01

1. Titolare del trattamento

Il titolare dei trattamenti svolti per finalità proprie descritti qui è Alejandro García Martínez, che opera con il marchio Vuelvy.

02

2. Ambito e normativa applicabile

L’informativa si applica a visitatori, contatti commerciali, clienti, utenti degli account, persone che prenotano incontri e, con le precisazioni seguenti, titolari di pass e contatti gestiti dai clienti Vuelvy. I trattamenti sono regolati principalmente dal regolamento (UE) 2016/679, dalla legge organica spagnola 3/2018 e dalla legge 34/2002, oltre alle norme settoriali applicabili.

03

3. Quando siamo titolare e quando responsabile

Alejandro García Martínez è titolare per sito, acquisizione di contatti, contratti, fatturazione, account, assistenza, sicurezza, prevenzione delle frodi, analisi proprie e comunicazioni Vuelvy. Quando un cliente usa la piattaforma per gestire contatti, segmentare pubblici, emettere pass o svolgere campagne, determina le finalità ed è normalmente titolare; Alejandro García Martínez opera come responsabile secondo istruzioni e accordo di trattamento. Questa informativa non sostituisce l’obbligo del cliente di informare i propri utenti.

04

4. Interessati e fonti

I dati possono provenire direttamente dalla persona, dall’organizzazione per cui lavora, da un cliente Vuelvy che li importa lecitamente, da integrazioni autorizzate come Shopify o CRM, da Apple Wallet o Google Wallet durante installazione o aggiornamento, da una prenotazione Cal.com e dalla navigazione consentita. Possiamo usare anche dati professionali pubblici quando un valido interesse legittimo sostiene contatti B2B proporzionati, senza usare tale base per marketing elettronico non richiesto vietato dalla legge spagnola.

05

5. Categorie di dati

Trattiamo solo le categorie necessarie per ogni finalità e configurazione contrattuale.

  • Identità e contatto: nome, email, telefono professionale e organizzazione
  • Profilo professionale e commerciale: ruolo, sito, settore, esigenza, volume, tempistiche e note di relazione
  • Account e contratto: organizzazione, membri, ruoli, autenticazione, fatturazione, assistenza e audit
  • Dati Wallet: identificativo interno, classe e oggetto del pass, stato, punti, livello, vantaggi, utilizzi, cronologia e preferenze
  • Configurazione del fornitore: modello contrattuale, identificativi di emittente e progetto, account di servizio, ruoli, permessi, stato di pubblicazione e, in BYOC, credenziali o token necessari
  • Dispositivo e distribuzione: identificativi tecnici di registrazione, token di aggiornamento, sistema Wallet e segnali osservabili di salvataggio, uso o rimozione resi disponibili dal fornitore
  • Navigazione e misurazione: IP, identificativi cookie, browser, dispositivo, URL, provenienza, campagna, eventi, clic e scorrimento
  • Sicurezza: log di accesso, IP trasformato ove opportuno, user agent, incidenti e prove di consenso
06

6. Finalità e basi giuridiche

Ogni trattamento ha una base giuridica specifica; il consenso non è imposto per funzionalità che non lo richiedono.

  • Rispondere, preparare proposte e stipulare servizi: misure precontrattuali o contratto
  • Creare account, fornire la piattaforma, emettere, mantenere e ritirare pass, integrare sistemi, assistere e fatturare: esecuzione del contratto
  • Gestire onboarding, verifiche, audit e richieste di sicurezza o conformità di Apple, Google e altri fornitori: contratto, obbligo legale o interesse legittimo secondo il caso
  • Adempiere obblighi contabili, fiscali, di consumo, privacy o richieste valide delle autorità: obbligo legale
  • Proteggere la piattaforma, prevenire abusi, conservare registrazioni minime e difendere diritti: interesse legittimo
  • Inviare novità o contenuti non essenziali: consenso o altra autorizzazione legale documentata
  • Attivare GA4, Microsoft Clarity e tecnologie equivalenti: consenso analitico
  • Attivare Google Ads, Meta Pixel, TikTok Pixel, pubblici o misurazione pubblicitaria: consenso pubblicitario e marketing
07

7. Moduli, analisi e relazione commerciale

Quando viene compilato un modulo trattiamo dati inviati, pagina di origine, parametri UTM, lingua, provenienza, prova di consenso e segnali tecnici di sicurezza. Servono a rispondere, qualificare la richiesta, preparare l’analisi e svolgere il seguito pertinente. Cal.com gestisce le prenotazioni. Una richiesta non viene iscritta al marketing ricorrente senza la casella separata o un’altra autorizzazione legale documentata.

