Informativa sul trattamento dei dati personali
Versione 2.1, 16 settembre 2026. Resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 e del d.lgs. 196/2003.
1. Titolare del trattamento
Gianmaria Palumbo, ditta individuale, partita IVA 11703831005, domicilio in via Flaminia 732/i, 00191 Roma, posta elettronica ciao@rispondi.eu.
Non è stato designato un responsabile della protezione dei dati: l'art. 37 del Regolamento lo richiede per le autorità pubbliche e per chi, come attività principale, monitora in modo regolare e sistematico gli interessati su larga scala o tratta su larga scala categorie particolari di dati, e nessuno dei due casi riguarda questo servizio. Per ogni questione sui dati il riferimento è l'indirizzo qui sopra.
2. A chi si rivolge questa informativa
Ai clienti e ai loro referenti; a chi visita il sito; a chi usa la prova gratuita; a chi lascia il proprio indirizzo per essere contattato; a chi riceve un nostro primo messaggio; e, nella sezione 10, a chi ha scritto una recensione a un'attività nostra cliente.
3. Finalità, dati, basi giuridiche e conservazione
Ogni trattamento ha una sola finalità e una base giuridica indicata con l'articolo del Regolamento. Non trattiamo categorie particolari di dati dell'art. 9, salvo quelle che un recensore abbia scelto di scrivere nella propria recensione, che non usiamo per altro che la bozza di risposta.
| Finalità | Dati | Base giuridica | Conservazione | Conferimento |
|---|---|---|---|---|
| Fornire il servizio al cliente: account, collegamento a Google, consolle, bozze referenti del cliente | nome, indirizzo di posta, dati dell'account Google usato per l'autorizzazione, impostazioni di tono | esecuzione del contratto, art. 6, par. 1, lett. b) | per la durata del contratto e 30 giorni dopo la cessazione | necessari: senza, il servizio non si può fornire |
| Concludere il contratto e provare l'approvazione specifica delle clausole vessatorie referenti del cliente | indirizzo di posta, data e ora, versione e impronta delle clausole, indirizzo IP, agente utente | esecuzione di misure precontrattuali e del contratto, art. 6, par. 1, lett. b); accertamento e difesa di un diritto, lett. f) | 10 anni dalla firma, termine di prescrizione ordinaria (art. 2946 c.c.) | necessari per concludere il contratto |
| Incassare i corrispettivi, emettere e conservare le fatture clienti e loro referenti | dati di fatturazione, partita IVA, codice SDI o PEC, esito del controllo VIES, identificativi Stripe | esecuzione del contratto, lett. b); obblighi fiscali e contabili, lett. c) | 10 anni (art. 2220 c.c. e norme fiscali) | necessari, previsti dalla legge |
| Prova gratuita senza account chi incolla una recensione nella pagina /prova, e il recensore citato | testo della recensione incollata, nome dell'attività e firma inseriti | misure precontrattuali su richiesta dell'interessato, lett. b), e legittimo interesse a mostrare il servizio, lett. f) | nessuna: il testo vive il tempo della richiesta e non viene salvato | facoltativi |
| Contattare chi ha chiesto di essere contattato chi compila il modulo /iscriviti | nome dell'attività, paese, indirizzo di posta, data e versione dell'informativa accettata | consenso, art. 6, par. 1, lett. a), e art. 130 d.lgs. 196/2003 | 24 mesi dal consenso se non segue un contratto, o fino alla revoca | facoltativi; il consenso si revoca con un clic |
| Primo contatto commerciale verso attività nei paesi aperti della pagina /paesi indirizzi di persone giuridiche, nei soli paesi e per i soli tipi di indirizzo che la pagina /paesi indica come aperti; mai ditte individuali né caselle nominative | nome dell'attività, recapito pubblico, recensione pubblica usata come esempio | legittimo interesse, lett. f), nei soli paesi e verso i soli destinatari per cui la legge nazionale ammette l'opposizione successiva; mai dove la legge nazionale chiede il consenso, né nei paesi non verificati | fino a 24 mesi dal contatto se non segue risposta; l'opposizione si conserva 10 anni | dati ottenuti da fonti pubbliche, informativa art. 14 nel primo messaggio |
| Rispettare l'opposizione a ricevere messaggi chi si è opposto | indirizzo di posta, data, origine della richiesta | obbligo di legge, lett. c), e legittimo interesse a non ricontattare, lett. f) | 10 anni | necessari per rispettare l'opposizione |
| Gestire le richieste degli interessati chi esercita i propri diritti | indirizzo di posta, tipo e testo della richiesta, date di ricezione e risposta | obbligo di legge, artt. 12-22 del Regolamento, lett. c) | 5 anni dalla chiusura | necessari per rispondere |
| Sicurezza del servizio e prevenzione degli abusi chiunque usi il sito | indirizzo IP e agente utente, conteggi di richieste | legittimo interesse alla sicurezza, lett. f), considerando 49 | i contatori stanno in memoria e si azzerano entro un'ora; i registri tecnici di Vercel secondo il loro contratto | necessari per usare il sito |
Scaduti i termini, i dati vengono cancellati o resi anonimi. Le recensioni lette da Google non restano oltre 30 giorni; del testo pubblicato si conserva solo l'impronta crittografica, che non permette di ricostruirlo.
