Informativa privacy e cookie

Ultimo aggiornamento: [data]

1. Titolare del trattamento

[ragione sociale], [sede legale], P. IVA [partita IVA]. Contatto per la privacy: [email privacy].

2. Quali dati trattiamo

• Dati dell'account: email, password (conservata solo in forma cifrata dal fornitore di autenticazione), nome facoltativo.
• Dati della tua attività: le risposte all'onboarding, il sito web che indichi, il profilo dell'attività, strategie, campagne e testi creati.
• Dati pubblicitari: file CSV che importi e, se colleghi un account (Meta Ads, Google Ads, TikTok), metriche e nomi delle campagne. I token di accesso sono cifrati.
• Totali del sito e del negozio, se colleghi Google Analytics o Shopify: visite, conversioni, numero di ordini e vendite giornaliere. Non leggiamo i dati dei tuoi clienti né i singoli ordini oltre a data e importo.
• Dati di pagamento: gestiti da Stripe. Non vediamo né conserviamo i dati della tua carta; conserviamo lo stato dell'abbonamento.
• Dati tecnici: registri di utilizzo dell'AI (quantità, costi, esito), errori tecnici senza dati personali.
• Membri del team: email e ruolo delle persone che inviti.
• Messaggi all'assistenza: il testo che scrivi, il tipo (problema, domanda, suggerimento) e la pagina da cui scrivi.

3. Perché e su quale base

• Fornire il servizio che hai richiesto (esecuzione del contratto, art. 6.1.b GDPR).
• Pagamenti, fatturazione e obblighi fiscali (contratto e obbligo di legge, art. 6.1.b e 6.1.c).
• Sicurezza, prevenzione degli abusi, limiti d'uso e risoluzione dei problemi (legittimo interesse, art. 6.1.f).
• Non usiamo i tuoi dati per pubblicità di terzi e non li vendiamo.

4. Intelligenza artificiale

Per generare profili, strategie, testi e analisi inviamo al fornitore del modello AI (Anthropic) le informazioni necessarie sulla tua attività e i numeri calcolati dai tuoi dati. L'AI non prende decisioni automatiche con effetti giuridici: ogni pubblicazione o modifica di budget richiede una tua conferma esplicita.

5. Dati ricevuti dalle piattaforme che colleghi

Il collegamento è facoltativo e lo avvii tu. Per Google Ads, Google Analytics, TikTok e Shopify chiediamo solo permessi di lettura. Per Meta, se la pubblicazione è attiva, chiediamo anche il permesso di gestire le inserzioni (ads_management): lo usiamo solo quando confermi esplicitamente, nella schermata di conferma, di pubblicare una campagna (creata in pausa) o di cambiare un budget giornaliero. Demory non spende nulla da sola e non modifica nulla senza la tua conferma.

• Meta (permessi ads_read e, se la pubblicazione è attiva, ads_management), Google Ads (adwords) e TikTok (reportistica): nome, valuta e identificativo dell'account pubblicitario; nome, stato e budget delle campagne; metriche giornaliere per campagna (spesa, impressioni, clic, contatti, conversioni, valore delle conversioni).
• Google Analytics 4 (analytics.readonly): nome della proprietà e totali giornalieri del sito (visite, utenti, conversioni, ricavi).
• Shopify (read_orders): nome e valuta del negozio; per ogni giorno, numero di ordini e totale delle vendite. Non salviamo i singoli ordini né dati dei clienti del negozio.

Usiamo questi dati solo per mostrarti i risultati in Demory e per le analisi che richiedi. Alle analisi AI inviamo solo i numeri e i nomi delle campagne necessari, mai i token di accesso. Non vendiamo questi dati, non li usiamo per pubblicità e non li usiamo per addestrare modelli di intelligenza artificiale. Le persone del nostro team non li leggono, salvo tua richiesta di assistenza, per motivi di sicurezza o per obbligo di legge.

I token di accesso sono cifrati (AES-256) e restano sul server. Puoi togliere l'accesso ed eliminare i dati importati in qualsiasi momento: vedi Come eliminare i tuoi dati.

L'uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google rispettano le Google API Services User Data Policy, inclusi i requisiti di Limited Use.

Demory's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

6. A chi comunichiamo i dati (responsabili del trattamento)

• Supabase — database e autenticazione (server in: [regione dei server]).
• Vercel — hosting dell'applicazione.
• Anthropic — elaborazione AI dei contenuti.
• Stripe — pagamenti e abbonamenti.
• Fornitore email per le email di servizio (conferma account, recupero password).
• OpenAI — generazione delle immagini per gli annunci, solo quando la richiedi (riceve la descrizione dell'immagine, non i tuoi dati personali).
• Sentry — monitoraggio degli errori, se attivo, senza dati personali.
• Meta, Google (Ads e Analytics), TikTok e Shopify — solo se scegli di collegarli, per leggere i dati delle tue campagne, del sito e del negozio e, su Meta, per pubblicare ciò che confermi.

Alcuni fornitori possono trattare dati fuori dallo Spazio Economico Europeo: in quel caso il trasferimento avviene con le garanzie previste dal GDPR (decisioni di adeguatezza o clausole contrattuali standard).

7. Per quanto tempo

• Finché il tuo account è attivo. Se elimini l'account, cancelliamo subito i dati dei workspace di cui sei titolare.
• I dati delle piattaforme collegate restano finché non li elimini (Integrazioni → Scollega ed elimina i dati) o non elimini l'account; il token di accesso viene cancellato appena scolleghi.
• I dati di fatturazione restano per il tempo richiesto dalla legge fiscale (in Italia, 10 anni) presso Stripe e nei nostri registri contabili.
• Le copie di backup del database vengono sovrascritte secondo il ciclo del fornitore.

8. I tuoi diritti

Puoi accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, opporti e ottenerne una copia. Dalla pagina Impostazioni puoi scaricare tutti i tuoi dati ed eliminare l'account in autonomia. Per altre richieste scrivi a [email privacy]. Puoi inoltre presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

9. Cookie

Usiamo solo cookie tecnici, necessari al funzionamento del servizio, che non richiedono consenso:

• cookie di sessione dell'autenticazione (per restare collegato);
• demory_business: ricorda l'attività su cui stai lavorando;
• demory_oauth_state: protegge il collegamento con le piattaforme pubblicitarie (10 minuti);
• demory_invite: ricorda l'invito a un team durante la registrazione (7 giorni);
• demory_first_steps_hidden: ricorda che hai nascosto la guida "Primi passi" (1 anno).

Non usiamo cookie di profilazione né strumenti di analisi di terze parti.