Informativa sulla privacy

Titolare del trattamento

Cosa trattiamo ora (lista d'attesa)

Finché il sito pubblico è dedicato solo alla lista d'attesa, trattiamo: (1) l’email che invii per la lista d’attesa; (2) la preferenza di lingua dell’interfaccia necessaria a mostrare il sito; (3) la registrazione delle tue scelte di consenso cookie (Cookie Necessari / Cookie Analitici / Cookie di Marketing) nel browser, per rispettarle. L’iscrizione usa il double opt-in: dopo l’invio del form ti mandiamo un’email di conferma; l’indirizzo entra nella lista d'attesa attiva solo dopo che confermi il link. Gli iscritti confermati possono ricevere un’email di successo e, in seguito, aggiornamenti sul lancio; ogni email della lista d'attesa include un link di disiscrizione. In questa fase non raccogliamo password né dati di transazioni fiscali.

Supporto, contatto e controlli di sicurezza

Quando usi Contact, un link continue-thread da una nostra email, la domanda libera FAQ di Tax Reports o il feedback utile sì/no sull’articolo, trattiamo: il messaggio, il voto o il feedback che invii; nome ed email opzionali; id del ticket; lingua; e metadati di topic o pagina necessari a indirizzare la richiesta. Le valutazioni articolo da ospite non richiedono un account e non raccolgono nome o email, salvo se sei autenticato. Per prevenire abusi memorizziamo anche un request context preso solo dagli header HTTP del server (non dal body del form): indirizzo IP, User-Agent del browser e Accept-Language, conservati sul caso di supporto per review ops ed export. Basi giuridiche: misure su tua richiesta / risponderti (art. 6(1)(b) ove applicabile) oppure legittimo interesse al customer support (art. 6(1)(f)); e per Turnstile e request context, legittimo interesse a sicurezza e prevenzione frodi (art. 6(1)(f)), insieme all’esenzione ePrivacy per misure strettamente necessarie a erogare il form in sicurezza. Usiamo Cloudflare Turnstile (anche invisible) per proteggere i form da spam e abusi automatizzati: il browser può completare un controllo in background; i nostri server verificano un token a breve scadenza con Cloudflare (sicurezza/frodi — non Marketing Cookie). Il trattamento di Cloudflare è descritto nell’Addendum sulla privacy di Cloudflare Turnstile. I ticket restano nel database in regione UE; possiamo inviarti ricevuta o risposta staff via Resend. Per avvisare il team di supporto di nuovi casi possiamo anche inviare un breve ops awareness ping (id ticket, surface, lingua, nome ed email opzionali e una breve anteprima del messaggio) via email e/o Telegram a un canale staff privato — non per marketing. Telegram può trattare quel ping fuori dallo SEE con le garanzie di trasferimento applicabili (ad es. Clausole contrattuali standard UE ove richiesto). Dopo la chiusura conserviamo i ticket di supporto fino a 24 mesi, poi li eliminiamo definitivamente o li anonimizziamo. Se chiedi la cancellazione dell’account, anonimizziamo subito i dati personali dei ticket collegati (compresi i corpi messaggio sostituiti con un segnaposto redacted ove richiesto), lasciando solo uno shell operativo non identificabile fino alla fine del periodo di conservazione standard. Il feedback da utente loggato può anche memorizzare lo user id per risponderti nel contesto.

Basi giuridiche

Email della lista d'attesa: consenso (GDPR art. 6(1)(a)) — invii l’email e accetti questa Informativa sulla privacy (insieme a Termini di utilizzo e Avvertenza) continuando nel form della lista d'attesa. Cookie Necessari e memorizzazione locale necessari al sito e alla memorizzazione del consenso: legittimo interesse a operare un sito sicuro e funzionante (art. 6(1)(f)) e/o necessità per il servizio richiesto. Cookie Analitici e Cookie di Marketing opzionali (cookie/tag): solo consenso (art. 6(1)(a)) tramite banner cookie — mai assunto dall’iscrizione alla lista d'attesa. Al lancio del prodotto, i trattamenti necessari all’account e al reporting fiscale si baseranno principalmente sull’esecuzione del contratto (art. 6(1)(b)), con altre basi ove richiesto dalla legge.

Cosa tratteremo al lancio del prodotto

Con gli account abilitati prevediamo di trattare: email account per l’autenticazione; storico transazioni importato (es. CSV); impostazioni wallet; preferenze TaxProfile (un profilo per Paese); snapshot di calcolo e relative notifiche — solo per fornire reporting fiscale crypto del modulo Paese scelto (Italia per prima). Dopo l’accesso possiamo inviarti all’email dell’account un avviso di sicurezza con indirizzo IP, posizione approssimativa derivata da quell’IP (Paese e, se disponibile, città dall’edge di hosting — non GPS), tipo di dispositivo e ora di accesso, così puoi individuare accessi non autorizzati; non registriamo questi dettagli dell’avviso nei log applicativi. Non usiamo lo storico importato per custodire asset, eseguire trade o presentare dichiarazioni alle autorità fiscali per tuo conto. Modifiche rilevanti a questa policy saranno evidenziate su questa pagina.

Cookie e tecnologie simili

Usiamo un’unica esperienza di consenso cookie rigorosa per tutte le regioni (senza geo “morbido”). Le categorie opzionali sono disattivate di default. Script e cookie non essenziali non si caricano finché non acconsenti. Usiamo Google Consent Mode v2 in modalità Basic: i tag Google Analytics e Google Ads non si caricano prima del consenso corrispondente e non inviamo ping analytics/advertising cookieless prima del consenso.

