Informativa sulla privacy

La presente informativa descrive come DSA S.r.l. tratta i dati personali degli utenti che visitano il sito ultrasammy.ai, che utilizzano il modulo di richiesta demo/contatto o il calendario di prenotazione, e di chi compila il modulo di richiesta demo che compare nelle nostre inserzioni su Facebook e Instagram senza passare dal sito. Il trattamento avviene nel rispetto del GDPR e del D.lgs. 196/2003 come modificato dal D.lgs. 101/2018 («Codice Privacy»).

1. Titolare del trattamento

Titolare del trattamento è DSA S.r.l., con sede legale in Via San Vittore 3, 37060 Sona (VR), Italia, P.IVA e C.F. 05123530239, REA VR-472167, capitale sociale € 12.125 i.v., nella persona del legale rappresentante Edoardo Castigliego.

Per qualsiasi questione relativa al trattamento dei dati puoi scrivere a privacy@ultrasammy.ai.

2. Responsabile della protezione dei dati (DPO)

Il titolare ha designato un Responsabile della protezione dei dati (RPD, o Data Protection Officer), che puoi contattare per ogni questione relativa al trattamento dei tuoi dati personali e all'esercizio dei tuoi diritti scrivendo a privacy@ultrasammy.ai: le comunicazioni indirizzate al Responsabile della protezione dei dati gli vengono trasmesse. I dati identificativi del Responsabile della protezione dei dati sono disponibili su richiesta al medesimo indirizzo.

3. Categorie di dati trattati

Trattiamo le seguenti categorie di dati:

• Dati forniti tramite i moduli di contatto: nome e cognome, numero di telefono/WhatsApp e indirizzo email. Alcuni moduli chiedono anche il nome dell'attività e la professione; altri chiedono soltanto i primi tre dati. In ciascun modulo tutti i campi mostrati sono obbligatori: servono a ricontattarti e a preparare una dimostrazione pertinente alla tua attività. Insieme a essi registriamo la pagina da cui hai scritto e i parametri di campagna presenti nel link con cui sei arrivato sul sito, come «utm_source» e «utm_campaign». Lo stesso vale per il modulo di richiesta demo che compare nelle nostre inserzioni su Facebook e Instagram: lì raccogliamo nome e cognome, email e numero di telefono — che la piattaforma inserisce per te dal tuo profilo e che puoi correggere prima di inviare — insieme al tuo ruolo nella struttura e alla funzione di Sammy che vuoi vedere per prima. L'inserzione da cui arriva la richiesta ci dice quale nostra campagna te l'ha mostrata.
• Dati della prenotazione: se prenoti la demo dal calendario Cal.com, i dati che inserisci (nome e cognome, email, numero di telefono, nome dell'attività). Li registriamo nel nostro CRM (ActiveCampaign) insieme alla pagina da cui hai prenotato e ai parametri di campagna presenti nel link con cui sei arrivato sul sito, come «utm_source» e «utm_campaign».
• Dati di navigazione: indirizzo IP, tipo e lingua del browser, sistema operativo, dispositivo, pagine visitate, data e ora di accesso, sito di provenienza. Alcuni di questi dati sono raccolti dai nostri fornitori di hosting per finalità tecniche e di sicurezza; altri solo previo tuo consenso, per le finalità di misurazione e marketing descritte al punto 4. Quando inizi a compilare il modulo della pagina dedicata ai medici estetici, la verifica anti-bot trasmette inoltre a Google l'indirizzo IP, l'indirizzo della pagina, i dati su browser, sistema operativo e impostazioni del dispositivo e il modo in cui interagisci con la pagina (movimenti del puntatore, digitazione, tempo di permanenza). Quando apri una delle pagine di ringraziamento che seguono l'invio del modulo, il calendario di prenotazione trasmette a Cal.com, già al caricamento della pagina e senza che tu debba premere nulla, l'indirizzo IP, i dati su browser, sistema operativo e dispositivo, la lingua impostata, l'indirizzo della pagina da cui provieni e il fuso orario del tuo dispositivo, che serve a mostrarti gli orari disponibili nella tua ora locale. Su una di queste pagine il calendario si apre già compilato con il nome e cognome, l'email e il numero di telefono che hai appena scritto nel modulo: quei dati arrivano quindi a Cal.com al caricamento della pagina, anche se non porti a termine la prenotazione. Se poi la porti a termine, Cal.com riceve anche gli altri dati che inserisci nel calendario. Dove invece il calendario è inserito dentro una pagina del sito, e non in una pagina di ringraziamento, gli stessi dati partono soltanto quando premi il pulsante di prenotazione.
• Dati di interazione con il sito (solo con il tuo consenso alla categoria «analitici»): sequenza delle pagine visitate, uscite dalla pagina e invio del modulo, raccolti in forma di eventi aggregabili. Non effettuiamo alcuna registrazione della sessione di navigazione e non produciamo mappe di calore: sul sito non è installato alcuno strumento di session replay.
• Identificativi di terze parti (solo con il tuo consenso alla categoria corrispondente): cookie e identificativi pubblicitari e statistici di Google, Meta e PostHog, descritti in dettaglio nella Cookie Policy.

