Consentl per siti web — Informativa sulla privacy

Versione 1.0 · In vigore dal 2026-10-23

Questa è una traduzione. Per i clienti professionisti prevale la versione in lingua inglese. Per i consumatori con residenza abituale in un Paese in cui l'italiano è lingua ufficiale, la presente versione fa fede quanto la versione in lingua inglese; se le due versioni divergono, si applica il significato più favorevole al consumatore. Per gli altri consumatori prevale la versione in lingua inglese, salvo che le norme imperative a tutela dei consumatori del loro Paese dispongano diversamente.

La presente informativa spiega come vengono trattati i dati personali in relazione a Consentl per siti web: il pannello di controllo Consentl all'indirizzo app.consentl.com, il servizio Consentl all'indirizzo api.consentl.com che mostra il banner di consenso e riceve registrazioni del consenso, richieste sui dati personali e recessi sui siti web dei nostri clienti, i plugin e i template che pubblichiamo per le piattaforme di siti web (snippet per siti web, Google Tag Manager, WordPress e WooCommerce, Shopware, PrestaShop, Magento) e i pacchetti di documenti legali venduti dal generatore di documenti legali su consentl.com. Si applica ai nostri clienti e ai membri dei loro team, alle persone che acquistano un pacchetto di documenti legali, alle persone che ci contattano e, nella misura in cui trattiamo i loro dati per conto di un cliente, ai visitatori dei siti web che utilizzano Consentl.

Non riguarda l'app Consentl per Shopify, che ha una propria informativa sulla privacy, né le visite allo stesso sito consentl.com, descritte nella nostra informativa sulla privacy del sito web.

1. Chi siamo

Fornitore e titolare del trattamento: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Romania; n. di iscrizione al Registro del commercio J2020001305120; codice fiscale (CUI) 42512332; non registrata ai fini IVA (codice IVA intracomunitario RO46686340).
Contatto per la privacy: [email protected].
Responsabile della protezione dei dati: non designato. La protezione dei dati è gestita direttamente da STL EMBEDED CREATIONS SRL; per tutte le questioni relative alla privacy, scriva all'indirizzo indicato sopra.
Siamo stabiliti nell'UE, quindi non abbiamo un rappresentante ai sensi dell'art. 27 del GDPR. La nostra autorità di controllo competente è l'autorità rumena ANSPDCP (sezione 9).

2. I nostri ruoli

Titolare del trattamento. Decidiamo come vengono trattati i dati relativi ai nostri clienti (le persone e le imprese che aprono un account Consentl), ai membri dei loro team, agli acquirenti di un pacchetto di documenti legali e alle persone che ci contattano: account e accesso, sicurezza, fatturazione, acquisto di pacchetti di documenti legali, e-mail di servizio e assistenza (sezione 3).
Responsabile del trattamento. Quando il servizio Consentl registra il consenso, riceve richieste sui dati personali o richieste di recesso, invia e-mail ai visitatori di un sito web o scansiona un sito web alla ricerca di cookie, agiamo per conto del proprietario del sito web (nostro cliente), che è il titolare del trattamento (sezione 4). Tale trattamento è disciplinato dal nostro Accordo sul trattamento dei dati (Appendice 2). Se lei è un visitatore di un sito web che utilizza Consentl, per esercitare i suoi diritti contatti tale sito web; noi aiutiamo il proprietario del sito web a rispondere. Ai sensi del California Consumer Privacy Act siamo il fornitore di servizi («service provider») del proprietario del sito web e, ai sensi di altre leggi statali USA, il suo responsabile del trattamento («processor»).
Su consentl.com utilizziamo noi stessi Consentl; per le registrazioni del consenso del nostro sito web siamo titolari del trattamento (informativa sulla privacy del sito web).

