Questo sito appartiene a darwin's GmbH di Bressanone. Qui ti spieghiamo in parole normali quali dati nascono quando visiti darwins.eu, che cosa ne facciamo e come li controlli. Se qualcosa resta poco chiaro, scrivici a info@darwins.eu, ti risponde una persona.

La versione breve: il sito gira su un nostro server in Germania. Senza il tuo consenso non usiamo strumenti che ti riconoscono. Non costruiamo profili, non vendiamo dati e non carichiamo nulla dall’esterno prima che tu lo permetta.

Chi è il titolare

Titolare del trattamento ai sensi del Regolamento generale sulla protezione dei dati (GDPR) e del Codice privacy italiano (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018):

darwin's GmbH
Via Mercato Vecchio 1
39042 Bressanone (BZ), Italia
Rappresentata da Leon Dapoz
Partita IVA IT03317010217

Per qualsiasi domanda sulla privacy ci trovi a info@darwins.eu oppure via PEC a darwins@pec.it. Non abbiamo nominato un responsabile della protezione dei dati: per un’azienda della nostra dimensione non è obbligatorio.

Dove si trova il sito

darwins.eu gira su un server che gestiamo noi. Il server si trova presso Hetzner Online GmbH in Germania, nelle sedi di Norimberga e Falkenstein. In mezzo non c’è nessun costruttore di siti e nessuna rete di distribuzione all’estero: quando apri il sito, parli con quel server.

Sullo stesso server gira Payload CMS, il sistema con cui curiamo i contenuti del sito. L’area di amministrazione di Payload è accessibile solo a noi ed è protetta da credenziali. Per te che visiti il sito lì non nasce alcun account e alcun profilo.

Con Hetzner abbiamo stipulato un accordo per il trattamento ai sensi dell’art. 28 GDPR. La base giuridica per il funzionamento del server è il nostro legittimo interesse a un sito sicuro e funzionante (art. 6 par. 1 lett. f GDPR).

Log del server

Ogni accesso lascia una riga nel log del server. Contiene l’indirizzo richiamato, data e ora, la quantità di dati trasferiti, l’esito della richiesta, la pagina da cui arrivi, browser e sistema operativo e l’indirizzo IP.

Queste righe ci servono per trovare guasti e respingere attacchi. Non le uniamo ad altri dati e non le analizziamo per riconoscerti. Al più tardi dopo 14 giorni vengono cancellate, salvo che un incidente di sicurezza concreto ci obblighi a conservarne un estratto più a lungo. Base giuridica: art. 6 par. 1 lett. f GDPR.

Modulo di contatto, mail, telefono e WhatsApp

Quando invii il modulo nella pagina dei contatti ci trasmetti il tuo nome, il tuo indirizzo e-mail, la tua richiesta e, se vuoi, azienda e numero di telefono. Da lì succedono due cose:

La tua richiesta viene salvata in un file sul nostro server in Germania, così nessuna richiesta va persa.
La tua richiesta viene inviata come e-mail a info@darwins.eu e tu ricevi una conferma al tuo indirizzo. Per questo invio usiamo Brevo (Sendinblue GmbH, Colonia, Germania), un fornitore con server nell’Unione europea e un accordo per il trattamento.

Se nell’avviso cookie hai acconsentito alla voce Marketing, segnaliamo la richiesta anche a Meta, vedi la sezione Meta Pixel e Conversions API.

Il modulo usa un campo antispam nascosto e Cloudflare Turnstile. Turnstile elabora dati tecnici del browser e della connessione per riconoscere richieste automatizzate. La verifica avviene prima di salvare e inoltrare la richiesta.

Lo stesso vale se ci scrivi direttamente, ci chiami o ci contatti su WhatsApp. Con il pulsante WhatsApp il tuo dispositivo apre l’app o il sito di WhatsApp: del trattamento che avviene lì è responsabile WhatsApp Ireland Limited.

Base giuridica è l’art. 6 par. 1 lett. b GDPR quando si tratta di avviare un incarico, altrimenti il nostro legittimo interesse a rispondere alla tua richiesta (art. 6 par. 1 lett. f GDPR). Le richieste da cui non nasce un incarico vengono cancellate al più tardi dodici mesi dopo l’ultimo contatto. Se ne nasce un incarico valgono i termini di conservazione fiscali e civilistici.

La nostra newsletter viene inviata tramite Brevo. Dopo l’iscrizione ti mandiamo una mail con un link di conferma. Solo quando clicchi quel link sei iscritta o iscritto. Questo doppio opt-in ti protegge dall’essere iscritto da qualcun altro. Conserviamo il tuo indirizzo e-mail, il momento dell’iscrizione e il momento della conferma.

Brevo rileva se una mail è stata aperta e se un link è stato cliccato. Lo usiamo per capire quali temi funzionano, non per valutarti. In fondo a ogni mail c’è il link per cancellarti. Basta un clic, poi togliamo il tuo indirizzo dalla lista.

