3.1. Dati degli Utenti della Piattaforma

Durante la registrazione e l’utilizzo della Piattaforma raccogliamo:

• Dati identificativi: nome, cognome, indirizzo e-mail
• Dati aziendali: ragione sociale, partita IVA, indirizzo
• Dati di accesso: password (conservata esclusivamente sotto forma di hash crittografico), token di sessione
• Dati tecnici: indirizzo IP, dati del browser, sistema operativo
• Dati relativi ad abbonamento e pagamenti

3.2. Dati dalle Piattaforme E-commerce Collegate

Dai sistemi e-commerce (WooCommerce, Magento, Shoper, Shopify, IdoSell, RedCart, PrestaShop, SkyShop):

• Dati transazionali: numero d’ordine, data, stato, valore dell’ordine
• Dati di prodotto: ID prodotto, nome, prezzo, categoria, giacenza di magazzino, varianti
• Dati dei clienti finali in forma pseudonimizzata, nella misura descritta al punto 3.6
• Informazioni sui metodi di pagamento e di spedizione (senza credenziali di autenticazione)
• Codici sconto e informazioni sulle promozioni

Dai marketplace:

• Dati di offerte e prodotti
• Dati transazionali e degli ordini
• Dati su costi, tariffe, commissioni e bonus
• Informazioni su categorie e prezzi

3.3. Dati dalle Piattaforme Pubblicitarie

Google Ads:

• Statistiche delle campagne: impressioni, clic, conversioni
• Costi pubblicitari e dati sul rendimento delle campagne
• Termini di ricerca e dati sui gruppi di annunci

La descrizione dettagliata dei dati provenienti dai servizi Google si trova nella Sezione 4 (Dati degli Utenti Google).

Meta Ads (Facebook, Instagram):

• Statistiche delle campagne pubblicitarie
• Dati su coinvolgimento e copertura
• Costi e risultati di conversione

TikTok Ads:

• Dati delle campagne pubblicitarie
• Statistiche di visualizzazione e coinvolgimento
• Informazioni su costi e conversioni

Criteo e Tradetracker:

• Dati sulle commissioni di affiliazione
• Statistiche delle campagne di remarketing

3.4. Dati da Google Analytics

• Statistiche delle sessioni
• Eventi e-commerce
• Percorsi di navigazione e sorgenti di traffico

La descrizione completa dei dati provenienti dai servizi Google si trova nella Sezione 4 (Dati degli Utenti Google).

3.5. Dati NON Raccolti dalla Piattaforma

L’indirizzo e-mail e il numero di telefono del cliente finale vengono registrati esclusivamente sotto forma di hash crittografico (cfr. punto 3.6).

3.6. Dati dei Clienti Finali dei Negozi (incarico di trattamento)

Per conto del Cliente, in qualità di responsabile del trattamento, trattiamo i seguenti dati associati agli ordini:

• identificativo del cliente assegnato dalla piattaforma del negozio
• hash crittografico dell’indirizzo e-mail e del numero di telefono
• parametri delle campagne di marketing (ad es. UTM, gclid, fbclid)

Si tratta di dati personali in forma pseudonimizzata, trattati esclusivamente per fornire al Cliente il Servizio di analisi (ad es. analisi dei clienti nuovi e ricorrenti), secondo le condizioni definite al § 9 dei Termini e condizioni. Il titolare di questi dati è il Cliente.

4.1. Quali dati degli utenti Google otteniamo

Dopo la vostra autorizzazione (OAuth 2.0) otteniamo accesso esclusivamente in sola lettura (read-only) ai seguenti dati dei vostri account Google:

• Google Ads: statistiche delle campagne (impressioni, clic, conversioni), costi pubblicitari, termini di ricerca, dati dei gruppi di annunci e del rendimento delle campagne
• Google Analytics (GA4): dati sulle sessioni, eventi e-commerce, sorgenti di traffico e percorsi di navigazione
• Google Merchant Center: dati sui prodotti nel feed, stato di approvazione delle offerte, visibilità e competitività dei prezzi
• Google Search Console: dati sul rendimento nella ricerca (query, pagine, clic, impressioni)

4.2. Come utilizziamo i dati degli utenti Google

Utilizziamo i dati degli utenti Google esclusivamente per fornire e migliorare le funzionalità della Piattaforma visibili all’utente, ovvero per l’analisi e la visualizzazione dei risultati di marketing e di vendita nelle vostre dashboard analitiche in DataOrganizer.