3. Dati che trattiamo in qualità di titolare del trattamento

Finalità	Dati	Fonte	Base giuridica	Conservazione
Account, accesso e team	Indirizzo e-mail, nome, password (conservata solo come hash scrypt), lingua del pannello di controllo, data di verifica dell'e-mail; nome dell'account (per un'impresa: la denominazione dell'impresa); se lei agisce come professionista o come consumatore; ruolo nell'account (proprietario, amministratore, membro); l'indirizzo per le comunicazioni in materia di protezione dei dati da lei impostato e la data della sua conferma; se l'account e ciascun sito hanno usufruito di una prova gratuita; un'eventuale richiesta di eliminazione dell'account e la relativa data	Lei, al momento della registrazione e nel pannello di controllo	Contratto, art. 6, par. 1, lett. b), del GDPR	Fino all'eliminazione dell'account (sezione 8). Se l'indirizzo e-mail di una registrazione non viene mai confermato, l'utente, un account che appartiene solo a tale utente (se non ha siti né abbonamenti) e le relative registrazioni delle accettazioni vengono cancellati automaticamente 30 giorni dopo la registrazione. Gli account confermati ma non più utilizzati non vengono cancellati automaticamente (i loro banner potrebbero essere ancora in funzione).
Sessioni e sicurezza	Sessione (un hash del token di sessione, user agent del browser, indirizzo IP abbreviato alla sua parte di rete, orari di creazione, di ultimo utilizzo e di ultima conferma della password, scadenza); token monouso per la verifica dell'e-mail e la reimpostazione della password (conservati solo come hash); un cookie del dispositivo firmato che consente a un browser che ha già effettuato l'accesso di mantenere il proprio limite di accesso; limiti di frequenza degli accessi per indirizzo IP (solo in memoria)	Il suo browser	Contratto, art. 6, par. 1, lett. b); nostro legittimo interesse alla protezione degli account dagli attacchi, art. 6, par. 1, lett. f)	Sessioni: 30 giorni, o 7 giorni senza utilizzo, poi cancellate; token: 3 giorni (verifica) o 1 ora (reimpostazione), cancellati un giorno dopo la scadenza; voci dei limiti di frequenza: solo in memoria, non scritte nella banca dati
Configurazione del sito	Nome del sito, nomi host, piattaforma, impostazioni del banner e delle regioni, lingue, fuso orario, indirizzo e-mail di contatto del sito e data della sua conferma; le risposte e le versioni pubblicate dei documenti che lei crea con il generatore di documenti legali (piano Business), che possono includere nomi e dati di contatto da lei inseriti; con il piano Enterprise, le credenziali di autenticazione HTTP di base per la scansione di un sito protetto (cifrate con AES-256-GCM)	Lei	Contratto, art. 6, par. 1, lett. b)	Fino a quando lei elimina il documento, il sito o l'account
Fatturazione	ID cliente e ID abbonamento Stripe, piano, stato, intervallo di fatturazione, inizio dell'abbonamento, fine del periodo in corso, disdetta alla fine del periodo, se lei agisce come professionista o come consumatore; presso Stripe: nome, indirizzo e-mail, dati del metodo di pagamento, indirizzo di fatturazione e, se lo fornisce, il suo codice fiscale o numero di partita IVA	Lei, tramite Stripe Checkout e il portale clienti di Stripe	Contratto, art. 6, par. 1, lett. b); nostri obblighi legali in materia contabile e fiscale, art. 6, par. 1, lett. c)	Finché lei ha un abbonamento; fatture e scritture contabili per il periodo richiesto dalla normativa contabile rumena, fino a 10 anni (art. 25 della Legge n. 82/1991). Da confermare: il nostro consulente contabile sta confermando il periodo esatto.
Acquisto di un pacchetto di documenti legali	Ordine: le risposte che lei fornisce nel questionario del generatore di documenti legali su consentl.com, che descrivono la sua attività e possono contenere dati personali suoi e delle persone che indica (ad esempio una persona di contatto, un responsabile della protezione dei dati o un rappresentante: nomi, indirizzi e-mail e postali, numeri di telefono); i tipi di documento del pacchetto; il token dell'ordine (conservato solo come hash), lo stato e gli orari; se lei acquista come professionista o come consumatore e la denominazione dell'impresa; le dichiarazioni che seleziona nella pagina di