Privacy Policy
Come trattiamo i dati personali di chi visita il sito, di chi ci contatta e di chi usa l’applicativo, ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679.
In breve
- I dati restano nell’Unione europea e non vengono ceduti a terzi per finalità di marketing.
- Il registro delle attività dell’applicativo è conservato cinque anni, perché serve a dimostrare la diligenza del cliente.
- La newsletter richiede un consenso separato, revocabile da ogni messaggio.
- Non usiamo cookie di profilazione pubblicitaria. La misurazione del pubblico si attiva solo con il tuo consenso, con anonimizzazione dell’IP, e non cediamo né condividiamo i dati per finalità pubblicitarie.
- I contenuti caricati nei case non alimentano l’addestramento di modelli.
1. Titolare del trattamento
Titolare è Intarmour® di Simone Nogara, con sede in Via Morazzone 4, 22100 Como (CO), Italia, P. IVA IT03817020138. Per ogni richiesta relativa al trattamento: privacy@cranotify.eu. La società ha designato un responsabile della protezione dei dati, raggiungibile all’indirizzo dpo@cranotify.eu.
2. Categorie di interessati e dati trattati
Trattiamo dati riferiti a tre categorie di interessati: visitatori del sito, persone che ci contattano per finalità commerciali o di assistenza, e utenti dell’applicativo autorizzati dalle aziende clienti.
| Visitatori del sito | Dati tecnici di connessione strettamente necessari alla sicurezza e al funzionamento (indirizzo IP troncato, tipo di dispositivo, pagine richieste). |
|---|---|
| Contatti commerciali | Nome, cognome, ruolo, azienda, indirizzo di posta elettronica, telefono se fornito, contenuto del messaggio. |
| Utenti dell’applicativo | Credenziali di accesso, dati di profilo e ruolo, registro delle azioni compiute (autore, momento, oggetto), indirizzi dei dispositivi da cui si accede. |
| Dati nei case | Contenuti caricati dal cliente, che possono includere dati di contatto di chi segnala una vulnerabilità. Su questi il cliente è titolare e la società agisce come responsabile. |
3. Finalità e basi giuridiche
| Erogare il servizio | Esecuzione del contratto, art. 6(1)(b). Comprende autenticazione, gestione dei case, calcolo dei termini, registro delle attività. |
|---|---|
| Rispondere alle richieste | Esecuzione di misure precontrattuali, art. 6(1)(b), e legittimo interesse alla gestione dei contatti commerciali, art. 6(1)(f). |
| Sicurezza e prevenzione degli abusi | Legittimo interesse, art. 6(1)(f), e obblighi di sicurezza del trattamento, art. 32. |
| Newsletter e comunicazioni | Consenso, art. 6(1)(a), prestato separatamente e revocabile in ogni momento. |
| Adempimenti contabili e fiscali | Obbligo legale, art. 6(1)(c). |
4. Tempi di conservazione
| Registro delle attività | 5 anni dalla registrazione della voce, coerentemente con l’esigenza probatoria connessa agli obblighi del Reg. (UE) 2024/2847. |
|---|---|
| Dati dei case e allegati | Per la durata del contratto e 90 giorni dalla cessazione, salvo esportazione o richiesta di cancellazione anticipata. |
| Contatti commerciali | 24 mesi dall’ultimo scambio, salvo apertura di un rapporto contrattuale. |
| Iscrizione alla newsletter | Fino alla revoca del consenso; la prova della revoca è conservata per un anno. |
| Dati di connessione | 30 giorni, salvo indagini su incidenti di sicurezza. |
5. Destinatari e sub-responsabili
I dati sono trattati dal personale autorizzato e da fornitori che agiscono come responsabili ai sensi dell’art. 28 GDPR, tra cui il fornitore di infrastruttura cloud con centri dati nell’Unione europea, il fornitore del servizio di pagamento, il fornitore del servizio di posta transazionale e — solo quando il cliente utilizza l’assistente di redazione basato su intelligenza artificiale — un servizio di IA (Amazon Bedrock, con modelli Anthropic Claude) che genera bozze a partire dal testo inviato dal cliente, con l’inferenza effettuata all’interno dell’Unione europea (Milano); tale testo non lascia l’Unione europea. L’assistente produce bozze da rivedere e non adotta decisioni automatizzate con effetti giuridici (art. 22 GDPR). Sul sito pubblico, e solo dopo che il visitatore ha prestato il consenso, un fornitore di misurazione del pubblico (Google Analytics) tratta dati aggregati di utilizzo con anonimizzazione dell’IP. L’elenco aggiornato dei sub-responsabili, con sede e finalità, è disponibile su richiesta e allegato all’accordo sul trattamento.
Non trasferiamo dati fuori dallo Spazio economico europeo per l’erogazione del servizio: hosting, database, backup, email, pagamenti, assistenza AI e monitoraggio errori restano nell’UE. L’unica eccezione è la misurazione statistica del sito (Google Ireland Ltd.), che si attiva soltanto con il tuo consenso e i cui trasferimenti extra-SEE sono fondati su clausole contrattuali standard. Se un altro trasferimento diventasse necessario, sarebbe fondato su una decisione di adeguatezza o su clausole contrattuali standard, con informativa preventiva ai clienti.
6. Diritti dell’interessato
Puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità dei dati, opporti al trattamento fondato sul legittimo interesse e revocare in ogni momento i consensi prestati. Le richieste vanno inviate a privacy@cranotify.eu: rispondiamo entro trenta giorni, prorogabili nei casi previsti dall’art. 12(3).
Se i dati riguardano l’uso dell’applicativo da parte di un’azienda cliente, la richiesta va rivolta a quest’ultima in qualità di titolare: noi la inoltriamo e assistiamo il cliente nella risposta. Resta ferma la possibilità di reclamo al Garante per la protezione dei dati personali.
7. Misure di sicurezza
Cifratura in transito e a riposo, autenticazione con verifica in due passaggi, ruoli con privilegio minimo, registrazione delle azioni amministrative, separazione degli ambienti, copie di sicurezza cifrate con verifica periodica del ripristino. Le vulnerabilità sulle nostre applicazioni possono essere segnalate a security@cranotify.eu secondo la nostra politica di divulgazione coordinata.
8. Processo decisionale automatizzato
Non adottiamo decisioni interamente automatizzate che producano effetti giuridici sugli interessati. Il calcolo dei termini e la proposta di bozza descrittiva sono strumenti di supporto: la qualificazione dell’evento e il deposito restano atti umani, come descritto nelle Note sull’IA.
9. Modifiche
Le modifiche sostanziali sono comunicate ai clienti con almeno trenta giorni di preavviso e la versione in vigore è sempre indicata in testa a questa pagina. Le versioni precedenti sono disponibili su richiesta.
Titolare del trattamento: Intarmour® di Simone Nogara, Via Morazzone 4, 22100 Como (CO), Italia · privacy@cranotify.eu · Responsabile della protezione dei dati: dpo@cranotify.eu. Reclamo all’autorità: Garante per la protezione dei dati personali, Piazza Venezia 11, Roma.