08

8. Account, contratti, assistenza e fatturazione

Per il SaaS trattiamo dati di amministratori e membri, permessi, attività dell’account, impostazioni, ticket, comunicazioni, utilizzo contrattuale e registrazioni amministrative. Assistenza e incidenti possono essere segnalati a soporte@vuelvy.com. Quando i pagamenti saranno attivati, il fornitore di pagamento o Shopify Billing tratterà i metodi secondo il modello; Vuelvy non deve conservare numeri completi delle carte. I registri di audit servono a sicurezza, tracciabilità e conformità.

09

9. Dati gestiti dai clienti in Vuelvy

Il cliente decide contatti da importare, finalità del programma, contenuti e comunicazioni. Vuelvy può trattare identificativi, contatti, attributi di segmentazione, stato fedeltà, punti, coupon, utilizzi, eventi, consensi e token tecnici per aggiornare il pass. Il cliente deve avere una base giuridica, fornire la propria informativa e rispettare disiscrizioni, opposizioni e minimizzazione. Istruzioni, durata, garanzie, assistenza, restituzione, cancellazione e sub-responsabili sono definiti nell’accordo di trattamento.

10

10. Google Analytics 4 e Microsoft Clarity

Con consenso analitico possiamo usare Google Analytics 4 per utenti, sessioni, campagne, percorsi e conversioni e Microsoft Clarity per metriche comportamentali, mappe di calore e riproduzioni delle sessioni. GA4 può trattare identificativi client, dispositivo, browser, eventi e geolocalizzazione approssimativa; Google dichiara di eliminare gli IP degli utenti europei prima della registrazione. Clarity registra struttura visibile e interazioni come clic, movimenti e scorrimento. I campi dei moduli restano mascherati e non configuriamo deliberatamente la cattura di password o contenuti inseriti. Il consenso può essere rifiutato o revocato dalle impostazioni cookie.

  • GA4: misurazione aggregata, attribuzione e miglioramento; conservazione configurata fino a 14 mesi
  • Clarity: riproduzioni ordinarie fino a 30 giorni; dati aggregati, mappe di calore e sessioni selezionate fino a 9 mesi
  • Nomi, email e telefoni non vengono inviati come normali parametri analitici
  • Microsoft e Alejandro García Martínez operano come titolari autonomi per Clarity secondo le condizioni del fornitore
11

11. Google Ads, Meta Pixel e TikTok Pixel

Solo con consenso pubblicitario possiamo attivare tag di conversione, remarketing o pubblico di Google Ads, Meta Pixel e TikTok Pixel. Possono ricevere URL e provenienza, evento e orario, campagna o annuncio, IP, user agent, identificativi cookie o dispositivo e conversioni come una richiesta confermata. Non inviamo testo libero dei moduli, password o categorie particolari di dati. Corrispondenza avanzata o caricamento di pubblici tramite email o telefono sono attivati solo se espressamente configurati, dichiarati e sostenuti da una base giuridica sufficiente.

  • Google usa i segnali Consent Mode per rispettare le categorie accettate
  • Meta può essere contitolare per raccolta e trasmissione tramite i suoi strumenti e titolare per i trattamenti successivi
  • TikTok può essere contitolare, titolare autonomo o responsabile secondo funzionalità e condizioni regionali
  • Rifiutare il marketing impedisce a Vuelvy di caricare questi pixel pubblicitari nel browser
12

12. Comunicazioni e Klaviyo

Klaviyo sincronizza profili commerciali, registra eventi di relazione e invia comunicazioni. Un contatto può generare un profilo operativo per gestire la richiesta, ma l’iscrizione marketing viene richiesta solo con consenso separato o altra autorizzazione applicabile. Ogni messaggio commerciale offre un metodo di disiscrizione. La revoca non riguarda messaggi transazionali necessari a richiesta, account o contratto.