Il modulo non è destinato alla raccolta di categorie particolari di dati (art. 9 GDPR), inclusi dati relativi alla salute, né tuoi né di terzi. Ti invitiamo a non inserire nei campi liberi informazioni su pazienti o su qualunque altra persona.

4. Finalità del trattamento e base giuridica

• Riscontro alle richieste di demo o di contatto e gestione della fase precontrattuale, anche tramite telefono, WhatsApp o email ai recapiti che ci fornisci — base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell'interessato (art. 6, par. 1, lett. b, GDPR). Il conferimento dei dati del modulo o della prenotazione è necessario a questa finalità: senza, non possiamo dare seguito alla richiesta.
• Prenotazione della demo tramite il calendario Cal.com, sulle pagine di ringraziamento che si aprono dopo l'invio del modulo. Quelle pagine servono a farti fissare l'appuntamento che hai appena richiesto: il calendario non è uno strumento di misurazione né di marketing, è il servizio stesso, e senza di esso la pagina non potrebbe erogartelo. Su una di queste pagine il calendario si apre precompilato con i dati che hai appena lasciato nel modulo, per non fartelo riscrivere: è parte dello stesso servizio. Per questo la lettura e la memorizzazione di informazioni sul tuo dispositivo sono strettamente necessarie a fornire il servizio che ci hai chiesto e non richiedono il tuo consenso (art. 122, comma 1, secondo periodo, del Codice Privacy). Il trattamento che ne consegue si fonda sull'esecuzione di misure precontrattuali adottate su tua richiesta (art. 6, par. 1, lett. b, GDPR). A differenza della verifica anti-bot, il calendario si carica all'apertura della pagina: il contatto con Cal.com avviene subito, non soltanto se interagisci. Dove invece il calendario è inserito dentro una pagina del sito, si carica solo quando premi il pulsante di prenotazione.
• Attribuzione della prenotazione alla campagna: la pagina e i parametri di campagna registrati con il modulo o con la prenotazione ci dicono quale nostra campagna l'ha portata — base giuridica: legittimo interesse del titolare a valutare l'efficacia delle proprie campagne (art. 6, par. 1, lett. f, GDPR). Puoi opporti in qualsiasi momento scrivendo a privacy@ultrasammy.ai.
• Invio di comunicazioni informative e promozionali su Sammy, via email e via WhatsApp — base giuridica: consenso dell'interessato (art. 6, par. 1, lett. a, GDPR; art. 130 del Codice Privacy), prestato tramite l'apposita casella del modulo e revocabile in ogni momento senza pregiudizio per la liceità del trattamento anteriore alla revoca.
• Misurazione statistica dell'utilizzo del sito e analisi dell'esperienza di navigazione tramite Google Analytics 4 e PostHog — base giuridica: consenso (art. 6, par. 1, lett. a, GDPR e art. 122 del Codice Privacy), prestato tramite il banner cookie per la categoria «analitici». In assenza di consenso, nessuno di questi strumenti viene caricato.
• Misurazione dell'efficacia delle campagne pubblicitarie e profilazione a fini pubblicitari, compresa la creazione di pubblici personalizzati e simili sulle piattaforme di Meta e di Google — base giuridica: consenso (art. 6, par. 1, lett. a, GDPR e art. 122 del Codice Privacy), prestato tramite il banner cookie per la categoria «marketing».
• Trasmissione a Meta di eventi di conversione tramite Conversions API: se hai prestato il consenso alla categoria «marketing» e invii il modulo, trasmettiamo a Meta, tramite canale diretto server-to-server, un evento contenente il tuo indirizzo email, il numero di telefono, il nome e il cognome in forma di impronta crittografica (hash SHA-256, quindi non leggibili in chiaro da noi né da Meta come testo originario, ma pur sempre dati personali pseudonimizzati), oltre agli identificativi _fbp e _fbc, all'indirizzo IP e allo user-agent. Serve a riconoscere che il contatto proviene da una nostra campagna. In assenza di consenso alla categoria «marketing» non trasmettiamo nulla. Base giuridica: consenso (art. 6, par. 1, lett. a, GDPR).
• Adempimento di obblighi di legge e accertamento, esercizio o difesa di un diritto in sede giudiziaria — basi giuridiche: obbligo legale (art. 6, par. 1, lett. c) e legittimo interesse (art. 6, par. 1, lett. f), consistente nella tutela delle proprie ragioni.
• Conservazione della prova del consenso prestato tramite il banner cookie e tramite il modulo — base giuridica: obbligo legale di rendicontazione (artt. 5, par. 2, 7, par. 1, e 6, par. 1, lett. c, GDPR).

