Informativa sulla privacy.

Il titolare del trattamento dei dati personali è Marino Panariello, persona fisica residente in Italia, gestore e sviluppatore del progetto Fabloo. Per qualsiasi richiesta inerente al trattamento dei dati personali (esercizio dei diritti previsti agli artt. 15-22 GDPR, reclami, chiarimenti) è possibile scrivere a [email protected]. Il progetto è attualmente in fase beta gratuita. La partita IVA verrà attivata prima dell’avvio dei piani a pagamento; i relativi dati identificativi e fiscali saranno indicati in questa pagina al momento dell’attivazione.

Trattiamo unicamente i dati strettamente necessari al servizio:

• —Dati account — nome, email, ruolo, organizzazione di appartenenza, hash della password (mai in chiaro).
• —Dati operativi— anagrafiche di clienti, animatori, fornitori, eventi e materiali inseriti dall’agenzia titolare del proprio account.
• —Comunicazioni — post in bacheca interna, conferme di lettura, allegati caricati.
• —Dati tecnici— indirizzo IP, user-agent, log di accesso, identificativi di sessione, data e ora dell’ultimo accesso autenticato. Conservati per finalità di sicurezza, prevenzione abusi e diagnostica.
• —Dati dell’app mobile— per gli animatori che usano l’applicazione iOS/Android: token di notifica push, tipo di piattaforma (iOS o Android) e nome del dispositivo, registrati al solo fine di recapitare gli avvisi su eventi assegnati e comunicazioni. Nessun dato viene raccolto a fini pubblicitari o di tracciamento tra app di terzi.
• —Dati di fatturazione e pagamento— quando l’agenzia sottoscrive un piano a pagamento: dati di fatturazione, identificativo cliente del circuito di pagamento e stato dell’abbonamento. I dati della carta sono trattati direttamente dal fornitore di pagamento e non transitano dai nostri server.
• —Dati di integrazione— se l’agenzia attiva il connettore Pipedrive, vengono trattati gli identificativi del tenant Pipedrive, i token API (cifrati lato server con AES-256-GCM) e i deal sincronizzati come eventi.

• —Esecuzione del contratto (art. 6.1.b GDPR) — erogazione del servizio gestionale, accesso ai moduli, supporto clienti.
• —Legittimo interesse (art. 6.1.f GDPR) — sicurezza della piattaforma, prevenzione abusi, analisi tecnica anonima.
• —Consenso (art. 6.1.a GDPR) — solo per i cookie analitici facoltativi e per eventuali comunicazioni commerciali. Vedi la Cookie Policy.
• —Obblighi di legge (art. 6.1.c GDPR) — conservazione di documenti contabili e adempimenti normativi.

Il conferimento dei dati di account e dei dati operativi è necessario per l’erogazione del Servizio: il rifiuto di fornirli rende impossibile la creazione dell’account o l’utilizzo dei relativi moduli. Il conferimento dei dati legati ai cookie analitici è invece facoltativo e non pregiudica l’uso della piattaforma.

I dati sono trattati con strumenti automatizzati e con misure di sicurezza tecniche e organizzative adeguate. Architettura multi-tenant:

• —Isolamento dei dati a livello di riga (Row Level Security PostgreSQL): ogni organizzazione vede esclusivamente i propri record.
• —Autenticazione gestita da provider conforme con password memorizzate solo come hash, supporto a reset email e sessione firmata.
• —Trasmissione cifrata in TLS 1.2+ tra browser e server.
• —Secret e token di integrazioni (es. Pipedrive) cifrati a riposo con AES-256-GCM e chiave derivata via scrypt.
• —Log di accesso ridotti al minimo e revisionati periodicamente.

Per erogare il servizio Fabloo si avvale di fornitori selezionati che operano come responsabili del trattamento ai sensi dell’art. 28 GDPR. I principali sono:

• —Supabase Inc. — database, autenticazione, storage e funzioni serverless. Regione di hosting: Unione Europea. Atto di nomina e DPA standard.
• —Hetzner Online GmbH— hosting dell’infrastruttura applicativa su server situati in Germania (Unione Europea).
• —Stripe Payments Europe Ltd (Irlanda) — elaborazione dei pagamenti e gestione degli abbonamenti, con Stripe, Inc. (USA) come ulteriore responsabile. Attivo solo per le agenzie che sottoscrivono un piano a pagamento.
• —Resend, Inc. (USA) — invio delle email transazionali (conferme, inviti, notifiche di servizio).
• —Expo (650 Industries, Inc.) (USA), Apple Inc. (APNs) e Google LLC (Firebase Cloud Messaging) — recapito delle notifiche push dell’app mobile. Trattano il solo token del dispositivo e il contenuto della notifica, esclusivamente per la consegna.
• —Pipedrive OÜ— solo se l’agenzia attiva il relativo connettore. In tal caso il titolare resta l’agenzia cliente e Fabloo agisce come responsabile del flusso dati.
• —Google LLC (USA) — Google Analytics 4 e Search Console, solo previo consenso analitico.

L’elenco sopra riportato è completo e aggiornato. L’eventuale aggiunta o sostituzione di un responsabile esterno sarà comunicata in questa pagina con congruo preavviso. Per richieste di dettaglio è possibile scrivere a [email protected].

• —Dati account e operativi: per tutta la durata del rapporto e fino a 24 mesi dopo la cessazione, salvo obblighi di conservazione previsti dalla legge.
• —Log tecnici di sicurezza: 12 mesi.
• —Dati fiscali e contabili: 10 anni come da normativa.
• —Cookie analitici: massimo 13 mesi dal rilascio.

In qualunque momento l’utente può esercitare i diritti previsti dagli artt. 15-22 GDPR:

• —Accesso ai propri dati e copia degli stessi (art. 15)
• —Rettifica di dati inesatti o incompleti (art. 16)
• —Cancellazione (diritto all'oblio) nei limiti di legge (art. 17)
• —Limitazione del trattamento (art. 18)
• —Portabilità dei dati in formato strutturato (art. 20)
• —Opposizione al trattamento basato su legittimo interesse (art. 21)
• —Revoca del consenso in qualunque momento, senza pregiudizio per la liceità del trattamento già svolto

Per esercitare i propri diritti scrivere a [email protected]. Risposta entro 30 giorni. È inoltre possibile presentare reclamo all’Autorità Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

I dati sono ospitati primariamente in data center situati nell’Unione Europea (Supabase e Hetzner). Alcuni responsabili esterni hanno sede negli Stati Uniti — Stripe, Inc., Resend, Inc. e Google LLC: per tali soggetti il trasferimento avviene sulla base dell’adesione al EU-US Data Privacy Framework e, in via subordinata o integrativa, delle Clausole Contrattuali Standard adottate dalla Commissione UE. Una copia delle garanzie applicate è disponibile scrivendo a [email protected].

Fabloo può aggiornare la presente informativa in caso di evoluzioni tecnologiche o normative. Eventuali modifiche sostanziali saranno comunicate via email agli utenti registrati e con preavviso ragionevole. La data dell’ultimo aggiornamento è indicata in alto a sinistra.