Informativa privacy per onboarding e acquisto

Titolare e contatto

Il titolare del trattamento è Luigi Forestan, Via XXV Aprile 27, 36040 Torri di Quartesolo (VI), Italia, Partita IVA 04456750241. Per informazioni o per esercitare i diritti puoi scrivere a ciao@rinoma.it.

Dati raccolti

Raccogliamo attività, città, email, sito web facoltativo, domande, concorrenti e contesto necessario al report. Per identificare l’acquirente raccogliamo la scelta azienda/persona privata, denominazione o nome completo e rispettivamente Partita IVA o codice fiscale. Per la persona privata conserviamo anche la richiesta espressa di avvio durante il periodo di recesso e la relativa presa d’atto.

Per ordine e pagamento conserviamo identificativi Stripe e del tentativo, stato, importo, valuta e date di pagamento, conferma, consegna o rimborso. Non riceviamo né conserviamo il numero completo della carta. Il sito registra inoltre i dati tecnici descritti sotto.

Quando l’invio pubblico di richieste o l’avvio del checkout è disponibile, Cloudflare Turnstile esegue una verifica anti-abuso strettamente necessaria. Il browser comunica direttamente a Cloudflare segnali tecnici come indirizzo IP, impronta TLS, user agent, site key e origine, oltre ai segnali dell’ambiente browser/dispositivo e dell’eventuale interazione con la verifica. Rinoma riceve il token temporaneo di esito e invia a Cloudflare per la convalida soltanto quel token, la chiave segreta lato server e un identificatore casuale della richiesta di convalida; non aggiunge l’indirizzo IP del visitatore. Azione e origine attese vengono verificate, mentre il collegamento alla richiesta usa soltanto l’impronta SHA-256 dell’identificatore casuale del modulo o dell’ordine: l’identificatore in chiaro e i dati inseriti nel modulo non vengono inviati a Cloudflare.

Quando autorizzi la misurazione interna conserviamo anche versione e data del consenso, identificatore casuale della sessione e, se interviene, data della revoca. Per applicare correttamente il termine delle richieste non pagate conserviamo la data dell’ultimo invio pubblico accettato. Questi dati non cambiano l’esecuzione dell’ordine.

Finalità e basi giuridiche

Usiamo i dati per rispondere alla richiesta, concludere ed eseguire il contratto, creare e consegnare il report, assistere il cliente e gestire pagamento, rimborso e contestazioni: la base è l’esecuzione di misure precontrattuali e del contratto. Identificazione dell’acquirente, registrazioni amministrative e adempimenti gestiti esternamente tramite Fiscozen si basano sull’esecuzione del contratto e, quando applicabile, su obblighi di legge.

La sicurezza del checkout e la verifica Turnstile contro invii automatizzati, abuso dei moduli e indisponibilità del servizio rispondono al legittimo interesse a proteggere Rinoma e i suoi utenti. Turnstile è un controllo tecnico necessario per inviare un modulo pubblico quando la raccolta è attiva: non è analytics o marketing e non dipende dai relativi consensi facoltativi. Se la verifica non riesce o il fornitore non è disponibile, navigazione, informative e gestione delle preferenze restano accessibili, ma la richiesta o il checkout non vengono accettati finché non è possibile riprovare. La misurazione interna del funnel, inclusa l’attribuzione aggregata della prima pagina pubblica, Google Analytics e la misurazione Meta tramite Pixel e API Conversions si basano invece su consensi facoltativi e separati. Nessun evento analytics o Meta viene acquisito o inviato prima della relativa autorizzazione. Gli eventi Meta autorizzati servono per attribuire e ottimizzare le campagne; i dati del brief non vengono venduti né trasformati automaticamente in liste marketing.

Fornitori e destinatari

Cloudflare fornisce Turnstile per distinguere gli invii legittimi dal traffico automatizzato. Secondo la propria informativa specifica Turnstile, tratta i segnali necessari per fornire la protezione per conto del gestore del sito e tratta inoltre alcuni segnali sotto la propria responsabilità per migliorare il rilevamento dei bot. La specifica controparte contrattuale dell’account, il DPA, le regioni di trattamento, i meccanismi di trasferimento e i tempi applicabili devono essere verificati e approvati dal titolare prima dell’attivazione; questa informativa non sostituisce né attesta tale approvazione.

