Informativa sulla Privacy

1. Titolare del trattamento e Responsabile della protezione dei dati

1.1 Titolare del trattamento (Art. 4 n. 7 GDPR)

Il titolare del trattamento dei dati personali in relazione al funzionamento del sito web biscotti-cmp.com, dell'applicazione app.biscotti-cmp.com e di tutti i servizi correlati è:

Campcruisers GmbH
Berliner Str. 21 B
14612 Falkensee
Germania

Rappresentata da: Daniel Bosch (Amministratore Delegato / CEO)
Inoltre autorizzato a rappresentare: Philipp André Marschall (Procuratore)

1.2 Responsabile della protezione dei dati

Qualora sussista un obbligo legale di nomina di un Responsabile della protezione dei dati ai sensi del § 38 comma 1 BDSG o dell'Art. 37 GDPR, questo verrà nominato e i relativi dati di contatto saranno pubblicati in questa sede. Indipendentemente da ciò, la direzione (Daniel Bosch, Philipp André Marschall) garantisce la piena supervisione e il rispetto degli obblighi in materia di protezione dei dati.

Per tutte le richieste relative alla protezione dei dati, si prega di contattare:
E-mail: [email protected]
Telefono: +49 3322 50703301
Orari di apertura: dal lunedì al venerdì, 10:00–17:00 (CET/CEST)

2. Panoramica delle attività di trattamento

Biscotti CMP è una piattaforma completa per la gestione del consenso e la conformità legale. Nell'ambito del funzionamento della piattaforma, trattiamo i dati personali nelle seguenti aree:

• Registrazione e gestione dell'account (Sezione 3)
• Utilizzo della piattaforma SaaS / Dashboard (Sezione 4)
• Dati di consenso dei visitatori del sito web dei nostri clienti (Sezione 5)
• Scanner di cookie (Sezione 6)
• Legal Suite — Generazione di testi AI (Sezione 7)
• Legal Sync — Monitoraggio delle modifiche legislative (Sezione 8)
• Policy-Audit — Scraping del sito web e analisi AI (Sezione 9)
• Mercato degli avvocati (Sezione 10)
• Funzioni di agenzia e White-Label (Sezione 11)
• Newsletter (Sezione 12)
• Programma Review Rewards (Sezione 13)
• Elaborazione dei pagamenti (Sezione 14)
• Rilevamento GeoIP (Sezione 15)
• Rilevamento bot (Sezione 16)
• Tracciamento della sessione (Sezione 17)
• Backup (Sezione 18)
• Hosting e infrastruttura (Sezione 19)
• Cookie e Local Storage su biscotti-cmp.com (Sezione 20)

Per ogni attività di trattamento, vengono di seguito indicati lo scopo, la base giuridica, le categorie di dati trattati, i destinatari e la durata della conservazione.

3. Registrazione e gestione dell'account

3.1 Registrazione e creazione dell'account

Scopo: Creazione e gestione del Suo account utente per l'utilizzo della piattaforma Biscotti CMP.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto — la registrazione è un prerequisito per l'utilizzo della piattaforma SaaS).

Categorie di dati trattati:

• Indirizzo e-mail (obbligatorio)
• Password (memorizzata come hash crittografico, mai in chiaro)
• Nome, Cognome (opzionale)
• Nome dell'azienda (opzionale)
• Lingua dell'account (rilevata automaticamente dalla lingua del browser o scelta manualmente tra 42 lingue disponibili)
• Momento della registrazione
• Indirizzo IP al momento della registrazione (per la registrazione del consenso all'AVV ai sensi dell'Art. 28 par. 9 GDPR)

Destinatari: Resend (invio dell'e-mail di verifica), Hetzner Online GmbH (hosting del database).

Durata della conservazione: I dati vengono conservati per la durata del rapporto contrattuale. Dopo la cancellazione dell'account, i dati vengono immediatamente cancellati, fatti salvi gli obblighi legali di conservazione (cfr. Sezione 23).

3.2 Double-Opt-In (Verifica e-mail)

Scopo: Verifica dell'indirizzo e-mail per assicurare che il titolare dell'indirizzo e-mail abbia effettivamente effettuato la registrazione.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto) in combinato disposto con l'Art. 6 par. 1 lett. f GDPR (legittimo interesse a prevenire abusi).

