Informativa privacy

Come trattiamo i dati personali di chi usa SCDD, di chi riceve un invito e di chi visita il sito.

1. Chi è il titolare

Il titolare del trattamento dei dati descritti in questa informativa è CIRCULARWARE S.R.L., con sede in Via dell'Ospedale 16, 12062 Cherasco (CN), Italia, P. IVA 04067220048.

Per qualsiasi richiesta sui tuoi dati personali scrivi a info@circularware.it o alla PEC circularwaresrl@pro-pec.it.

Non abbiamo nominato un responsabile della protezione dei dati (DPO). [[DA VERIFICARE: art. 37 GDPR, punto 16]]

2. A chi si rivolge

Questa informativa riguarda:

chi visita il sito pubblico e chi fa il test gratuito;
chi si registra, accetta un invito o lavora su SCDD per un'azienda o per uno studio di consulenza;
chi riceve un invito per email;
chi inserisce i dati di fatturazione e paga un piano.

Non riguarda i dati personali che le aziende caricano su SCDD per la propria attività, come i documenti con i dati dei loro lavoratori: per quelli il titolare è l'azienda, che deve informare le persone, e noi li trattiamo per suo conto (sezione 4).

3. Quali dati trattiamo

Trattiamo questi dati:

dati dell'account: nome, cognome, indirizzo email, lingua scelta, data e versione dei termini accettati, data dell'approvazione specifica delle clausole, data del primo accesso, i riquadri di aiuto che hai chiuso, le aziende di cui fai parte con il tuo ruolo e, per la sicurezza, i tentativi di accesso falliti. Della password conserviamo solo un'impronta che non si può riconvertire nella password;
dati dell'azienda: ragione sociale, paese, partita IVA o identificativo fiscale, numero di addetti, siti produttivi con il loro indirizzo e risposte alle domande sull'azienda. Se l'azienda è una ditta individuale, sono anche dati tuoi;
la campagna da cui ti sei registrato: se il collegamento che hai usato conteneva i parametri di una campagna (utm_source, utm_medium, utm_campaign), li salviamo con i dati dell'azienda al momento della registrazione. Non salviamo altro sul percorso che hai fatto nel sito;
quello che fai nell'area dell'azienda: chi ha caricato un documento, inviato un'autovalutazione, risposto a una domanda, creato una domanda o una checklist, archiviato una checklist o l'ha chiesta a un fornitore, concesso una condivisione o una delega, scritto una giustificazione o chiuso un'azione, e quando; le azioni del piano di miglioramento di cui sei responsabile;
il contenuto del fascicolo e della capacità produttiva, quando contiene dati tuoi;
inviti, deleghe e condivisioni: l'indirizzo email di chi è invitato e chi lo ha invitato, le aziende collegate come clienti, fornitori o studi di consulenza, e il registro degli accessi ai fascicoli condivisi, che dice quale persona di un cliente, con nome e cognome, ha aperto un fascicolo o il risultato di una checklist, o ha scaricato un file o un report, e quando;
dati di fatturazione e di pagamento: ragione sociale, partita IVA, codice fiscale, codice destinatario o PEC, indirizzo della sede, l'email di chi paga, il piano scelto, lo stato dell'abbonamento e, per ogni pagamento, imponibile, IVA, totale e una copia dei dati di fatturazione di quel momento. I dati della carta non passano da noi: li gestisce Stripe;
le visite al sito pubblico, solo come conteggi aggregati per giorno: la pagina vista, la lingua, il dominio del sito da cui arrivi (non l'indirizzo completo) e, se il collegamento li contiene, i parametri della campagna (utm_source, utm_medium, utm_campaign). Non salviamo indirizzo IP né altri identificativi e non usiamo cookie: non possiamo riconoscerti da una visita all'altra. Del test gratuito contiamo solo che è stato completato;
l'indirizzo IP, per limitare i tentativi ripetuti sui moduli di accesso, registrazione e test gratuito: lo usiamo in memoria per un minuto, senza salvarlo. Può comparire nei registri tecnici del server [[DA COMPLETARE con la configurazione del server Aruba: quali registri e per quanto]];
le email che ci scrivi, per esempio per chiedere assistenza.

Le risposte al test gratuito del sito non vengono salvate.

4. I dati che le aziende caricano per la propria attività

Le aziende caricano su SCDD dati di altre persone: soprattutto i documenti chiesti dal framework con i dati dei loro lavoratori (buste paga, documenti d'identità e permessi di lavoro, visite mediche, contratti, presenze, provvedimenti disciplinari, registri dei reclami), ma anche nomi di persone in altri documenti, nelle note, nelle commesse e nelle risposte alle checklist.

