Informativa sulla privacy

1. L'applicazione

Search House League CRM è un gestionale ad accesso riservato, usato dal personale di Search House League S.r.l. per seguire aziende clienti e potenziali clienti, contatti di riferimento, trattative, contratti e attività commerciali. Non è un servizio aperto al pubblico: non esiste una registrazione libera. Gli account sono creati dall'amministrazione e l'accesso avviene tramite un link temporaneo a uso singolo, inviato all'indirizzo email aziendale dell'utente. Chi non ha un account non può accedere ad alcun dato.

2. Titolare e responsabile del trattamento

Il titolare del trattamento è Search House League S.r.l., che decide finalità e modalità del trattamento dei dati contenuti nell'applicazione. Non è stato nominato un responsabile della protezione dei dati.

• Titolare del trattamento: Search House League S.r.l., Via Borromei 6, 20123 Milano (MI) — P. IVA e codice fiscale 10642430960, REA MI-2546645, PEC [email protected].
• Responsabile del trattamento: Develrock S.r.l., Via Padova 92, 20131 Milano (MI) — P. IVA e codice fiscale 12681920968, REA MI-2677721. Develrock ha sviluppato l'applicazione e ne cura la manutenzione tecnica, trattando i dati esclusivamente su istruzione del titolare e nei limiti dell'atto di nomina previsto dall'articolo 28 del GDPR.

Per qualsiasi richiesta relativa ai tuoi dati personali puoi scrivere a [email protected].

3. Dati personali che trattiamo

L'applicazione tratta i dati dell'account utente, i dati tecnici generati dall'uso dell'applicazione, i dati commerciali che gli utenti vi inseriscono e, solo per chi lo attiva, i dati dell'account Google collegato.

• Dati dell'account: nome, cognome, indirizzo email aziendale, ruolo assegnato, lingua dell'interfaccia e search house di appartenenza.
• Dati tecnici e di sessione: token di sessione, indirizzo IP, identificativo del browser, data e ora degli accessi, preferenze di visualizzazione salvate in cookie tecnici.
• Dati inseriti nell'applicazione: anagrafiche delle aziende, dati dei referenti (nome, ruolo, indirizzi email, numeri di telefono), trattative, contratti e documenti allegati, note di lavoro, promemoria e cronologia delle attività. Si tratta prevalentemente di dati riferiti a persone fisiche nella loro veste professionale.
• Dati dell'account Google, solo per gli utenti che collegano Google Calendar: vedi le sezioni seguenti.

4. Dati Google: quali autorizzazioni chiediamo e perché

Il collegamento con Google Calendar è facoltativo e va attivato dall'utente dalla pagina Agenda. Finché non viene attivato, l'applicazione non accede in alcun modo all'account Google. All'attivazione, Google mostra la propria schermata di consenso e l'applicazione richiede due autorizzazioni, ciascuna per una funzione precisa:

• https://www.googleapis.com/auth/calendar.readonly — lettura degli eventi del calendario principale dell'utente. Serve a mostrare l'agenda personale dentro l'applicazione, accanto ai promemoria del CRM, così da avere gli impegni della giornata in un'unica schermata. Vengono richiesti solo gli eventi compresi nell'intervallo di date effettivamente visualizzato, al massimo due mesi per richiesta, e ne vengono usati titolo, luogo, orario di inizio e fine e il collegamento all'evento su Google Calendar.
• https://www.googleapis.com/auth/calendar — creazione, aggiornamento ed eliminazione degli eventi generati dall'applicazione. Serve a riportare i promemoria del CRM sul calendario dell'utente e a mantenerli allineati: quando un promemoria viene modificato o eliminato, l'evento corrispondente viene aggiornato o rimosso. L'applicazione crea nell'account un calendario dedicato, chiamato «Search House League CRM», e scrive esclusivamente al suo interno.

Google non prevede un'autorizzazione più circoscritta per scrivere eventi su un calendario: l'ambito di scrittura completo è l'unico disponibile per questa funzione. L'applicazione lo usa unicamente per le operazioni descritte sopra e non modifica né elimina eventi che non ha creato lei stessa.

5. Dati Google: cosa conserviamo

Conserviamo il minimo necessario a far funzionare la sincronizzazione.

• I token di accesso e di aggiornamento rilasciati da Google, conservati cifrati nel nostro database e usati soltanto per le chiamate alle API di Google Calendar descritte sopra.
• L'indirizzo email dell'account Google collegato, per mostrare all'utente quale account è in uso.
• Non conserviamo copia degli eventi del calendario. Gli eventi letti vengono richiesti a Google al momento della visualizzazione, mostrati a schermo e non salvati.
• Degli eventi creati dall'applicazione conserviamo solo i riferimenti tecnici — identificativo del calendario e dell'evento — necessari ad aggiornarli o eliminarli quando cambia il promemoria corrispondente.

