Informativa privacy del sito

Chi siamo

Il titolare del trattamento è Marian Totolici, ditta individuale, con sede in Piazza Arrigo Boito 23, 19122 La Spezia, partita IVA 01609680119, email privacy@gassa.io («Gassa»). Gassa è un servizio di Marian Totolici.

Non abbiamo nominato un responsabile della protezione dei dati (DPO): la legge oggi non lo richiede per le nostre attività. Per qualsiasi domanda sulla privacy scrivi a privacy@gassa.io. Ti risponde direttamente Marian Totolici.

Questa informativa riguarda solo il sito gassa.io e i suoi moduli. Se usi l'app o la web app di Gassa, leggi l'informativa dell'app su app.gassa.io/legale/privacy.

Quali dati raccogliamo

Richiesta di prova gratuita. Nome e cognome, azienda, ruolo, email, telefono, numero di operai, pacchetto che ti interessa e, se lo scrivi, un messaggio.

Controllo del SAL. Nome e cognome, azienda, email, telefono se lo lasci, il PDF del SAL e, se lo carichi, il SAL precedente.

Il SAL può contenere dati di altre persone, per esempio nomi di referenti, firme o nomi di operai. Caricalo solo se puoi farlo. Se puoi, togli i dati delle persone che non servono al controllo.

Modulo contatti. Nome e cognome, azienda se la indichi, email e messaggio.

Con ogni richiesta salviamo anche:

le tue scelte sulle caselle (presa visione dell'informativa, comunicazioni commerciali);

la pagina da cui sei arrivato, se il browser la comunica;

i parametri della campagna nel link, se ci sono (per esempio utm_source).

Protezione dagli invii automatici. Per fermare i robot salviamo un'impronta cifrata del tuo indirizzo IP, non l'indirizzo in chiaro. La cancelliamo entro 24 ore. Sui moduli usiamo anche Cloudflare Turnstile, che legge alcuni segnali tecnici del browser.

Dati di navigazione. Come ogni sito, i server registrano dati tecnici delle richieste: indirizzo IP, data e ora, pagina richiesta, tipo di browser. Servono solo a far funzionare il sito e a proteggerlo.

Statistiche delle visite, solo se le accetti nel banner. Con Google Analytics 4 contiamo le pagine viste e alcune azioni sul sito (clic sui pulsanti principali, invio di un modulo con il suo nome, quanto scorri la pagina), legate a un codice casuale salvato nel tuo browser. Non usiamo cookie di profilazione né pubblicità. I dettagli sono nella Cookie policy.

Perché li usiamo e su quale base

Rispondere alla tua richiesta (prova, controllo del SAL, contatto) e attivare la prova se la chiedi: Misure precontrattuali su tua richiesta, art. 6, par. 1, lett. b) GDPR.

Controllare il tuo SAL e mandarti l'esito: Sempre la tua richiesta, art. 6, par. 1, lett. b) GDPR.

Mandarti comunicazioni commerciali su Gassa, solo se spunti la casella facoltativa: Il tuo consenso, art. 6, par. 1, lett. a) GDPR e art. 130 del Codice privacy.

Proteggere il sito e i moduli da abusi e attacchi: Nostro legittimo interesse alla sicurezza, art. 6, par. 1, lett. f) GDPR.

Capire da quale pagina o campagna arrivano le richieste: Nostro legittimo interesse a sapere quali canali funzionano, art. 6, par. 1, lett. f) GDPR. Non ti profiliamo.

Statistiche delle visite con Google Analytics: Il tuo consenso dato nel banner, art. 6, par. 1, lett. a) GDPR e art. 122 del Codice privacy. Puoi ritirarlo quando vuoi da «Preferenze cookie», in fondo a ogni pagina.

Registrare la tua scelta sui cookie, come prova del consenso: Obbligo di dimostrare il consenso, art. 7, par. 1 GDPR.

Rispettare obblighi di legge e difenderci in caso di contestazioni: Art. 6, par. 1, lett. c) e f) GDPR.

Il consenso alle comunicazioni commerciali è separato. Se non lo dai, rispondiamo lo stesso alla tua richiesta.

