Informativa sulla Privacy

1. Introduzione

Benvenuti in Caramel ("noi", "nostro" o "ci"). Ci impegniamo a proteggere i Suoi dati personali e a rispettare i Suoi diritti alla privacy ai sensi del Regolamento Generale sulla Protezione dei Dati (GDPR) e delle altre leggi applicabili in materia di privacy nel mondo. La presente Informativa sulla Privacy spiega come raccogliamo, utilizziamo, divulghiamo e proteggiamo le Sue informazioni quando utilizza la nostra piattaforma e i nostri servizi.

Caramel è una piattaforma business-to-business. Le aziende la utilizzano per creare e pubblicare moduli, raccogliere e gestire i propri elenchi di clienti e realizzare campagne di marketing via email, SMS, app di messaggistica e notifiche push, oltre alle integrazioni e ai servizi di consulenza premium a supporto di tale attività.

Il Nostro Impegno per la Residenza dei Dati nell'UE: Diamo priorità alla sovranità dei dati trattando e conservando i Suoi dati principalmente all'interno dell'Unione Europea, avvalendoci di fornitori di infrastrutture con sede nell'UE.

La presente informativa si applica a:

• Il nostro sito web e le nostre applicazioni web
• Le nostre applicazioni mobili (iOS e Android)
• I nostri servizi API
• Tutti i servizi correlati che forniamo

2. Informazioni sul Titolare del Trattamento

Ai fini del GDPR, agiamo come:

• Titolare del trattamento per gli utenti della piattaforma e gli account aziendali
• Responsabile del trattamento per i dati dei clienti finali che le nostre aziende clienti caricano, raccolgono o a cui inviano messaggi attraverso la piattaforma

3. Informazioni che Raccogliamo

3.1 Informazioni Fornite Direttamente

Informazioni sull'Account:

• Nome completo e titolo
• Indirizzo email (verificato)
• Numero di telefono (per l'autenticazione a due fattori e le notifiche)
• Ragione sociale e dati di registrazione (per gli account aziendali)
• Numeri di partita IVA/identificazione fiscale
• Password (con hash bcrypt, mai memorizzata in chiaro)

Informazioni di Pagamento:

• Dati della carta di pagamento (tokenizzati tramite i server Stripe nell'UE)
• Dati IBAN/conto bancario (per i pagamenti SEPA)
• Indirizzo di fatturazione
• Cronologia delle transazioni
• Preferenze di fatturazione

Dati dei Clienti Finali (trattati per conto delle aziende):

Quando un'azienda utilizza Caramel per raggiungere i propri clienti, trattiamo i dati che tale azienda fornisce o raccoglie. Agiamo come responsabile del trattamento per tutti questi dati:

• Dati di contatto (nome, indirizzo email, numero di telefono)
• Risposte inviate tramite i moduli pubblicati dall'azienda
• Stato del consenso al marketing e preferenze di comunicazione
• Registri di consegna, apertura, clic e disiscrizione dei messaggi
• Appartenenza ai segmenti e cronologia delle campagne
• Lingua e impostazioni locali, ove fornite

3.2 Informazioni Raccolte Automaticamente

Dati Tecnici:

• Indirizzo IP (anonimizzato dopo 7 giorni)
• Tipo di dispositivo e identificatori (con hash)
• Tipo e versione del browser
• Sistema operativo
• Fuso orario e impostazioni locali
• Preferenze linguistiche

Dati di Utilizzo:

• Pagine visitate e funzionalità utilizzate
• Modelli di clic e percorsi di navigazione
• Ricerche effettuate all'interno della piattaforma
• Metriche di prestazione
• Log degli errori (dati personali rimossi)
• Durata della sessione

Dati dei Cookie: Cookie essenziali per la funzionalità, e cookie di analisi/marketing dove ha prestato il consenso — si veda la nostra Politica sui Cookie.

3.3 Informazioni da Terze Parti

• Verifica dei pagamenti da Stripe (server UE)
• Eventi di consegna e interazione dei messaggi dai nostri fornitori di invio
• Dati di analisi da PostHog (cloud UE)

3.4 Categorie Particolari di Dati

NON raccogliamo categorie particolari di dati personali (dati sanitari, biometrici, origine razziale/etnica, opinioni politiche, convinzioni religiose, ecc.) salvo quando:

• Richiesto per conformità legale
• Forniti esplicitamente con consenso separato
• Necessari per la conformità al diritto del lavoro (account aziendali)

4. Base Giuridica del Trattamento (Articolo 6 GDPR)

Trattiamo i Suoi dati personali sulla base delle seguenti basi giuridiche:

5. Come Utilizziamo le Sue Informazioni

5.1 Finalità Principali

5.2 Decisioni Automatizzate e Profilazione

Utilizziamo in misura limitata decisioni automatizzate per:

• Rilevamento delle Frodi: Valutazione del rischio delle transazioni
• Segmentazione Marketing: Categorizzazione dei clienti
• Personalizzazione del Servizio: Consigli sulle funzionalità

I Suoi Diritti:

• Richiedere una revisione umana delle decisioni automatizzate
• Opporsi alla profilazione per finalità di marketing
• Rinunciare alle decisioni automatizzate
• Richiedere una spiegazione della logica applicata

6. Condivisione e Divulgazione dei Dati

6.1 Fornitori di Servizi con Sede nell'UE (Responsabili del Trattamento)

Tutti i nostri principali responsabili del trattamento mantengono la residenza dei dati nell'UE:

