Questa informativa, resa ai sensi degli artt. 13-14 GDPR, descrive il trattamento dei dati personali nel servizio Card NFC OnReply.ai. Titolare del trattamento per i dati di account e fatturazione è Designercreativo s.r.l., P.IVA 02673110991, titolare del marchio OnReply.ai ([email protected]).
1. Dati trattati
- Dati account (non pubblici): email di accesso, password cifrata con hash bcrypt, data di creazione.
- Dati profilo card (forniti volontariamente): nome o ragione sociale, ruolo, azienda, bio, telefono, WhatsApp, email di contatto, indirizzo, sito web, link social ed extra, foto profilo e copertina. Sono pubblici nelle card ordinarie e soggetti a sessione di accesso nelle Private DNA.
- Dati tecnici Private DNA: riferimento opaco del chip, UID, versione delle chiavi, contatore di lettura, stato e data degli ultimi tap validi. Le chiavi AES sono derivate da un segreto server e non sono archiviate nel database.
- Dati d'acquisto (solo card a pagamento): nome, email, indirizzo di spedizione, prodotto scelto. I dati di pagamento sono trattati direttamente da Stripe.
- Prova dell'accettazione: email, data e ora, flusso di attivazione e versione dei Termini e dell'Informativa accettati.
- Log tecnici: log minimi di sicurezza e diagnostica, con rotazione periodica.
- Dati analytics e campagne (solo previo consenso): pagine e prodotti visualizzati, avvio checkout, acquisto, identificativo ordine e valore della transazione. Non inviamo ai fornitori analytics password o contenuti del profilo card.
Il servizio non richiede categorie particolari di dati (art. 9 GDPR); l'intestatario è invitato a non inserirle nel profilo.
2. Finalità e basi giuridiche
- Erogazione del servizio, pubblicazione del profilo e gestione account: esecuzione del contratto (art. 6(1)(b) GDPR).
- Vendita, spedizione e fatturazione dei supporti fisici: contratto e obblighi di legge (art. 6(1)(b) e (c)).
- Sicurezza, prevenzione abusi e log tecnici: legittimo interesse (art. 6(1)(f)).
- Comunicazioni di servizio (attivazione, recupero password): esecuzione del contratto.
- Misurazione del funnel e delle campagne tramite Google Analytics 4 e Meta Pixel: consenso (art. 6(1)(a) GDPR), revocabile in qualsiasi momento.
3. Diffusione pubblica del profilo
La pagina card è accessibile senza autenticazione da chiunque conosca il link ed è potenzialmente indicizzabile dai motori di ricerca. I visitatori possono scaricare i dati di contatto in formato vCard. L'intestatario controlla in autonomia quali campi mostrare, tramite le impostazioni "Mostra nella card pubblica" e le esclusioni vCard, e può modificarli o rimuoverli in ogni momento dal pannello proprietario.
Questa diffusione non si applica alla Private DNA Card: il relativo percorso non è pubblicato nella sitemap, invia direttive di non indicizzazione e richiede un cookie HttpOnly temporaneo emesso dopo un tap valido. L'inoltro del solo link non trasferisce il cookie. Chi visualizza legittimamente il profilo può comunque copiare o fotografare le informazioni mostrate.
4. Immagini caricate
Foto profilo e copertina caricate dall'intestatario sono conservate su storage cloud (Supabase Storage) in un bucket pubblico e servite tramite URL pubblico. Caricando un'immagine, l'intestatario dichiara di averne i diritti e ne richiede la pubblicazione come parte del servizio.
5. Destinatari e fornitori
- Supabase (database e storage) – hosting dei dati del profilo e delle immagini.
- Netlify (hosting e funzioni serverless) – erogazione del sito.
- Stripe (pagamenti) – solo per le card a pagamento, quale autonomo titolare per i dati di pagamento.
- Google Analytics 4 e Meta Pixel – attivati esclusivamente dopo il consenso cookie per misurare visualizzazioni, avvii checkout e acquisti.
- Provider email transazionale per le comunicazioni di servizio.
Alcuni fornitori possono trattare dati in Paesi extra-UE sulla base di Clausole Contrattuali Standard o meccanismi equivalenti.
6. Conservazione
- Profilo e account: fino a cancellazione richiesta dall'intestatario o cessazione del servizio.
- Dati d'ordine e fatturazione: 10 anni (obblighi civilistici e fiscali).
- Prova dell'accettazione dei documenti legali: per la durata del rapporto e successivamente per il periodo necessario alla tutela dei diritti nelle eventuali controversie.
- Log tecnici: rotazione tipica 30–90 giorni.
7. Diritti degli interessati
L'intestatario può esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-21 GDPR) scrivendo a [email protected], oltre a poter modificare o rimuovere i dati in autonomia dal pannello. È fatto salvo il diritto di reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it).
Terzi presenti su una card: chi ritiene che i propri dati siano stati pubblicati su una card senza consenso può segnalarlo a [email protected]; il Fornitore verifica e, se necessario, rimuove i contenuti.
8. Cookie e revoca del consenso
I tracker analytics e pubblicitari non vengono caricati prima del consenso. È possibile revocare o modificare la scelta tramite “Gestisci cookie” nella pagina Card NFC; dopo la revoca i tracker non vengono caricati nelle visite successive. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.
9. Minori
Il servizio è riservato a maggiorenni. Non attiviamo consapevolmente card intestate a minori di 18 anni.
10. Modifiche
Eventuali modifiche sostanziali a questa informativa saranno pubblicate su questa pagina con aggiornamento della data. L'uso continuato del servizio dopo le modifiche costituisce presa visione.