Dati obbligatori e facoltativi

I campi obbligatori servono a rispondere alla richiesta: senza, non possiamo darti seguito. Il telefono nel controllo del SAL e il consenso alle comunicazioni commerciali sono facoltativi.

Come controlliamo il tuo SAL

Il PDF va dal tuo browser a un archivio privato nell'Unione europea. Non passa dal server del sito.

Una persona di Gassa riceve un avviso per email, con un link al file valido 7 giorni. Poi controlla il SAL. Per leggerlo più in fretta usa l'intelligenza artificiale di Anthropic, tramite le sue API: il sistema ricava le voci e rifà i conti. La persona di Gassa verifica il risultato prima di mandartelo.

L'esito è un parere da controllare, non una decisione. Non prendiamo decisioni basate solo su trattamenti automatizzati che abbiano effetti giuridici o simili su di te (art. 22 GDPR).

Anthropic tratta il SAL per nostro conto. Le sue condizioni commerciali le vietano di usarlo per addestrare i suoi modelli. Anthropic conserva i dati ricevuti tramite API fino a 30 giorni, più a lungo solo se serve a indagare un uso vietato del servizio.

Noi cancelliamo il SAL, e ogni copia usata per il controllo, entro 30 giorni dal caricamento.

Dati di altre persone (art. 14 GDPR)

Se il SAL contiene dati di altre persone, li riceviamo da chi lo carica, non da loro. Sono di solito nomi, qualifiche, firme e ruoli di cantiere. Li usiamo solo per il controllo chiesto, con le stesse garanzie e gli stessi tempi del SAL, e li cancelliamo con il file. Queste persone hanno gli stessi diritti descritti sotto.

Per quanto tempo li teniamo

PDF del SAL, ogni copia usata per il controllo e dati della richiesta di controllo: 30 giorni dal caricamento.

Link al SAL nell'email interna: Smette di funzionare dopo 7 giorni.

Richieste di prova e messaggi di chi non diventa cliente: 24 mesi dall'ultimo contatto.

Consenso alle comunicazioni commerciali: Finché non lo revochi. Dopo, teniamo solo la prova della revoca, per non scriverti più.

Impronta cifrata dell'indirizzo IP: 24 ore.

Statistiche delle visite in Google Analytics: 14 mesi.

Scelta sui cookie e sua prova: 12 mesi, poi te la chiediamo di nuovo.

Log tecnici di sicurezza e di errore: 90 giorni.

Se diventi cliente, i dati passano al contratto e seguono i tempi dei Termini di servizio.

Possiamo tenere un dato più a lungo solo per difenderci in una contestazione già aperta, e solo per il tempo che serve.

A chi li affidiamo

I dati li vedono solo le persone di Gassa che lavorano sulle richieste, tenute alla riservatezza. Li trattano anche questi fornitori, per nostro conto e con un contratto che li vincola (art. 28 GDPR):

Supabase. Cosa fa: Database del sito e archivio dei file (SAL). Dove sono i dati: Irlanda, Unione europea.

Vercel Inc. Cosa fa: Server che ospitano il sito e archivio delle immagini del sito (Vercel Blob). Dove sono i dati: Le funzioni del sito e l'archivio delle immagini sono nella regione di Dublino (Irlanda), Unione europea. Le pagine passano dalla sua rete di distribuzione mondiale, che registra anche dati tecnici delle visite come l'indirizzo IP. Sede negli Stati Uniti.

Anthropic Ireland, Limited. Cosa fa: Lettura del SAL con l'intelligenza artificiale. Dove sono i dati: Elaborazione negli Stati Uniti.

Resend (Plus Five Five, Inc.). Cosa fa: Email interna di avviso e email di conferma che ricevi. Dove sono i dati: Stati Uniti.

Cloudflare, Inc. Cosa fa: Verifica anti-robot sui moduli (Turnstile). Dove sono i dati: Rete globale.

Google Ireland Limited (Google Tag Manager e Google Analytics 4). Cosa fa: Statistiche delle visite, solo con il tuo consenso. Dove sono i dati: Unione europea e Stati Uniti.

