Privacy Policy

1. Titolare del trattamento e contatti

CHARUN è un servizio fornito da TOTAL MARKETING S.R.L.S., con sede legale in Via Simeri Crichi 34, 00133 Roma (RM), Italia, P. IVA 15718101007 (di seguito il “Fornitore” o “noi”).

Recapiti:

• privacy@charun.io — richieste in materia di privacy e protezione dei dati personali;
• support@charun.io — assistenza tecnica;
• info@totalmarketingsrls.com — comunicazioni generali e societarie.

La presente informativa riguarda gli utenti della piattaforma CHARUN, accessibile dai domini charun.io e app.charun.io, le organizzazioni clienti (Agenzie e Aziende) e, per quanto pertinente, i dati dei contatti commerciali (“lead”) trattati tramite il servizio per conto dei clienti.

2. Ruoli nel trattamento

Il Fornitore è titolare del trattamento dei dati personali degli utenti relativi alla registrazione e alla gestione degli account, alla sicurezza del servizio, all’assistenza e alla gestione del rapporto contrattuale.

Per i dati dei lead, il Fornitore opera di norma come responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”), per conto e secondo le istruzioni del cliente. Titolare dei dati dei lead è, di regola, l’Azienda che raccoglie i contatti; quando l’Agenzia opera a sua volta come responsabile per conto dell’Azienda, il Fornitore agisce come sub-responsabile. La corretta qualificazione dipende dai rapporti concreti tra Agenzia e Azienda: l’uso di CHARUN non trasferisce al Fornitore la titolarità dei dati dei lead. Il trattamento per conto del cliente è regolato dall’art. 28 GDPR e da un Accordo sul trattamento dei dati (DPA) da sottoscrivere tra il Fornitore e il cliente.

3. Il servizio e la provenienza dei dati

CHARUN consente ad Agenzie e Aziende di ricevere lead da Meta Lead Ads, Google Moduli e Google Fogli, GoHighLevel, moduli di siti WordPress e altri sistemi collegati tramite l’endpoint di ricezione del servizio, e di organizzarli tramite stati, note, promemoria, cronologia delle attività, segnalazione di possibili duplicati, registrazione delle vendite, notifiche, report e richieste di assistenza.

I dati dei lead provengono dai moduli e dai sistemi configurati dai clienti: non sono raccolti direttamente dal Fornitore presso gli interessati. Il titolare che raccoglie i dati è tenuto a fornire agli interessati la propria informativa.

4. Categorie di dati trattati

Utenti della piattaforma: nome e cognome, indirizzo email, credenziali e identificativi di autenticazione, organizzazione di appartenenza e ruolo, lingua, fuso orario e preferenze, inviti ricevuti o inviati, indirizzo IP, informazioni sul browser e sul dispositivo (user agent), dati delle sessioni di accesso, dati tecnici dei dispositivi su cui sono attivate le notifiche push, notifiche ricevute, messaggi e richieste di assistenza.

Organizzazioni clienti: denominazione, recapiti, configurazioni del servizio, identificativi delle integrazioni collegate e degli utenti che le hanno collegate, note e attività registrate nel Diario attività delle Aziende.

Lead: nome, cognome, email, telefono, risposte integrali ai moduli, campagna, modulo e fonte di provenienza, identificativi tecnici esterni, note, cronologia delle azioni e relativo autore, promemoria e richiami, esiti e importi di vendita ove inseriti dagli utenti, dati normalizzati utilizzati per individuare possibili duplicati.

Dati tecnici: registri tecnici e informazioni di diagnostica necessari al funzionamento, alla sicurezza e alla risoluzione dei problemi del servizio.

5. Categorie particolari di dati, inclusi dati relativi alla salute

Le risposte ai moduli configurati dai clienti possono contenere dati appartenenti alle categorie particolari di cui all’art. 9 GDPR, inclusi dati relativi alla salute. CHARUN non filtra automaticamente il contenuto dei campi o delle risposte.