13

13. Sub-responsabili del servizio

Usiamo fornitori vincolati da contratto, riservatezza, istruzioni e misure di sicurezza per gestire Vuelvy. L’accesso è limitato alla funzione necessaria. Alcune integrazioni dipendono dal modello contrattuale.

  • Vercel Inc.: hosting del sito e dell’applicazione Next.js, rete di distribuzione, funzioni e log tecnici
  • OVHcloud (OVH Hispano S.L.): server PostgreSQL e backup a Milano, Italia (Unione europea); storage oggetti Versity gestito direttamente da Vuelvy sul proprio Mac mini in Spagna (Unione europea)
  • Cloudflare Inc.: DNS, rete, sicurezza, mitigazione degli abusi e Turnstile
  • Resend Inc.: inviti, recupero account, avvisi di sicurezza e altre email transazionali
  • Klaviyo Inc.: CRM, profili, eventi, liste e comunicazioni consentite
  • Cal.com Inc.: prenotazione e gestione degli incontri
  • Google Cloud e Google Wallet: infrastruttura e integrazione dei pass Google quando attivate
  • Apple e APNs: distribuzione e aggiornamenti dei pass Apple Wallet
  • Shopify: app, API, webhook e fatturazione per clienti che collegano un negozio
14

14. Fornitori di misurazione e altri destinatari

Google Ireland Limited ed entità Google, Meta Platforms Ireland Limited, TikTok Technology Limited ed entità regionali, Microsoft Ireland Operations Limited o Microsoft Corporation possono ricevere dati quando le loro tecnologie sono attivate. Secondo prodotto e condizioni, possono essere responsabili, contitolari o titolari autonomi. Possiamo comunicare dati anche a consulenti vincolati alla riservatezza, revisori, assicuratori, acquirenti in operazioni societarie e autorità in presenza di obblighi o richieste validi.

15

15. Apple Wallet, Google Wallet e integrazioni

Quando un pass viene salvato, Apple o Google tratta le informazioni secondo la propria politica e le impostazioni dell’account. Il pass può contenere dati visibili, un identificativo e coordinate di sedi; il dispositivo può fornire a Vuelvy identificativi tecnici e token per installazione, gestione o aggiornamento. Per la prossimità, Apple o Google valuta la posizione e decide rilevanza o avviso secondo permessi e regole. Configurare sedi non consente da solo a Vuelvy di ricevere una posizione precisa o una cronologia continua. Apple e Google operano come titolari autonomi. Shopify, CRM e altre integrazioni sono attivati su istruzione del cliente e scambiano il minimo di dati previsto dalla configurazione.

16

16. Google Wallet nel modello aggregatore o BYOC

Il modello è indicato nel contratto e non modifica i ruoli imposti dalla legge: il cliente aziendale è normalmente titolare dei dati dei titolari di pass e delle comunicazioni; Alejandro García Martínez è responsabile nell’operare secondo istruzioni e titolare dei registri strettamente necessari a sicurezza, fatturazione, difesa dei diritti e conformità propria; Google tratta dati di account, dispositivo e piattaforma secondo condizioni e informativa proprie.

  • Aggregatore: dove autorizzato da Google, Alejandro García Martínez usa infrastruttura e credenziali gestite da Vuelvy per creare o amministrare emittenti, classi e oggetti di più clienti, trasmettere contenuti e dati necessari e ricevere segnali del ciclo di vita disponibili tramite API
  • BYOC: il cliente controlla account emittente, progetto e credenziali Google; Vuelvy accede con permessi minimi, traccia gli accessi e protegge, ruota o elimina i segreti secondo contratto e accordo di trattamento
  • Google può ricevere identificativi di emittente, classe e oggetto, elementi del brand e materiali visivi, campi visibili, link, luoghi configurati, dati di emissione o aggiornamento e segnali necessari a salvare, usare o rimuovere il pass
  • Il servizio non dà a Vuelvy accesso al contenuto generale dell’account Google Wallet o ai metodi di pagamento del titolare. Vuelvy tratta solo dati del programma o restituiti da API autorizzate, non vende dati Wallet e non li usa per pubblicità di terzi
  • Cambiare modello o emittente richiede autorizzazione documentata. Migrazione, esportazione, revoca dei permessi e cancellazione o conservazione seguono contratto, accordo di trattamento, capacità Google e obblighi legali
17