4.3. A chi condividiamo, trasferiamo o comunichiamo i dati degli utenti Google

I dati degli utenti Google possono essere condivisi esclusivamente con le seguenti categorie di destinatari:

• Responsabili del trattamento (sub-responsabili) necessari alla fornitura del Servizio, in particolare il fornitore dell’infrastruttura cloud Google Cloud Platform, su cui è ospitata la Piattaforma, che agiscono esclusivamente su nostra istruzione documentata sulla base di accordi sul trattamento dei dati ai sensi dell’art. 28 del GDPR.
• Fornitore di servizi AI: le funzionalità analitiche basate sull’intelligenza artificiale sono realizzate con Anthropic (modello Claude) in qualità di responsabile del trattamento, tramite Anthropic API, con trattamento su server negli Stati Uniti sulla base delle clausole contrattuali standard. I dati trasmessi a questo fornitore, che possono includere dati provenienti dai servizi Google, non vengono utilizzati per addestrare modelli AI.
• Autorità pubbliche, solo quando strettamente richiesto dalla normativa vigente o da una richiesta legalmente vincolante (ad es. forze dell’ordine).
• Collaboratori autorizzati all’interno della nostra organizzazione, con accesso limitato secondo il principio «need to know», vincolati all’obbligo di riservatezza.

4.4. Conformità alla Google API Services User Data Policy (Limited Use)

Nella versione originale (en): DataOrganizer’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, inclusi i requisiti di Limited Use.

4.5. Accesso minimo necessario (ambiti minimi / OAuth scopes)

Richiediamo esclusivamente gli ambiti di autorizzazione (OAuth scopes) minimi necessari al funzionamento delle funzionalità della Piattaforma, ed esclusivamente in sola lettura (read-only). Non richiediamo accesso a dati o autorizzazioni che vadano oltre quanto necessario per l’analisi dei dati di marketing e vendita. Non richiediamo ambiti «di riserva» né per funzionalità non ancora implementate.

4.6. Protezione dei dati degli utenti Google

I dati degli utenti Google sono soggetti alle stesse misure di sicurezza descritte nella Sezione 9, tra cui crittografia in transito (TLS) e a riposo (AES-256), controllo degli accessi e registrazione delle operazioni amministrative. I token di accesso (OAuth) sono conservati in un database protetto nell’infrastruttura Google Cloud, crittografato a riposo.

4.7. Conservazione e cancellazione dei dati degli utenti Google

• Conserviamo i dati degli utenti Google esclusivamente per la durata dell’integrazione attiva.
• Dopo la disconnessione dell’integrazione (revoca dell’autorizzazione) o su vostra richiesta, i dati vengono cancellati entro 30 giorni; dalle copie di backup, entro 90 giorni.
• Potete revocare l’autorizzazione in qualsiasi momento nelle impostazioni dell’account DataOrganizer o nella pagina delle autorizzazioni dell’account Google: myaccount.google.com/permissions.

4.8. Componente aggiuntivo Google Workspace (Google Apps Script)

Il componente aggiuntivo DataOrganizer per Google Workspace è realizzato con Google Apps Script e utilizza i seguenti ambiti di autorizzazione:

• script.scriptapp: consente al componente aggiuntivo di operare per vostro conto, inclusa la creazione e la gestione di trigger (ad es. aggiornamento automatico e periodico dei dati);
• script.container.ui: consente di visualizzare l’interfaccia del componente aggiuntivo (pannello laterale, finestre di dialogo) all’interno delle applicazioni Google;
• script.external_request: consente al componente aggiuntivo di connettersi all’API esterna di DataOrganizer per recuperare i Suoi dati analitici e renderli disponibili nel componente aggiuntivo.

