CHARUN — Privacy Policy

Versione 1.2 · Ultimo aggiornamento: 30 ottobre 2026

PRIVACY POLICY (ITALIANO)

1. Titolare del trattamento e contatti

CHARUN è un servizio fornito da TOTAL MARKETING S.R.L.S., con sede legale in Via Simeri Crichi 34, 00133 Roma (RM), Italia, P. IVA 15718101007 (di seguito il “Fornitore” o “noi”).

Recapiti:

• privacy@charun.io — richieste in materia di privacy e protezione dei dati personali;
• support@charun.io — assistenza tecnica;
• info@totalmarketingsrls.com — comunicazioni generali e societarie.

La presente informativa riguarda gli utenti della piattaforma CHARUN, accessibile dai domini charun.io e app.charun.io, le organizzazioni clienti (Agenzie e Aziende) e, per quanto pertinente, i dati dei contatti commerciali (“lead”) trattati tramite il servizio per conto dei clienti.

2. Ruoli nel trattamento

Il Fornitore è titolare del trattamento dei dati personali degli utenti relativi alla registrazione e alla gestione degli account, alla sicurezza del servizio, all’assistenza e alla gestione del rapporto contrattuale.

Per i dati dei lead, il Fornitore opera di norma come responsabile del trattamento ai sensi dell’art. 28 del Regolamento (UE) 2016/679 (“GDPR”), per conto e secondo le istruzioni del cliente. Titolare dei dati dei lead è, di regola, l’Azienda che raccoglie i contatti; quando l’Agenzia opera a sua volta come responsabile per conto dell’Azienda, il Fornitore agisce come sub-responsabile. La corretta qualificazione dipende dai rapporti concreti tra Agenzia e Azienda: l’uso di CHARUN non trasferisce al Fornitore la titolarità dei dati dei lead. Il trattamento per conto del cliente è disciplinato dall’Accordo sul trattamento dei dati (DPA) sottoscritto con il cliente.

3. Il servizio e la provenienza dei dati

CHARUN consente ad Agenzie e Aziende di ricevere lead da Meta Lead Ads, Google Moduli e Google Fogli, GoHighLevel, moduli di siti WordPress e altri sistemi collegati tramite l’endpoint di ricezione del servizio, e di organizzarli tramite stati, note, promemoria, cronologia delle attività, segnalazione di possibili duplicati, registrazione delle vendite, notifiche, report e richieste di assistenza.

I dati dei lead provengono dai moduli e dai sistemi configurati dai clienti: non sono raccolti direttamente dal Fornitore presso gli interessati. Il titolare che raccoglie i dati è tenuto a fornire agli interessati la propria informativa.

4. Categorie di dati trattati

Utenti della piattaforma: nome e cognome, indirizzo email, credenziali e identificativi di autenticazione, organizzazione di appartenenza e ruolo, lingua, fuso orario e preferenze, inviti ricevuti o inviati, indirizzo IP, informazioni sul browser e sul dispositivo (user agent), dati delle sessioni di accesso, dati tecnici dei dispositivi su cui sono attivate le notifiche push, notifiche ricevute, messaggi e richieste di assistenza.

Organizzazioni clienti: denominazione, recapiti, configurazioni del servizio, identificativi delle integrazioni collegate e degli utenti che le hanno collegate, note e attività registrate nel Diario attività delle Aziende.

Lead: nome, cognome, email, telefono, risposte integrali ai moduli, campagna, modulo e fonte di provenienza, identificativi tecnici esterni, note, cronologia delle azioni e relativo autore, promemoria e richiami, esiti e importi di vendita ove inseriti dagli utenti, dati normalizzati utilizzati per individuare possibili duplicati.

Dati tecnici: registri tecnici e informazioni di diagnostica necessari al funzionamento, alla sicurezza e alla risoluzione dei problemi del servizio.

