Documenti legali
Informativa sul trattamento dei dati personali
Questa informativa spiega come Roundabout S.r.l. tratta i dati personali di chi si registra e usa la piattaforma Roundabout, ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 (“GDPR”).
1. Titolare del trattamento
Il titolare è Roundabout S.r.l., con sede legale in Corso Castelfidardo 30/a, 10129 Torino, P. IVA 12027720015.
Per qualsiasi richiesta sui tuoi dati, incluso l’esercizio dei diritti descritti al punto 9, scrivi a [email protected].
2. A chi si applica questa informativa
Si applica a:
- chi crea un account sulla piattaforma (agenzie, brand, loro dipendenti e collaboratori);
- i referenti aziendali dei clienti (per esempio chi gestisce la fatturazione);
- i referenti di clienti e potenziali clienti che partecipano a una demo commerciale con Roundabout.
La piattaforma analizza anche profili pubblici di creator su Instagram, TikTok e YouTube. Quel trattamento è descritto in un’informativa dedicata.
La piattaforma è un servizio professionale rivolto a imprese e professionisti. Non è destinata ai consumatori né ai minori di 18 anni.
3. Quali dati trattiamo
| Categoria | Dati | Da dove arrivano |
|---|---|---|
| Account | e-mail, nome, ruolo, azienda, sito aziendale, lingua, preferenze di notifica, workspace e brand a cui hai accesso | da te, in registrazione e nelle impostazioni |
| Autenticazione | e-mail, identificativo utente, credenziali e orari di accesso, gestiti da Firebase Authentication (Google). Roundabout non conserva la tua password | Firebase |
| Fatturazione | ragione sociale, indirizzo, P. IVA, codice SDI o PEC | da te o dal tuo referente aziendale |
| Pagamento | identificativi del cliente e dell’abbonamento in Stripe. Non vediamo né conserviamo i dati della carta: li tratta Stripe | Stripe |
| Utilizzo | contatori di consumo, log dei costi, notifiche, registro delle azioni rilevanti (audit log) | generati dalla piattaforma mentre la usi |
| Contenuti che inserisci | brief di campagna, preventivi, campagne, approvazioni, commenti, note | da te |
| Integrazioni che attivi | l’ID della proprietà Google Analytics 4 del tuo brand e i dati aggregati di traffico letti da lì; gli screenshot contenuti nelle cartelle Google Drive condivise con noi | dai servizi che colleghi tu |
| Demo commerciali | nome, ruolo, azienda e trascrizione di quanto detto durante la demo, per ricavarne esigenze e prossimi passi | dalla registrazione della demo, di cui i partecipanti sono informati all’inizio |
Come funzionano le integrazioni Google. Non ti chiediamo di accedere con il tuo account Google e non conserviamo token personali. Sei tu a concedere accesso in sola lettura a una nostra utenza di servizio. Da Google Analytics 4 leggiamo solo dati aggregati, mai dati sui singoli visitatori del tuo sito, e non installiamo codice sul sito.
Non trattiamo categorie particolari di dati (art. 9 GDPR). Ti chiediamo di non inserirne nei campi liberi.
4. Perché trattiamo i dati e su quale base giuridica
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Creare e gestire il tuo account, farti accedere, erogare le funzioni della piattaforma | esecuzione del contratto — lett. b |
| Elaborare brief e contenuti con strumenti di intelligenza artificiale, come funzione del servizio | esecuzione del contratto — lett. b |
| Leggere i dati delle integrazioni che attivi (Google Analytics 4, Google Drive) | esecuzione del contratto — lett. b |
| Gestire abbonamenti e pagamenti | esecuzione del contratto — lett. b |
| Emettere fatture e conservare la documentazione contabile e fiscale | obbligo di legge — lett. c |
| Comunicazioni di servizio (inviti al team, notifiche, verifica dell’e-mail) | esecuzione del contratto — lett. b |
| Sicurezza, prevenzione degli abusi, registro delle azioni rilevanti | legittimo interesse a proteggere la piattaforma e i clienti — lett. f |
| Difesa in caso di contestazioni | legittimo interesse — lett. f |
| Inviarti la newsletter e comunicazioni su novità e servizi di Roundabout | consenso, facoltativo e revocabile in qualsiasi momento — lett. a. Per chi è già cliente, su servizi analoghi a quelli acquistati: legittimo interesse, art. 130, comma 4, Codice privacy — lett. f |
| Analizzare le demo commerciali per preparare proposte adatte alle esigenze del potenziale cliente | misure precontrattuali adottate su richiesta dell’interessato — lett. b; per gli altri partecipanti, legittimo interesse — lett. f |
Il consenso alla newsletter si dà con una casella non preselezionata in fase di registrazione e non è necessario per usare la piattaforma. In ogni e-mail trovi un link per disiscriverti.
Se non fornisci i dati di account e di fatturazione non possiamo attivare il servizio.