Per questi dati il titolare è l'azienda che li carica. Noi siamo responsabili del trattamento: li trattiamo solo per suo conto e secondo le sue istruzioni, per conservarli e mostrarli a chi l'azienda autorizza, come prevede l'Accordo sul trattamento dei dati. Per esercitare i tuoi diritti su questi dati rivolgiti all'azienda; se scrivi a noi, le giriamo la richiesta.

I file dei tipi di documento con dati personali dei lavoratori non vengono mai mostrati ai clienti dell'azienda, che ne vedono solo l'esistenza, lo stato e le date. Li vedono le persone dell'azienda e quelle degli studi di consulenza a cui l'azienda ha dato una delega.

Caricarli non è obbligatorio: per questi documenti l'azienda può dichiarare di averli e mostrarli solo in audit, ed è la scelta che SCDD propone.

5. Perché li trattiamo e su quale base

Trattiamo i dati per queste finalità:

creare e gestire l'account e fornire il servizio, comprese le email di servizio come la conferma dell'indirizzo e la nuova password: per eseguire il contratto con te, se il cliente sei tu (per esempio una ditta individuale), oppure per il legittimo interesse nostro e dell'azienda per cui lavori a eseguire il contratto con lei;
mandare un invito che un'azienda ti ha rivolto e riconoscerti se lo accetti: legittimo interesse dell'azienda che invita e nostro a far funzionare gli inviti. Il tuo indirizzo serve solo a questo;
mostrare a un'azienda chi dei suoi clienti ha aperto il suo fascicolo condiviso o il risultato di una checklist: legittimo interesse dell'azienda a sapere chi vede i suoi dati e nostro a rendere sicure le condivisioni;
gestire pagamenti e fatture e rispettare gli obblighi fiscali e contabili: esecuzione del contratto e obbligo di legge;
proteggere il servizio da abusi e accessi non autorizzati e risolvere problemi tecnici: legittimo interesse;
capire quante persone visitano il sito pubblico e da dove arrivano, con conteggi aggregati che non identificano nessuno, e quali campagne portano nuove registrazioni, salvando la campagna del collegamento da cui ti sei registrato: legittimo interesse;
difendere un diritto in sede giudiziaria, se serve: legittimo interesse.

Non vendiamo i dati, non li usiamo per fare pubblicità e non ti mandiamo email promozionali.

I dati segnati come obbligatori nei moduli servono per registrarsi e per pagare: senza, non possiamo fornirti il servizio.

6. Da dove vengono i dati

La maggior parte dei dati li inserisci tu. Alcuni arrivano da altri:

il tuo indirizzo email, se sei invitato, lo inserisce chi ti invita, con il nome della sua azienda;
i dati di un'azienda creata da uno studio di consulenza li inserisce lo studio;
il registro degli accessi lo scrive SCDD quando una persona di un cliente apre un fascicolo o il risultato di una checklist, o scarica un file o un report;
Stripe ci comunica lo stato dei pagamenti, degli abbonamenti e delle fatture.

7. Con chi li condividiamo

Condividiamo i dati solo così:

con le persone della tua azienda: i colleghi vedono il tuo nome, il tuo ruolo e quello che hai fatto nell'area dell'azienda;
con altre aziende, se lo decide l'azienda per cui lavori: un cliente a cui è condiviso il fascicolo vede i dati che le spettano; uno studio di consulenza con una delega vede ciò che vede un collega con il ruolo scelto; il carico delle linee produttive lo vedono solo i clienti a cui l'azienda sceglie di mostrarlo, in percentuale per settimana e con il motivo dei sovraccarichi giustificati, senza commesse, nomi di clienti o note. L'azienda che condivide il fascicolo vede nome e cognome delle persone del cliente che lo aprono;
con i fornitori che ci aiutano a far funzionare il servizio, come responsabili del trattamento: Aruba S.p.A. per i server su cui gira SCDD, Microsoft (Azure) per l'archivio dei file caricati, Twilio SendGrid per l'invio delle email e Stripe per i pagamenti. A Stripe passano ragione sociale, indirizzo della sede, partita IVA e l'email di chi paga, oltre ai dati che inserisci sulle sue pagine. Per alcuni trattamenti, come la prevenzione delle frodi e gli obblighi antiriciclaggio, Stripe è titolare autonomo: le regole sono nella sua informativa;
con il commercialista che emette le fatture elettroniche, che ogni mese riceve l'elenco dei pagamenti con i dati di fatturazione [[DA DECIDERE: come responsabile del trattamento o come titolare autonomo, punto 14]];
con le persone di CircularWare che gestiscono il servizio, autorizzate e tenute alla riservatezza: chi amministra la piattaforma vede pagamenti, dati di fatturazione e statistiche aggregate, non i fascicoli delle aziende;
con le autorità, quando lo richiede la legge.

