Informativa sulla privacy
Questa informativa spiega quali dati personali tratta Alveare, per quali scopi, con quali garanzie e come puoi esercitare i tuoi diritti. Vale per il sito vetrina alveare.me e per il gestionale alveare.online. Abbiamo cercato di scriverla in modo chiaro: se qualcosa non lo è, scrivici.
1. Chi è il titolare del trattamento
Il titolare del trattamento è Geom. Emanuele Lattanzio, in qualità di persona fisica che gestisce il servizio Alveare.
Per qualsiasi richiesta sulla privacy, compreso l’esercizio dei diritti descritti più sotto, scrivi a [email protected]. Rispondiamo di norma entro pochi giorni e comunque entro un mese, come previsto dalla legge. Non abbiamo nominato un responsabile della protezione dei dati (DPO) perché non ricorrono i casi in cui è obbligatorio.
2. I due ruoli: titolare e responsabile
Alveare è un gestionale per cantieri. Nei dati che tratta dobbiamo distinguere due situazioni, perché cambiano le responsabilità.
Dati dell’account e del rapporto con noi: siamo titolari
Email, nome, partita IVA, ragione sociale, dati di abbonamento e pagamento, registro degli accessi: li raccogliamo per creare l’account e fornire il servizio. Qui Alveare è titolare e questa informativa si applica direttamente a te.
Dati che inserisci nel gestionale: tu sei titolare, noi responsabili
Commesse, squadre, nominativi dei lavoratori, ore, mezzi, giornale di cantiere, rapportini e documenti: li inserisce la tua azienda per organizzare il proprio lavoro. Per questi dati il titolare è la tua azienda e Alveare agisce come responsabile del trattamento (art. 28 GDPR): li trattiamo solo per fornirti il servizio e secondo le tue istruzioni, non li usiamo per altri scopi e non li vendiamo.
Se la tua azienda inserisce dati di lavoratori o di altre persone, è lei a doverne informare gli interessati e ad avere una base giuridica per il trattamento. Su richiesta, possiamo sottoscrivere un accordo scritto sul trattamento dei dati (DPA): scrivici a [email protected].
3. Quali dati trattiamo e perché
| Finalità | Dati | Base giuridica |
|---|---|---|
| Creare l’account e farti accedere | Email, password (conservata solo in forma di hash, mai in chiaro), nome, nome dell’azienda, ragione sociale, partita IVA; con l’accesso tramite Google anche il nome e l’indirizzo email verificati del tuo account Google | Esecuzione del contratto o di misure precontrattuali (art. 6.1.b) |
| Erogare il gestionale | I dati che inserisci nell’app (vedi sezione 2), il ruolo assegnato a ciascun utente, i dispositivi collegati (identificativo tecnico e data dell’ultimo accesso) | Esecuzione del contratto (art. 6.1.b) |
| Gestire abbonamento e pagamenti | Piano, scadenza, importi, estremi del bonifico comunicati da te o dalla banca. Per i pagamenti con carta, quando disponibili, i dati di pagamento sono trattati da Stripe e non passano dai nostri sistemi | Contratto (art. 6.1.b) e obblighi fiscali e contabili (art. 6.1.c) |
| Inviarti email di servizio | Email: conferma di registrazione, reset password, inviti ai colleghi, avvisi su scadenza e pagamenti, comunicazioni di sicurezza | Esecuzione del contratto (art. 6.1.b) |
| Evitare abusi della prova gratuita | Impronta cifrata dell’email e partita IVA (sezione 4) | Legittimo interesse (art. 6.1.f) |
| Sicurezza e prevenzione delle frodi | Dati tecnici di accesso: data e ora, indirizzo IP e tipo di browser nei registri dei fornitori di hosting e autenticazione | Legittimo interesse a proteggere il servizio (art. 6.1.f) |
| Rispondere alle tue richieste | Email e contenuto del messaggio che ci scrivi | Misure precontrattuali o legittimo interesse (art. 6.1.b e 6.1.f) |
| Newsletter | Email, data e ora dell’iscrizione, prova del consenso (sezione 5) | Consenso (art. 6.1.a) |
Conferire i dati necessari alla registrazione è indispensabile per usare il gestionale: senza non possiamo creare l’account. Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti su di te e non facciamo profilazione.
4. Prova gratuita: una sola volta
La prova gratuita di 30 giorni è concessa una sola volta per ogni indirizzo email e per ogni partita IVA, anche se l’account o l’azienda sono poi stati cancellati.
Per far rispettare questa regola conserviamo la partita IVA indicata in registrazione e un'impronta cifrata (hash SHA-256) dell’indirizzo email, normalizzato in modo da riconoscere le varianti della stessa casella. L’indirizzo email in chiaro non viene conservato a questo scopo e dall’impronta non è possibile risalire all’indirizzo.