17. Trasferimenti internazionali

Alcuni fornitori o sub-responsabili trattano dati fuori dallo Spazio economico europeo. Prima dell’attivazione usiamo il meccanismo appropriato: decisione di adeguatezza, EU–US Data Privacy Framework per entità certificate, clausole contrattuali standard della Commissione europea e, quando richiesto, valutazione del trasferimento e misure supplementari. Informazioni sulle garanzie sono disponibili scrivendo a privacy@vuelvy.com.

18

18. Conservazione e cancellazione

Conserviamo i dati solo per il tempo necessario a ogni finalità e alla gestione delle responsabilità.

  • Richieste e opportunità inattive: normalmente 12 mesi dall’ultima interazione
  • Marketing: fino alla disiscrizione; prove di consenso e opposizione per i termini di prescrizione applicabili
  • Contratti, fatture e registri contabili: per il rapporto e generalmente 6 anni o un periodo obbligatorio maggiore
  • Dati di account e servizio: durante il contratto e il periodo concordato di esportazione, restituzione o cancellazione
  • Dati di clienti e titolari di pass: secondo istruzioni, impostazioni di conservazione e accordo di trattamento
  • Credenziali e accessi BYOC: finché necessari; alla cessazione vengono revocati, restituiti o eliminati secondo contratto, salvo registri minimi di audit o conservazione legale
  • Log di sicurezza e assistenza: periodo minimo richiesto dal rischio, normalmente 30–180 giorni salvo incidenti
  • Backup: cancellati tramite rotazione controllata e mantenuti bloccati fino alla sovrascrittura
19

19. Segmentazione e decisioni automatizzate

Possiamo calcolare un punteggio dei contatti per dare priorità e creare segmenti per campagne o analisi. I fornitori pubblicitari possono costruire pubblici o attribuire conversioni con consenso. Vuelvy non prende decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi su visitatori o contatti. Se un cliente configura profilazione, deve valutarla, informare le persone e fornire le garanzie richieste.

20

20. Diritti degli interessati

Puoi chiedere accesso, rettifica, cancellazione, opposizione, limitazione e portabilità, revocare il consenso in qualsiasi momento e non essere soggetto a decisioni automatizzate nei casi previsti. Scrivi a privacy@vuelvy.com indicando diritto e informazioni sufficienti a individuare i dati. Possiamo richiedere una verifica d’identità proporzionata. Se trattiamo per un cliente, inoltriamo o coordiniamo la richiesta con quel titolare. Puoi anche presentare reclamo all’Agenzia spagnola per la protezione dei dati su aepd.es.

21

21. Sicurezza e incidenti

Applichiamo misure commisurate al rischio: TLS, accessi per ruolo, ambienti separati, segreti cifrati, tracciabilità, validazione degli input, controlli anti-abuso, backup, gestione delle vulnerabilità e minimizzazione dei log. Nessun sistema è infallibile. Segnalazioni riservate possono essere inviate a seguridad@vuelvy.com senza credenziali o dati personali inutili. In caso di violazione valutiamo il rischio, documentiamo la risposta e avvisiamo clienti, autorità o interessati quando richiesto da legge o contratto.

22

22. Minori, dati sensibili e modifiche

Vuelvy è un servizio aziendale non rivolto a minori di 14 anni. Categorie particolari di dati, credenziali finanziarie, documenti d’identità o dati di minori non devono essere inseriti in pass, moduli o campi liberi senza previa approvazione scritta di Vuelvy, valutazione specifica e garanzie adeguate. Per pass privati o informazioni sensibili in Google Wallet serve inoltre l’autorizzazione espressa di Google ove richiesta. Aggiorneremo l’informativa quando cambiano trattamenti, fornitori o requisiti legali e comunicheremo le modifiche rilevanti quando necessario. La versione spagnola prevale ove consentito.

