Informativa privacy e cookie

1. Titolare del trattamento

Il titolare del trattamento è Angelo Cori Carlitto (Paccalab), partita IVA 17442751008.

Per qualsiasi domanda sui tuoi dati o per esercitare i tuoi diritti scrivi a info@paccalab.com. Non abbiamo nominato un Responsabile della protezione dei dati (DPO), perché la nostra attività non rientra nei casi in cui l'articolo 37 del GDPR lo rende obbligatorio.

2. Quali dati trattiamo, perché e su quale base

2.1 Dati tecnici di navigazione

Quando apri il sito, il tuo browser invia automaticamente al server alcuni dati tecnici: indirizzo IP, data e ora della richiesta, pagina richiesta, tipo di browser e di dispositivo. Il nostro fornitore di hosting li registra in modo temporaneo nei log tecnici.

Finalità: mostrarti il sito, garantirne la sicurezza (per esempio limitare i tentativi ripetuti di accesso alle aree riservate) e risolvere problemi tecnici.
Base giuridica: il nostro legittimo interesse al funzionamento e alla sicurezza del sito (art. 6, paragrafo 1, lettera f, GDPR; considerando 49).

Per limitare i tentativi ripetuti di accesso all'area admin e all'area clienti non salviamo il tuo indirizzo IP: ne salviamo solo un'impronta cifrata con una chiave segreta (hash), che viene cancellata automaticamente al massimo un giorno dopo la scadenza del limite.

2.2 Statistiche di visita anonime

Per capire quali parti del sito sono utili contiamo in forma aggregata le visite e le azioni compiute sulle pagine pubbliche: pagine viste, sezioni raggiunte, fino a che punto si scorre, quanto tempo si resta (in fasce), clic su link e pulsanti, domande frequenti aperte, lavori guardati in vetrina, tipo di dispositivo (telefono, tablet, computer) e sito di provenienza (per esempio un motore di ricerca).

Lo facciamo senza cookie e senza leggere né salvare nulla sul tuo dispositivo. L'indirizzo IP non viene salvato: viene usato solo per un istante, insieme al tipo di browser, per calcolare un codice cifrato con una chiave segreta che cambia ogni giorno, utile soltanto a non contare due volte la stessa visita nella stessa giornata. Questo codice viene cancellato automaticamente entro due giorni; restano solo numeri totali (per esempio «120 visite il 3 ottobre»), che non permettono di risalire a nessuno. Non facciamo profilazione e non incrociamo questi dati con altri.

Se nel browser hai attivato «Do Not Track» o «Global Privacy Control», non contiamo nulla. Le statistiche non vengono raccolte nell'area clienti, nell'area admin e nelle videochiamate.
Base giuridica: legittimo interesse a migliorare il sito con dati minimi (art. 6, paragrafo 1, lettera f, GDPR). Puoi opporti in qualsiasi momento come indicato al punto 7.

2.3 Quando ci scrivi

Il sito non ha moduli di contatto: il pulsante «Scrivici» apre il tuo programma di posta. Se ci scrivi, trattiamo il tuo indirizzo email, il tuo nome e quello che scegli di raccontarci nel messaggio.

Finalità: risponderti e, se lo chiedi, prepararti un preventivo.
Base giuridica: esecuzione di misure precontrattuali adottate su tua richiesta (art. 6, paragrafo 1, lettera b, GDPR) e, per le richieste generiche, il nostro legittimo interesse a rispondere a chi ci contatta (art. 6, paragrafo 1, lettera f, GDPR).

2.4 Scheda per il tuo sito

Prima di realizzare il sito ti chiediamo di compilare una scheda, insieme a noi durante l'incontro oppure da solo con un link privato che ti inviamo. Contiene i dati dell'attività e del referente (nome, ruolo, email, telefono, ragione sociale, partita IVA, sede), le informazioni sul dominio e sul sito attuale, i tuoi gusti e le funzioni che ti servono. Il link è personale, scade dopo 30 giorni e non usa cookie.

Finalità: progettare il sito su misura e prepararti il preventivo.
Base giuridica: esecuzione di misure precontrattuali adottate su tua richiesta (art. 6, paragrafo 1, lettera b, GDPR).