Categorie di dati trattati:

• Indirizzo e-mail
• Token di verifica (generato casualmente, valido 24 ore)
• Momento dell'invio e della conferma
• Stato di verifica (emailVerified: true/false)

Destinatari: Resend (invio dell'e-mail di verifica).

Durata della conservazione: Il token di verifica viene cancellato dopo la conferma o dopo la scadenza del periodo di 24 ore. Lo stato di verifica viene conservato per la durata del rapporto contrattuale.

3.3 Reimpostazione password

Scopo: Consentire il ripristino dell'accesso all'account in caso di password dimenticata.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto).

Categorie di dati trattati:

• Indirizzo e-mail
• Token di reimpostazione (generato casualmente, a tempo limitato)
• Momento della richiesta

Destinatari: Resend (invio dell'e-mail di reimpostazione).

Durata della conservazione: Il token di reimpostazione viene cancellato dopo l'utilizzo o dopo la scadenza del periodo di validità.

4. Utilizzo della piattaforma SaaS (Dashboard)

4.1 Utilizzo del Dashboard e configurazione del banner

Scopo: Fornitura dell'interfaccia utente basata sul web (Dashboard) all'indirizzo app.biscotti-cmp.com per la configurazione e la gestione del banner di consenso, dei siti web, delle categorie, dei testi legali e di tutte le altre funzioni della piattaforma.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto).

Categorie di dati trattati:

• Dati dell'account (e-mail, nome, azienda)
• Configurazioni del sito web (dominio, impostazioni del banner, colori, testi, categorie di consenso)
• Statistiche del banner (visualizzazioni, interazioni, tassi di accettazione)
• Risultati della scansione e cronologie delle scansioni
• Testi legali generati
• Rapporti di conformità e Health-Scores
• Voci del log di audit (timestamp, ID utente, azione eseguita, indirizzo IP)

Destinatari: Hetzner Online GmbH (hosting).

Durata della conservazione: Per la durata del rapporto contrattuale. I log di audit vengono conservati per 12 mesi. Dopo la cancellazione dell'account, i dati vengono cancellati in modo irrevocabile dopo la scadenza del periodo di grazia di 30 giorni.

4.2 Gestione del team

Scopo: Consentire l'accesso multi-utente all'account tramite l'invito di membri del team.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto).

Categorie di dati trattati:

• Indirizzi e-mail dei membri del team invitati
• Ruoli e autorizzazioni assegnati
• Momento dell'invito e dell'accettazione

Destinatari: Resend (invio dell'e-mail di invito), Hetzner Online GmbH (hosting).

Durata della conservazione: Per la durata dell'appartenenza al team. In caso di rimozione dal team, i dati di associazione vengono cancellati.

4.3 Consent-Analytics e A/B-Testing

Scopo: Valutazione statistica dei tassi di consenso, delle interazioni con il banner e del tracciamento delle conversioni. L'A/B-Testing consente il confronto di diverse varianti di banner per ottimizzare i tassi di accettazione.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto — le funzioni di Analytics sono parte integrante del piano tariffario sottoscritto).

Categorie di dati trattati:

• Statistiche di consenso aggregate (nessun dato individuale)
• Associazione delle varianti del banner (in caso di A/B-Testing)
• Distribuzione del traffico e tassi di conversione

Destinatari: Hetzner Online GmbH (hosting).

Durata della conservazione: Le statistiche aggregate vengono conservate per la durata del rapporto contrattuale.

5. Dati di consenso dei visitatori del sito web

5.1 Acquisizione delle decisioni di consenso

Scopo: Acquisizione, conservazione e documentazione delle decisioni di consenso dei visitatori del sito web per adempiere all'obbligo di prova del gestore del sito web ai sensi dell'Art. 7 par. 1 GDPR e del § 25 par. 1 TDDDG.

Base giuridica: Art. 6 par. 1 lett. c GDPR (obbligo legale — obbligo di prova ai sensi dell'Art. 7 par. 1 GDPR) in combinato disposto con l'Art. 6 par. 1 lett. f GDPR (legittimo interesse del gestore del sito web alla documentazione del consenso).