riepilogo dell'ordine (quale dichiarazione, la sua versione, un hash del testo esatto, la lingua e l'ora; nessun indirizzo IP); indirizzi IP conservati in memoria per limitare il numero di ordini per indirizzo. Pagamento: presso Stripe il suo indirizzo e-mail, il nome, l'indirizzo di fatturazione, i dati del metodo di pagamento e, se lo fornisce, il suo numero di partita IVA; presso di noi gli ID cliente, pagamento e fattura di Stripe, il link alla fattura o alla ricevuta, l'importo, la valuta e la data di pagamento. Pacchetto: i documenti generati (che contengono le sue risposte), la fine del periodo di aggiornamento di 12 mesi, il numero di rigenerazioni e la data di invio dell'e-mail di conferma. Il pacchetto viene aggiunto all'account associato all'indirizzo e-mail che lei inserisce su Stripe; se non ne esiste uno, lo creiamo (vedere «Account» sopra)	Lei, su consentl.com e nella nostra pagina di riepilogo dell'ordine; Stripe	Contratto, art. 6, par. 1, lett. b), del GDPR: l'ordine (misure precontrattuali), la fornitura del pacchetto, i suoi aggiornamenti e la sua rigenerazione e l'account in cui lei lo riceve; obbligo legale, art. 6, par. 1, lett. c): fatture e contabilità; nostro legittimo interesse, art. 6, par. 1, lett. f): provare le dichiarazioni accettate al momento dell'ordine e proteggere il modulo d'ordine dagli abusi	Gli ordini non pagati e le relative risposte vengono cancellati 1 ora dopo la scadenza dell'ordine: gli ordini scadono 24 ore dopo la loro creazione oppure, finché è in corso la conferma di un metodo di pagamento che viene confermato successivamente, 14 giorni dopo l'avvio del pagamento. Ordini pagati: la registrazione dell'ordine (senza le risposte, che passano al pacchetto) viene cancellata 7 giorni dopo il pagamento. Le risposte di un pacchetto sono conservate affinché lei possa rigenerare i documenti: durante il periodo di aggiornamento di 12 mesi e, successivamente, solo finché l'account dispone di un sito web con un piano che comprende il generatore di documenti legali (Business o Enterprise); poi vengono cancellate automaticamente (verifica ogni 6 ore). Il pacchetto e i relativi documenti sono conservati fino all'eliminazione dell'account (sezione 8); un account creato per un acquisto non viene cancellato dopo 30 giorni se non viene mai attivato (a differenza di una registrazione non confermata), perché contiene un contratto eseguito: ci contatti se desidera che venga cancellato. Registrazioni delle accettazioni come nella riga successiva. Fatture e registrazioni dei pagamenti come in «Fatturazione» sopra. Voci dei limiti di frequenza: solo in memoria, non scritte nella banca dati né nei log
Registrazioni delle accettazioni e recessi dei consumatori	Quale versione dei nostri Termini, della nostra informativa sulla privacy e del nostro Accordo sul trattamento dei dati e quale dichiarazione di accettazione espressa lei ha accettato, in quale lingua e quando (un hash del testo esatto mostrato; nessun indirizzo IP); la sua richiesta espressa che il servizio inizi durante il periodo di recesso; se lei è un consumatore e recede da un abbonamento a pagamento: l'abbonamento, il piano, la data del contratto, l'ora del recesso e il rimborso	Lei, al momento della registrazione, del pagamento e nella funzione di recesso	Contratto, art. 6, par. 1, lett. b); obbligo legale, art. 6, par. 1, lett. c); nostro legittimo interesse a provare il contratto, art. 6, par. 1, lett. f)	Per la durata del contratto e per 3 anni dopo l'eliminazione dell'account (termine generale di prescrizione, art. 2517 del Codice civile romeno), poi cancellate automaticamente. Quando l'account viene eliminato, queste registrazioni sono conservate con il riferimento dell'account e l'indirizzo e-mail della persona che ha accettato o è receduta, e con nient'altro dell'account. Le registrazioni di una registrazione il cui indirizzo e-mail non è mai stato confermato vengono cancellate insieme a essa dopo 30 giorni (vedere «Account» sopra)