La base giuridica è il legittimo interesse a prevenire abusi e usi ripetuti del servizio. Questi dati restano finché serve a questo scopo. Puoi opporti scrivendo a [email protected]: valuteremo la richiesta caso per caso.
5. Newsletter
Il servizio newsletter non è ancora attivo. Per ora non raccogliamo iscrizioni: quanto segue descrive come funzionerà all’attivazione.
Come ti iscrivi. Puoi iscriverti in due modi: dal modulo del sito, oppure, se hai un account, dalle impostazioni del gestionale. In entrambi i casi devi spuntare la casella del consenso, che non è mai preselezionata. Il consenso è facoltativo e separato dalla registrazione al gestionale. Registriamo anche da dove ti sei iscritto (sito o gestionale): serve a documentare il consenso.
Doppio consenso. Dopo l’iscrizione ricevi un messaggio con un link. L’iscrizione diventa valida solo quando apri quel link e tocchi il pulsante «Conferma iscrizione»: aprire la mail non basta. Il link vale 7 giorni. Se non lo usi, l’indirizzo non viene mai iscritto e i dati di un’iscrizione non confermata sono cancellati dopo 30 giorni.
Cosa ti scriviamo. Al massimo 2 volte al mese, per raccontarti novità, miglioramenti e offerte di Alveare.
Disiscrizione in un clic. In ogni messaggio trovi il link per disiscriverti: si apre una pagina con il pulsante «Annulla iscrizione», senza password e senza dover scrivere a nessuno. Appena lo tocchi l’effetto è immediato. Il programma di posta può anche offrirti il comando «Annulla iscrizione» accanto al mittente, con lo stesso risultato. Puoi sempre scriverci a [email protected]. Il titolare è una persona fisica (sezione 1) e per questo le email non riportano un indirizzo postale.
Quali dati conserviamo. Per dimostrare il tuo consenso conserviamo:
- l’indirizzo email;
- la fonte dell’iscrizione (sito o gestionale);
- la data e l’ora dell’iscrizione, della conferma e dell’eventuale disiscrizione;
- il tipo di browser (massimo 300 caratteri);
- un identificativo cifrato dell’indirizzo IP (HMAC-SHA-256 con chiave segreta): l’indirizzo IP in chiaro non viene conservato e dall’identificativo non si può risalire all’IP.
Teniamo inoltre un registro degli invii: per ogni messaggio spedito segniamo a chi, quando e con quale esito di consegna. Serve a non superare il limite di 2 messaggi al mese, a sapere quali indirizzi non sono raggiungibili e a dimostrare cosa è stato inviato. Questi dati non servono ad altro.
Memoria del browser. Quando usi il modulo del sito, il browser ricorda per 24 ore l’ultimo indirizzo email inserito e l’ora, solo sul tuo dispositivo. Serve a non rimandarti la stessa mail di conferma se ripremi il pulsante. Non viene inviato a nessuno. Passate le 24 ore, il sito lo cancella dal browser alla tua prima visita successiva alla home o alla pagina della newsletter; puoi cancellarlo prima svuotando i dati del sito.
Protezione dagli abusi. Per evitare che qualcuno iscriva indirizzi altrui, il modulo può essere protetto da una verifica di sicurezza (Cloudflare Turnstile, sezione 6), quando è attiva. In quel caso il browser comunica a Cloudflare alcuni dati tecnici per distinguere una persona da un programma automatico. Limitiamo inoltre il numero di iscrizioni ravvicinate.
Per quanto tempo. Gli iscritti confermati restano fino alla disiscrizione. Gli indirizzi non confermati sono cancellati dopo 30 giorni. Dopo la disiscrizione conserviamo l’email in un elenco di esclusione, per non scriverti più, e la prova del consenso, per difenderci in caso di contestazioni: restano finché non ne chiedi la cancellazione. Il registro degli invii si conserva per il tempo necessario a questi scopi. Puoi chiedere la cancellazione completa in qualsiasi momento scrivendo a [email protected]: in quel caso potremmo non essere più in grado di ricordarci di non scriverti.
L’invio dei messaggi è affidato a Resend (sezione 6). La base giuridica del trattamento è il tuo consenso (art. 6.1.a GDPR), che puoi revocare in ogni momento.
6. Fornitori e destinatari dei dati
I dati non vengono venduti né ceduti a terzi per scopi pubblicitari. Per far funzionare il servizio ci affidiamo a fornitori selezionati, che trattano i dati per nostro conto come responsabili del trattamento o, per alcuni servizi, come titolari autonomi:
- Supabase — database, archiviazione e sistema di accesso (autenticazione). Qui risiedono i dati dell’account e quelli inseriti nel gestionale.
- Cloudflare — hosting del sito e dell’app, rete di distribuzione e protezione da attacchi. Tratta dati tecnici di connessione (come l’indirizzo IP).
- Resend — invio delle email di servizio e della newsletter.
- Cloudflare — verifica anti-abuso Turnstile nel modulo della newsletter, quando è attiva.
