Informativa sulla Privacy - Bandiora

1. Titolare del Trattamento

Il titolare del trattamento dei dati personali è:

Non è stato designato un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 del GDPR, non ricorrendone le condizioni obbligatorie. Per ogni richiesta in materia di privacy è possibile scrivere all'indirizzo email sopra indicato.

2. Normativa di riferimento

La presente informativa è resa ai sensi della Legge n. 171 del 21 dicembre 2018 della Repubblica di San Marino (“Protezione delle persone fisiche con riguardo al trattamento dei dati personali”) e, per gli utenti residenti nell'Unione Europea, del Regolamento (UE) 2016/679 (GDPR).

3. Dati personali raccolti

Raccogliamo le seguenti categorie di dati:

a) Dati identificativi

Nome, cognome, indirizzo email, forniti in fase di registrazione all'account.

b) Dati aziendali

Ragione sociale, partita IVA, codice fiscale, codici ATECO, regione e provincia di operatività, dimensione aziendale (micro, piccola, media, grande), fatturato annuo, numero di dipendenti, settori di interesse, dati di contatto aziendali (email, PEC, telefono, titolare, referente).

b-bis) Dati di fatturazione

In fase di abbonamento a pagamento raccogliamo i dati necessari a emettere fattura o ricevuta: nome e cognome o ragione sociale, codice fiscale, partita IVA, PEC, codice SDI, indirizzo di fatturazione, CAP, città, provincia. La base giuridica è l'obbligo di legge (art. 6.1.c GDPR) e l'esecuzione del contratto.

c) Dati di navigazione e tecnici

Cookie tecnici di sessione necessari per l'autenticazione (gestiti da Supabase). Per maggiori dettagli, consulta la nostra Cookie Policy.

d) Dati di utilizzo del servizio

Richieste effettuate all'assistente AI (chat, ricerca semantica, riassunti), filtri di ricerca salvati, stato delle corrispondenze bandi-azienda (nuovo, visto, salvato, scartato), conteggio mensile delle richieste AI.

e) Dati di supporto

Oggetto, descrizione e messaggi dei ticket di assistenza aperti dall'utente.

f) Dati di pagamento

I pagamenti sono gestiti interamente da PayPal. Non conserviamo sui nostri server numeri di carta di credito, coordinate bancarie o altri dati finanziari. Registriamo unicamente l'identificativo dell'abbonamento PayPal, il piano sottoscritto e lo stato dell'abbonamento.

g) Dati di conversione pubblicitaria

Per ottimizzare le campagne pubblicitarie utilizziamo due strumenti di Meta Platforms che operano in parallelo:

• Meta Pixel (lato browser): si attiva solo se hai prestato il consenso ai cookie analitici tramite il banner. Imposta cookie di prima parte (_fbp,_fbc) descritti nella Cookie Policy.
• Meta Conversions API (lato server): trasmette a Meta, direttamente dai nostri server, eventi di conversione (registrazione, acquisto abbonamento, acquisto crediti AI, richiesta demo consulente) correlati a dati di contatto in forma pseudonimizzata con hash SHA-256: email, numero di telefono, nome, cognome, città, CAP, Paese, identificativo utente interno. Inviamo inoltre in chiaro (perché richiesto da Meta) indirizzo IP del client e User-Agent. Il trasferimento avviene solo se hai prestato il consenso ai cookie analitici; in assenza di consenso il server salta la chiamata a Meta.

Base giuridica: consenso esplicito (art. 6.1.a GDPR) mediante banner cookie. Puoi revocarlo in qualsiasi momento rifiutando i cookie analitici dalle preferenze del browser o scrivendo a privacy@bandiora.it.

h) Dati di prospect B2B / Outreach

Per far conoscere il servizio a imprese potenzialmente interessate, raccogliamo dati di contatto aziendali pubblicamente disponibili (ragione sociale, email generica o del referente, partita IVA, codice ATECO, regione, provincia, settore, sito web, profilo LinkedIn pubblico) da elenchi professionali e directory B2B, tra cui PagineGialle, Europages, LinkedIn (via Apify), OpenStreetMap, Google Maps e Virgilio. Su questa base inviamo un massimo di tre email di presentazione commerciale, con frequenza limitata, sempre corredate di link di disiscrizione immediato. I dati di prospect che non rispondono vengono cancellati entro 18 mesi dalla prima email. Base giuridica: legittimo interesse a svolgere attività di marketing diretto B2B verso referenti aziendali qualificati (art. 6.1.f GDPR; considerando 47). Hai sempre diritto di opporti scrivendo a privacy@bandiora.it o cliccando sul link di disiscrizione presente in ogni email.