6.2 Servizi di Comunicazione

6.3 Categorie di Destinatari

• Partner Commerciali: Solo i dati dei propri clienti
• Consulenti Professionali: Avvocati, commercialisti (soggetti a NDA)
• Autorità di Regolamentazione: Quando richiesto dalla legge
• Forze dell'Ordine: Solo con base giuridica valida
• Potenziali Acquirenti: In caso di operazioni di M&A (soggetti a NDA)

6.4 Non Condividiamo Mai i Dati Con

• Data broker o inserzionisti pubblicitari
• Terze parti per il loro proprio marketing
• Chiunque non abbia una base giuridica
• Paesi extra-UE privi di garanzie adeguate

7. Trasferimenti Internazionali di Dati

7.1 Priorità alla Residenza dei Dati nell'UE

Trattamento Principale: Tutti i dati sono trattati e conservati all'interno dell'UE:

• Database: Germania (Hetzner)
• Applicazione: Regioni UE
• Analisi: Server UE
• Backup: Ubicazioni UE

7.2 Trasferimenti Limitati verso Paesi Terzi

Quando sono necessari trasferimenti al di fuori dell'UE:

7.3 Garanzie per i Trasferimenti

• Clausole Contrattuali Standard (SCC): Modulo 2 (Titolare verso Responsabile)
• Misure Supplementari: Crittografia end-to-end, pseudonimizzazione, minimizzazione dei dati, restrizioni di accesso
• Valutazioni d'Impatto sul Trasferimento (TIA): Completate per ogni trasferimento
• I Suoi Diritti: Richiedere copia della documentazione relativa alle garanzie

8. Sicurezza dei Dati

8.1 Misure Tecniche (Allineate alla ISO 27001)

8.2 Misure Organizzative

8.3 Risposta alle Violazioni

Tempistiche di Rilevamento e Risposta:

1. 0-1 ore: Rilevamento e contenimento dell'incidente
2. 1-24 ore: Valutazione dell'impatto e mitigazione
3. 24-72 ore: Notifica alle autorità di regolamentazione (se richiesta)
4. Oltre 72 ore: Notifica agli utenti (se rischio elevato)

Registro delle Violazioni: Mantenuto ai sensi dell'Articolo 33(5) del GDPR.

9. Conservazione dei Dati

9.1 Piano di Conservazione

9.2 Principi di Conservazione

• Minimizzazione dei Dati: Conserviamo solo ciò che è necessario
• Limitazione della Finalità: Cancelliamo i dati quando la finalità è stata raggiunta
• Requisiti Legali: Rispettiamo gli obblighi di conservazione
• Cancellazione Automatizzata: Calendari di eliminazione sistematica
• Rotazione dei Backup: Conservazione dei backup per 90 giorni

10. I Suoi Diritti in materia di Privacy (Capo III del GDPR)

10.1 Sintesi dei Suoi Diritti

10.2 Come Esercitare i Suoi Diritti

10.3 Verifica dell'Identità

Per la Sua sicurezza, richiediamo:

• Verifica dell'email dell'account
• Autenticazione a due fattori
• Documento d'identità (per richieste sensibili, con dati oscurati)
• Domande di sicurezza

10.4 Reclami

Procedura Interna: Contatti prima il nostro RPD; eventuale escalation al management, con risoluzione entro 30 giorni.

11. Diritti Internazionali in materia di Privacy

12. Privacy dei Minori

Limiti di Età:

• Età minima: 18 anni (in generale)
• UE/SEE: 16 anni con il consenso dei genitori
• Altre regioni: Età legale della maggiore età

Se scopriamo utenti minorenni:

1. Sospensione immediata dell'account
2. Tentativo di notifica ai genitori
3. Cancellazione dei dati entro 48 ore

13. Comunicazioni di Marketing

13.1 Opt-In/Opt-Out

13.2 Metodi di Disiscrizione

• Disiscrizione con un clic nelle email
• SMS: Rispondere STOP
• Portale privacy: Controlli granulari
• Email: privacy@joincaramel.com

14. Link e Servizi di Terze Parti

La nostra piattaforma può contenere link a siti web di terze parti. Non siamo responsabili delle loro pratiche in materia di privacy. La preghiamo di consultare le loro informative prima di fornire dati personali.

Informative sulla Privacy dei Servizi Integrati:

• Privacy Stripe
• Privacy PostHog
• Privacy AWS

15. Trattamento dei Dati per le Aziende

Quando trattiamo dati per conto delle aziende:

Consulti il nostro Generatore di DPA per i dettagli.

16. Modifiche alla Presente Informativa

Notifica delle Modifiche:

• Email: preavviso di 30 giorni per le modifiche sostanziali
• Piattaforma: notifica tramite banner
• Versioni precedenti disponibili su richiesta a privacy@joincaramel.com

Calendario di Revisione: Revisione trimestrale, aggiornamento minimo annuale.

17. Accessibilità

La presente Informativa sulla Privacy è disponibile in:

• Lingue: Inglese, Francese, Tedesco, Spagnolo, Italiano
• Accessibilità: Conforme alle linee guida WCAG 2.1 AA
• Formati alternativi: Disponibili su richiesta

18. Giurisdizione e Risoluzione delle Controversie

18.2 Contatto Prima di Azioni Legali

Prima di avviare qualsiasi procedimento legale:

1. Invii una richiesta a privacy@joincaramel.com o al Portale Richieste Privacy
2. Attenda 30 giorni per la risoluzione
3. Consideri la mediazione tramite le autorità francesi competenti

Utilizzando i nostri servizi, Lei accetta espressamente che SOLO i tribunali di Parigi abbiano giurisdizione, salvo quanto diversamente previsto dal diritto UE in materia di tutela dei consumatori.

Contattaci