8. Trasferimenti fuori dallo Spazio economico europeo

Twilio SendGrid fa parte di Twilio Inc., negli Stati Uniti: le email di servizio (indirizzo, oggetto e testo) passano dai suoi server negli Stati Uniti. Il trasferimento si basa sulla decisione di adeguatezza della Commissione europea sul Data Privacy Framework UE-USA e sulle clausole contrattuali tipo dell'accordo con Twilio. [[DA VERIFICARE: adesione di Twilio al Data Privacy Framework e clausole nel suo DPA]]

Stripe ci fornisce il servizio tramite Stripe Payments Europe, Limited, in Irlanda; alcuni dati possono essere trattati da Stripe, Inc. negli Stati Uniti, con le stesse garanzie. [[DA VERIFICARE nel DPA di Stripe]]

I dati di SCDD sono conservati su server di Aruba S.p.A., in un data center a [[DA CONFERMARE: sede del data center; se fosse fuori dallo SEE, servirebbero le garanzie del capo V]]; i file caricati nel fascicolo su Microsoft Azure, in un data center della regione [[DA CONFERMARE: regione di Azure, nello SEE; verificare nel DPA di Microsoft le garanzie per eventuali accessi dagli Stati Uniti]].

SCDD è disponibile anche ad aziende di Albania, Tunisia e Turchia: se la tua azienda lavora con loro, quello che decide di mostrare, compresi i nomi nel registro degli accessi, arriva in quei paesi.

9. Per quanto tempo li conserviamo

Conserviamo i dati per questi tempi [[DA DECIDERE: proposte, punto 13]]:

dati dell'account: finché l'account esiste; dopo la chiusura li cancelliamo entro 30 giorni. Conserviamo per 10 anni solo l'indirizzo email con la data e la versione dei termini accettati, come prova del contratto;
dati dell'azienda e contenuto del fascicolo: per la durata del contratto, poi come dice la sezione 19 dei termini (30 giorni per chiederne una copia, cancellazione nei 30 giorni successivi);
inviti non accettati: 90 giorni dalla scadenza o dalla revoca;
registro degli accessi ai fascicoli e alle checklist condivisi: 24 mesi dall'accesso;
campagna di registrazione: finché esiste l'azienda;
dati di fatturazione e pagamenti: 10 anni dall'ultimo pagamento, come richiedono le norme fiscali e civilistiche;
email di assistenza: 24 mesi dall'ultimo messaggio;
registri tecnici del server: [[DA COMPLETARE con la configurazione del server Aruba, proposta 90 giorni]];
copie di sicurezza: [[DA COMPLETARE: dove si fanno (con Aruba o altrove), proposta 30 giorni a rotazione]].

I conteggi delle visite non sono dati personali e li conserviamo per le statistiche.

Se chiedi la cancellazione, cancelliamo i dati che non dobbiamo conservare per obbligo di legge.

10. Punteggi e decisioni automatizzate

SCDD calcola in automatico punteggi, fasce e prontezza all'audit di un'azienda dalle risposte e dai documenti che l'azienda inserisce, e li mostra ai clienti con cui condivide il fascicolo; per la checklist di un cliente, con le regole scelte da quel cliente. Riguardano l'azienda e non le persone. Noi non prendiamo decisioni su di te: le decisioni le prendono l'azienda e i suoi clienti, sotto la loro responsabilità. Come si calcolano lo spiega la guida.

11. I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità, e puoi opporti in ogni momento al trattamento basato sul legittimo interesse. Scrivi a info@circularware.it: rispondiamo entro un mese.

Per i dati che un'azienda ha caricato per la propria attività, i diritti si esercitano verso l'azienda (sezione 4).

Se pensi che i tuoi diritti non siano rispettati puoi presentare reclamo al Garante per la protezione dei dati personali o all'autorità di controllo del paese in cui vivi o lavori.

12. Come proteggiamo i dati

Il sito usa solo connessioni cifrate (HTTPS) e delle password conserviamo solo un'impronta. Si entra solo con l'indirizzo email confermato, e dopo 5 tentativi sbagliati l'accesso si blocca per 15 minuti.

I dati di ogni azienda sono separati da quelli delle altre, i file caricati non sono pubblici e si scaricano solo dalle persone autorizzate, e gli accessi dei clienti ai fascicoli e alle checklist condivisi sono registrati.

Le email di SCDD non registrano se le apri o su che cosa clicchi.

13. Cookie, statistiche e modifiche

SCDD usa solo cookie tecnici: i dettagli sono nella pagina Cookie. Le statistiche delle visite non ne usano e non salvano nulla sul tuo dispositivo; anche la campagna del collegamento da cui arrivi resta solo nell'indirizzo delle pagine, fino alla registrazione.

Se cambiamo questa informativa in modo sostanziale, te lo diciamo per email prima che valga. La versione in vigore è indicata in fondo alla pagina; quella che accetti registrandoti è salvata con il tuo account.

Versione 2026-10-16.