5. Categorie particolari di dati, inclusi dati relativi alla salute

CHARUN non è attualmente destinato al trattamento di categorie particolari di dati personali ai sensi dell’articolo 9 GDPR, inclusi i dati relativi alla salute, né di dati relativi a condanne penali e reati ai sensi dell’articolo 10 GDPR. I clienti non devono configurare moduli, campagne, note, campi liberi o integrazioni che comportino la trasmissione di tali dati alla piattaforma, anche quando la natura particolare delle informazioni possa essere desunta dal contesto della richiesta. I dati dei lead provengono dalle fonti configurate dai clienti. CHARUN non verifica né filtra automaticamente il contenuto dei campi e delle risposte trasmesse. Qualora il Fornitore venga a conoscenza della ricezione di dati non consentiti, valuterà e adotterà le misure appropriate nel rispetto della normativa applicabile e degli accordi sul trattamento dei dati personali.

6. Finalità e basi giuridiche

Per i dati degli utenti, di cui il Fornitore è titolare:

Per i dati dei lead, il Fornitore tratta i dati esclusivamente per erogare il servizio secondo le istruzioni del titolare, al quale spetta individuare la base giuridica applicabile e informarne gli interessati.

Il conferimento dei dati di registrazione essenziali è necessario per accedere al servizio; gli altri dati sono facoltativi, nei limiti delle funzioni utilizzate.

7. Integrazioni con servizi di terze parti e dati Google

Le integrazioni sono attivate esclusivamente da utenti autorizzati, su iniziativa del cliente.

• Meta (Facebook) Lead Ads: lettura delle Pagine, dei moduli e dei lead per i quali l’utente ha concesso l’autorizzazione.
• Google Moduli e Google Fogli: accesso ai moduli e ai fogli autorizzati per sincronizzare i lead. CHARUN può aggiungere al foglio collegato una colonna tecnica identificativa (“CHARUN ID”) necessaria a evitare importazioni duplicate.
• GoHighLevel: sincronizzazione periodica dei contatti tramite l’accesso autorizzato dall’utente.
• WordPress ed endpoint di ricezione: ricezione dei dati trasmessi dalle fonti configurate dal cliente.

Lo scollegamento di un’integrazione in CHARUN interrompe l’acquisizione di nuovi dati e comporta la cancellazione delle credenziali di accesso salvate per quel collegamento; per Google, CHARUN richiede inoltre la revoca dell’autorizzazione. Lo scollegamento non sempre equivale alla revoca dei permessi presso il servizio esterno: l’utente può revocarli anche dalle impostazioni del proprio account presso il fornitore interessato (ad esempio Facebook o Google). I dati dei lead già importati restano in CHARUN fino alla loro cancellazione secondo la presente informativa.

Accesso con Google: se l’utente sceglie di accedere con il proprio account Google, CHARUN riceve il nome e l’indirizzo email associati, utilizzati esclusivamente per l’autenticazione.

Dati ottenuti tramite le API di Google: l’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google rispettano le Google API Services User Data Policy, inclusi i requisiti di “Limited Use”. I dati Google non sono utilizzati per pubblicità, non sono venduti e non sono letti da persone, salvo che con il consenso dell’utente, per finalità di sicurezza, per adempiere obblighi di legge o quando ciò sia necessario per fornire o assistere una funzionalità richiesta dall’utente.

8. Notifiche, email e assistenza

Notifiche nell’applicazione. Le notifiche interne (ad esempio nuovi lead, promemoria e richiami) sono visibili solo agli utenti autorizzati nell’area riservata e possono contenere i dati del lead necessari alla gestione.

Notifiche push. Le notifiche push sono facoltative e vengono attivate solo con il permesso dell’utente sul proprio browser o dispositivo. Poiché possono comparire anche sulla schermata di blocco, mostrano esclusivamente un testo generico: per nuovi contatti e promemoria è indicato soltanto il nome dell’Azienda interessata; per l’assistenza è indicato un avviso generico. Le notifiche push non contengono nomi, cognomi, numeri di telefono, indirizzi email, nomi delle campagne né testi liberi inseriti dagli utenti; i dettagli sono consultabili solo dopo l’accesso a CHARUN. Le notifiche push sono consegnate tramite i servizi di notifica dei produttori del browser o del sistema operativo utilizzato.