Il titolare che raccoglie tali dati deve individuare un’idonea base giuridica ai sensi degli artt. 6 e 9 GDPR, fornire l’informativa agli interessati e limitare la raccolta e gli accessi a quanto strettamente necessario. L’utilizzo di CHARUN per il trattamento di dati relativi alla salute è subordinato a un accordo specifico con il Fornitore e a una preventiva valutazione dei rischi, compresa, quando richiesta, una valutazione d’impatto sulla protezione dei dati (DPIA).

6. Finalità e basi giuridiche

Per i dati degli utenti, di cui il Fornitore è titolare:

Per i dati dei lead, il Fornitore tratta i dati esclusivamente per erogare il servizio secondo le istruzioni del titolare, al quale spetta individuare la base giuridica applicabile e informarne gli interessati.

Il conferimento dei dati di registrazione essenziali è necessario per accedere al servizio; gli altri dati sono facoltativi, nei limiti delle funzioni utilizzate.

7. Integrazioni con servizi di terze parti e dati Google

Le integrazioni sono attivate esclusivamente da utenti autorizzati, su iniziativa del cliente.

• Meta (Facebook) Lead Ads: lettura delle Pagine, dei moduli e dei lead per i quali l’utente ha concesso l’autorizzazione.
• Google Moduli e Google Fogli: accesso ai moduli e ai fogli autorizzati per sincronizzare i lead. CHARUN può aggiungere al foglio collegato una colonna tecnica identificativa (“CHARUN ID”) necessaria a evitare importazioni duplicate.
• GoHighLevel: sincronizzazione periodica dei contatti tramite l’accesso autorizzato dall’utente.
• WordPress ed endpoint di ricezione: ricezione dei dati trasmessi dalle fonti configurate dal cliente.

Lo scollegamento di un’integrazione in CHARUN interrompe l’acquisizione di nuovi dati e comporta la cancellazione delle credenziali di accesso salvate per quel collegamento; per Google, CHARUN richiede inoltre la revoca dell’autorizzazione. Lo scollegamento non sempre equivale alla revoca dei permessi presso il servizio esterno: l’utente può revocarli anche dalle impostazioni del proprio account presso il fornitore interessato (ad esempio Facebook o Google). I dati dei lead già importati restano in CHARUN fino alla loro cancellazione secondo la presente informativa.

Accesso con Google: se l’utente sceglie di accedere con il proprio account Google, CHARUN riceve il nome e l’indirizzo email associati, utilizzati esclusivamente per l’autenticazione.

Dati ottenuti tramite le API di Google: l’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google rispettano le Google API Services User Data Policy, inclusi i requisiti di “Limited Use”. I dati Google non sono utilizzati per pubblicità, non sono venduti e non sono letti da persone, salvo che con il consenso dell’utente, per finalità di sicurezza, per adempiere obblighi di legge o quando ciò sia necessario per fornire o assistere una funzionalità richiesta dall’utente.

8. Notifiche, email e assistenza

Notifiche nell’applicazione. Le notifiche interne (ad esempio nuovi lead, promemoria e richiami) sono visibili solo agli utenti autorizzati nell’area riservata e possono contenere i dati del lead necessari alla gestione.

Notifiche push. Le notifiche push sono facoltative e vengono attivate solo con il permesso dell’utente sul proprio browser o dispositivo. Poiché possono comparire anche sulla schermata di blocco, mostrano esclusivamente un testo generico: per nuovi contatti e promemoria è indicato soltanto il nome dell’Azienda interessata; per l’assistenza è indicato un avviso generico. Le notifiche push non contengono nomi, cognomi, numeri di telefono, indirizzi email, nomi delle campagne né testi liberi inseriti dagli utenti; i dettagli sono consultabili solo dopo l’accesso a CHARUN. Le notifiche push sono consegnate tramite i servizi di notifica dei produttori del browser o del sistema operativo utilizzato.

Email. CHARUN invia email relative all’account (ad esempio il recupero della password) e agli inviti a entrare in un’organizzazione. I nuovi lead, i promemoria e gli aggiornamenti di assistenza sono comunicati tramite notifiche nell’applicazione e, se attivate, notifiche push.

Assistenza e Diario attività. Le richieste di assistenza delle Aziende sono indirizzate alla propria Agenzia; le richieste delle Agenzie sono indirizzate al Fornitore. I messaggi sono conservati nella piattaforma e sono visibili ai partecipanti della richiesta. Il Diario attività contiene note e eventi registrati dagli utenti dell’Agenzia sulle Aziende gestite.