5. Periodo di conservazione

• Dati del modulo o della prenotazione per la gestione della richiesta, compresi la pagina e i parametri di campagna: 24 mesi dall'ultimo contatto utile, salvo che nel frattempo si instauri un rapporto contrattuale, nel qual caso si applicano i termini del contratto.
• Dati trattati per finalità di marketing: fino alla revoca del consenso e in ogni caso non oltre 24 mesi dall'ultima interazione (apertura, click, risposta) dell'interessato.
• Prova del consenso (registrazioni di consenso e relativi metadati): per tutta la durata del trattamento e per i 5 anni successivi, in coerenza con il termine di prescrizione dell'art. 28 della L. 689/1981.
• Dati di misurazione statistica (Google Analytics 4): i dati relativi ai singoli eventi — le azioni compiute sul sito — sono conservati 2 mesidalla raccolta. I dati associati all'identificativo del visitatore sono conservati 14 mesi decorrenti dalla tua ultima visita: se torni sul sito prima della scadenza, il termine ricomincia a decorrere. In ogni caso la revoca del consenso interrompe immediatamente ogni ulteriore raccolta.
• Dati di misurazione statistica (PostHog): conservati 14 giorni dalla raccolta, secondo il periodo impostato sul progetto.
• Dati conservati per obblighi di legge o per la difesa di un diritto: per il periodo previsto dalla normativa applicabile e, per le scritture contabili ove pertinenti, 10 anni ai sensi dell'art. 2220 c.c.

Al termine dei periodi indicati i dati sono cancellati o resi definitivamente anonimi.

6. Destinatari, responsabili e contitolari

I dati possono essere trattati dal personale autorizzato del titolare, opportunamente istruito ai sensi dell'art. 29 GDPR, e comunicati ai soggetti di seguito indicati. Alcuni agiscono come responsabili del trattamento ai sensi dell'art. 28 GDPR, sulla base di un atto di nomina o di condizioni contrattuali di trattamento dei dati; altri agiscono come titolari autonomi o contitolari, cioè determinano essi stessi finalità e mezzi per una parte del trattamento: in questi casi il rapporto è disciplinato dai loro termini e la loro informativa si aggiunge alla presente.

Responsabili del trattamento (art. 28 GDPR)

• Vercel Inc. (340 S Lemon Ave #4133, Walnut, CA 91789, USA) — hosting e distribuzione del sito, log tecnici di sicurezza. Trasferimento USA: EU-US Data Privacy Framework (Dec. UE 2023/1795) e, in via cumulativa, clausole contrattuali tipo (Dec. UE 2021/914).
• ActiveCampaign, LLC (Chicago, IL, USA) — gestione del CRM, invio delle comunicazioni email. Trasferimento USA: clausole contrattuali tipo (Dec. UE 2021/914).
• Google Ireland Limited (Gordon House, Barrow Street, Dublino 4, Irlanda) e Google LLC (USA) — Google Tag Manager e Google Analytics 4, limitatamente alle funzioni di misurazione, che si attivano con il consenso alla categoria «analitici». Trasferimento USA: EU-US Data Privacy Framework (Dec. UE 2023/1795) e clausole contrattuali tipo.
• PostHog Inc. (San Francisco, CA, USA) — misurazione statistica dell'utilizzo del sito. I dati sono raccolti sull'infrastruttura europea del fornitore (regione UE). Per le garanzie applicate all'eventuale accesso dagli Stati Uniti si rinvia al punto 7.

Titolari autonomi o contitolari

• Meta Platforms Ireland Limited (Merrion Road, Dublino 4, Irlanda) — Meta Pixel e Conversions API. Per le operazioni di raccolta e trasmissione dei dati e per la successiva profilazione pubblicitaria, Meta agisce quale contitolare del trattamento ai sensi dell'art. 26 GDPR (in linea con CGUE, C-40/17, 29/07/2019). Meta ospita inoltre il modulo di richiesta demo che compare nelle nostre inserzioni: i dati che inserisci nascono sulla sua infrastruttura e restano nella sua libreria dei moduli finché non li scarichiamo. Per i propri trattamenti Meta agisce secondo le proprie condizioni. Trasferimento USA: EU-US Data Privacy Framework (Dec. UE 2023/1795) e clausole contrattuali tipo. Informativa: facebook.com/privacy/policy.
• Google Ireland Limited / Google LLC, limitatamente alle funzioni pubblicitarie e di creazione di pubblici (remarketing), per le quali Google determina finalità proprie.