Eveningo Studio. Cosa fa: Mostra il banner dei cookie e conserva la prova della scelta di chi visita il sito (codice casuale, scelta, pagina, lingua, tipo di browser). Dove sono i dati: server del servizio di consenso (public.cookie.eveningostudio.com).

Per Turnstile, Cloudflare usa alcuni segnali tecnici anche per migliorare il riconoscimento dei robot, come titolare autonomo, secondo la sua informativa (cloudflare.com/privacypolicy).

Diamo i dati alle autorità solo quando la legge lo impone. Non vendiamo i tuoi dati e non li diamo ad altri per il loro marketing.

Trasferimenti fuori dall'Unione europea

Alcuni fornitori hanno sede negli Stati Uniti o vi trattano i dati. Li trasferiamo solo con le garanzie del Capo V del GDPR:

Cloudflare, Resend e Google sono certificati nell'EU-US Data Privacy Framework. Il trasferimento si basa sulla decisione di adeguatezza della Commissione europea del 10 luglio 2023 (art. 45 GDPR). Nei contratti ci sono anche le clausole contrattuali standard, come riserva.

Vercel ha sede negli Stati Uniti. Il trasferimento si basa sulla decisione di adeguatezza del 10 luglio 2023 (art. 45 GDPR), per quanto Vercel aderisce all'EU-US Data Privacy Framework, e sulle clausole contrattuali standard 2021/914 incluse nel suo accordo sul trattamento dei dati.

Anthropic non è certificata nel Data Privacy Framework. Il trasferimento si basa sulle clausole contrattuali standard approvate dalla Commissione europea (decisione di esecuzione 2021/914, art. 46, par. 2, lett. c) GDPR), incluse nel suo accordo sul trattamento dei dati. Abbiamo valutato per iscritto i rischi di questo trasferimento.

Supabase tiene i dati in Irlanda. Non è certificata nel Data Privacy Framework: per gli eventuali accessi da fuori UE, per esempio per assistenza tecnica, il suo contratto prevede le clausole contrattuali standard 2021/914.

Puoi chiederci una copia delle garanzie a privacy@gassa.io.

I tuoi diritti

Puoi chiederci di:

accedere ai tuoi dati e averne una copia (art. 15 GDPR);

correggerli (art. 16);

cancellarli (art. 17);

limitarne l'uso (art. 18);

riceverli in un formato leggibile da un computer (portabilità, art. 20).

Puoi opporti in ogni momento ai trattamenti basati sul nostro legittimo interesse, per motivi legati alla tua situazione (art. 21). Alle comunicazioni commerciali puoi opporti sempre, senza dare motivi.

Puoi revocare il consenso alle comunicazioni commerciali quando vuoi: con il link in fondo a ogni email o scrivendoci. La revoca non tocca quello che abbiamo fatto prima.

Scrivi a privacy@gassa.io. Ti rispondiamo senza ritardo, entro un mese. Se la richiesta è complessa, o ne riceviamo molte, possiamo arrivare a tre mesi: in quel caso te lo diciamo entro il primo mese (art. 12, par. 3 GDPR). È gratis, salvo richieste chiaramente infondate o eccessive. Per essere sicuri che sei tu, potremmo chiederti di scriverci dall'indirizzo che hai usato nel modulo.

Reclamo

Se pensi che trattiamo i tuoi dati in modo non corretto, puoi fare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it, Piazza Venezia 11, 00187 Roma) o all'autorità di controllo del Paese in cui vivi o lavori (art. 77 GDPR). Puoi anche rivolgerti a un giudice (art. 79 GDPR).

Sicurezza

Il sito usa solo connessioni cifrate (HTTPS). Il SAL va dal tuo browser all'archivio privato con un indirizzo di caricamento firmato e a tempo. Le tabelle con le richieste le legge solo il server del sito. Accedono ai file solo le persone di Gassa che lavorano sulle richieste.

Modifiche

Possiamo aggiornare questa informativa, per esempio se cambia un fornitore. La data dell'ultimo aggiornamento è in cima alla pagina. Se un cambiamento riguarda un trattamento basato sul tuo consenso, te lo chiediamo di nuovo.