9. Sicurezza e accessi

L’accesso alle informazioni è regolato in base al ruolo dell’utente e all’organizzazione di appartenenza, con controlli applicati anche a livello di database, in modo che ogni organizzazione possa accedere solo ai propri dati. Le comunicazioni avvengono tramite connessioni cifrate (HTTPS). Le credenziali di accesso alle integrazioni sono conservate in forma cifrata e utilizzate solo dai sistemi del Fornitore, senza essere rese disponibili nel browser.

Gli amministratori del Fornitore dispongono dei privilegi tecnici necessari alla gestione del servizio. Tali privilegi sono utilizzati solo per esigenze di assistenza, sicurezza, manutenzione o per adempiere obblighi di legge, nel rispetto di obblighi di riservatezza e, per i dati dei lead, delle istruzioni del cliente.

Nessuna misura di sicurezza può garantire una protezione assoluta. In caso di violazione dei dati personali il Fornitore adotta le misure previste dal GDPR e, per i dati trattati per conto dei clienti, informa il cliente senza ingiustificato ritardo, come previsto dal GDPR e, una volta sottoscritto, dal DPA.

10. Destinatari dei dati

I dati possono essere resi accessibili, nei limiti necessari:

• agli utenti autorizzati dell’organizzazione cui i dati si riferiscono e, per le Aziende, agli utenti dell’Agenzia che le gestisce;
• al personale autorizzato del Fornitore, vincolato alla riservatezza;
• a fornitori che erogano servizi strumentali (hosting, infrastruttura, database, autenticazione, invio di email, consegna delle notifiche push, diagnostica e sicurezza), che agiscono come responsabili o sub-responsabili del trattamento;
• ai servizi di integrazione scelti dai clienti (ad esempio Meta, Google, GoHighLevel, WordPress), secondo le rispettive condizioni;
• ad autorità pubbliche, quando richiesto dalla legge.

Tra i fornitori dell’infrastruttura rientra Lovable Labs AB (Svezia), che gestisce la piattaforma tecnica su cui è ospitato il servizio (hosting, database, autenticazione e invio delle email). Il Fornitore sta completando la verifica dei fornitori che agiscono come sub-responsabili del trattamento e dei relativi accordi; l’elenco sarà riportato nel DPA e la presente informativa sarà aggiornata di conseguenza. Per domande sui fornitori è possibile scrivere a privacy@charun.io. I dati personali non sono venduti.

11. Luogo del trattamento e trasferimenti extra UE

Il database principale del servizio è ubicato in Irlanda, nell’Unione europea. Alcuni fornitori di servizi infrastrutturali, di comunicazione o di integrazione possono trattare dati, o accedervi, anche al di fuori dello Spazio economico europeo. Tali trasferimenti sono consentiti solo in presenza delle garanzie previste dal Capo V del GDPR, quali una decisione di adeguatezza della Commissione europea o le clausole contrattuali standard approvate dalla Commissione. Il Fornitore sta verificando le garanzie applicate da ciascun fornitore; al termine della verifica la presente informativa sarà aggiornata con l’indicazione dei fornitori interessati e delle relative garanzie.

12. Conservazione dei dati

• Dati degli account: per la durata del rapporto e, successivamente, per il tempo necessario ad adempiere obblighi di legge, gestire eventuali richieste e tutelare i diritti del Fornitore.
• Dati dei lead, cronologia e Diario attività: secondo le istruzioni del cliente e per la durata del rapporto contrattuale; alla cessazione, secondo quanto previsto al paragrafo 13.
• Notifiche nell’applicazione: fino a 90 giorni dalla creazione.
• Dispositivi registrati per le notifiche push e successivamente disattivati: fino a 30 giorni dalla disattivazione.
• Inviti scaduti, revocati o rifiutati: fino a 30 giorni dalla scadenza, dalla revoca o dal rifiuto, dopodiché sono cancellati. Gli inviti accettati sono conservati come storico delle appartenenze alle organizzazioni per la durata del rapporto, salvo ulteriori obblighi applicabili.
• Richieste di assistenza: le richieste risolte sono conservate fino a 12 mesi dalla chiusura, dopodiché sono cancellate insieme ai relativi messaggi; le richieste aperte o in lavorazione sono conservate per il tempo necessario alla loro gestione e, una volta gestite, sono chiuse e seguono il termine precedente.
• Registri tecnici e di diagnostica: per il tempo strettamente necessario alle finalità di sicurezza e risoluzione dei problemi, secondo i cicli tecnici dei fornitori dell’infrastruttura.
• Esportazioni di dati effettuate su richiesta: per il tempo necessario alla consegna e comunque non oltre 30 giorni dalla consegna, dopodiché sono cancellate, salvo obblighi di conservazione applicabili.