Il componente aggiuntivo non legge altri Suoi file o documenti Google oltre a quanto strettamente necessario al funzionamento delle funzioni descritte sopra.

5.1. Erogazione del Servizio di Analisi

Finalità: analisi e visualizzazione dei dati e-commerce per consentire agli utenti di monitorare i risultati aziendali.

Base giuridica:

• Art. 6, par. 1, lett. b) GDPR: esecuzione del contratto (erogazione del servizio DataOrganizer)
• Art. 6, par. 1, lett. f) GDPR: legittimo interesse consistente nel garantire il funzionamento della Piattaforma

I dati dei clienti finali (punto 3.6) sono trattati su istruzione del Cliente in qualità di titolare, sulla base di un accordo sul trattamento dei dati (art. 28 GDPR, § 9 del Regolamento).

5.2. Gestione dell’Account Utente

Finalità: creazione e gestione dell’account utente, autenticazione, comunicazione.

Base giuridica: art. 6, par. 1, lett. b) GDPR: esecuzione del contratto.

5.3. Fatturazione e Pagamenti

Finalità: gestione degli abbonamenti, fatturazione, elaborazione dei pagamenti.

Base giuridica:

• Art. 6, par. 1, lett. b) GDPR: esecuzione del contratto
• Art. 6, par. 1, lett. c) GDPR: obbligo di legge (normativa fiscale e contabile)

5.4. Assistenza Tecnica

Finalità: fornitura di assistenza tecnica, risoluzione dei problemi, comunicazione con gli utenti.

Base giuridica: art. 6, par. 1, lett. b) e f) GDPR.

5.5. Sicurezza e Rilevamento degli Abusi

Finalità: garantire la sicurezza della Piattaforma, rilevare e prevenire abusi.

Base giuridica: art. 6, par. 1, lett. f) GDPR: legittimo interesse (sicurezza dei sistemi).

5.6. Analisi e Miglioramento del Servizio

Finalità: analisi delle modalità di utilizzo della Piattaforma, sviluppo delle funzionalità, ottimizzazione delle prestazioni.

Base giuridica: art. 6, par. 1, lett. f) GDPR: legittimo interesse.

5.7. Marketing (con il Suo Consenso)

Finalità: invio della newsletter, di informazioni sulle nuove funzionalità e di offerte promozionali.

Base giuridica: art. 6, par. 1, lett. a) GDPR: consenso libero (revocabile in qualsiasi momento).

Le attività di marketing si basano esclusivamente sui dati di contatto degli utenti della Piattaforma. Non utilizziamo i dati degli utenti Google per attività di marketing (vedi Sezione 4.2).

6.1. Dati degli Utenti della Piattaforma

Durata del contratto: i dati sono conservati per tutto il periodo di utilizzo della Piattaforma.

Dopo la cessazione del contratto:

• Dati necessari alla fatturazione: 5 anni (in conformità alla normativa fiscale)
• Dati delle comunicazioni con l’assistenza: 3 anni
• Altri dati: 30 giorni dalla disattivazione dell’account

6.2. Dati dalle Piattaforme Collegate

• Con integrazione attiva: dati sincronizzati una volta al giorno
• Dopo la disconnessione dell’integrazione o la chiusura dell’account: dati eliminati entro 30 giorni
• L’utente può richiedere l’eliminazione anticipata dei dati
• Backup: dati eliminati dalle copie al più tardi entro 90 giorni

Le regole dettagliate di conservazione ed eliminazione dei dati degli utenti Google sono descritte nella Sezione 4.7.

6.3. Interazioni con le Funzioni AI

Le interazioni con le funzioni AI (cronologia delle conversazioni) sono conservate per erogare il servizio e per svilupparlo e migliorarlo, per non più di 12 mesi dalla loro creazione, dopodiché vengono eliminate automaticamente. In caso di chiusura dell’account vengono eliminate prima, insieme ai dati dell’account.