Email. CHARUN invia email relative all’account (ad esempio il recupero della password) e agli inviti a entrare in un’organizzazione. I nuovi lead, i promemoria e gli aggiornamenti di assistenza sono comunicati tramite notifiche nell’applicazione e, se attivate, notifiche push.

Assistenza e Diario attività. Le richieste di assistenza delle Aziende sono indirizzate alla propria Agenzia; le richieste delle Agenzie sono indirizzate al Fornitore. I messaggi sono conservati nella piattaforma e sono visibili ai partecipanti della richiesta. Il Diario attività contiene note e eventi registrati dagli utenti dell’Agenzia sulle Aziende gestite.

9. Sicurezza e accessi

L’accesso alle informazioni è regolato in base al ruolo dell’utente e all’organizzazione di appartenenza, con controlli applicati anche a livello di database, in modo che ogni organizzazione possa accedere solo ai propri dati. Le comunicazioni avvengono tramite connessioni cifrate (HTTPS). Le credenziali di accesso alle integrazioni sono conservate in forma cifrata e utilizzate solo dai sistemi del Fornitore, senza essere rese disponibili nel browser.

Gli amministratori del Fornitore dispongono dei privilegi tecnici necessari alla gestione del servizio. Tali privilegi sono utilizzati solo per esigenze di assistenza, sicurezza, manutenzione o per adempiere obblighi di legge, nel rispetto di obblighi di riservatezza e, per i dati dei lead, delle istruzioni del cliente.

Nessuna misura di sicurezza può garantire una protezione assoluta. In caso di violazione dei dati personali il Fornitore adotta le misure previste dal GDPR e, per i dati trattati per conto dei clienti, informa il cliente secondo il DPA.

10. Destinatari dei dati

I dati possono essere resi accessibili, nei limiti necessari:

• agli utenti autorizzati dell’organizzazione cui i dati si riferiscono e, per le Aziende, agli utenti dell’Agenzia che le gestisce;
• al personale autorizzato del Fornitore, vincolato alla riservatezza;
• a fornitori che erogano servizi strumentali (hosting, infrastruttura, database, autenticazione, invio di email, consegna delle notifiche push, diagnostica e sicurezza), che agiscono come responsabili o sub-responsabili del trattamento;
• ai servizi di integrazione scelti dai clienti (ad esempio Meta, Google, GoHighLevel, WordPress), secondo le rispettive condizioni;
• ad autorità pubbliche, quando richiesto dalla legge.

L’elenco dei sub-responsabili del trattamento è indicato nel DPA ed è disponibile su richiesta a privacy@charun.io. I dati personali non sono venduti.

11. Luogo del trattamento e trasferimenti extra UE

Il database principale del servizio è ubicato in Irlanda, nell’Unione europea. Alcuni fornitori di servizi infrastrutturali, di comunicazione o di integrazione possono trattare dati, o accedervi, anche al di fuori dello Spazio economico europeo. In tali casi i trasferimenti avvengono sulla base delle garanzie previste dal Capo V del GDPR, quali una decisione di adeguatezza della Commissione europea (incluso, ove applicabile, l’EU-U.S. Data Privacy Framework) o le clausole contrattuali standard approvate dalla Commissione. Informazioni sulle garanzie applicate sono disponibili su richiesta a privacy@charun.io.