i) Dati dei candidati consulenti e richieste demo

Quando invii la candidatura tramite la pagina Partnero richiedi una demo del Piano Consulente, raccogliamo nome, cognome, email, telefono, città, profilo LinkedIn (se fornito), aree di specializzazione e il messaggio libero. Usiamo questi dati esclusivamente per valutare la candidatura o la richiesta di demo e per contattarti. Base giuridica: esecuzione di misure precontrattuali su tua richiesta (art. 6.1.b GDPR). Le candidature non selezionate vengono conservate per 24 mesi, salvo diversa indicazione da parte tua.

j) Dati del programma affiliate

Se accedi al sito tramite il link di un partner affiliato, memorizziamo il suo codice identificativo in un cookie di prima parte (bandiora_ref) per attribuire correttamente la commissione al partner in caso di conversione. I partner affiliati, a loro volta, ricevono un identificativo anonimo (ID referral) e statistiche aggregate delle conversioni generate, senza accesso ai dati personali dei referenti finali. Base giuridica: legittimo interesse alla corretta remunerazione dei partner (art. 6.1.f GDPR) e consenso per il cookie di tracking (art. 6.1.a GDPR, previa accettazione del banner cookie).

k) Dati delle conversazioni WhatsApp

Se scegli di interagire con noi tramite WhatsApp (numero verde Bandiora su wa.bandiora.it), memorizziamo il tuo numero di telefono (identificatore WhatsApp nel formato internazionale), il contenuto dei messaggi scambiati, il timestamp e lo stato di consegna/lettura. Il servizio gira su infrastruttura self-hosted Oracle Cloud Infrastructure nella regione Milano (IT) e utilizza le API ufficiali di WhatsApp Business. Una parte delle risposte può essere generata da un assistente AI (Claude di Anthropic); in qualsiasi momento puoi scrivere “operatore umano” per parlare con una persona. Le conversazioni sono conservate fino a 24 mesi dall'ultima interazione. Base giuridica: esecuzione del contratto e legittimo interesse al supporto clienti (art. 6.1.b e 6.1.f GDPR); per l'invio di campagne promozionali WhatsApp è richiesto un opt-in separato ed esplicito gestito dal tuo account.

l) Dati di integrazione Google Calendar (solo Piano Consulente)

Se sei un professionista iscritto al Piano Consulente e scegli di connettere il tuo account Google Calendar tramite OAuth 2.0, trattiamo: l'indirizzo email dell'account Google autorizzato, l'identificativo del calendario selezionato, le fasce orarie di occupazione (free/busy) di quel calendario e gli eventi che Bandiora crea per le prenotazioni di consulenza (titolo, descrizione, orario, partecipanti, link Google Meet). Non leggiamo, non memorizziamo e non trattiamo il contenuto di eventi del calendario non creati da Bandiora. Base giuridica: esecuzione del contratto (art. 6.1.b GDPR), limitatamente alla gestione delle prenotazioni di video-consulenza. Per dettagli sullo storage dei token, sulla revoca e sulla conformità con la Google API Services User Data Policy vedi la sezione 10.

4. Finalità e base giuridica del trattamento

5. Misure di sicurezza e protezione dei dati

Adottiamo misure tecniche e organizzative ragionevolmente adeguate alla natura dei dati trattati, in particolare per i dati identificativi, i dati di fatturazione, le credenziali di accesso e i token OAuth di terze parti (incluso Google Calendar).