Il pagamento avviene sulla pagina ospitata da Stripe, che tratta i dati necessari alla transazione, alla prevenzione delle frodi e alle contestazioni secondo la propria informativa privacy. Il checkout non usa Stripe Tax, non raccoglie il codice fiscale tramite Stripe e non genera fatture automatiche. Google Ireland Limited fornisce Google Analytics; Meta Platforms Ireland Limited fornisce Meta Pixel e API Conversions per la misurazione e l’ottimizzazione delle campagne autorizzate. Il Pixel nel browser non riceve dati dei moduli o identificativi Stripe, è escluso dalle pagine di checkout e conferma e usa soltanto il percorso pubblico dopo la rimozione di parametri e frammenti; le sue richieste rivelano comunque a Meta l’indirizzo IP di rete e normali informazioni tecniche di browser e dispositivo. Solo dopo consenso marketing, quando Stripe conferma il pagamento, il server invia a Meta il fatto dell’acquisto, data e ora, prodotto fisso, importo di 55 euro, valuta EUR, un identificatore evento casuale, _fbp e/o _fbc, lo user agent limitato del browser e il solo URL fisso, senza parametri, della pagina di conferma. Il payload server non imposta client_ip_address e non include email, nome, contenuto del brief, identificativi fiscali, carta, identificativi ordine, parametri URL, Sessione o PaymentIntent Stripe.

Per eseguire le verifiche, domande, destinazione e contesto strettamente utile possono essere inviati tramite questi canali: OpenAI, l’azienda di ChatGPT — OpenAI con ricerca web (OpenAI Responses API); Gemini, l’AI di Google — Gemini con Google Search (Gemini API); Perplexity, motore di risposte AI — Perplexity Sonar (Perplexity Chat Completions API); Google AI Overviews, i riassunti AI in cima a Google — Google AI Overviews (DataForSEO Google Organic Advanced). La misura usa API dei provider e una SERP tramite DataForSEO; non accede ad account, sessioni o interfacce consumer. Non aggiungiamo i dati dei campi email dell’acquirente, Partita IVA, codice fiscale o pagamento ai prompt destinati a questi fornitori. Non inserire dati personali non necessari nei campi liberi del brief. Il trattamento da parte dei fornitori segue i relativi accordi e informative; non formuliamo una promessa generale sulle loro politiche di conservazione o uso dei dati.

I servizi di hosting e object storage trattano i record dell’ordine e l’archivio delle prove nelle regioni configurate dal titolare; la localizzazione effettiva dipende dal fornitore e dalla configurazione di produzione. Le notifiche applicative e la consegna transitano attraverso Resend, limitatamente all’indirizzo e al contenuto necessari. Le risposte inviate a ciao@rinoma.it vengono invece ricevute tramite Hostinger; il servizio di invio applicativo non modifica la gestione della casella o dei record MX del dominio.

Per le email transazionali in uscita usiamo Resend. Nel deployment corrente il tracciamento di apertura e clic è disattivato. Resend dichiara di conservare negli Stati Uniti il contenuto dei messaggi e i log di consegna per un massimo di 30 giorni. I trasferimenti pertinenti sono disciplinati dall’accordo sul trattamento dei dati di Resend, che include le Clausole Contrattuali Standard; maggiori dettagli sono disponibili nel relativo Data Processing Addendum. Non utilizziamo Resend per newsletter o profilazione.

Fiscozen può ricevere i dati identificativi indispensabili alla gestione amministrativa e fiscale esterna. Rinoma non calcola imposte e non crea fatture nell’applicazione. Possono accedere anche operatori autorizzati, consulenti vincolati alla riservatezza e autorità nei casi previsti dalla legge.

Trasferimenti fuori dal SEE

Hosting, object storage, Cloudflare, Stripe, Google, Meta, fornitori AI, DataForSEO, servizio email o loro società collegate possono trattare alcuni dati anche fuori dallo Spazio Economico Europeo, secondo la regione configurata e la catena di fornitura applicabile. Quando richiesto, il trasferimento avviene sulla base di una decisione di adeguatezza, clausole contrattuali standard o altro meccanismo previsto dal GDPR, secondo il ruolo e la documentazione del singolo fornitore. Puoi chiedere informazioni sulla localizzazione e sui meccanismi applicabili tramite il contatto del titolare.