2.5 Clienti e area clienti

Se acquisti un nostro servizio ti creiamo un accesso all'area clienti. Trattiamo: nome o denominazione, email di accesso, sito oggetto del servizio, pacchetto acquistato, date di inizio e scadenza dell'abbonamento, rinnovi e importi, richieste di rinnovo, ticket di assistenza con i messaggi scambiati, e la password, che conserviamo solo in forma cifrata e irreversibile (non la conosciamo nemmeno noi). Trattiamo inoltre i dati necessari alla fatturazione.

Finalità: fornire il servizio acquistato, gestire abbonamento, rinnovi e assistenza, mantenere attiva la sessione di accesso.
Base giuridica: esecuzione del contratto (art. 6, paragrafo 1, lettera b, GDPR); per la fatturazione e la contabilità, adempimento di obblighi di legge (art. 6, paragrafo 1, lettera c, GDPR).

Nei ticket scrivi solo ciò che serve a risolvere il problema: ti chiediamo di non inserire dati particolari (per esempio sulla salute) né password o dati di pagamento.

2.6 Videochiamate e firma del preventivo

Per gli incontri a distanza usiamo una nostra piattaforma di videochiamata, che si apre dal browser con un link che ti inviamo. Per entrare scrivi il tuo nome e aspetti che uno di noi ti faccia entrare. Camera e microfono si accendono solo se dai il permesso dal browser, e puoi spegnerli in qualsiasi momento o entrare senza.

Fino a 4 partecipanti audio, video e schermo condiviso passano direttamente tra i dispositivi, cifrati (protocolli DTLS e SRTP); con più di 4 partecipanti passano dal server di Cloudflare descritto qui sotto. Non passano mai dai server del sito e non vengono registrati né conservati. Il sito tratta soltanto ciò che serve a mettere in contatto i partecipanti: il nome che inserisci, se sei in attesa o nella chiamata, se microfono, camera e condivisione dello schermo sono accesi, i messaggi della chat e i dati tecnici di collegamento scambiati tra i browser (tra cui gli indirizzi di rete, IP compreso).

Per collegare direttamente i dispositivi, il tuo browser contatta anche server tecnici pubblici (detti STUN) di Cloudflare e Google, che gli comunicano il suo indirizzo pubblico: ricevono solo l'indirizzo IP, mai audio, video o messaggi.

Con alcune reti (per esempio reti aziendali o certi dati mobili) il collegamento diretto non è possibile: in quel caso audio e video passano da un server ponte (detto TURN) di Cloudflare, che li inoltra così come sono, cifrati, senza poterli leggere né conservare.

Quando nella chiamata ci sono più di 4 persone, per tenerla stabile e leggera audio, video e schermo condiviso di ognuno vanno a un server di Cloudflare (Cloudflare Realtime), che li rigira agli altri partecipanti. Lungo il tragitto restano cifrati; il server li smista e li inoltra durante la chiamata, senza registrarli né conservarli. Tornati a 4 o meno, la chiamata torna al collegamento diretto.

Finalità: svolgere l'incontro che hai chiesto o concordato con noi.
Base giuridica: esecuzione di misure precontrattuali o del contratto (art. 6, paragrafo 1, lettera b, GDPR) e, per gli aspetti di sicurezza, il nostro legittimo interesse (art. 6, paragrafo 1, lettera f, GDPR).

Durante una videochiamata possiamo mostrarti il preventivo a schermo: se decidi di accettarlo, lo firmi con il dito o con il mouse. Registriamo il nome di chi firma, l'immagine della firma disegnata, data e ora, un'impronta cifrata della connessione (ricavata dall'indirizzo IP, che non viene salvato), il tipo di dispositivo e browser, e una copia del documento firmato con la sua impronta digitale (SHA-256). La firma disegnata è solo un'immagine: non raccogliamo pressione, velocità o altri dati biometrici. Ricevi subito la copia firmata in PDF.
Finalità: concludere il contratto e poterne dimostrare l'accettazione.
Base giuridica: esecuzione del contratto e di misure precontrattuali (art. 6, paragrafo 1, lettera b, GDPR) e il nostro legittimo interesse a conservare la prova dell'accordo (art. 6, paragrafo 1, lettera f, GDPR).