• Cifratura in transito: tutte le comunicazioni tra il browser dell'utente, i nostri server e i sub-processor avvengono su TLS 1.2 o superiore. Il dominio bandiora.it è iscritto nella preload list HSTS ed è coperto da una Content Security Policyrestrittiva applicata dal middleware edge.
• Cifratura at rest: il database PostgreSQL gestito da Supabase, dove sono archiviati i dati di account, i dati aziendali e i token OAuth, è cifrato con algoritmo AES-256 dal provider. La stessa cifratura at rest è applicata ai bucket di storage e ai backup automatici.
• Segregazione logica dei dati (Row-Level Security): tutte le tabelle che contengono dati personali sono protette da policy Row-Level Security applicate a livello database; un utente autenticato può leggere esclusivamente le righe a lui pertinenti, senza possibilità di accedere ai dati di altri utenti.
• Controllo degli accessi interno: l'accesso al database di produzione è limitato a un numero ristretto di amministratori, con autenticazione a due fattori obbligatoria sui pannelli di Supabase, Vercel e GitHub e applicazione del principio del minimo privilegio.
• Gestione dei segreti: credenziali sensibili (chiavi API dei sub-processor, client secret OAuth di Google, service role del database) sono archiviate come variabili d'ambiente cifrate sul provider di hosting (Vercel) e mai presenti in chiaro nel codice sorgente o nei log.
• Token OAuth di terze parti: i refresh token rilasciati da Google Calendar sono memorizzati esclusivamente nel database UE con la cifratura at rest sopra descritta; sono accessibili solo al processo server-side di Bandiora tramite service role e vengono revocati e cancellati alla disconnessione (vedi sezione 10).
• Scope minimi: alle API di terze parti chiediamo sempre esclusivamente gli scope strettamente necessari per erogare la funzionalità (es. solo calendar.readonly e calendar.events per Google Calendar, mai accesso al resto dell'account Google).
• Monitoraggio e audit: log applicativi su Vercel e Supabase, rate limiting distribuito su Upstash Redis per prevenire abusi e tentativi di brute force, alert automatici su eventi anomali (errori 5xx, picchi di traffico, fallimenti di autenticazione).
• Risposta agli incidenti: in caso di incidente di sicurezza che comporti rischio elevato per i diritti e le libertà degli interessati, notifichiamo l'Autorità Garante competente entro 72 ore dalla scoperta e comunichiamo agli interessati secondo gli articoli 33 e 34 del GDPR.

Nessuna misura di sicurezza, per quanto rigorosa, può garantire una protezione assoluta. Per segnalare una vulnerabilità o un sospetto incidente di sicurezza ti invitiamo a scrivere a privacy@bandiora.it.

6. Responsabili del trattamento (sub-processor)

Per erogare il servizio ci avvaliamo dei seguenti fornitori terzi che trattano dati per nostro conto:

7. Trasferimento dei dati al di fuori dell'UE

Alcuni dei nostri sub-processor hanno sede negli Stati Uniti. I trasferimenti di dati verso paesi terzi avvengono, in ordine di preferenza, attraverso:

• EU-US Data Privacy Framework (DPF) — decisione di adeguatezza della Commissione Europea del 10 luglio 2023, ove il fornitore sia iscritto all'elenco certificato. Sono attualmente certificati DPF: Supabase Inc., Vercel Inc., Anthropic PBC, Meta Platforms Inc., Google LLC, Upstash Inc., Cloudflare Inc.
• Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea per eventuali fornitori non aderenti al DPF.
• Ulteriori misure di garanzia previste dalla normativa applicabile.

Supabase conserva i dati in data center situati nell'Unione Europea; il servizio WhatsApp Business è ospitato su Oracle Cloud Infrastructure in regione Milano (Italia).

8. Conservazione dei dati

Alla cancellazione dell'account, i dati personali vengono eliminati o anonimizzati entro 30 giorni, fatti salvi gli obblighi di legge (in particolare conservazione decennale dei dati di fatturazione).

9. Diritti dell'interessato

In qualità di interessato, hai il diritto di:

• Accesso — ottenere conferma dell'esistenza di un trattamento e accedere ai tuoi dati
• Rettifica — chiedere la correzione di dati inesatti o incompleti
• Cancellazione — chiedere la cancellazione dei tuoi dati (“diritto all'oblio”)
• Limitazione — chiedere la limitazione del trattamento in determinati casi
• Portabilità — ricevere i tuoi dati in un formato strutturato e leggibile da dispositivo automatico. Puoi esportare i tuoi dati in qualsiasi momento dalla sezione Impostazioni del tuo account
• Opposizione — opporti al trattamento basato sul legittimo interesse
• Revoca del consenso — revocare in qualsiasi momento il consenso prestato, senza pregiudizio per la liceità del trattamento basata sul consenso prima della revoca

Per esercitare i tuoi diritti, scrivi a privacy@bandiora.it. Risponderemo entro 30 giorni dalla ricezione della richiesta.