Conservazione

Le cancellazioni automatiche vengono eseguite da un ciclo giornaliero: quando un record raggiunge il termine indicato può restare fino all’esecuzione giornaliera successiva, normalmente meno di 24 ore, salvo un errore operativo che viene monitorato e deve essere recuperato. Le richieste che non arrivano a un pagamento raggiungono il termine dopo 730 giorni dall’ultimo invio pubblico accettato. Se un identificatore anonimo rimasto nel browser viene riutilizzato soltanto dopo che il precedente record non pagato ha già raggiunto tale termine, la nuova richiesta riceve un record e un termine propri invece di rinnovare o sovrascrivere quello scaduto. I record contrattuali degli ordini pagati o rimborsati e le relative prove del report raggiungono il termine dopo 3650 giorni dall’ultimo evento pertinente del rapporto contrattuale o del ciclo dell’ordine, come pagamento, consegna, rimborso o aggiornamento; vengono quindi eliminati insieme. Fanno eccezione un blocco di conservazione documentato per contestazioni o obblighi legali e i tempi tecnici del ciclo dei backup. Ogni copia database fuori sede, comprese le versioni conservate dal fornitore, deve essere eliminata definitivamente entro 30 giorni dalla propria creazione. Un dato già cancellato dal database primario può quindi restare nella copia di recupero fino alla scadenza di quella copia; non viene usato nel servizio ordinario e, dopo un ripristino, resta senza accesso pubblico finché non sono rieseguite cancellazioni, scadenze e liste di soppressione. La documentazione eventualmente gestita da Fiscozen segue separatamente le istruzioni e gli obblighi applicabili: non è generata né archiviata automaticamente dal checkout Rinoma.

Per elaborare in modo idempotente i webhook Stripe conserviamo una ricevuta tecnica fino al termine di 90 giorni e al ciclo giornaliero successivo. È composta soltanto da identificatore evento Stripe, tipo di evento, versione API ed esito di elaborazione; non contiene il payload del webhook, campi del cliente né l’identificatore dell’oggetto Stripe.

Rinoma non conserva il token Turnstile né la risposta completa del fornitore dopo la verifica. Redis conserva per non più di 25 ore soltanto l’impronta SHA-256 non reversibile dell’identificatore casuale del modulo o dell’ordine già verificato, così da riconoscere una verifica recente senza ripetere la chiamata al fornitore; questa impronta non contiene dati del modulo o segnali Cloudflare e non viene inviata nuovamente a Cloudflare. I tempi per i segnali trattati dal fornitore seguono la sua documentazione e la configurazione contrattuale effettivamente approvata.

Gli eventi interni del funnel raggiungono il termine dopo 90 giorni e vengono rimossi dal ciclo giornaliero. Contengono nome dell’evento, solo il percorso senza parametri della pagina pubblica, un identificatore casuale della singola scheda e, per la prima pagina, categorie limitate come accesso diretto, ricerca organica, assistente AI, social, campagna a pagamento o altro rinvio, con il solo fornitore tra valori predefiniti. La classificazione avviene nel browser da parametri UTM riconosciuti o dal dominio di provenienza, ma non inviamo né conserviamo referrer o domini grezzi, query, nome/contenuto/termine della campagna, click ID o altro testo arbitrario. Questi eventi non contengono email, contenuto del modulo, identificativo fiscale o dati della carta. Se una consegna consentita fallisce, la memoria temporanea della sola scheda conserva per un massimo effettivo di 24 ore e al massimo 32 voci: identificatore evento casuale idempotente, identificatore casuale di sessione, nome evento e percorso pubblico ammessi, sole proprietà grossolane predefinite, versione e data del consenso. Non accetta campi o testo ulteriori ed elimina la coda al successo, alla scadenza, alla revoca o al rifiuto, con Global Privacy Control o Do Not Track attivi, durante il recupero di una revoca o alla chiusura della scheda.