Gli eventi del calendario Google di un utente sono visibili soltanto a lui: nessun altro utente dell'applicazione può leggerli. I promemoria registrati nel CRM, invece, vengono scritti anche sul calendario dei colleghi che hanno titolo a vederli in applicazione, perché sono impegni di lavoro condivisi.

6. Dati Google: cosa non facciamo

I dati ottenuti dalle API di Google sono usati esclusivamente per fornire e migliorare le funzioni di agenda descritte in questa informativa. In particolare:

• non li trasferiamo a terze parti, salvo quanto strettamente necessario a fornire e mantenere la funzione di sincronizzazione, per adempiere a un obbligo di legge o su richiesta di un'autorità;
• non li usiamo per pubblicità, profilazione o attività di marketing, e non li vendiamo a nessuno;
• non li usiamo per sviluppare, migliorare o addestrare modelli di intelligenza artificiale generalizzati;
• nessun operatore umano li legge, salvo tuo consenso esplicito, per ragioni di sicurezza — ad esempio per accertare un abuso — per adempiere a un obbligo di legge, o quando i dati sono aggregati e resi anonimi.

7. Dati Google: conformità alle Limited Use requirements

L'uso e il trasferimento a qualsiasi altra applicazione delle informazioni ricevute dalle API di Google da parte di Search House League CRM rispettano la Google API Services User Data Policy, inclusi i requisiti di Limited Use. Nella formulazione originale: «Search House League CRM's use and transfer to any other app of information received from Google APIs will adhere to Google API Services User Data Policy, including the Limited Use requirements.» Il testo integrale della policy è disponibile su https://developers.google.com/terms/api-services-user-data-policy

8. Dati Google: come revocare l'accesso

Puoi interrompere il collegamento in qualsiasi momento dalla pagina Agenda dell'applicazione, con il pulsante «Disconnetti». Alla disconnessione l'applicazione elimina dal proprio database i token rilasciati da Google e i riferimenti agli eventi creati. Gli eventi già scritti restano nel tuo account Google e puoi rimuoverli tu: essendo raccolti in un calendario dedicato, puoi eliminarli tutti insieme cancellando quel calendario. Puoi inoltre revocare l'autorizzazione direttamente dal tuo account Google, dalla pagina https://myaccount.google.com/permissions

9. Finalità del trattamento e basi giuridiche

Trattiamo i dati per le finalità elencate qui sotto, ciascuna con la propria base giuridica ai sensi dell'articolo 6 del GDPR.

• Gestione degli account e autenticazione, per consentire al personale autorizzato di accedere all'applicazione. Base giuridica: esecuzione del rapporto contrattuale in essere con l'utente e legittimo interesse del titolare a proteggere i propri sistemi (art. 6, par. 1, lett. b e f).
• Gestione delle relazioni commerciali: anagrafiche, referenti, trattative, contratti, note e promemoria. Base giuridica: legittimo interesse del titolare allo svolgimento della propria attività di impresa e, per i rapporti in essere, esecuzione del contratto (art. 6, par. 1, lett. f e b).
• Sincronizzazione dell'agenda con Google Calendar. Base giuridica: il consenso che l'utente presta collegando il proprio account Google, revocabile in qualsiasi momento (art. 6, par. 1, lett. a).
• Adempimento degli obblighi di legge, in particolare contabili e fiscali connessi ai contratti. Base giuridica: obbligo legale (art. 6, par. 1, lett. c).
• Sicurezza e diagnostica: registrazione degli errori applicativi e dei log tecnici, per garantire il funzionamento e l'integrità del servizio. Base giuridica: legittimo interesse (art. 6, par. 1, lett. f).

10. A chi comunichiamo i dati

I dati non sono diffusi né ceduti a terzi per finalità proprie. All'interno dell'organizzazione sono accessibili al personale autorizzato secondo il ruolo assegnato nell'applicazione: alcune informazioni, come i dati amministrativi e le note riservate, sono visibili solo all'Amministrazione. Per erogare il servizio ci avvaliamo dei fornitori elencati qui sotto, nominati responsabili del trattamento e vincolati da appositi accordi:

• il fornitore dell'infrastruttura che ospita il server applicativo e il database, situata nell'Unione Europea;
• Cloudflare, per l'archiviazione dei file caricati — contratti, allegati, file di importazione ed esportazione — su un'infrastruttura configurata per mantenere i dati nell'Unione Europea;
• il fornitore di posta elettronica che recapita i link di accesso e le notifiche, attualmente Qboxmail, con infrastruttura in Italia;
• Sentry, per il monitoraggio degli errori applicativi: riceve i dati tecnici dell'errore e, quando disponibile, l'identificativo dell'utente coinvolto;
• Google Ireland Limited, limitatamente ai dati di calendario degli utenti che attivano il collegamento;
• Develrock S.r.l., per lo sviluppo, la manutenzione e l'assistenza tecnica dell'applicazione.

