruoli) con le loro date di validità, i corsi e le loro scadenze, i loro impegni, disponibilità, le richieste di disponibilità inviate loro con lo stato della risposta, sovrapposizioni e date di indisponibilità; tariffe, storico delle tariffe, giornate lavorate e costo per tecnico solo se i tuoi permessi includono i dati economici. Indirizzi e-mail, numeri di telefono e link personali di risposta dei tecnici non vengono mai restituiti.
• Magazzino. Prodotti, categorie del catalogo, il contenuto di kit e contenitori, lo storico delle schede prodotto, quantità, disponibilità, prenotazioni, prezzi di noleggio e costi d'acquisto, questi ultimi solo se i tuoi permessi includono i dati economici.
• Amministrazione. Fatture, scadenze e riepiloghi finanziari, con il nome del fornitore o del cliente così come compare sul documento. Partita IVA, indirizzi di fatturazione e note interne dei documenti non vengono restituiti.
• Allegati. L'elenco dei file allegati in MIS a produzioni, raccoglitori, location, schede prodotto e veicoli aziendali: nome, tipo e dimensione del file. Solo se lo chiedi, il connettore restituisce anche un link di download temporaneo per al massimo cinque file alla volta. Il link vale 5 minuti dalla sua creazione e apre il file senza accesso a MIS, quindi chiunque lo abbia in quel lasso di tempo può scaricare il file; contiene anche il nome del file e dati tecnici dell'archivio. Il connettore non legge e non restituisce mai il contenuto dei file. Gli allegati di tecnici, fatture e scadenze non vengono restituiti.
• Campi tecnici. Identificativi dei record (ad esempio di una produzione, di una scheda rubrica, di un prodotto o di un tecnico) necessari a concatenare le chiamate agli strumenti, le date dei record e i link (indirizzi web) che aprono la pagina corrispondente della tua installazione MIS. Identificativi di sessione, codici di stato HTTP, codici di richiesta e altri metadati diagnostici non vengono restituiti.

I dati personali di terzi (contatti, tecnici, personale dei clienti) sono dati aziendali della tua organizzazione, che ne resta titolare: usali nel tuo assistente nel rispetto delle policy della tua organizzazione.

Messaggi inviati ai tecnici per tuo conto

Se l'amministratore della tua organizzazione lo consente, puoi chiedere all'assistente di inviare una richiesta di disponibilità ai tecnici della tua installazione MIS. Prima di qualsiasi invio l'assistente mostra tutti i destinatari e il contenuto della richiesta (produzione, cliente, location, date, numero di tecnici richiesti e nota per la squadra), e devi confermare questo passo d'invio a parte; dove il tuo client AI lo supporta, la conferma viene chiesta anche dentro il client. Ogni destinatario riceve poi dalla tua installazione MIS una e-mail con un link personale per rispondere e, se usa l'app Made in Show, una notifica push. Il connettore non conserva i recapiti dei destinatari. L'invio oggi è disattivato su tutte le installazioni.

Basi giuridiche e ruoli

Trattiamo i dati sopra descritti per fornire il servizio richiesto (esecuzione del contratto) e per mantenerlo sicuro (legittimo interesse: prevenzione degli abusi, sicurezza, diagnostica). Per i dati aziendali contenuti nelle installazioni MIS, l'organizzazione cliente resta titolare del trattamento e SyncLab Studio opera nel quadro degli accordi con essa sottoscritti; per i dati tecnici propri del connettore (registrazioni OAuth e log delle richieste), il titolare è SyncLab Studio.

Terze parti

• AWS Cognito — identity provider usato per l'autenticazione.
• Cloudflare — protezione e proxy di rete davanti al connettore.
• Hetzner Online — hosting dei server (Germania).
• Amazon Web Services — conservazione dei backup (Irlanda) e dei file allegati in MIS, a cui puntano i link di download temporanei, e consegna delle e-mail che la tua installazione MIS invia (Amazon SES).
• Expo, con i servizi push di Apple e Google — consegna delle notifiche push all'app Made in Show, per le richieste di disponibilità che hai confermato; questi servizi possono trattare la notifica fuori dall'Unione Europea, secondo i propri termini.
• Il fornitore AI che scegli (ad esempio Anthropic o OpenAI): i dati restituiti dal connettore entrano a far parte della tua conversazione con l'assistente e sono trattati da quel fornitore secondo i suoi termini e le impostazioni del tuo workspace. Non inviamo mai dati ai fornitori AI di nostra iniziativa.

Non vendiamo dati personali, non li usiamo per pubblicità e non li usiamo per addestrare modelli AI.

Dove trattiamo i dati

I nostri server si trovano nell'Unione Europea (Germania); anche i backup restano nell'Unione Europea (Irlanda).

Sicurezza

Cifratura TLS in transito, OAuth 2.1 con PKCE, livelli di accesso per-utente e per-installazione controllati dalla tua organizzazione (blocco per impostazione predefinita), rate limiting e conservazione limitata come descritto sopra.

I tuoi diritti

Ai sensi del GDPR puoi richiedere accesso, rettifica, cancellazione, limitazione, opposizione e portabilità scrivendo a [email protected]. Puoi revocare l'autorizzazione del connettore in qualsiasi momento scollegandolo dal tuo assistente AI, oppure chiedendo al tuo amministratore di disabilitare il tuo livello di accesso AI. Puoi proporre reclamo all'autorità di controllo (in Italia, il Garante per la Protezione dei Dati Personali).

Modifiche

Aggiorneremo questa pagina quando il trattamento dei dati del connettore cambierà; la data in testa indica l'ultima revisione.