Categorie di dati trattati:

• ID di consenso (UUID pseudonimo, associato al dispositivo finale/browser)
• Decisioni di consenso per categoria (Essenziali, Funzionali, Analisi, Marketing e, se del caso, categorie personalizzate)
• Timestamp del consenso (data e ora)
• Hash IP (l'indirizzo IP viene trattato esclusivamente per il rilevamento della giurisdizione e successivamente anonimizzato in un hash crittografico; gli indirizzi IP grezzi non vengono conservati in modo permanente)
• Codice paese (determinato tramite rilevamento GeoIP)
• Lingua del browser
• Stringa User-Agent
• Categoria referrer (organic, social, paid, direct, referral)
• Stringa TCF (con IAB Transparency & Consent Framework 2.3 attivato)
• Variante di consenso (con A/B-Testing attivato)
• Segnali di Google Consent Mode v2
• Segnale Global Privacy Control (GPC)

Destinatari: Hetzner Online GmbH (hosting, database), MinIO (backup, auto-ospitato su Hetzner).

Durata della conservazione: I dati di consenso vengono conservati di default per 18 mesi. Il gestore del sito web (cliente) può configurare individualmente il periodo di conservazione. Dopo la scadenza del periodo di conservazione, i dati vengono cancellati automaticamente e irrevocabilmente.

5.2 Consent-Lookup (Informazioni per i visitatori del sito web)

Scopo: Consentire ai visitatori del sito web di consultare i dati di consenso memorizzati per l'esercizio del diritto di accesso ai sensi dell'Art. 15 GDPR.

Base giuridica: Art. 6 par. 1 lett. c GDPR (obbligo legale — diritto di accesso ai sensi dell'Art. 15 GDPR).

Categorie di dati trattati:

• ID di consenso (inserito dal visitatore del sito web)
• Indirizzo IP (per il rate-limiting, non conservato in modo permanente)

Destinatari: Hetzner Online GmbH (hosting).

Durata della conservazione: Non vengono conservati dati aggiuntivi. La query è limitata a 10 richieste al minuto per indirizzo IP.

6. Scanner di cookie

6.1 Scansione automatizzata del sito web

Scopo: Ricerca automatizzata dei siti web dei nostri clienti per cookie, voci di Local Storage e tracker di terze parti per l'identificazione, la categorizzazione e la documentazione delle tecnologie utilizzate. I risultati servono per la configurazione del banner di consenso conforme alla protezione dei dati.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto — lo scanner di cookie è una funzione centrale della piattaforma).

Categorie di dati trattati:

• Dominio e URL del sito web scansionato
• Cookie trovati (Nome, Valore, Dominio, Data di scadenza, Percorso, Flag Secure, Attributo SameSite)
• Voci di Local Storage
• Tracker di terze parti e risorse esterne incorporate
• Categorizzazione degli elementi trovati (Essenziali, Funzionali, Analisi, Marketing)
• Confronto con la IAB Global Vendor List (GVL)
• Momento della scansione e durata della scansione

Implementazione tecnica: Lo scanner utilizza Playwright (browser headless open-source di Microsoft), che è gestito sui nostri server sulla Hetzner (Falkenstein, Germania). Non avviene alcuna trasmissione di dati a Microsoft. Lo scanner visita il sito web del cliente come un normale browser per rilevare contenuti renderizzati in JavaScript e cookie impostati dinamicamente.

Destinatari: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (categorizzazione dei cookie trovati basata su AI).

Durata della conservazione: I risultati della scansione vengono conservati per la durata del rapporto contrattuale. Le cronologie delle scansioni consentono il confronto con scansioni precedenti.

6.2 Cookie-Checker pubblico

Scopo: Fornitura di un Cookie-Checker pubblico e gratuito sul sito web di marketing, utilizzabile senza registrazione.

Base giuridica: Art. 6 par. 1 lett. f GDPR (legittimo interesse alla fornitura di un servizio informativo e all'acquisizione di clienti).

Categorie di dati trattati:

• Dominio/URL inserito
• Indirizzo IP (per il rate-limiting, non conservato in modo permanente)
• Risultati della scansione

Destinatari: Hetzner Online GmbH (hosting).

Durata della conservazione: I risultati della scansione del checker pubblico vengono conservati temporaneamente. L'utilizzo è limitato a 3 scansioni al giorno per indirizzo IP.