10. Integrazione Google Calendar e conformità con la Google API Services User Data Policy

Bandiora offre ai professionisti iscritti al Piano Consulentela possibilità, del tutto opzionale, di connettere il proprio account Google Calendar per sincronizzare le prenotazioni di video-consulenza. La presente sezione descrive in modo trasparente come trattiamo i dati ottenuti dalle API di Google e come adempiamo agli obblighi della Google API Services User Data Policy, incluse le clausole di Limited Use.

10.1 A chi è destinata l'integrazione

L'integrazione con Google Calendar è disponibile esclusivamente per gli utenti con un abbonamento attivo al Piano Consulente che decidono volontariamente di attivarla. Senza connessione il servizio Bandiora resta pienamente fruibile; la disconnessione è possibile in qualsiasi momento dalla sezione “Calendario” del portale consulente.

10.2 Scope OAuth richiesti e motivazione

Chiediamo unicamente i due scope strettamente necessari a erogare la funzionalità:

• https://www.googleapis.com/auth/calendar.readonly — necessario per leggere le fasce di occupazione (free/busy) del calendario selezionato dal consulente, così da evitare doppie prenotazioni e proporre solo gli slot effettivamente disponibili.
• https://www.googleapis.com/auth/calendar.events — necessario per creare, aggiornare e cancellare nel calendario del consulente esclusivamente gli eventi relativi alle video-consulenze prenotate tramite Bandiora, completi del link Google Meet generato automaticamente.

10.3 Dati a cui accediamo e dati che conserviamo

Sul calendario selezionato leggiamo esclusivamente le fasce free/busy; non leggiamo i titoli, le descrizioni, i partecipanti o i contenuti di eventi non creati da Bandiora. Scriviamo nel calendario soltanto gli eventi generati dalle prenotazioni di consulenza effettuate attraverso la nostra piattaforma. Sui nostri server conserviamo: l'email dell'account Google autorizzato, l'ID del calendario selezionato, il token di refresh OAuth, e l'ID dei singoli eventi creati da Bandiora per poterli successivamente aggiornare o cancellare.

10.4 Conservazione e protezione dei token

Il refresh token rilasciato da Google è archiviato nel database PostgreSQL gestito da Supabase, in regione UE (eu-west-1), con cifratura at rest AES-256 applicata dal provider e accessi protetti dalle misure descritte nella sezione 5. Il token non è mai esposto all'interfaccia utente, non è incluso in alcun log e non è leggibile in chiaro al di fuori di interventi di assistenza tecnica autenticati e tracciati. L'access token di breve durata viene generato a runtime per ogni chiamata e non è persistito.

10.5 Come revocare l'accesso

Il consulente può disconnettere Google Calendar in qualsiasi momento dalla sezione “Calendario” del proprio portale Bandiora. Alla disconnessione il refresh token viene immediatamente revocatopresso Google tramite l'endpoint ufficiale https://oauth2.googleapis.com/revokee i riferimenti al token vengono eliminati dal nostro database entro 24 ore. In aggiunta, l'utente può sempre revocare l'autorizzazione direttamente dalla pagina https://myaccount.google.com/permissions.

10.6 Limited Use Disclosure

10.7 Esclusione esplicita di training AI

Ribadiamo che i dati ottenuti tramite Google Calendar (eventi, fasce free/busy, indirizzo email dell'account Google) non vengono mai inviati ai nostri fornitori di intelligenza artificiale (in particolare Anthropic Claude) e non sono inclusi in alcun prompt, dataset di addestramento o pipeline di fine-tuning.

10.8 Contatto dedicato

Per qualsiasi richiesta specifica relativa al trattamento dei dati ottenuti dalle API di Google o per esercitare i tuoi diritti su tali dati, scrivi a privacy@bandiora.it.

11. Cookie

Per informazioni dettagliate sui cookie utilizzati dal sito, consulta la nostra Cookie Policy.

12. Modifiche alla presente informativa

Ci riserviamo il diritto di aggiornare la presente informativa in qualsiasi momento. In caso di modifiche sostanziali, ne daremo comunicazione tramite avviso sulla piattaforma o via email. Ti invitiamo a consultare periodicamente questa pagina per prendere visione dell'informativa più aggiornata.