E-mail di servizio	Il suo indirizzo e-mail, il nome del sito e il contenuto del messaggio: e-mail relative all'account (verifica, reimpostazione della password, avviso che qualcuno ha tentato di registrare il suo indirizzo), conferma di un indirizzo per le comunicazioni o di un indirizzo di contatto del sito, nuova richiesta sui dati personali, nuovo recesso, rapporto di scansione, conferma di un abbonamento a pagamento, avviso di ricevimento di un recesso da un abbonamento, conferma dell'acquisto di un pacchetto di documenti legali (con il link per il download, il link alla fattura e le condizioni di acquisto), eliminazione dell'account (programmata, annullata, eseguita), comunicazioni di modifiche dei nostri termini o dei sub-responsabili del trattamento	I dati dell'account e del sito di cui sopra	Contratto, art. 6, par. 1, lett. b)	Non conservate da noi dopo l'invio; Brevo conserva i log di consegna (sezione 6)
Assistenza	Nome, indirizzo e-mail e contenuto dei messaggi che ci invia	Lei	Contratto, art. 6, par. 1, lett. b), o nostro legittimo interesse a rispondere alle richieste, art. 6, par. 1, lett. f)	3 anni dalla chiusura della richiesta: esaminiamo le caselle di posta una volta all'anno e cancelliamo la corrispondenza chiusa da più di 3 anni, salvo che sia necessario un periodo più lungo per accertare o difendere un diritto in sede giudiziaria
Obblighi legali e diritti in sede giudiziaria	I dati necessari per la richiesta o per la pretesa	Le categorie di cui sopra	Obbligo legale, art. 6, par. 1, lett. c); nostro legittimo interesse ad accertare, esercitare o difendere un diritto in sede giudiziaria, art. 6, par. 1, lett. f)	Per il tempo richiesto dall'obbligo o dal termine di prescrizione (in genere 3 anni)
Funzionamento del servizio e sicurezza dell'API pubblica	Registro degli accessi del pannello di controllo e dell'API (metodo, percorso senza stringa di query, stato, durata; nessun indirizzo IP); metadati delle richieste trattati dal nostro fornitore di hosting, compresi gli indirizzi IP; indirizzi IP conservati in memoria per la limitazione della frequenza delle richieste	Richieste ai nostri server	Nostro legittimo interesse a un servizio sicuro e disponibile, art. 6, par. 1, lett. f)	Non conserviamo né esportiamo registri delle richieste. Il registro degli accessi viene scritto solo nell'output dell'applicazione in esecuzione; il nostro fornitore di hosting conserva tale output (log di runtime) solo mentre l'applicazione è in esecuzione e lo cancella quando distribuiamo una nuova versione. I log di build e di distribuzione, che non contengono dati dei visitatori o dei clienti, sono conservati da DigitalOcean per 90 giorni. I dati delle richieste nella rete edge (Cloudflare, incaricata da DigitalOcean) sono conservati dal fornitore in base ai propri termini. Da confermare: DigitalOcean sta confermando il periodo di conservazione della rete edge. Voci dei limiti di frequenza: solo in memoria, mai scritte nella banca dati né nei log; possono restare in memoria dopo la finestra del limite finché la tabella non viene ripulita o il server non viene riavviato
Amministrazione interna e statistiche	Indirizzi e-mail e nomi degli account e degli utenti, ruoli, ultima attività, siti con nomi host, piattaforma, piano e stato dell'abbonamento, conteggi aggregati (visualizzazioni del banner, decisioni, scansioni, richieste); per gli accessi degli stessi operatori: un registro di audit con l'account dell'operatore, la pagina visualizzata, un indirizzo IP abbreviato e lo user agent	I dati di cui sopra	Nostro legittimo interesse a gestire, assistere e pianificare il servizio, art. 6, par. 1, lett. f)	Mostrati in tempo reale a partire dai dati di cui sopra, non copiati; voci del registro di audit: cancellate automaticamente dopo 2 anni
Verifica dello stato del plugin	Chiave del sito, nome host del sito, lingua	Il plugin sul suo sito web	Contratto, art. 6, par. 1, lett. b)	Non conservati
Aggiornamenti del plugin (plugin per WordPress da consentl.com)	L'indirizzo IP del suo server e la versione del plugin (nello user agent) quando il suo WordPress chiede a consentl.com una nuova versione, circa due volte al giorno; nessuna chiave del sito, indirizzo del sito o dato dei visitatori	Il suo server web	Nostro legittimo interesse a fornire aggiornamenti che lei può installare, art. 6, par. 1, lett. f)	Solo nei dati delle richieste del fornitore di hosting del nostro sito web (vedere l'informativa sulla privacy del sito web)