Gli identificatori browser _fbp e _fbc associati a Meta Pixel durano di norma fino a 90 giorni e possono essere rinnovati da una nuova attività compatibile. Se l’ordine non viene pagato, la copia server destinata a un eventuale evento Purchase, inclusi user agent e URL fisso, raggiunge il termine dopo 48 ore e viene eliminata dal ciclo giornaliero successivo; un pagamento confermato soltanto dopo tale termine resta valido ma deliberatamente non viene attribuito a Meta. Dopo il pagamento l’invio viene ritentato per non più di sette giorni; questi dati vengono cancellati dalla copia Rinoma subito dopo l’accettazione di Meta, la revoca, la soppressione o la scadenza. L’audit pseudonimo con identificatore evento casuale, versione e data del consenso e stato di consegna raggiunge il termine dopo 90 giorni e viene eliminato dal ciclo giornaliero successivo. Una revoca lascia per non più di 181 giorni soltanto l’impronta crittografica non reversibile del proprio identificatore casuale: questo copre l’intera validità massima di 180 giorni del consenso e il giorno di confine successivo, così un consenso precedente non può riaprire la misurazione dello stesso ordine. L’ulteriore conservazione dell’evento da parte di Meta dipende dalla sua informativa e dalle impostazioni effettive dell’account pubblicitario.

Redis conserva per lo stesso termine massimo di 181 giorni la sola impronta crittografica non reversibile dell’identificatore casuale dell’ordine, esclusivamente per riconoscere e limitare una successiva richiesta di revoca prima di interrogare il database. Non contiene il token in chiaro, dati del modulo o identificatori dei fornitori e non viene inviata a Meta.

Per rendere effettiva una revoca analytics anche rispetto a eventi server differiti, prima di modificare la coda condivisa il browser attiva un’ancora tecnica priva di identificatori e salva, per ciascun ambito interessato, una voce locale distinta sotto chiave casuale. Sono ammesse al massimo 64 voci: ciascuna contiene tipo, identificatore casuale di ordine o sessione, scadenza originaria, data tecnica di inserimento, l’epoca casuale del consenso quando applicabile e un indicatore numerico di conferma inizialmente pari a zero. L’epoca è usata soltanto nel browser per distinguere autorizzazioni successive e non viene inviata al server, a Google o a Meta. Una risposta 2xx del server cambia nello stesso record soltanto l’indicatore di conferma da zero a uno, senza creare una nuova chiave. La coda condivisa è soltanto una cache di consegna: una scrittura concorrente di un’altra scheda non elimina la voce protetta. Il cookie tecnico degli ordini conserva la prima scadenza necessaria a coordinare le schede; per la sessione, una voce separata nella memoria temporanea conserva scadenza ed epoca, mai l’identificatore. Nessun marcatore, conferma o tentativo rinnova la scadenza originaria. In condizioni ordinarie i record sono rimossi dopo la conferma applicabile o al raggiungimento del termine massimo di 181 giorni. Se il browser è rimasto offline o il suo orologio è incoerente mentre una revoca non è ancora confermata, gli esatti byte locali già creati possono restare oltre la data nominale, con la misurazione bloccata, soltanto fino alla prima conferma 2xx del server e alla successiva pulizia locale; non viene esteso il termine server. Cancellare i dati del sito elimina questi record ma può eliminare anche la capacità necessaria a ritentare una revoca non ancora sincronizzata. PostgreSQL conserva per non più di 181 giorni i record di revoca con ambito, impronta non reversibile, data e scadenza. Dal primo evento o attribuzione consentiti conserva inoltre un registro tecnico di idoneità composto da tipo di capacità, impronta non reversibile, data del consenso e scadenza. La data dell’ultima pubblicazione in Redis è solo stato operativo interno. Il registro non contiene UUID o token in chiaro, dati del modulo o identificatori dei fornitori; nuovi eventi non ne rinnovano la scadenza. Il ciclo giornaliero rimuove le righe PostgreSQL scadute e Redis scade automaticamente le proprie.