2.7 Paccaworld: la piazza con gli altri visitatori

In Paccaworld puoi scegliere un avatar e, se vuoi, un nome (facoltativo: senza nome compari come «Visitatore»). Mentre sei in piazza, il tuo browser manda a un server di Cloudflare il nome, l'aspetto dell'avatar, la tua posizione nella piazza, i saluti o le frasi pronte che scegli e gli urti tra il tuo avatar e quello di un altro visitatore; il server li inoltra agli altri visitatori collegati in quel momento (un urto arriva solo a chi è stato urtato). Non vengono registrati né conservati: quando esci dalla piazza spariscono. Per collegarsi il server riceve, come ogni sito, l'indirizzo IP del tuo dispositivo, che non viene salvato. Nome e avatar restano solo nel tuo browser, per ritrovarli la volta dopo. Tra i visitatori non c'è una chat libera: si possono mandare solo saluti e frasi già pronte, e i nomi offensivi vengono sostituiti.
Finalità: farti vedere dagli altri visitatori e vedere loro, come hai scelto entrando nella piazza.
Base giuridica: esecuzione del servizio che richiedi entrando in Paccaworld (art. 6, paragrafo 1, lettera b, GDPR).

2.8 Paccaworld: la chat con Pacco

Nel quartier generale di Paccaworld puoi fare domande a Pacco, il nostro assistente virtuale, su pacchetti, prezzi, tempi e servizi di Paccalab. Pacco è un sistema automatico basato su intelligenza artificiale, non una persona: le risposte sono generate in automatico a partire dalle informazioni pubblicate su questo sito e possono contenere errori, quindi per decidere fa fede quello che ti confermiamo per email o nel preventivo. Le tue domande e le risposte precedenti della stessa conversazione passano dal nostro server al fornitore del servizio che genera le risposte. Noi non le registriamo né le conserviamo: la conversazione resta solo nella pagina e sparisce quando la chiudi. Il fornitore le tratta per nostro conto solo per rispondere, non le usa per addestrare i suoi sistemi e le conserva per un periodo limitato (di norma fino a 30 giorni) per sicurezza e prevenzione degli abusi. Per evitare abusi contiamo quante domande arrivano da ogni connessione, usando solo un'impronta cifrata dell'indirizzo IP che cambia ogni giorno. Non scrivere nella chat dati personali che non servono (per esempio telefono, indirizzo o dati di pagamento).
Se usi il microfono, il riconoscimento della voce è fatto dal tuo browser con il servizio del suo produttore (per esempio Google per Chrome, Apple per Safari), secondo le sue condizioni: a noi arriva solo il testo della domanda, mai l'audio. Anche la voce con cui Pacco legge le risposte è quella del tuo browser.
Finalità: rispondere alle domande che fai su servizi e prezzi.
Base giuridica: misure precontrattuali adottate su tua richiesta (art. 6, paragrafo 1, lettera b, GDPR).

2.9 Tutela dei nostri diritti

Se necessario, possiamo usare i dati descritti sopra per accertare, esercitare o difendere un nostro diritto in sede giudiziale o stragiudiziale.
Base giuridica: legittimo interesse (art. 6, paragrafo 1, lettera f, GDPR).

2.10 Cosa non facciamo

Non vendiamo dati, non facciamo pubblicità mirata, non usiamo cookie di profilazione né strumenti di tracciamento di terze parti, e non prendiamo decisioni basate unicamente su trattamenti automatizzati, compresa la profilazione, che producano effetti giuridici su di te (art. 22 GDPR). Non trattiamo dati particolari (art. 9 GDPR) né relativi a condanne penali (art. 10 GDPR).

3. Per quanto tempo conserviamo i dati

Trascorsi questi periodi, i dati vengono cancellati o resi anonimi in modo irreversibile.

4. A chi comunichiamo i dati

I dati sono trattati dal titolare e dalle persone che collaborano con Paccalab, autorizzate e istruite al trattamento e tenute alla riservatezza (art. 29 GDPR e art. 2-quaterdecies Codice privacy). Usiamo inoltre alcuni fornitori che trattano i dati per nostro conto, nominati responsabili del trattamento con un accordo conforme all'art. 28 GDPR:

• Vercel: hosting del sito e delle sue funzioni (riceve i dati tecnici di navigazione).
• Supabase: database in cui si trovano i dati dell'area clienti, le schede per il sito, i ticket, le vendite e i totali delle statistiche.
• Il fornitore del nostro servizio di posta elettronica, per le email che ci invii.
• Il fornitore del servizio di intelligenza artificiale che genera le risposte di Pacco nella chat di Paccaworld (con sede negli Stati Uniti): riceve le domande della conversazione in corso e le tratta solo per rispondere, senza usarle per addestrare i suoi sistemi.
• Cloudflare: server delle stanze di Paccaworld, che inoltra agli altri visitatori nome, avatar e posizione senza conservarli (riceve l'indirizzo IP del collegamento, senza salvarlo); e server delle videochiamate. Fa da ponte quando il collegamento diretto tra i partecipanti non è possibile (tratta l'indirizzo IP e audio e video cifrati, che non può leggere) e smista audio e video nelle chiamate con più di 4 persone (li inoltra durante la chiamata senza registrarli né conservarli).