Legittimo interesse. Quando ci basiamo sull'art. 6, par. 1, lett. f), i nostri interessi consistono nel mantenere sicuri e disponibili gli account e il servizio, nel prevenire l'abuso dei moduli e degli endpoint pubblici, nel rispondere alle richieste e nel provare il contratto. Lei può opporsi in qualsiasi momento (sezione 9).

Il conferimento dei dati è obbligatorio? Un indirizzo e-mail e una password sono necessari per aprire un account, e i dati di fatturazione per acquistare un piano a pagamento. Per acquistare un pacchetto di documenti legali sono necessari le risposte richieste dai relativi documenti, un indirizzo e-mail e i dati di pagamento. Senza di essi non possiamo fornire il servizio. Il contatto con l'assistenza è facoltativo.

Cookie del pannello di controllo. Il pannello di controllo utilizza solo cookie strettamente necessari: __Host-consentl_s (sessione di accesso, 30 giorni), __Host-consentl_csrf (protezione contro la falsificazione delle richieste tra siti, 1 anno), __Host-consentl_d (cookie del dispositivo per il limite di accesso, 1 anno) e __Host-consentl_lang (la lingua da lei scelta nel selettore della lingua delle pagine di accesso, registrazione o pagamento, fino alla chiusura del browser; impostato solo quando sceglie una lingua). Non utilizza strumenti di statistica o di pubblicità. Stripe Checkout e il portale clienti sono pagine di Stripe, che vi imposta i propri cookie in base alla propria informativa.

Non utilizziamo i dati del suo account per finalità pubblicitarie, non li vendiamo e non li mettiamo a disposizione di terzi per finalità proprie di questi ultimi.

4. Dati che trattiamo per conto dei proprietari di siti web

Il proprietario del sito web decide se e come utilizzare queste funzioni ed è responsabile dell'informazione dei suoi visitatori (ad esempio nella propria informativa sulla privacy e sui cookie). La base giuridica è quella del proprietario del sito web; trattiamo i dati solo su sue istruzioni documentate. Tutti i dettagli si trovano nell'Allegato I-B dell'Accordo sul trattamento dei dati.

Categoria	Dati	Conservazione
Registrazioni del consenso (prova del consenso)	ID del consenso pseudonimizzato (un valore casuale memorizzato anche nel cookie `consentl` del visitatore, in modo che una registrazione possa essere collegata a quel browser), data e ora, azione (accetta tutti, rifiuta tutti, personalizzato, chiusura, segnale di opposizione, implicito), scelte per categoria, codice della regione, paese (solo quando lo fornisce un fornitore di rete posto davanti ai nostri server; non è il caso con il nostro hosting attuale), lingua, revisione della configurazione del banner, nome host del sito web, percorso della pagina (senza stringa di query), indirizzo IP abbreviato alla sua parte di rete (IPv4 /24, IPv6 /48), user agent del browser, segnale Global Privacy Control	Cancellate automaticamente quando superano il periodo di conservazione del sito: il periodo del piano (Free e Pro 425 giorni, Business 730 giorni, Enterprise 1.825 giorni), ma mai meno della durata del consenso impostata dal proprietario del sito web più 30 giorni. Dopo il passaggio a un piano con un periodo più breve, il periodo precedente si applica per altri 30 giorni. Tutte le registrazioni vengono cancellate quando il sito viene eliminato
Rilevamento della regione	Per applicare le regole della regione del visitatore, lo script chiede al nostro servizio il paese del visitatore. Il servizio cerca l'indirizzo IP in una copia locale della banca dati dei paesi DB-IP Lite, in memoria; nulla viene inviato a un altro fornitore. La risposta è il codice del paese (gli Stati USA non vengono distinti tra loro)	Non conservato e non registrato nei log; la regione applicata dal banner fa parte della registrazione del consenso di cui sopra ed è conservata nel browser del visitatore per la durata della sessione (`consentl_r`, sezione 5)
Visualizzazioni del banner e statistiche	Contatori per sito e per giorno (visualizzazioni e decisioni, variante A/B). Nulla viene inviato prima che il visitatore decida; una visualizzazione viene conteggiata insieme alla prima decisione del visitatore dopo la visualizzazione del banner, senza alcun identificativo	2 anni, poi cancellati automaticamente; tutti i contatori vengono cancellati quando il sito viene eliminato
Richieste sui dati personali (accesso, copia, rettifica, cancellazione, opposizione alla vendita/condivisione)	Tipo di richiesta, indirizzo e-mail, nome e messaggio facoltativi, lingua, regione e legge applicabile, stato, termine, hash del token di verifica dell'e-mail, date, note del proprietario del sito web	Richieste il cui indirizzo e-mail non è mai stato confermato: cancellate 30 giorni dopo l'invio. Ogni altra richiesta, qualunque sia il suo stato: cancellata automaticamente 3 anni dopo l'ultima modifica, o quando il sito viene eliminato; cancelliamo singole richieste prima di tale termine su istruzione scritta del proprietario del sito web
Richieste di recesso UE (direttiva (UE) 2023/2673)	Riferimento dell'ordine, indirizzo e-mail, nome, articoli interessati, lingua, stato, ora dell'e-mail di avviso di ricevimento, note del proprietario del sito web	Cancellate automaticamente 3 anni dopo l'ultima modifica, o quando il sito viene eliminato
E-mail ai visitatori	Indirizzo e-mail e contenuto delle e-mail di verifica, conferma e avviso di ricevimento, inviate tramite Brevo. Le risposte vanno all'indirizzo di contatto confermato del sito web, se impostato, altrimenti alla nostra casella di posta (sezione 6)	Non conservate da noi dopo l'invio; log di consegna presso Brevo
Scansioni dei cookie	Nomi, domini, categorie e durate dei cookie e degli elementi di archiviazione, host di terzi e tag inseriti direttamente, rilevati quando il nostro scanner visita il sito web come visitatore anonimo da Francoforte (UE)	L'ultima scansione di un sito è conservata fino all'eliminazione del sito; le scansioni precedenti vengono cancellate automaticamente 400 giorni dopo la loro esecuzione; le voci dei cookie finché il proprietario del sito web non le elimina o il sito non viene eliminato