7. Legal Suite — Generazione di testi AI

7.1 Generazione di testi legali basata su AI

Scopo: Generazione di testi legali personalizzati (Impressum, Informativa sulla privacy, Cookie Policy, Condizioni Generali di Contratto, Informativa sul diritto di recesso, AVV/DPA, Condizioni di spedizione e reso, Termini di utilizzo, Disclaimer, NDA, Informazioni DSA e oltre 30 altri tipi di documenti) basati sulle informazioni inserite dal cliente con l'uso dell'Intelligenza Artificiale.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto — la Legal Suite è parte integrante del piano tariffario sottoscritto).

Categorie di dati trattati che vengono trasmessi a Alibaba Cloud Qwen:

• Dati aziendali del cliente (ragione sociale, forma giuridica, indirizzo, dati di contatto)
• Nomi dei rappresentanti autorizzati (amministratori delegati, procuratori)
• Dati di registro (tribunale del registro, numero di registro, P.IVA intracomunitaria)
• Informazioni specifiche del settore e categoria commerciale
• Descrizione delle attività di trattamento
• Informazioni individuali sul tipo di documento inserite dal cliente
• Informazioni sulla giurisdizione

Fornitore AI: Alibaba Cloud Qwen (Alibaba (Netherlands) B.V., Herengracht 448, 1017 CA Amsterdam, Niederlande). Il trattamento avviene tramite l'API di Alibaba Cloud Qwen all'interno dell'UE/SEE. Secondo le norme sulla protezione dei dati di Alibaba Cloud, i dati di input non vengono utilizzati per l'addestramento di modelli AI.

Destinatari: Alibaba Cloud Qwen (trattamento AI), Hetzner Online GmbH (hosting, conservazione dei testi generati).

Durata della conservazione: I testi legali generati vengono conservati per la durata del rapporto contrattuale. Con Alibaba Cloud Qwen, i dati di input non vengono conservati oltre il trattamento, in conformità con i termini di utilizzo di Alibaba Cloud.

7.2 Bring Your Own Key (BYOK)

Scopo: I clienti possono facoltativamente depositare le proprie API-Key per i fornitori di AI (Alibaba Qwen, Google Gemini, OpenAI, Anthropic Claude, Ollama) per gestire la generazione di testi tramite il proprio account presso il rispettivo fornitore di AI.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto).

Categorie di dati trattati:

• API-Key del cliente (viene conservata crittografata con AES-256-GCM)

Nota: In caso di utilizzo di una propria API-Key, il trattamento dei dati di input presso il rispettivo fornitore di AI avviene sotto la responsabilità del cliente. Si applicano le norme sulla protezione dei dati del rispettivo fornitore.

Destinatari: Il fornitore di AI scelto dal cliente.

Durata della conservazione: L'API-Key crittografata viene conservata per la durata del rapporto contrattuale e cancellata in caso di eliminazione dell'account.

8. Legal Sync — Monitoraggio delle modifiche legislative

Scopo: Monitoraggio automatizzato delle modifiche legislative in oltre 186 giurisdizioni. In caso di modifiche rilevanti, i testi legali del cliente interessati vengono automaticamente contrassegnati come bisognosi di aggiornamento. Nei piani tariffari con funzione "Auto-Update", i testi interessati possono essere rigenerati automaticamente.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto — Legal Sync è parte integrante del piano tariffario sottoscritto).

Categorie di dati trattati:

• Associazione giurisdizionale dei siti web dei clienti
• Associazione dei testi legali generati alle giurisdizioni
• Momento e tipo della modifica legislativa rilevata
• Stato dell'aggiornamento (attuale, da aggiornare, aggiornato automaticamente)

Implementazione tecnica: Un processo automatizzato giornaliero (Cron-Job, 03:00 UTC) verifica le modifiche legislative e le confronta con i documenti del cliente.

Destinatari: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (in caso di rigenerazione automatica dei testi legali), Resend (e-mail di notifica).

Durata della conservazione: I registri delle modifiche vengono conservati per la durata del rapporto contrattuale.