4. Quando la base è il legittimo interesse
Per ciascun uso abbiamo fatto e documentato la valutazione in tre passaggi: interesse legittimo, necessità, bilanciamento con i diritti di chi è coinvolto. In sintesi:
- Sicurezza. Contare le richieste per indirizzo IP è il modo meno invasivo di impedire abusi della prova gratuita e dell'invio dei codici; i contatori non si salvano.
- Prova del contratto. Conservare il registro della firma serve a dimostrare, in caso di contestazione, che le clausole sono state approvate; è l'unico uso che se ne fa.
- Primo contatto nei paesi aperti. Solo verso indirizzi di persone giuridiche, solo nei paesi e per i tipi di indirizzo che la pagina Paesi indica come aperti, cioè dove la legge nazionale consente di scrivere salvo opposizione. Un messaggio, dichiarato come scritto da un sistema automatico, con l'origine dei dati e il collegamento per opporsi. Dove la legge chiede il consenso, come in Italia, Germania e Spagna, e nei paesi non verificati, non scriviamo mai per primi. Mai a ditte individuali o a caselle intestate a una persona.
Contro ogni trattamento basato sul legittimo interesse potete opporvi in qualsiasi momento (art. 21). Per il primo contatto l'opposizione è incondizionata e basta un clic.
5. Da dove vengono i dati
Per lo più li fornite voi. Le recensioni e i dati del profilo dell'attività li leggiamo da Google, solo dopo che il titolare del profilo ci ha autorizzati con il proprio account. Per il primo contatto nei paesi aperti nome e recapito pubblico dell'attività vengono da OpenStreetMap, base dati aperta con licenza ODbL. Nessun elenco comprato, nessuna raccolta a strascico di indirizzi dai siti.
6. Chi riceve i dati
I dati non vengono venduti né ceduti. Li trattano solo i fornitori indicati qui, ciascuno per la sola parte che gli serve. I responsabili agiscono sulle nostre istruzioni con un contratto ai sensi dell'art. 28; i titolari autonomi trattano i dati secondo le proprie informative.
| Fornitore | Ruolo | Cosa fa e quali dati | Dove | Contratto |
|---|---|---|---|---|
| Vercel Vercel Inc., Stati Uniti | responsabile | esegue l'applicazione e serve le pagine del sito. Dati: indirizzo IP e dati tecnici delle richieste, contenuti in transito. | funzioni eseguite nella regione di Francoforte | leggi |
| Neon Databricks, Inc., Stati Uniti, che controlla Neon | responsabile | ospita la banca dati. Dati: tutti i dati conservati dal servizio. | regione di Francoforte | leggi |
| Mistral AI Mistral AI SAS, Francia | responsabile | genera le bozze di risposta con un modello di intelligenza artificiale. Dati: testo della recensione, nome visualizzato del recensore, valutazione, impostazioni di tono del cliente. | Unione europea | leggi |
| Resend Resend, Inc., Stati Uniti | responsabile | spedisce e riceve la posta di ciao@rispondi.eu. Dati: indirizzi di posta, contenuto dei messaggi. | regione eu-west-1, Irlanda | leggi |
| Stripe Stripe Payments Europe, Limited, Irlanda | titolare autonomo | incassa i pagamenti; per antifrode, antiriciclaggio e obblighi di legge tratta i dati come titolare autonomo. Dati: nome, indirizzo di fatturazione, posta, partita IVA, dati della carta, che il fornitore non riceve. | Unione europea, con trasferimenti verso Stripe, LLC negli Stati Uniti | leggi |
| Google Google Ireland Limited, Irlanda | titolare autonomo | ospita il profilo dell'attività e le recensioni, e ne consente la lettura e la risposta tramite API su autorizzazione del cliente. Dati: recensioni, risposte, dati del profilo dell'attività, dati dell'account usato per l'autorizzazione. | infrastruttura di Google | leggi |
| Commissione europea, sistema VIES Commissione europea | titolare autonomo | verifica la validità della partita IVA dei clienti europei. Dati: partita IVA del cliente. | Unione europea | leggi |
| OpenStreetMap fonte pubblica, OpenStreetMap Foundation | titolare autonomo | è la fonte da cui leggiamo nome, indirizzo e recapiti pubblici delle attività; non riceve dati da noi oltre la richiesta di ricerca. Dati: nessun dato personale inviato, solo i criteri di ricerca. | server del servizio Overpass | leggi |
I dati possono essere comunicati alle autorità che li richiedano in base alla legge, e al commercialista incaricato per gli adempimenti fiscali.