7.1. Infrastruttura Principale

Google Cloud Platform (GCP), Regione Europa:

• Dati analitici: regione europe-west1 (Belgio)
• Dati dell’applicazione: regione europe-central2 (Varsavia)
• Backup: nelle stesse regioni
• Una parte dei dati sull’utilizzo della Piattaforma può essere conservata nella multiregione UE, esclusivamente sul territorio dell’Unione Europea

7.2. Conformità ai Requisiti del GDPR

Tutti i dati principali sono conservati nel territorio dell’Unione Europea, su un’infrastruttura conforme alle certificazioni ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2/SOC 3.

7.3. Trasferimento dei Dati al di Fuori del SEE

In misura limitata, i dati possono essere trasferiti al di fuori dello Spazio Economico Europeo:

• nell’ambito delle funzioni AI: ad Anthropic (USA), sulla base delle clausole contrattuali standard approvate dalla Commissione Europea
• da parte di Google e dei suoi subfornitori (ad es. nell’ambito dell’assistenza tecnica), sulla base delle clausole contrattuali standard
• nell’ambito della gestione dei pagamenti: a Stripe, Inc. (USA), sulla base dell’EU-US Data Privacy Framework e delle clausole contrattuali standard

Elenco dei paesi oggetto di decisione di adeguatezza: commission.europa.eu

8.1. Responsabili del Trattamento

• Fornitore dell’infrastruttura cloud: Google Cloud Platform
• Fornitore di servizi AI: Anthropic (modello Claude), per le funzioni di analisi basate sull’AI; al fornitore vengono trasmessi il contenuto della richiesta e i risultati dei riepiloghi elaborati, nei quali i clienti finali compaiono solo come hash crittografico; i dati non vengono utilizzati per addestrare modelli
• Operatore di pagamento: Stripe (nella misura necessaria alla gestione degli abbonamenti)
• Fornitore di posta elettronica e strumenti per l’ufficio: Google Workspace
• Collaboratori di DATADIARY vincolati da accordi di riservatezza

L’elenco aggiornato dei sub-responsabili del trattamento costituisce l’Allegato n. 1 al Regolamento.

8.2. Soggetti Autorizzati per Legge

I dati possono essere comunicati alle autorità pubbliche quando richiesto dalla legge (ad es. autorità fiscali, forze dell’ordine).

8.3. Nessuna Vendita e Nessun Trasferimento a Fini Pubblicitari

8.4. Fonti dei Dati

8.5. Accordi sul Trattamento dei Dati

Con tutti i soggetti che trattano dati per nostro conto stipuliamo accordi sul trattamento dei dati personali ai sensi dell’art. 28 GDPR.

9.1. Misure Tecniche

Crittografia:

• Trasmissione dei dati: TLS
• Archiviazione dei dati: AES-256
• Password degli utenti: conservate esclusivamente come hash crittografico, in un servizio di autenticazione protetto (non conserviamo password in chiaro)
• Token di accesso alle integrazioni: conservati in un database protetto sull’infrastruttura Google Cloud, crittografato a riposo

Controllo degli accessi:

• Autenticazione a due fattori (2FA) obbligatoria per gli account del team DATADIARY con accesso all’infrastruttura
• Autenticazione a due fattori (2FA) per gli utenti della Piattaforma: prevista
• Blocco temporaneo dell’accesso dopo ripetuti tentativi falliti
• Principio del privilegio minimo
• Log degli accessi e audit delle attività

Protezione dell’infrastruttura:

• Separazione dei dati dei singoli Clienti in database distinti
• Infrastruttura gestita Google Cloud
• Notifiche automatiche di errori e anomalie nel funzionamento del servizio
• Backup automatici giornalieri e test periodici di ripristino

9.2. Misure Organizzative

• Politica di sicurezza delle informazioni
• Impegno dei collaboratori a rispettare la politica di sicurezza delle informazioni
• Procedure di risposta agli incidenti
• Accesso limitato ai dati personali (secondo il principio «need to know»)
• Accordi di riservatezza con i collaboratori

9.3. Certificazioni e Audit

L’infrastruttura si basa su Google Cloud Platform, che dispone delle certificazioni ISO/IEC 27001, ISO/IEC 27017, ISO/IEC 27018, SOC 2 Type II.