La piattaforma non prende decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o effetti analoghi significativi su di te in quanto utente (art. 22 GDPR). In particolare, prezzi, preventivi e previsioni sono calcolati da regole definite da Roundabout, non generati da modelli di intelligenza artificiale.
5. Quando trattiamo i dati per conto del cliente
Su alcuni dati Roundabout non decide finalità e mezzi: esegue le istruzioni del cliente. È il caso dei dati di terzi che il cliente inserisce nella piattaforma, per esempio i nominativi dei propri referenti o collaboratori.
Per questi dati il titolare è il cliente e Roundabout agisce come responsabile del trattamento (art. 28 GDPR). Il rapporto è regolato dall’accordo sul trattamento dei dati (DPA) che fa parte dei Termini di servizio. Chi è interessato da questi dati può rivolgersi al cliente o a noi, e inoltreremo la richiesta.
6. A chi comunichiamo i dati
Non vendiamo i dati personali. Li comunichiamo solo ai fornitori che servono a far funzionare il servizio, nominati responsabili del trattamento, o a soggetti che agiscono come titolari autonomi.
| Fornitore | Per cosa | Dati coinvolti | Dove sono trattati | Ruolo |
|---|---|---|---|---|
| Amazon Web Services EMEA SARL (Lussemburgo, sede secondaria a Milano) | database, archiviazione file, invio e-mail di servizio | tutti i dati della piattaforma | Italia — regione AWS di Milano | responsabile |
| Google Ireland Limited — Firebase Authentication | accesso e autenticazione | e-mail, identificativo utente, credenziali, orari di accesso | Stati Uniti | responsabile |
| OpenAI Ireland Limited | analisi e generazione di testi, via API | testi dei brief, siti aziendali, contenuti inseriti | anche fuori dall’UE, compresi gli Stati Uniti | responsabile |
| Anthropic, PBC (Stati Uniti) | analisi di testi, via API | trascrizioni delle demo commerciali. Non riceve dati di account né di fatturazione | Stati Uniti | responsabile |
| Stripe Payments Europe, Limited (sede secondaria italiana, Milano) | pagamenti e abbonamenti | dati di fatturazione e pagamento | UE | titolare autonomo per i dati di pagamento |
| Google (Analytics 4, Drive) | solo se attivi queste integrazioni | dati aggregati di traffico, screenshot nelle cartelle condivise | UE e Stati Uniti | responsabile per tuo conto |
I dati che inviamo a OpenAI tramite API non vengono usati per addestrare i loro modelli e sono conservati da OpenAI per un massimo di 30 giorni a fini di controllo degli abusi.
Apify, il fornitore che usiamo per raccogliere dati pubblici dai social, non tratta dati degli utenti della piattaforma: è descritto nell’informativa sui creator.
Possiamo comunicare i dati anche a consulenti (commercialista, legali), obbligati alla riservatezza, e alle autorità quando la legge lo impone.
Trasferimenti fuori dallo Spazio economico europeo
I dati della piattaforma sono conservati in Italia. Tre fornitori li trattano anche fuori dallo Spazio economico europeo:
- Firebase Authentication: il contratto è con Google Ireland Limited, ma il servizio opera da data center negli Stati Uniti e Google non consente di scegliere un’altra regione. Il trasferimento si basa sulle clausole contrattuali standard della Commissione europea incluse nell’accordo sul trattamento dei dati di Google.
- OpenAI: il contratto è con OpenAI Ireland Limited, ma le richieste inviate tramite API possono essere elaborate anche negli Stati Uniti. Il trasferimento si basa sulle garanzie previste dall’accordo sul trattamento dei dati di OpenAI.
- Anthropic, PBC: la società è negli Stati Uniti. Il trasferimento si basa sulle clausole contrattuali standard (decisione (UE) 2021/914) incluse nel suo accordo sul trattamento dei dati.
Puoi chiedere copia delle garanzie scrivendo a [email protected].
7. Per quanto tempo conserviamo i dati
Conserviamo i dati per il tempo necessario alle finalità per cui li raccogliamo, secondo questi criteri:
| Dati | Per quanto |
|---|---|
| Dati dell’account | per la durata del rapporto; se cancelli l’account vengono resi anonimi subito (punto 9) |
| Preventivi, campagne e contenuti inseriti | per la durata del rapporto e per il tempo necessario a rispondere di eventuali contestazioni |
| Screenshot e insight letti da Google Drive | per la durata della campagna e il tempo necessario ai report successivi |
| Notifiche | per il tempo necessario alla finalità per cui sono state inviate |
| Log dei costi di utilizzo | 30 giorni |
| Trascrizioni delle demo commerciali | per il tempo necessario a valutare e formulare la proposta commerciale |
| Fatture e documenti contabili | 10 anni, come previsto dall’art. 2220 del Codice civile |
| Archivio dei tuoi dati generato su richiesta | 7 giorni, poi non è più scaricabile |
| Registro delle azioni rilevanti (audit log) | per il tempo necessario alle finalità di sicurezza e per dimostrare il rispetto degli obblighi di legge |
| Dati necessari per difendersi in una contestazione | fino alla sua conclusione e per i termini di prescrizione applicabili |
| Iscrizione alla newsletter | fino alla revoca del consenso o alla disiscrizione |
8. Sicurezza
I dati della piattaforma sono conservati in Italia, nella regione AWS di Milano. L’accesso è controllato lato server: ogni utente vede solo i workspace e i brand a cui è stato abilitato, in base al proprio ruolo. Le azioni rilevanti vengono registrate. L’autenticazione è affidata a Firebase e le carte di pagamento a Stripe.