Base giuridica è il tuo consenso (art. 6 par. 1 lett. a GDPR). Puoi revocarlo in qualsiasi momento senza alcuno svantaggio.

Calendario appuntamenti

Per i primi colloqui usiamo il calendario di cal.eu. La vista di prenotazione si carica nella pagina contatti e nell’assistente solo dopo il consenso alla categoria Calendario appuntamenti nelle preferenze privacy. In quel momento il fornitore riceve il tuo indirizzo IP e informazioni tecniche sul tuo browser. Quello che scrivi nella finestra di prenotazione, cioè nome, indirizzo e-mail e l’orario desiderato, viene trattato lì perché possiamo confermare l’appuntamento.

Base giuridica per il caricamento è il tuo consenso nelle preferenze privacy (art. 6 par. 1 lett. a GDPR), per la gestione dell’appuntamento l’art. 6 par. 1 lett. b GDPR.

L’assistente in chat Charles

In basso a destra trovi Charles, il nostro assistente in chat. Risponde a domande sui nostri servizi. Charles è un’intelligenza artificiale, non una persona, e lo dice anche da solo.

Quello che scrivi nella finestra di chat lo inviamo a OpenAI (OpenAI Ireland Limited) per ottenere la risposta. Lì il tuo testo viene elaborato per generare la risposta. Con OpenAI abbiamo stipulato un accordo per il trattamento e i contenuti non vengono usati per addestrare modelli.

La cronologia testuale resta nella memoria di sessione della scheda del browser e viene rimossa da lì quando chiudi la scheda. Conserviamo inoltre il registro della conversazione internamente per 30 giorni. Per una richiesta di consulenza vale la sezione sul modulo di contatto. Se prenoti a voce, trattiamo i dati di contatto necessari, l’appuntamento e un breve riepilogo del progetto nel nostro sistema di prenotazione e presso cal.eu.

Per rilevare abusi registriamo l’indirizzo IP, l’orario e l’identificativo della conversazione nel registro interno delle chat testuali e delle conversazioni vocali sul sito. L’accesso è riservato ai membri autorizzati del team. Questi dati seguono la stessa conservazione dei registri delle conversazioni e sono consultabili per 30 giorni. In caso di abuso possiamo bloccare l’accesso a Charles tramite l’indirizzo IP. Un indirizzo IP bloccato resta nella nostra lista di blocco fino alla revoca del blocco.

Per favore non scrivere a Charles dati sulla salute, credenziali di accesso o cose che non scriveresti in una normale e-mail. Base giuridica è il nostro legittimo interesse a dare un’informazione rapida (art. 6 par. 1 lett. f GDPR). Se non vuoi usare la chat, semplicemente non usarla: il sito funziona per intero anche senza.

Parlare con Charles

Nella finestra di Charles puoi, se vuoi, parlare con Charles. Il microfono si accende solo quando clicchi il pulsante e il tuo browser ti chiede il permesso. Senza quel clic non succede nulla.

Durante la conversazione il tuo audio viene trasmesso in tempo reale a OpenAI, compreso lì e riscontrato. L’audio e la trascrizione di questa conversazione vengono conservati per 30 giorni. Questo vale anche per le chiamate che raggiungono il nostro assistente vocale. Solo i membri autorizzati del team possono accedere alle registrazioni e alle trascrizioni nel cockpit interno.

Per limitare gli abusi limitiamo il numero di tentativi di connessione e la durata della conversazione.

Base giuridica è il tuo consenso (art. 6 par. 1 lett. a GDPR), che dai con il clic sul pulsante e che ritiri in qualsiasi momento chiudendo la conversazione.

Google Analytics e Google Ads

Con Google Analytics (Google Ireland Limited) misuriamo le pagine visitate e le richieste inviate. Se arrivi da un annuncio su Google, prendiamo dall’indirizzo l’identificativo del clic e i dati della campagna (gclid, utm). Così Google Ads può contare quali annunci portano richieste. Non inviamo a Google i contenuti dei moduli, le conversazioni o altri parametri di ricerca degli URL. Con Google non usiamo pubblicità personalizzata né remarketing.

Google Analytics richiede il consenso alle Statistiche. Gli identificativi pubblicitari e la misurazione per Google Ads richiedono anche il consenso Marketing. Google Maps e il calendario hanno scelte separate. Conserviamo la scelta in questo browser per 180 giorni. Se dici di no o ignori l’avviso, non viene caricato nulla, non vengono impostati cookie di Google Analytics e nessun dato arriva a Google.

Se acconsenti, Google Analytics tratta il tuo indirizzo IP, informazioni tecniche sul tuo dispositivo e quali pagine hai aperto da noi. In questo contesto possono essere trasferiti dati negli Stati Uniti. Google è certificata secondo l’EU-US Data Privacy Framework, in aggiunta valgono le clausole contrattuali tipo ai sensi dell’art. 46 GDPR.