10.1. Diritto di Accesso (art. 15 GDPR)

• Conferma che sia o meno in corso un trattamento dei Suoi dati personali
• Copia dei dati personali trattati
• Informazioni su finalità del trattamento, categorie di dati e destinatari

Come esercitarlo: contact@dataorganizer.io

10.2. Diritto di Rettifica (art. 16 GDPR)

Può chiedere la correzione dei dati inesatti o l’integrazione dei dati incompleti direttamente nelle impostazioni dell’account oppure scrivendo a contact@dataorganizer.io.

10.3. Diritto alla Cancellazione: «Diritto all’Oblio» (art. 17 GDPR)

Può chiedere la cancellazione dei dati quando: i dati non sono più necessari per le finalità del trattamento, il consenso è stato revocato, è stata presentata opposizione oppure i dati sono trattati illecitamente.

10.4. Diritto di Limitazione del Trattamento (art. 18 GDPR)

Può chiedere la limitazione del trattamento dei dati in determinate situazioni (ad es. durante la verifica dell’esattezza dei dati).

10.5. Diritto alla Portabilità dei Dati (art. 20 GDPR)

Ha il diritto di ricevere i Suoi dati in un formato strutturato e di uso comune (CSV o Parquet), secondo le condizioni previste dal § 14 del Regolamento.

10.6. Diritto di Opposizione (art. 21 GDPR)

Può opporsi al trattamento dei dati per motivi connessi alla Sua situazione particolare oppure al trattamento per finalità di marketing diretto (in qualsiasi momento, senza condizioni).

10.7. Diritto di Revocare il Consenso (art. 7, par. 3 GDPR)

Se il trattamento si basa sul consenso, può revocarlo in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato in precedenza. L’autorizzazione di accesso ai servizi Google può essere revocata nelle impostazioni dell’account DataOrganizer o alla pagina myaccount.google.com/permissions.

10.8. Diritto di Proporre Reclamo (art. 77 GDPR)

10.9. Esercizio dei Diritti

Tempi di risposta: entro 30 giorni dal ricevimento della richiesta (con possibile proroga di ulteriori 60 giorni, previa comunicazione). L’esercizio dei diritti è di norma gratuito.

10.10. Dati dei Clienti Finali dei Negozi

Le richieste relative ai dati dei clienti finali dei negozi (punto 3.6) vanno rivolte al titolare del negozio, in quanto titolare del trattamento di tali dati. DATADIARY assiste il titolare nella loro gestione.

11.1. Cosa Sono i Cookie?

I cookie sono piccoli file di testo inviati dal server e memorizzati sul dispositivo dell’utente, che consentono di riconoscere il browser nelle visite successive.

11.2. Quali Cookie Utilizziamo?

Cookie necessari (non richiedono consenso):

• Autenticazione e gestione della sessione
• Sicurezza (protezione CSRF)
• Funzionalità di base della Piattaforma

Cookie statistici (richiedono il consenso):

• Google Analytics (misurazione del traffico, statistiche di utilizzo)
• Analisi delle prestazioni della Piattaforma

Cookie di preferenza (richiedono il consenso):

• Memorizzazione delle impostazioni dell’utente
• Lingua dell’interfaccia, preferenze di visualizzazione

Cookie di marketing (richiedono il consenso):

• Tracciamento delle conversioni delle campagne pubblicitarie
• Remarketing, personalizzazione dei contenuti di marketing

11.3. Base giuridica

• Cookie necessari: art. 6, par. 1, lett. f) del GDPR (legittimo interesse)
• Altri cookie: art. 6, par. 1, lett. a) del GDPR (consenso dell’utente)

11.4. Gestione dei cookie

All’accesso al sito viene visualizzato un pannello in cui è possibile accettare tutti i cookie, rifiutarli tutti (ad eccezione di quelli necessari) oppure personalizzare le impostazioni per le singole categorie. Le impostazioni possono essere modificate in qualsiasi momento cliccando sull’icona nell’angolo in basso a sinistra della pagina.

11.5. Periodo di conservazione

• Cookie di sessione: fino alla chiusura del browser
• Cookie persistenti: secondo la data di scadenza (massimo 24 mesi)

13.1. Integrazione Shopify

Ambito dei dati: dati degli ordini (valore, stato, data), dati dei prodotti (ID, nome, prezzo, varianti, categorie), dati dei clienti finali esclusivamente in forma pseudonimizzata, nei limiti descritti al punto 3.6.