Per la continuità e la revoca sicura dell’ordine, la memoria locale conserva un puntatore corrente con identificatore casuale, data di creazione, scadenza e gli eventuali indicatori booleani analytics/marketing revocati, più una copia attiva di recupero sotto chiave casuale che include anche la data tecnica di inserimento. Gli indicatori scompaiono soltanto con la sostituzione verificata di quell’esatto ordine. Le capacità predisposte prima di pubblicare un consenso contengono tipo, identificatore, scadenza, data tecnica ed eventuale epoca browser; un arresto prima del consenso non rinnova la scadenza originaria. Durante un invio del modulo restano al massimo 16 autorizzazioni locali distinte, ciascuna con identificatore d’ordine, data tecnica e scadenza fissa di 10 minuti. Prima di una nuova autorizzazione positiva il browser usa inoltre, per al massimo 10 minuti, un giornale di transazione con identificatore casuale, finalità coinvolte, fase, copie canoniche della precedente e nuova preferenza e presenza del cookie di diniego, oltre a data e scadenza. Non contiene identificatori di ordine o sessione né dati del modulo e serve soltanto a ripristinare o completare atomicamente la scelta tra schede e arresti. Alla scadenza puntatore, copia, capacità, autorizzazioni e giornale diventano inutilizzabili e sono rimossi alla successiva pulizia pertinente, salvo l’eccezione di revoca in attesa di conferma descritta sopra.

Browser e analytics facoltativi

La bozza dell’onboarding resta nella memoria temporanea della scheda e viene rimossa dopo il pagamento o alla chiusura; Partita IVA e codice fiscale non vengono salvati in tale bozza. Un identificatore casuale separato, privo dei dati del modulo, resta nella memoria locale per far convergere schede e tentativi sullo stesso ordine, evitare pagamenti duplicati e fungere da ambito per sopprimere fasi analytics o Meta differite dopo una revoca. Viene sostituito quando avvii esplicitamente un nuovo report, dopo l’accettazione di una richiesta informativa senza pagamento o dopo il ritorno da un pagamento confermato; può essere rimosso anche cancellando i dati del sito. La sostituzione non apre da sola un checkout e non annulla un’eventuale sessione Stripe già avviata. Se in quel momento la misurazione Meta è attiva e il consenso marketing è valido, il precedente identificatore casuale resta in una cronologia locale limitata per non più di 181 giorni, esclusivamente per impedire che un consenso precedente venga riutilizzato dopo la revoca. Per ogni revoca Meta non ancora confermata, prima di aggiornare la cache condivisa viene salvata una voce locale distinta e immutabile, tra al massimo 64, che contiene identificatore casuale dell’ordine, scadenza originaria e data tecnica di inserimento; la sua chiave di memoria è casuale e non contiene l’identificatore. Un cookie tecnico limitato al sito, privo di identificatori e preattivato prima della sincronizzazione conserva soltanto quella scadenza e impedisce la riattivazione o la sostituzione dell’ordine mentre esiste una voce protetta. La cache condivisa può essere ricostruita da tali voci e non è la prova di completamento. Ogni voce viene rimossa soltanto dopo la conferma del server per quell’esatto ordine o alla scadenza; il cookie viene eliminato solo quando non resta alcuna voce Meta protetta. Dopo la conferma, lo stesso ordine resta segnato per la finalità revocata: una nuova autorizzazione riguarda una nuova sessione e, per le fasi legate all’ordine, richiede l’azione esplicita “Avvia un nuovo report”. Conferma, sostituzione verificata dell’ordine, scadenza o cancellazione dei dati del sito rimuovono cronologia e cache applicabili.

Prima di aprire Stripe, il server usa per non più di 30 minuti un cookie tecnico essenziale con prefisso rinoma_checkout_return_, distinto per ogni tentativo, limitato alla pagina di conferma e non accessibile agli script. Contiene soltanto la capacità della sessione Checkout necessaria a verificare e aggiornare lo stato dell’ordine. Nell’indirizzo di ritorno compare soltanto un identificatore tecnico opaco, privo di dati personali e inutilizzabile senza il cookie abbinato; l’identificativo della sessione Stripe non viene inserito nell’indirizzo. Il cookie non viene usato per analytics o marketing.

Solo dopo il consenso analytics registriamo gli eventi interni minimizzati del funnel descritti sopra e, se configurato, utilizziamo Google Analytics 4, fornito da Google Ireland Limited, per pagine visitate e dati tecnici di navigazione. Non inviamo email, contenuto dei moduli o dati di pagamento; Google Signals e personalizzazione pubblicitaria sono disattivati.