Possiamo comunicare dati al nostro consulente fiscale per gli adempimenti contabili e alle autorità pubbliche quando la legge lo impone. Non diffondiamo i dati e non li cediamo a terzi per loro finalità. L'elenco aggiornato dei fornitori è disponibile su richiesta a info@paccalab.com.

5. Trasferimenti fuori dall'Unione europea

Alcuni fornitori indicati sopra hanno sede o infrastrutture anche fuori dallo Spazio economico europeo, in particolare negli Stati Uniti. In questi casi il trasferimento avviene solo con le garanzie previste dal Capo V del GDPR: una decisione di adeguatezza della Commissione europea (art. 45), compreso il Data Privacy Framework UE-USA per i fornitori certificati, oppure le Clausole contrattuali tipo approvate dalla Commissione (art. 46). Puoi chiederci informazioni sulle garanzie applicate e una copia delle stesse scrivendo a info@paccalab.com.

6. Cookie e altri strumenti

Il sito usa solo cookie e memorizzazione tecnici, necessari a fornire un servizio che hai richiesto. Per questi strumenti la legge non richiede il consenso (art. 122, comma 1, Codice privacy; Linee guida del Garante del 10 giugno 2021). Non usiamo cookie di profilazione, cookie di terze parti, pixel o strumenti analoghi.

I cookie di sessione non sono leggibili da altri siti né da script della pagina, viaggiano solo su connessione cifrata e contengono un codice casuale, non dati personali in chiaro. Le statistiche descritte al punto 2.2 non usano cookie né memoria del browser.

Puoi cancellare o bloccare i cookie dalle impostazioni del browser. Se blocchi i cookie tecnici, l'area clienti non potrà mantenere l'accesso.

Nella sezione «I nostri lavori» trovi collegamenti a siti realizzati da noi ma gestiti da altri: quando li apri, vale l'informativa di quei siti.

7. I tuoi diritti

In ogni momento puoi chiederci, gratuitamente:

• l'accesso ai tuoi dati e una copia (art. 15 GDPR);
• la rettifica dei dati inesatti o incompleti (art. 16);
• la cancellazione (art. 17), salvo che i dati vadano conservati per legge o per tutelare un diritto;
• la limitazione del trattamento (art. 18);
• la portabilità dei dati che ci hai fornito per il contratto, in un formato strutturato e leggibile (art. 20);
• di opporti ai trattamenti basati sul nostro legittimo interesse, per motivi legati alla tua situazione particolare (art. 21). Per le statistiche anonime puoi anche, semplicemente, attivare «Do Not Track» o «Global Privacy Control» nel browser.

Per esercitare i tuoi diritti scrivi a info@paccalab.com. Ti rispondiamo senza ingiustificato ritardo e comunque entro un mese dalla richiesta, prorogabile di due mesi nei casi complessi, che ti segnaleremo (art. 12 GDPR). Potremmo chiederti informazioni utili a verificare la tua identità.

Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR), Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, oppure all'autorità di controllo dello Stato dell'Unione in cui vivi o lavori, o rivolgerti all'autorità giudiziaria (art. 79).

8. Altre informazioni

Obbligo di fornire i dati. Navigare sul sito e scriverci è libero. I dati dell'area clienti sono necessari per fornire il servizio: senza di essi non possiamo stipulare o eseguire il contratto.

Sicurezza. Adottiamo misure tecniche e organizzative adeguate (art. 32 GDPR): connessione cifrata (HTTPS), password conservate solo in forma cifrata e irreversibile, accesso ai dati riservato al server e alle persone autorizzate, sessioni annullabili e limiti ai tentativi di accesso. In caso di violazione dei dati personali seguiamo le procedure previste dagli articoli 33 e 34 del GDPR.

Minori. I nostri servizi sono rivolti ad attività e professionisti e non sono destinati ai minori.

Modifiche. Possiamo aggiornare questa informativa, per esempio se cambiano i servizi o la normativa. La data dell'ultimo aggiornamento è indicata in alto; le modifiche rilevanti per i clienti vengono comunicate anche via email.

Torna alla home