Non utilizziamo i dati dei visitatori per finalità nostre, non li combiniamo tra siti web diversi e non li vendiamo né li condividiamo.

5. Che cosa memorizza lo script Consentl sui dispositivi dei visitatori

Su un sito web che utilizza Consentl, lo script memorizza alcuni elementi nel browser del visitatore. Essi vanno indicati nella dichiarazione dei cookie del sito web; la banca dati dei cookie integrata li elenca.

Nome	Tipo	Finalità	Durata
`consentl`	cookie	Memorizza le scelte del visitatore sui cookie e l'ID del consenso	come impostato dal proprietario del sito web (predefinita 180 giorni, al massimo 395)
`consentl_r`	session storage	Ricorda la regione per il banner di consenso durante la visita	sessione del browser
`consentl_ab`	session storage	Mantiene il visitatore nella stessa variante del banner nelle pagine successive della visita mentre il proprietario del sito web svolge un test A/B del banner (solo quando è in corso un test; scritto solo dopo la scelta del visitatore)	sessione del browser
`consentl_age`	cookie	Ricorda che il visitatore ha confermato la propria età (solo se il sito web utilizza la verifica dell'età)	come impostato dal proprietario del sito web (predefinita 30 giorni)
`consentl_a11y`	local storage	Ricorda le impostazioni di visualizzazione scelte dal visitatore nel menu di accessibilità (solo se utilizzato)	finché il visitatore non le reimposta
`__cf_bm`	cookie di `api.consentl.com`, impostato dalla rete del nostro fornitore di hosting (Cloudflare, incaricata da DigitalOcean)	Distingue le persone dal traffico automatizzato per proteggere il servizio; non lo leggiamo né lo utilizziamo	30 minuti

Lo script invia inoltre richieste ad api.consentl.com: carica il banner, chiede il paese del visitatore (sezione 4, «Rilevamento della regione»), non invia nient'altro prima che il visitatore faccia una scelta, poi invia la registrazione del consenso (insieme a essa, senza alcun identificativo, l'indicazione che il banner è stato mostrato) e carica l'elenco dei cookie quando il visitatore lo apre. La nostra analisi di ciò che avviene prima del consenso è disponibile su richiesta per i proprietari di siti web.

6. Destinatari e sub-responsabili del trattamento

Ci avvaliamo dei seguenti fornitori di servizi. L'elenco aggiornato, con le garanzie per i trasferimenti e il registro delle modifiche, si trova nel nostro elenco dei sub-responsabili del trattamento; i proprietari di siti web vengono informati via e-mail 30 giorni prima dell'aggiunta di un nuovo sub-responsabile del trattamento.

Destinatario	Ruolo	Finalità	Ubicazione
DigitalOcean, LLC (New York, USA)	Responsabile del trattamento	Hosting, banche dati e copie di backup, scanner, log	Francoforte, Germania; accesso remoto da paesi terzi in base al suo DPA
Cloudflare, Inc. (USA), incaricata da DigitalOcean	Responsabile del trattamento (sub-responsabile di DigitalOcean)	Terminazione TLS, distribuzione dei contenuti, protezione da DDoS e da bot per le richieste ai nostri server (compreso il cookie `__cf_bm`, sezione 5)	Rete edge globale
Brevo SAS (Parigi, Francia)	Responsabile del trattamento	Invio di e-mail	Unione europea
Proton AG (Ginevra, Svizzera)	Responsabile del trattamento	Hosting di posta elettronica delle nostre caselle [email protected] e [email protected]: corrispondenza di assistenza e relativa alla privacy, risposte alle nostre e-mail e richieste che i proprietari di siti web ci inoltrano	Svizzera
Stripe Payments Europe, Limited (Dublino, Irlanda)	Responsabile del trattamento per l'elaborazione dei pagamenti per nostro conto e titolare autonomo del trattamento per la prevenzione delle frodi e i propri obblighi legali	Pagamenti degli abbonamenti e dei pacchetti di documenti legali, fatture, rimborsi, e-mail della pagina di pagamento e del portale di fatturazione	UE; Stripe può trasferire dati a Stripe, Inc. (USA) in base alle proprie garanzie
Il proprietario del sito web	Titolare del trattamento	Riceve le registrazioni del consenso, le richieste e i recessi dei suoi visitatori (sezione 4)	—
Autorità	Titolari autonomi del trattamento	Quando siamo tenuti per legge a comunicare dati (ad esempio alle autorità fiscali per le fatture)	—