- Google — solo se scegli di accedere con il tuo account Google: Google ci comunica nome ed email verificata. L’immagine del profilo, se inviata, non viene scaricata né mostrata.
- Stripe — pagamenti con carta, quando saranno disponibili. Stripe tratta i dati di pagamento come titolare autonomo, secondo la propria informativa.
- Banca — per i pagamenti con bonifico: riceviamo la causale e gli estremi del versante. Non conserviamo il tuo IBAN.
- Consulenti e autorità — il commercialista per la contabilità e la fatturazione, e le autorità pubbliche quando la legge lo impone.
Hanno accesso ai dati solo il titolare e, se necessario, persone da lui autorizzate. All’interno della tua azienda, ciascun utente vede solo ciò che il suo ruolo consente (titolare, compilatore, visualizzatore).
7. Trasferimenti fuori dall’Unione Europea
Alcuni fornitori possono trattare dati anche fuori dallo Spazio Economico Europeo, in particolare negli Stati Uniti. In questi casi il trasferimento avviene solo con garanzie adeguate: una decisione di adeguatezza della Commissione europea (come il EU-U.S. Data Privacy Framework, per i fornitori che vi aderiscono) oppure le clausole contrattuali standard approvate dalla Commissione. Puoi chiederci copia o riferimento di tali garanzie scrivendo a [email protected].
8. Per quanto tempo conserviamo i dati
- Account e dati inseriti nel gestionale: finché l’abbonamento o la prova è attivo. Quando il servizio termina, puoi esportare i tuoi dati dalla pagina Abbonamento; dopo la cessazione li cancelliamo entro un congruo termine, salvo quanto serve per obblighi di legge.
- Dati contabili e di fatturazione: 10 anni, come previsto dalla normativa fiscale.
- Impronta dell’email e partita IVA della prova gratuita: finché serve a evitare abusi (sezione 4).
- Newsletter: gli iscritti fino alla disiscrizione; le iscrizioni non confermate 30 giorni; poi l’elenco di esclusione e la prova del consenso, finché ne chiedi la cancellazione. Dettagli nella sezione 5.
- Registri tecnici di accesso: per il tempo breve stabilito dai singoli fornitori, in genere pochi mesi.
- Messaggi di assistenza: per il tempo necessario a gestire la richiesta e documentarla.
9. Sicurezza
Adottiamo misure tecniche e organizzative adeguate: connessioni sempre cifrate (HTTPS), password conservate solo come hash, regole di accesso al database per cui ogni azienda può leggere e modificare soltanto i propri dati (row level security), ruoli diversi per titolare, compilatore e visualizzatore, limite ai dispositivi collegati per account, funzioni amministrative riservate. Nessun sistema è perfettamente sicuro: in caso di violazione dei dati personali che presenti un rischio per te, ti informeremo e avviseremo il Garante nei termini di legge.
10. Cookie e strumenti di tracciamento
Alveare usa solo strumenti tecnici, necessari al funzionamento, che non richiedono consenso: la sessione di accesso (token di Supabase) e le preferenze dell’app. Il modulo della newsletter ricorda per 24 ore l’ultima email inserita (sezione 5). L’app salva inoltre dati nella memoria del browser per funzionare anche con connessione debole. Non usiamo cookie di profilazione, pixel pubblicitari né strumenti di analisi che identifichino le persone.
11. I tuoi diritti
Puoi esercitare in qualsiasi momento, gratuitamente, i diritti previsti dagli artt. 15-22 del GDPR:
- accesso: sapere se trattiamo tuoi dati e ottenerne copia;
- rettifica: correggere dati inesatti o incompleti;
- cancellazione: chiedere l’eliminazione dei dati quando non servono più o il trattamento non è lecito;
- limitazione: chiedere di sospendere temporaneamente il trattamento;
- portabilità: ricevere i dati che ci hai fornito in formato strutturato e leggibile da dispositivo automatico;
- opposizione: opporti ai trattamenti basati sul legittimo interesse e, sempre, all’invio di comunicazioni promozionali;
- revoca del consenso, ad esempio per la newsletter, senza effetto sul trattamento già svolto.
Per esercitarli scrivi a [email protected]. Se i dati che ci riguardano sono stati inseriti da un’azienda cliente nel suo gestionale, la richiesta va rivolta anche a quell’azienda, che ne è titolare; noi la aiuteremo a darti risposta.
Se ritieni che il trattamento violi la normativa, hai il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o di rivolgerti all’autorità giudiziaria.
12. Modifiche a questa informativa
Possiamo aggiornare questa informativa, ad esempio quando aggiungiamo un servizio o un fornitore. La versione in vigore è sempre quella pubblicata in questa pagina, con la data di ultimo aggiornamento in alto. Per cambiamenti rilevanti avviseremo gli utenti registrati via email.
Geom. Emanuele Lattanzio · [email protected]