• •Cookie Necessari (sempre attivi): preferenze di sessione/locale e memorizzazione della scelta cookie, così il sito e (poi) la sessione autenticata funzionano. Non si possono disattivare in Gestisci cookie.
• •Cookie Analitici (opzionale): Google Analytics 4, solo se Cookie Analitici è abilitato da noi e concedi il consenso Cookie Analitici. Per capire l’uso aggregato del sito. Mapping: Cookie Analitici ON → analytics_storage granted.
• •Cookie di Marketing (opzionale): Google Ads (tag conversion / remarketing), solo se Cookie di Marketing è abilitato da noi e concedi il consenso Cookie di Marketing. Per misurare le campagne pubblicitarie e, dove applicabile, mostrare annunci più pertinenti. Mapping: Cookie di Marketing ON → ad_storage, ad_user_data e ad_personalization granted.
• •Puoi modificare o revocare il consenso opzionale in qualsiasi momento tramite Gestisci cookie. Rifiuta tutto disattiva solo Cookie Analitici e Cookie di Marketing; Cookie Necessari restano. Gestisci cookie è un controllo delle preferenze — non fa parte dell’“accetti” contrattuale della lista d'attesa su Informativa sulla privacy, Termini di utilizzo e Avvertenza.

Dove restano i dati

I dati cloud della lista d'attesa e (quando abilitato) del prodotto sono ospitati presso provider in regione UE dove controlliamo la scelta della regione (vedi sub-responsabili). Preferenze e consenso possono restare anche nel browser (local storage). I log applicativi sono progettati per evitare dati personali ove praticabile.

Trasferimenti fuori da UE/SEE

Alcuni fornitori possono trattare dati negli Stati Uniti o in altri Paesi. In particolare, se concedi il consenso Cookie Analitici e/o Cookie di Marketing, Google Analytics e/o Google Ads possono comportare trasferimenti a Google negli USA secondo i meccanismi di trasferimento applicabili di Google. Non abilitiamo quei tag senza il consenso corrispondente. Ove si applicano Clausole contrattuali standard UE o garanzie equivalenti nei contratti con i fornitori, ci basiamo su di esse.

Conservazione

Conservazione email della lista d'attesa (limitazione della conservazione): (1) In attesa (non confermate): teniamo l’indirizzo solo mentre il link di conferma è valido (7 giorni dall’ultima email di conferma). Dopo la scadenza del link eliminiamo il record in attesa — non conserviamo indefinitamente email non confermate. (2) Confermate: conservate finché non ti disiscrivi, non chiedi la cancellazione, non chiudiamo la lista d'attesa o non ti migriamo a un account prodotto con preavviso. (3) Disiscritte: conserviamo il record fino a 30 giorni dopo la disiscrizione per coerenza operativa, poi eliminiamo definitivamente l’email dal database della lista d'attesa. Record di consenso cookie nel browser: finché non cancelli i dati del sito o non cambi le preferenze; possiamo conservare record minimi necessari a dimostrare la conformità. Dati account prodotto (quando disponibili): mentre l’account è attivo; cancellati dal cloud dopo eliminazione account (a cascata), fatte salve brevi backup tecnici e eventuali obblighi di conservazione di legge. Ticket di supporto chiusi: conservati fino a 24 mesi dalla chiusura, poi eliminati o anonimizzati. La cancellazione dell’account anonimizza subito i dati personali dei ticket, come descritto nella sezione Supporto sopra. Per smettere di ricevere email della lista d'attesa usa il link di disiscrizione in qualsiasi messaggio, oppure contatta l’email del titolare su questa pagina per chiedere una cancellazione anticipata.

I tuoi diritti (GDPR)

Ove applicabile hai diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, e il diritto di revocare il consenso senza pregiudicare la liceità del trattamento precedente. Lista d'attesa: usa il link di disiscrizione nelle email e/o scrivi al contatto del titolare per esercitare i diritti (inclusa la cancellazione). Account prodotto: Impostazioni → elimina account (a cascata). Puoi presentare reclamo all’autorità di controllo (in Italia: Garante per la protezione dei dati personali).

Sub-responsabili

Usiamo: Cloudflare Turnstile (controlli anti-bot sui form pubblici); Vercel (hosting web ed edge); Supabase in regione UE (database iscritti lista d'attesa ora; autenticazione e database prodotto quando gli account saranno attivi); Resend (email transazionali da indirizzi come no-reply@rixto.co: conferma e successo lista d'attesa; e, quando l’accesso prodotto è attivo, codici OTP di autenticazione e avvisi di accesso correlati — inviati tramite il nostro Send Email Hook a Resend); Telegram (ops awareness ping per nuovi casi di supporto a un canale staff privato: id ticket, surface, lingua, nome/email opzionali, breve anteprima messaggio — non marketing); Railway o API equivalente ospitata in UE (quando l’API è attiva); Google Analytics (solo se Cookie Analitici è abilitato e acconsenti); Google Ads (solo se Cookie di Marketing è abilitato e acconsenti). Non vendiamo dati personali. Non dichiariamo certificazioni (ad es. SOC 2) né prodotti di terzi (Clarity, Mixpanel) non effettivamente in uso sulla lista d'attesa.