12. Conservazione dei dati

• Dati degli account: per la durata del rapporto e, successivamente, per il tempo necessario ad adempiere obblighi di legge, gestire eventuali richieste e tutelare i diritti del Fornitore.
• Registro delle accettazioni dei Termini: per documentare l’accettazione e la versione applicabile sono conservati identificativo dell’utente e dell’Agenzia, versione e lingua dei Termini, data e ora dell’accettazione, impronta digitale del documento e modalità di accettazione. Il registro è conservato per la durata del rapporto contrattuale e, dopo la cessazione, per il periodo necessario all’accertamento, all’esercizio o alla difesa di diritti, di norma non oltre 10 anni, salvo obblighi di legge o controversie che giustifichino un periodo ulteriore. La conservazione è soggetta a verifica periodica della necessità e alla cancellazione alla scadenza del termine applicabile.
• Dati dei lead, cronologia e Diario attività: secondo le istruzioni del cliente e per la durata del rapporto contrattuale; alla cessazione, secondo quanto previsto al paragrafo 13.
• Notifiche nell’applicazione: fino a 90 giorni dalla creazione.
• Dispositivi registrati per le notifiche push e successivamente disattivati: fino a 30 giorni dalla disattivazione.
• Inviti scaduti o revocati: fino a 30 giorni dalla scadenza o dalla revoca.
• Richieste di assistenza: fino a 12 mesi dalla chiusura.
• Registri tecnici e di diagnostica: per il tempo strettamente necessario alle finalità di sicurezza e risoluzione dei problemi, secondo i cicli tecnici dei fornitori dell’infrastruttura.
• Esportazioni di dati effettuate su richiesta: per il tempo necessario alla consegna, dopodiché sono cancellate.

Il database può essere oggetto di copie di sicurezza (backup) gestite dal fornitore dell’infrastruttura secondo i propri cicli tecnici. I dati cancellati dal database operativo possono permanere in tali copie fino alla loro sovrascrittura; le copie non sono utilizzate per le attività correnti.

13. Cessazione del rapporto, esportazione e cancellazione

Alla cessazione del servizio, il cliente può chiedere entro 30 giorni la restituzione dei dati della propria organizzazione in un formato di uso comune. Esportazione e cancellazione sono eseguite dal Fornitore su richiesta, previa verifica dell’identità e dei poteri del richiedente. Decorso tale termine, i dati dell’organizzazione sono cancellati, salvo obblighi di conservazione previsti dalla legge e fermo quanto indicato al paragrafo 12 per le copie di sicurezza. La cancellazione dell’account di un singolo utente non comporta necessariamente la cancellazione dei dati dell’organizzazione cui appartiene. Le modalità sono descritte nella Data Deletion Policy.

14. Diritti degli interessati

Per i trattamenti di cui il Fornitore è titolare, gli interessati possono esercitare, nei limiti previsti dagli artt. 15-22 GDPR, i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché revocare il consenso eventualmente prestato, scrivendo a privacy@charun.io. Il Fornitore può chiedere informazioni per verificare l’identità del richiedente. La risposta è fornita di norma entro un mese dal ricevimento della richiesta, prorogabile nei casi previsti dalla legge.

Per i dati dei lead, l’interessato deve rivolgersi al titolare che ha raccolto i dati (l’Azienda o l’Agenzia interessata); il Fornitore assiste il titolare secondo il DPA e, se riceve direttamente una richiesta, la inoltra al titolare.

Gli interessati hanno inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all’autorità di controllo dello Stato membro in cui risiedono o lavorano.

15. Cookie e tecnologie simili

CHARUN utilizza esclusivamente memorie del browser e tecnologie tecniche necessarie al funzionamento del servizio (sessione di accesso, lingua, organizzazione selezionata, preferenze e notifiche). Non sono utilizzati strumenti pubblicitari o di profilazione. Maggiori informazioni sono disponibili nella Cookie Policy.

16. Decisioni automatizzate

CHARUN non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sugli interessati. La segnalazione di possibili duplicati, l’assegnazione dei lead all’Azienda corretta e i promemoria sono automazioni operative a supporto degli utenti.

17. Minori

CHARUN è un servizio destinato a professionisti e imprese e non è rivolto ai minori. I clienti sono responsabili del rispetto delle norme applicabili agli eventuali dati di minori raccolti tramite i propri moduli.

18. Modifiche

La presente informativa può essere aggiornata a seguito di modifiche del servizio o della normativa. La versione in vigore è sempre pubblicata su questa pagina con la data dell’ultimo aggiornamento. Le modifiche sostanziali sono comunicate agli utenti con modalità adeguate.

19. Lingua

La presente informativa è redatta in italiano e tradotta in inglese. In caso di divergenze interpretative tra le due versioni prevale la versione italiana, nei limiti consentiti dalla legge.