Autorizzazione: OAuth 2.0 da parte del titolare del negozio. Cancellazione dei dati: dopo la disinstallazione dell’app o su richiesta, entro 30 giorni. Conformità: Shopify API Terms of Service e GDPR Requirements.

13.2. Integrazione WooCommerce

Dati transazionali e di prodotto, nonché dati dei clienti finali in forma pseudonimizzata (punto 3.6), acquisiti tramite la WooCommerce REST API. Autorizzazione: chiavi API generate dal titolare del negozio nel pannello WooCommerce.

13.3. Integrazione Google Ads, Google Analytics, Google Merchant Center e Google Search Console

Dati delle campagne pubblicitarie, statistiche di traffico, dati del feed prodotti e prestazioni nella ricerca. Autorizzazione: OAuth 2.0 in modalità di sola lettura. Conformità con Google Ads API Terms, Google Analytics Terms of Service e Google API Services User Data Policy (inclusi i requisiti Limited Use). Descrizione completa nella Sezione 4.

13.4. Integrazione Meta Ads

Statistiche delle campagne Facebook e Instagram. Autorizzazione: OAuth di Facebook Business Manager. Conformità con Meta Platform Terms e Business Tools Terms.

13.5. Altre integrazioni

Principi analoghi si applicano alle integrazioni con: Magento, Shoper, IdoSell, RedCart, PrestaShop, SkyShop, marketplace, TikTok Ads, Criteo, Tradetracker.

14.1. Diritti dei residenti in California (CCPA)

Se siete residenti in California, avete diritti aggiuntivi ai sensi del California Consumer Privacy Act:

• Diritto di essere informati sui dati raccolti
• Diritto alla cancellazione dei dati
• Diritto di opporsi alla “vendita” dei dati (non vendiamo dati)
• Diritto alla non discriminazione

Contatto: contact@dataorganizer.io con oggetto “CCPA Request”

14.2. Diritti dei residenti nel Regno Unito (UK GDPR)

Applichiamo standard di protezione dei dati conformi allo UK GDPR. Autorità di controllo: Information Commissioner’s Office (ICO), ico.org.uk.

16.1. Aggiornamenti

Ci riserviamo il diritto di aggiornare la presente Informativa sulla privacy per riflettere modifiche normative, delle funzionalità della Piattaforma o delle pratiche di trattamento dei dati. Gli utenti saranno informati in anticipo di qualsiasi modifica alle modalità di utilizzo dei dati utente di Google.

16.2. Notifiche

Le modifiche rilevanti saranno comunicate tramite notifica e-mail (con 30 giorni di preavviso), un messaggio nella Piattaforma e l’aggiornamento della data “Ultimo aggiornamento” in cima al documento. Le versioni precedenti dell’Informativa sono disponibili in archivio, con i rispettivi periodi di validità.

16.3. Accettazione delle modifiche

L’uso continuato della Piattaforma dopo l’introduzione delle modifiche costituisce accettazione dell’Informativa aggiornata. In caso di modifiche rilevanti potremmo richiedere un nuovo consenso.

18.1. Lingua

L’Informativa sulla privacy è disponibile in lingua polacca e inglese. In caso di discrepanze, fa fede la versione polacca.

18.2. Legge applicabile

La presente Informativa e ogni questione ad essa connessa sono disciplinate dalla legge polacca.

18.3. Clausola di salvaguardia

Qualora una qualsiasi disposizione dell’Informativa sia ritenuta nulla o inapplicabile, le restanti disposizioni restano pienamente valide ed efficaci.

18.4. Documenti correlati

La presente Informativa sulla privacy deve essere letta congiuntamente a:

• Regolamento della Piattaforma DataOrganizer, in particolare § 9 (affidamento del trattamento dei dati), § 13 (sicurezza) e § 14 (esportazione e cancellazione dei dati)
• Condizioni di erogazione del servizio (Terms of Service)