Base giuridica è soltanto il tuo consenso (art. 6 par. 1 lett. a GDPR). Puoi revocarlo in qualsiasi momento nelle preferenze cookie nel footer. La pagina verrà ricaricata senza Analytics.

Meta Pixel e Conversions API

Con il Meta Pixel (Meta Platforms Ireland Limited, Merrion Road, Dublino 4, Irlanda) misuriamo se i nostri annunci su Facebook e Instagram portano richieste. Il pixel viene caricato solo se nell’avviso cookie acconsenti alla voce Marketing. Senza questo consenso non viene caricato nulla da Meta e non vengono impostati cookie di Meta.

Se acconsenti, Meta imposta i cookie _fbp (identificativo casuale del tuo browser, 90 giorni) e _fbc (identificativo del clic su un annuncio, 90 giorni). Il pixel comunica a Meta la visita di una pagina, il clic su numero di telefono, indirizzo e-mail o WhatsApp, l’apertura del calendario appuntamenti, una prenotazione conclusa e l’invio di una richiesta, insieme al tuo indirizzo IP, a informazioni tecniche sul tuo dispositivo e all’indirizzo della pagina aperta. Non inviamo a Meta i contenuti dei moduli o delle conversazioni.

Se invii una richiesta tramite il modulo di contatto, comunichiamo questo evento a Meta anche dal nostro server (Conversions API). In questo caso trasmettiamo il tuo indirizzo e-mail e, se indicato, il tuo numero di telefono solo come valore hash (SHA-256), quindi non in chiaro, oltre a indirizzo IP, informazioni tecniche sul tuo browser (user agent) e cookie di Meta, così Meta può attribuire la richiesta a un annuncio e evitare conteggi doppi. Anche questo avviene solo con il tuo consenso alla voce Marketing. Meta può collegare questi dati al tuo account Facebook o Instagram e li usa secondo le proprie regole anche per la distribuzione degli annunci. Se lo configuriamo nell’account pubblicitario, Meta può creare da questi dati anche pubblici per i nostri annunci (remarketing). I dettagli sono nell’informativa sulla privacy di Meta.

In questo contesto possono essere trasferiti dati negli Stati Uniti. Meta Platforms, Inc. è certificata secondo l’EU-US Data Privacy Framework, in aggiunta valgono le clausole contrattuali tipo ai sensi dell’art. 46 GDPR. Per la raccolta e la trasmissione a Meta siamo contitolari del trattamento insieme a Meta (art. 26 GDPR), del trattamento successivo è responsabile solo Meta.

Base giuridica è soltanto il tuo consenso (art. 6 par. 1 lett. a GDPR). Puoi revocarlo in qualsiasi momento nelle preferenze cookie nel footer. Dopo la revoca cancelliamo i cookie di Meta nel tuo browser e ricarichiamo la pagina senza pixel.

Nessuna profilazione, nessuna decisione automatica

Non creiamo profili di personalità, non ti valutiamo con un punteggio e non esiste alcuna decisione automatizzata ai sensi dell’art. 22 GDPR che produca effetti giuridici nei tuoi confronti. Su ogni offerta e su ogni collaborazione decidono persone.

Non cediamo i tuoi dati a terzi, se non ai fornitori indicati in questa informativa, che lavorano per noi e secondo le nostre istruzioni, a Google e Meta nella misura descritta sopra e solo con il tuo consenso, oppure quando siamo obbligati per legge.

Crittografia

Il sito viene consegnato esclusivamente in forma cifrata, come vedi dall’https nella barra degli indirizzi e dal lucchetto nel browser. Così nessuno può leggere quello che ci invii con il modulo.

I tuoi diritti

Il GDPR ti riconosce questi diritti e non devi motivarli:

Accesso (art. 15): puoi sapere se e quali dati conserviamo su di te.
Rettifica (art. 16): quello che è sbagliato lo correggiamo.
Cancellazione (art. 17): quello che non ci serve più e non dobbiamo conservare lo cancelliamo.
Limitazione (art. 18): invece di cancellare possiamo anche solo fermare il trattamento.
Portabilità (art. 20): ricevi i tuoi dati in un formato comune.
Opposizione (art. 21): puoi opporti ai trattamenti che fondiamo su un legittimo interesse.
Revoca del consenso (art. 7 par. 3): ogni consenso vale finché non lo ritiri. Quello che è avvenuto prima resta lecito.

Basta una mail a info@darwins.eu. Rispondiamo entro un mese, di solito molto prima.

Reclamo all’autorità di controllo

Se ritieni che trattiamo male i tuoi dati, puoi presentare reclamo all’autorità di controllo competente. Per noi è:

Garante per la protezione dei dati personali
Piazza Venezia 11
00187 Roma, Italia
E-mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it
Sito: www.garanteprivacy.it

Puoi rivolgerti anche all’autorità di controllo del tuo luogo di residenza.

Modifiche

Se amplieremo il sito o cambieremo un servizio, adegueremo questo testo. La versione attuale sta sempre qui, con la data di aggiornamento in alto.

Privacy