Altri destinatari

• Cal.com, Inc. (2261 Market Street #4382, San Francisco, CA 94114, USA) — calendario di prenotazione della demo, presente sulle pagine di ringraziamento che si aprono dopo l'invio del modulo e, dietro il pulsante di prenotazione, dentro una pagina del sito. Riceve i dati indicati al punto 3 quando il calendario si carica— su una delle pagine di ringraziamento, insieme al nome e cognome, all'email e al numero di telefono con cui il calendario si apre precompilato — e, se porti a termine la prenotazione, gli altri dati che inserisci nel calendario. Informativa: cal.com/privacy.

I dati possono inoltre essere comunicati a consulenti, professionisti e autorità nei casi previsti dalla legge. Non è prevista alcuna diffusione né vendita dei dati a terzi.

7. Trasferimento dei dati fuori dall'Unione Europea

Alcuni dei soggetti indicati al punto 6 hanno sede o infrastrutture negli Stati Uniti. Per i soggetti elencati di seguito il trasferimento avviene sulla base delle garanzie previste dagli artt. 44 e seguenti del GDPR:

Puoi richiedere copia delle garanzie applicate scrivendo a privacy@ultrasammy.ai.

8. Natura del conferimento dei dati

Il conferimento dei dati richiesti nel modulo di contatto — nome e cognome, telefono/WhatsApp ed email, e, dove il modulo li chiede, nome dell'attività e professione — o nel calendario di prenotazione è necessario per dare seguito alla richiesta: sono i dati che ci servono per ricontattarti e per preparare una dimostrazione pertinente alla tua attività. Il mancato conferimento comporta l'impossibilità di evadere la richiesta.

È invece facoltativa la prestazione del consenso alle comunicazioni informative e promozionali: il rifiuto non ha alcuna conseguenza sulla richiesta di demo, che verrà comunque evasa. Sono parimenti facoltativi tutti i consensi prestati tramite il banner cookie.

9. Diritti dell'interessato

In qualità di interessato puoi esercitare in ogni momento i diritti previsti dagli artt. 15–22 GDPR:

• accesso ai tuoi dati personali (art. 15);
• rettifica dei dati inesatti o incompleti (art. 16);
• cancellazione dei dati («diritto all'oblio», art. 17);
• limitazione del trattamento (art. 18);
• portabilità dei dati (art. 20);
• opposizione al trattamento (art. 21), incluso il marketing diretto;
• revoca del consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca (art. 7, par. 3).

Per esercitare i tuoi diritti scrivi a privacy@ultrasammy.ai. Puoi inoltre annullare l'iscrizione alle comunicazioni marketing tramite il link presente in ogni email o rispondendo «STOP» ai messaggi.

Puoi revocare in qualsiasi momento i consensi prestati tramite il banner cookie utilizzando il link «Preferenze cookie» presente nel piè di pagina di ogni pagina del sito.

10. Diritto di reclamo

Se ritieni che il trattamento dei tuoi dati violi la normativa, hai diritto di proporre reclamo all'autorità di controllo: Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — garante@gpdp.it — www.garanteprivacy.it.

11. Profilazione e processo decisionale automatizzato

Con il tuo consenso alla categoria «marketing», i tuoi dati di navigazione sono utilizzati per finalità di profilazione pubblicitaria: gli identificativi raccolti da Meta e da Google consentono di ricondurti a pubblici di destinazione delle campagne e di misurare le conversioni. Puoi opporti in qualsiasi momento a questo trattamento revocando il consenso dal pannello «Preferenze cookie», ai sensi degli artt. 7, par. 3, e 21, par. 2, del GDPR.

Il titolare non adotta processi decisionali interamente automatizzati che producano effetti giuridici nei tuoi confronti o che incidano in modo analogamente significativo sulla tua persona, ai sensi dell'art. 22 del GDPR.

12. Modifiche all'informativa

Il titolare si riserva di aggiornare la presente informativa. Le modifiche saranno pubblicate su questa pagina con indicazione della data di ultimo aggiornamento.

Documenti collegati

• Cookie Policy
• Termini e condizioni