7. Trasferimenti fuori dallo Spazio economico europeo
- Vercel: società statunitense certificata all'EU-U.S. Data Privacy Framework, con clausole contrattuali tipo 2021/914 nel contratto sul trattamento.
- Neon: clausole contrattuali tipo 2021/914 con Databricks, controparte del contratto sul trattamento.
- Mistral AI: nessun trasferimento fuori dallo Spazio economico europeo dichiarato per il servizio usato; piano API a pagamento, con i dati esclusi dall'addestramento.
- Resend: società statunitense aderente all'EU-U.S. Data Privacy Framework, con clausole contrattuali tipo 2021/914 incorporate nel contratto sul trattamento.
- Stripe: EU-U.S. Data Privacy Framework e clausole contrattuali tipo, secondo l'informativa di Stripe.
- Google: regolato dal rapporto fra il cliente e Google.
Copia delle garanzie adottate si può chiedere all'indirizzo del titolare.
8. Uso dell'intelligenza artificiale
Le bozze di risposta sono generate da un modello di Mistral AI. Il modello riceve il testo della recensione, il nome visualizzato del recensore, la valutazione e le impostazioni di tono del cliente; non riceve indirizzi di posta né dati di pagamento. I dati inviati non vengono usati per addestrare modelli.
Non ci sono decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo sulle persone (art. 22): ogni bozza viene letta e approvata, o scartata, da una persona prima di essere pubblicata. Quando vi scriviamo, il messaggio dichiara di essere stato scritto con un sistema di intelligenza artificiale. Il dettaglio è nella pagina come funziona l'IA.
10. Se avete scritto una recensione a un'attività nostra cliente
La vostra recensione è pubblica su Google. Quando l'attività usa il nostro servizio, noi la leggiamo per suo conto e le prepariamo una bozza di risposta: per questo trattamento titolare è l'attività, noi siamo responsabili ai sensi dell'art. 28, e trattiamo nome visualizzato, testo, valutazione e data solo per scrivere quella bozza.
Non costruiamo profili dei recensori, non incrociamo le recensioni di attività diverse, non vi contattiamo e non conserviamo la recensione oltre 30 giorni. La risposta la pubblica l'attività, con la sua firma.
I vostri diritti si esercitano verso l'attività. Se scrivete a noi, vi aiutiamo: inoltriamo la richiesta all'attività entro cinque giorni e la assistiamo nel rispondere.
11. I vostri diritti
- accesso ai dati e copia (art. 15);
- rettifica dei dati inesatti (art. 16);
- cancellazione, nei casi previsti (art. 17);
- limitazione del trattamento (art. 18);
- portabilità, in formato strutturato e leggibile da dispositivo (art. 20);
- opposizione ai trattamenti basati sul legittimo interesse, e sempre al contatto commerciale (art. 21);
- revoca del consenso in qualsiasi momento, senza effetti sui trattamenti già fatti (art. 7, par. 3).
Si esercitano dal modulo per i diritti o scrivendo a ciao@rispondi.eu. Rispondiamo entro un mese, prorogabile di due mesi nei casi complessi con avviso motivato entro il primo mese (art. 12, par. 3). La risposta è gratuita. Per le richieste di accesso o cancellazione possiamo chiedere una conferma dallo stesso indirizzo, per evitare di consegnare i vostri dati a qualcun altro.
12. Reclamo all'autorità di controllo
Se ritenete che il trattamento violi il Regolamento potete proporre reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, protocollo@gpdp.it, PEC protocollo@pec.gpdp.it, garanteprivacy.it, oppure all'autorità dello Stato in cui risiedete o lavorate.
13. Sicurezza e violazioni dei dati
Connessioni sempre cifrate; banca dati in Unione europea con cifratura a riposo; il gettone di accesso a Google resta sul server e non passa mai dal browser; nessuna password di account terzi viene chiesta o conservata; delle risposte approvate si conserva l'impronta e non il testo; accesso ai dati limitato al titolare.
In caso di violazione dei dati personali notifichiamo il Garante entro 72 ore da quando ne veniamo a conoscenza, salvo che la violazione sia improbabile che presenti un rischio (art. 33), e informiamo senza ingiustificato ritardo le persone coinvolte quando il rischio è elevato (art. 34).
14. Minori e modifiche
Il servizio è rivolto a imprese e professionisti e non a minori. Questa informativa può cambiare quando cambiano i trattamenti: ogni versione ha un numero e una data, e i clienti ricevono avviso per posta delle modifiche sostanziali.