7. Trasferimenti internazionali

I nostri server e le nostre banche dati si trovano nell'UE (Francoforte). Alcuni fornitori sono società statunitensi e le richieste transitano attraverso la località edge più vicina al visitatore, che può trovarsi al di fuori dell'UE. Quando i dati personali sono trasferiti verso un paese privo di una decisione di adeguatezza, o vi sono accessibili, il trasferimento è coperto dalle clausole contrattuali tipo dell'UE (decisione di esecuzione (UE) 2021/914 della Commissione) contenute nell'accordo sul trattamento dei dati del fornitore e, se il destinatario è certificato, anche dal quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework; decisione di esecuzione (UE) 2023/1795 della Commissione). Per il Regno Unito si applica l'Addendum del Regno Unito (UK Addendum) o l'estensione del Regno Unito al Data Privacy Framework (UK Extension); per la Svizzera, lo Swiss-US Data Privacy Framework o le clausole contrattuali tipo con gli adeguamenti riconosciuti dall'Incaricato federale svizzero della protezione dei dati e della trasparenza (IFPDT; FDPIC). La Svizzera (Proton) beneficia di una decisione di adeguatezza dell'UE. Può chiederci una copia delle garanzie.

8. Conservazione e cancellazione

I periodi di conservazione sono indicati nelle sezioni 3 e 4.

L'eliminazione di un sito cancella immediatamente la sua configurazione, le registrazioni del consenso, le statistiche, le richieste sui dati personali, i recessi, l'elenco dei cookie, le scansioni e i documenti generati. Esporti prima ciò che le serve (il registro dei consensi può essere esportato in formato CSV).
La cessazione di un piano a pagamento fa passare il sito al piano Free; i suoi dati restano disponibili.
Download dei suoi dati: «Scarica i miei dati (JSON)» nella pagina Account le fornisce un file JSON con i dati del suo utente e del suo account, le registrazioni delle accettazioni, i recessi dagli abbonamenti, i pacchetti di documenti legali con le relative risposte e ogni sito con le relative impostazioni, l'elenco dei cookie, le richieste sui dati personali, i recessi e il registro dei consensi (mai password, token o credenziali per la scansione).
Eliminazione del suo account: il proprietario dell'account può eliminare l'account nella pagina Account, dopo aver disdetto i piani a pagamento, oppure chiedercelo all'indirizzo [email protected]. L'account resta disponibile per 30 giorni (per esportare i dati o annullare l'eliminazione; i banner continuano a funzionare), poi cancelliamo l'account, tutti i suoi siti con i relativi dati, i suoi pacchetti di documenti legali con i relativi documenti e risposte, e gli utenti che non appartengono ad alcun altro account. Le registrazioni delle accettazioni e i recessi dagli abbonamenti sono conservati per altri 3 anni (sezione 3). Le fatture e le registrazioni dei pagamenti restano presso Stripe come richiesto dalla normativa contabile.
I dati cancellati scompaiono dalle copie di backup della banca dati entro 7 giorni (il periodo di conservazione dei backup della nostra banca dati gestita). I log di runtime vengono cancellati alla distribuzione successiva (sezione 3).
Le registrazioni di fatturazione che la normativa contabile ci impone di conservare sono conservate per tale periodo (sezione 3).

9. I suoi diritti

Ai sensi del GDPR e dello UK GDPR lei ha il diritto di:

accedere ai suoi dati personali e riceverne una copia (art. 15);
ottenere la rettifica dei dati inesatti (art. 16); può correggere la maggior parte dei dati dell'account nel pannello di controllo;
ottenere la cancellazione dei suoi dati (art. 17);
ottenere la limitazione del trattamento (art. 18);
ricevere in un formato leggibile da dispositivo automatico i dati che ci ha fornito sulla base di un contratto e ottenerne la trasmissione a un altro titolare del trattamento (art. 20); «Scarica i miei dati (JSON)» nella pagina Account lo fa per il suo account;
opporsi in qualsiasi momento, per motivi connessi alla sua situazione particolare, al trattamento basato sul nostro legittimo interesse (art. 21);
proporre reclamo a un'autorità di controllo, in particolare nel paese dell'UE in cui risiede abitualmente, lavora oppure in cui si è verificata la presunta violazione (art. 77). La nostra autorità competente è l'Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP), B-dul G-ral. Gheorghe Magheru 28-30, 010336 București, Romania — www.dataprotection.ro (sito esterno).