Il database può essere oggetto di copie di sicurezza (backup) gestite dal fornitore dell’infrastruttura secondo i propri cicli tecnici. I dati cancellati dal database operativo possono permanere in tali copie fino alla loro sovrascrittura; le copie non sono utilizzate per le attività correnti.

13. Cessazione del rapporto, esportazione e cancellazione

Alla cessazione del servizio, il cliente può chiedere entro 30 giorni la restituzione dei dati della propria organizzazione in un formato di uso comune. Esportazione e cancellazione sono eseguite dal Fornitore su richiesta, previa verifica dell’identità e dei poteri del richiedente. Decorso tale termine, i dati dell’organizzazione sono cancellati, salvo obblighi di conservazione previsti dalla legge e fermo quanto indicato al paragrafo 12 per le copie di sicurezza. La cancellazione dell’account di un singolo utente non comporta necessariamente la cancellazione dei dati dell’organizzazione cui appartiene. Le modalità sono descritte nella Data Deletion Policy.

14. Diritti degli interessati

Per i trattamenti di cui il Fornitore è titolare, gli interessati possono esercitare, nei limiti previsti dagli artt. 15-22 GDPR, i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché revocare il consenso eventualmente prestato, scrivendo a privacy@charun.io. Il Fornitore può chiedere informazioni per verificare l’identità del richiedente. La risposta è fornita di norma entro un mese dal ricevimento della richiesta, prorogabile nei casi previsti dalla legge.

Per i dati dei lead, l’interessato deve rivolgersi al titolare che ha raccolto i dati (l’Azienda o l’Agenzia interessata); il Fornitore assiste il titolare come previsto dall’art. 28 GDPR e, se riceve direttamente una richiesta, la inoltra al titolare.

Gli interessati hanno inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo dello Stato membro in cui risiedono o lavorano.

15. Cookie e tecnologie simili

CHARUN utilizza memorie del browser e cookie di natura tecnica, necessari al funzionamento e alla sicurezza del servizio (sessione di accesso, lingua, organizzazione selezionata, preferenze, notifiche, avviso di accesso non autorizzato, collegamento delle Pagine Facebook, versione dell’applicazione e protezione anti-bot impostate dalla piattaforma di hosting). Non sono utilizzati strumenti pubblicitari, statistici o di profilazione: le statistiche sui visitatori offerte dalla piattaforma di hosting (Lovable) sono disattivate. Maggiori informazioni sono disponibili nella Cookie Policy.

16. Decisioni automatizzate

CHARUN non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sugli interessati. La segnalazione di possibili duplicati, l’assegnazione dei lead all’Azienda corretta e i promemoria sono automazioni operative a supporto degli utenti.

17. Minori

CHARUN è un servizio destinato a professionisti e imprese e non è rivolto ai minori. I clienti sono responsabili del rispetto delle norme applicabili agli eventuali dati di minori raccolti tramite i propri moduli.

18. Modifiche

La presente informativa può essere aggiornata a seguito di modifiche del servizio o della normativa. La versione in vigore è sempre pubblicata su questa pagina con la data dell’ultimo aggiornamento. Le modifiche sostanziali sono comunicate agli utenti con modalità adeguate.

19. Lingua

La presente informativa è redatta in italiano e tradotta in inglese. In caso di divergenze interpretative tra le due versioni prevale la versione italiana, nei limiti consentiti dalla legge.