11. Trasferimenti fuori dallo Spazio economico europeo

Server, database e archivio dei file sono collocati nell'Unione Europea. Alcuni fornitori appartengono a gruppi soggetti anche alla normativa statunitense: Cloudflare, Sentry e Google. Anche quando i dati restano fisicamente nell'Unione Europea non si può escludere un accesso da parte di personale situato in paesi terzi. Questi trattamenti sono regolati dagli accordi sul trattamento dei dati sottoscritti con i fornitori, che incorporano le clausole contrattuali tipo approvate dalla Commissione europea e, ove applicabile, l'adesione al EU-U.S. Data Privacy Framework.

12. Per quanto tempo conserviamo i dati

Conserviamo ogni categoria di dati per il tempo necessario alle finalità per cui è stata raccolta.

• Dati dell'account: per tutta la durata dell'abilitazione dell'utente. Alla cancellazione dell'utente i suoi dati anagrafici vengono rimossi, mentre le note e le attività che ha registrato restano nella cronologia dell'azienda a cui si riferiscono — come memoria del rapporto commerciale — senza più il collegamento all'autore.
• Sessioni e dati di accesso: fino alla scadenza della sessione.
• Dati commerciali: per tutta la durata del rapporto con l'azienda e, successivamente, per il tempo necessario a far valere o difendere un diritto.
• Contratti e documenti fiscalmente rilevanti: dieci anni, come previsto dalla normativa civilistica e fiscale.
• Token e riferimenti Google: fino alla disconnessione dell'account o alla revoca dell'autorizzazione da parte dell'utente.
• File di importazione ed esportazione: rimossi automaticamente dall'archivio al termine del periodo di conservazione configurato.
• Log tecnici e segnalazioni di errore: secondo i tempi di conservazione impostati sul servizio di monitoraggio.

13. Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui:

• cifratura del traffico in transito tramite HTTPS su tutte le pagine e le chiamate applicative;
• cifratura a riposo dei token rilasciati dagli account collegati;
• accesso senza password, tramite link temporaneo a uso singolo recapitato all'indirizzo email dell'utente, con sessioni di durata limitata;
• controllo degli accessi basato sui ruoli, applicato sia nell'interfaccia sia lato server;
• limitazione degli accessi tecnici al personale del responsabile che ne ha effettiva necessità.

14. Cookie

L'applicazione usa esclusivamente cookie tecnici, necessari al funzionamento. Non usiamo cookie di profilazione, non facciamo pubblicità e non ci avvaliamo di strumenti di statistica di terze parti: per questo non viene mostrato alcun banner di consenso.

• cookie di sessione, che mantiene l'utente autenticato dopo l'accesso;
• cookie di lingua, che ricorda la lingua scelta per l'interfaccia;
• cookie di preferenza, che ricorda il numero di righe per pagina nelle tabelle.

Il browser conserva inoltre in locale alcune preferenze di visualizzazione, come il tema chiaro o scuro e i filtri dell'agenda: restano sul tuo dispositivo e non vengono trasmesse ai nostri server.

15. I tuoi diritti

In qualità di interessato puoi esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 del GDPR:

• accedere ai dati che ti riguardano e ottenerne copia;
• ottenere la rettifica dei dati inesatti e l'integrazione di quelli incompleti;
• ottenere la cancellazione dei dati, nei casi previsti dalla legge;
• ottenere la limitazione del trattamento;
• ricevere i dati che ci hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico;
• opporti al trattamento fondato sul legittimo interesse;
• revocare il consenso prestato per il collegamento a Google Calendar, senza che ciò pregiudichi la liceità del trattamento svolto prima della revoca.

Per esercitare questi diritti scrivi a [email protected]: riceverai riscontro entro un mese dalla richiesta. Se ritieni che il trattamento dei tuoi dati violi la normativa puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità di controllo dello Stato in cui risiedi.

16. Modifiche a questa informativa

Possiamo aggiornare questa informativa quando cambiano le funzionalità dell'applicazione, i fornitori di cui ci avvaliamo o la normativa applicabile. La versione pubblicata su questa pagina è sempre quella vigente e riporta in alto la data dell'ultimo aggiornamento. Le modifiche sostanziali che riguardano il trattamento dei dati Google saranno comunicate agli utenti che hanno collegato il proprio account.