Nessun sistema è immune da rischi. Se si verifica una violazione dei dati che ti riguarda, la gestiamo come previsto dagli artt. 33 e 34 GDPR.
9. I tuoi diritti
Puoi chiedere in qualsiasi momento di:
- accedere ai tuoi dati e riceverne copia (art. 15);
- correggerli (art. 16);
- cancellarli (art. 17), salvo i dati che dobbiamo conservare per legge, come le fatture;
- limitarne il trattamento (art. 18);
- riceverli in un formato strutturato e leggibile da dispositivo automatico (art. 20);
- opporti ai trattamenti basati sul legittimo interesse (art. 21).
Scaricare i tuoi dati. Dalla pagina Account puoi generare in qualsiasi momento un archivio con i tuoi dati: profilo, accessi, notifiche e riferimenti ai preventivi e alle campagne a cui hai lavorato. L’archivio è pronto subito e resta scaricabile per 7 giorni. Il contenuto completo dei documenti condivisi non è incluso, perché contiene dati e informazioni commerciali di altre persone (artt. 15.4 e 20.4 GDPR). Se ti serve di più, scrivici.
Cancellare l’account. Dalla pagina Account puoi cancellare il tuo account. La cancellazione è immediata: l’accesso viene revocato su tutti i dispositivi, il tuo indirizzo e-mail viene rimosso da tutti i nostri archivi e dal sistema di autenticazione, e i tuoi dati identificativi (nome, azienda, ruolo, preferenze) vengono resi anonimi in modo irreversibile. Conserviamo solo un identificativo tecnico, necessario perché preventivi, campagne e commenti restino coerenti per le altre persone che ci hanno lavorato (al posto del tuo nome compare “Persona rimossa”), e la traccia dell’avvenuta cancellazione. Restano le fatture, per obbligo di legge. Se sei l’unico proprietario di uno spazio condiviso con altre persone, prima devi nominare un altro proprietario.
Dopo la cancellazione puoi registrarti di nuovo con lo stesso indirizzo e-mail. Il nuovo account parte da zero: i dati del precedente non si possono recuperare.
Disiscriverti dalla newsletter. Usa il link presente in ogni e-mail o scrivici. La disiscrizione non tocca il tuo account.
Le voci del registro di sicurezza scritte prima della cancellazione conservano l’indirizzo e-mail di chi ha compiuto le azioni, per il periodo indicato al punto 7. Servono a proteggere la piattaforma e a dimostrare il rispetto degli obblighi di legge (art. 5.2 GDPR), e per questo non vengono modificate.
Per tutte le altre richieste scrivi a [email protected]. Rispondiamo entro un mese, prorogabile di altri due nei casi complessi, come prevede l’art. 12 GDPR.
Hai anche diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).
10. Cookie e strumenti di tracciamento
Questa sezione vale come cookie policy della piattaforma, raggiungibile su app.roundabout.pro.
| Strumento | Tipo | A cosa serve | Durata |
|---|---|---|---|
| Firebase Authentication (Google) | memoria del browser, tecnica | mantenere la sessione di accesso e riconoscerti tra una pagina e l’altra | se scegli “ricordami” resta finché non esci; altrimenti si cancella alla chiusura del browser |
La piattaforma non usa cookie di profilazione, pubblicità o strumenti di analisi di terze parti. Gli strumenti tecnici necessari non richiedono il consenso (art. 122 del Codice privacy), per questo non mostriamo un banner. Se in futuro aggiungeremo strumenti diversi, aggiorneremo questa sezione e chiederemo il consenso quando serve.
Il sito vetrina roundabout.pro è distinto dalla piattaforma. Alla data di questa versione non usa strumenti di analisi né tag pubblicitari.
11. Minori
La piattaforma è riservata a professionisti e imprese e non è destinata a chi ha meno di 18 anni.
12. Modifiche a questa informativa
Possiamo aggiornare questa informativa quando cambia il servizio o la normativa. Ogni versione riporta numero e data. Se le modifiche sono rilevanti, te lo comunichiamo via e-mail o nella piattaforma prima che entrino in vigore.