23

23. Accesso con Google

Quando disponibile, puoi creare il tuo account, accedere o collegare il tuo account Google a un account Vuelvy tramite l’accesso con Google. È facoltativo: puoi anche usare email e password. Usiamo Google esclusivamente per autenticarti e proteggere il tuo account. Richiediamo solo le autorizzazioni openid, email e profile; non chiediamo accesso a Gmail, Google Drive, Google Calendar, Contatti o ad altri dati del tuo account Google, né autorizzazioni sensibili o con restrizioni. Scegliere Google non equivale a consenso alle comunicazioni commerciali e non unisce automaticamente le identità: accettiamo solo email verificate da Google e un account Vuelvy esistente viene collegato solo quando lo richiedi dopo aver effettuato l’accesso.

  • Dati che riceviamo da Google: l’identificativo stabile del tuo account Google, la tua email verificata, il tuo nome e, se presente, l’indirizzo della tua immagine del profilo. Sono salvati nel tuo utente Vuelvy e nel record della connessione con Google
  • Token: al termine dell’accesso, Google fornisce token OAuth. I token di accesso e, qualora Google ne emettesse uno, di aggiornamento sono salvati cifrati nel nostro database. Il token di identità firmato da Google, che ripete quei dati di base, è conservato insieme alla connessione ed è protetto dai controlli di accesso e sicurezza del database, senza una cifratura aggiuntiva propria. Richiediamo l’accesso solo mentre effettui l’accesso e non usiamo questi token per consultare altri servizi Google
  • Finalità e base giuridica: creare e mantenere il tuo account, farti accedere, collegare questo metodo di accesso, prevenire accessi non autorizzati e gestire incidenti di sicurezza, sulla base del contratto o di misure precontrattuali e del nostro legittimo interesse alla sicurezza. Il personale accede a questi dati solo per l’assistenza che richiedi, la sicurezza, l’indagine su abusi o l’adempimento di obblighi di legge
  • Fornitori: Vercel esegue l’applicazione e il processo di autenticazione; OVHcloud ospita il database PostgreSQL e i relativi backup; Cloudflare fornisce rete e sicurezza; Resend invia le email transazionali necessarie per il tuo account, come il recupero dell’accesso e gli avvisi di sicurezza. Agiscono come responsabili del trattamento con accesso limitato alla loro funzione. Google tratta il tuo accesso come titolare autonomo secondo la propria informativa privacy: https://policies.google.com/privacy
  • Usi esclusi: non vendiamo i dati ricevuti da Google né li usiamo o cediamo per pubblicità, remarketing, creazione o arricchimento di pubblici, profili commerciali o addestramento di modelli di intelligenza artificiale o apprendimento automatico. Quanto indicato nelle sezioni 10, 11, 12 e 19 su analisi, pixel, comunicazioni e segmentazione non si applica a questi dati né prevale su questa esclusione
  • L’uso da parte di Vuelvy delle informazioni ricevute dalle API di Google, e il loro trasferimento a qualsiasi altra applicazione, è conforme alle Norme sui dati utente dei servizi API di Google (https://developers.google.com/terms/api-services-user-data-policy), inclusi i requisiti di Uso limitato ove applicabili. Condividiamo questi dati solo con i fornitori indicati, quando richiesto dalla legge o con il tuo consenso
  • Conservazione e disconnessione: conserviamo la connessione finché mantieni il tuo account e, successivamente, solo il minimo necessario per sicurezza, obblighi di legge o difesa da reclami. Puoi revocare l’accesso di Vuelvy su https://myaccount.google.com/connections: l’autorizzazione concessa a Vuelvy viene revocata e potrai concederla di nuovo al prossimo accesso. Ciò non chiude le sessioni Vuelvy già aperte, non elimina di per sé i relativi record né chiude il tuo account. Per chiedere la cancellazione scrivi a privacy@vuelvy.com; potremo verificare la tua identità in modo proporzionato e conservare quanto richiesto dalla legge. La cancellazione del tuo utente elimina anche la connessione e i relativi token, che restano solo nei backup fino alla loro rotazione
  • Nuovi usi: se volessimo usare questi dati per un’altra finalità o chiedere a Google autorizzazioni aggiuntive, ti informeremo prima e chiederemo il tuo consenso quando necessario. Un avviso di aggiornamento di questa informativa non sostituisce tale consenso