Il pannello di controllo non si basa sul consenso, quindi non vi è alcun consenso da revocare.

Per esercitare i suoi diritti, scriva a [email protected] dall'indirizzo del suo account. Rispondiamo entro un mese; tale termine può essere prorogato di due mesi per le richieste complesse, nel qual caso le spieghiamo il motivo. I residenti in altre giurisdizioni (ad esempio Stati USA, Brasile, Canada) possono utilizzare lo stesso indirizzo per i diritti che le loro leggi riconoscono.

I visitatori di un sito web che utilizza Consentl dovrebbero contattare prima tale sito web (sezione 2). Se ci scrive, inoltriamo la sua richiesta al proprietario del sito web e lo aiutiamo a rispondere.

10. Processo decisionale automatizzato

Non adottiamo decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici o effetti analogamente significativi (art. 22 del GDPR). Stripe esamina i pagamenti per prevenire le frodi e può rifiutare un pagamento; si veda l'informativa sulla privacy di Stripe. Se un pagamento viene rifiutato, può chiedere a noi o a Stripe un riesame da parte di una persona.

11. Minori

Il pannello di controllo è destinato agli adulti e non è rivolto ai minori; non apriamo consapevolmente account per persone di età inferiore a 18 anni. Tra i visitatori dei siti web dei nostri clienti possono esservi minori; il proprietario del sito web decide come gestirli (ad esempio con una verifica dell'età).

12. Per i proprietari di siti web soggetti alle leggi statali USA sulla privacy

In qualità di suo fornitore di servizi («service provider», CCPA) o responsabile del trattamento («processor», altre leggi statali USA), Consentl raccoglie per suo conto: identificatori (ID del consenso pseudonimizzato, indirizzo IP abbreviato), attività su internet (percorso della pagina, user agent del browser, segnale Global Privacy Control), geolocalizzazione a livello di paese (ricavata dall'indirizzo IP senza conservarlo) e, per le richieste sui dati personali e i recessi, dati di contatto e riferimenti degli ordini. Li utilizziamo solo per registrare il consenso e gestire le richieste per suo conto, li conserviamo per i periodi indicati nella sezione 4 e non li vendiamo né li condividiamo, né utilizziamo informazioni personali sensibili.

13. Sicurezza

Le password sono sottoposte a hash con scrypt; i token di sessione, di verifica e di reimpostazione sono conservati solo come hash; le sessioni scadono dopo 7 giorni di inutilizzo; ogni modulo del pannello di controllo è protetto contro la falsificazione delle richieste tra siti; le azioni sensibili richiedono una recente conferma della password; il pannello di controllo e l'API pubblica funzionano su host separati; le credenziali per la scansione sono cifrate con AES-256-GCM; gli indirizzi IP dei visitatori vengono abbreviati prima della conservazione; il servizio utilizza utenti della banca dati dedicati con diritti limitati; tutto il traffico è cifrato (TLS) e le banche dati e le copie di backup sono cifrate a riposo. I dettagli si trovano nell'Allegato II dell'Accordo sul trattamento dei dati.

14. Modifiche e lingua

Quando la presente informativa cambia, ne pubblichiamo una nuova versione con la relativa data di entrata in vigore indicata sopra e informiamo via e-mail i proprietari e gli amministratori degli account delle modifiche sostanziali prima che abbiano effetto. La presente informativa è redatta in inglese e ne pubblichiamo traduzioni sul nostro sito web; se le serve in un'altra lingua ufficiale dell'UE, ci scriva. Se una traduzione si discosta dalla versione inglese, prevale la versione inglese, salvo che le norme imperative a tutela dei consumatori del suo paese dispongano diversamente. Se lei è un consumatore, la versione in una lingua ufficiale del suo paese di residenza abituale, ove ne pubblichiamo una, fa fede quanto quella inglese; se le due versioni divergono, si applica il significato a lei più favorevole. Nessuna disposizione della presente clausola limita le informazioni che lei ha diritto di ricevere nella sua lingua.

Fonte: docs/legal/it/SAAS-PRIVACY.md nel repository Consentl.