Solo dopo il separato consenso marketing utilizziamo Meta Pixel, fornito da Meta Platforms Ireland Limited, per registrare visite alle pagine pubbliche e azioni come visualizzazione del report esempio, clic sulle call to action, avvio dell’onboarding e tentativo di avvio del checkout. Il browser Pixel resta escluso da checkout, conferma, amministrazione e report privati; parametri e frammenti vengono rimossi prima dell’inizializzazione o degli eventi, mentre il trasporto browser espone necessariamente a Meta IP di rete e normali dati tecnici. Dopo un pagamento verificato, API Conversions invia l’evento Purchase minimizzato descritto sopra senza un campo IP esplicito. Questi eventi non includono contenuto dei moduli, email, nomi, identificativi fiscali, carta, parametri URL o identificativi Stripe.

Puoi modificare o revocare separatamente le scelte in qualsiasi momento dal link “Rivedi le tue scelte sui cookie”, presente in fondo alle pagine del sito, o dalla pagina cookie; nel pannello, “Rifiuta o revoca tutto” interrompe entrambe le finalità con un solo clic. Una preferenza scade e viene eliminata dalla memoria locale dopo 180 giorni, quindi viene richiesta di nuovo. Un rifiuto può essere protetto anche da un cookie tecnico, limitato al sito e privo di identificatori, che indica soltanto il diniego per la relativa finalità, dura al massimo 180 giorni e prevale su un’autorizzazione locale finché una nuova autorizzazione non viene salvata e verificata. Se il browser impedisce di aggiornare entrambe le copie, il sito ferma la misurazione nella scheda corrente e segnala che occorre abilitare o cancellare i dati del sito e riprovare prima di ricaricare. I segnali Global Privacy Control e Do Not Track attivi vengono trattati come rifiuto: prevalgono su un consenso memorizzato e impediscono nuovi eventi finché il segnale resta attivo. Google e Meta possono trattare dati fuori dal SEE secondo i meccanismi descritti nelle rispettive informative di Google e Meta.

Una nuova autorizzazione analytics o marketing vale soltanto per misurazioni future in una nuova sessione o in un nuovo report: le fasi differite di un ordine già revocato restano soppresse. Per misurare le fasi server di un acquisto successivo occorre avviare un nuovo report. In una richiesta di accesso comunichiamo ambito e date delle revoche e, per le capacità di idoneità collegate, soltanto il tipo, la data del consenso e la scadenza, senza esporre le impronte interne o lo stato operativo di pubblicazione. Una cancellazione ammissibile conserva fino alla scadenza soltanto le righe attive di soppressione e idoneità necessarie come controllo temporaneo di sicurezza, per rendere la revoca raggiungibile e impedire che eventi ritardati riattivino il tracciamento; non vengono rinnovate.

Natura del conferimento e diritti

Email, dati essenziali del brief e identità dell’acquirente sono necessari per acquistare e ricevere il report; senza di essi non possiamo eseguire l’ordine. Quando l’invio pubblico è abilitato, anche la verifica tecnica Turnstile è necessaria per proteggere il modulo: il suo mancato completamento impedisce l’invio, ma non la consultazione del sito e delle informative. Sito web, concorrenti, misurazione interna del funnel, Google Analytics e misurazione Meta tramite Pixel/API Conversions sono facoltativi.

Puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità dei dati, oppure opporti ai trattamenti basati sul legittimo interesse; puoi revocare il consenso senza pregiudicare i trattamenti già effettuati. Per gli identificatori e le code conservati soltanto nel tuo browser, usa prima il controllo nella pagina cookie mentre sei online per sincronizzare la revoca, quindi puoi cancellare i dati del sito dal browser; il titolare non può leggere da remoto una copia rimasta esclusivamente sul dispositivo. Alcuni dati possono essere conservati nonostante la richiesta quando necessari per obblighi legali o per accertare, esercitare o difendere un diritto. Puoi inoltre proporre reclamo al Garante per la protezione dei dati personali. Le richieste vengono gestite tramite il contatto indicato sopra dopo le verifiche necessarie a proteggere l’ordine.