9. Policy-Audit — Scraping del sito web e analisi AI

9.1 Audit di conformità automatizzati

Scopo: Verifica settimanale automatizzata dei siti web dei clienti per rischi relativi alla protezione dei dati. Ciò include il rilevamento di nuovi cookie dall'ultima scansione, la verifica di problemi di consenso e l'analisi basata su AI dei testi legali esistenti (Informativa sulla privacy, Impressum) del cliente. Il risultato è presentato come Health-Score (A–F).

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione di un contratto — la funzione di Compliance-Audit è parte integrante della piattaforma).

Categorie di dati trattati:

• Dominio e URL del sito web verificato
• Contenuti estratti (scraped) dell'Informativa sulla privacy e dell'Impressum del cliente
• Risultati dell'analisi AI (lacune rilevate, riferimenti obsoleti, servizi mancanti)
• Health-Score e rapporto di conformità
• Momento dell'audit

Implementazione tecnica: Playwright (browser headless, auto-ospitato su Hetzner) estrae (scraps) i testi legali pubblicamente accessibili del sito web del cliente. I testi estratti vengono successivamente analizzati tramite l'API di Alibaba Cloud Qwen.

Destinatari: Hetzner Online GmbH (hosting), Alibaba Cloud Qwen (analisi AI), Resend (e-mail di notifica in caso di problemi rilevati).

Durata della conservazione: I risultati dell'audit e i rapporti di conformità vengono conservati per la durata del rapporto contrattuale.

10. Mercato degli avvocati

10.1 Intermediazione di servizi legali

Scopo: Intermediazione di servizi legali tra clienti e avvocati indipendenti registrati sulla piattaforma. Campcruisers GmbH agisce esclusivamente come intermediario e non diventa parte contraente del rapporto di mandato tra cliente e avvocato (cfr. § 14 Condizioni Generali).

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto — utilizzo del mercato degli avvocati).

10.2 Registrazione degli avvocati

Categorie di dati trattati:

• Dati di contatto dell'avvocato (nome, e-mail, telefono, indirizzo dello studio legale)
• Qualifiche professionali e aree di specializzazione
• Documenti di verifica (max. 10 MB, PDF/JPEG/PNG)
• Stato di verifica (PENDING_APPROVAL, APPROVED, REJECTED)
• Disponibilità (fasce orarie settimanali, date bloccate, fuso orario)
• Immagine del profilo e descrizione del profilo
• Dati dell'account Stripe Connect (per i pagamenti)

10.3 Dati del mandato

Categorie di dati trattati:

• Richieste di offerta e offerte (descrizione, prezzo, durata di validità)
• Stato del mandato (QUOTE_REQUESTED, QUOTE_SENT, PAYMENT_PENDING, IN_REVIEW, COMPLETED, QUOTE_REJECTED, QUOTE_EXPIRED, CANCELLED, DISPUTED)
• Messaggi tra cliente e avvocato
• Informazioni di pagamento (importo, commissione della piattaforma, importo del pagamento)

10.4 Consulenza video (Twilio)

Scopo: Fornitura di consulenze video tra clienti e avvocati.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto).

Categorie di dati trattati:

• Metadati della consulenza video (ora, durata, partecipanti)
• ID della sala Twilio e token di accesso

Destinatari: Twilio Ireland Limited, Dublino, Irlanda (fornitura dell'infrastruttura video).

10.5 Valutazioni

Scopo: Consentire ai clienti di valutare gli avvocati per la garanzia della qualità.

Base giuridica: Art. 6 par. 1 lett. f GDPR (legittimo interesse alla garanzia della qualità e alla trasparenza).

Categorie di dati trattati:

• Valutazione (stelle, testo libero)
• Momento della valutazione
• Assegnazione al mandato

Destinatari per l'intero mercato degli avvocati: Stripe Connect (elaborazione dei pagamenti), Twilio (consulenza video), Hetzner Online GmbH (hosting), Resend (notifiche).

Durata della conservazione: I dati del mandato vengono conservati per la durata del rapporto contrattuale, ma almeno per la durata degli obblighi legali di conservazione (10 anni per i dati di fatturazione). Le valutazioni rimangono visibili per la durata della registrazione dell'avvocato. Le offerte non accettate scadono automaticamente dopo 7 giorni.

11. Funzioni di agenzia e White-Label

11.1 Gestione dei Sub-Account

Scopo: Consentire alle agenzie di gestire gli account dei clienti finali (Sub-Account) nell'ambito del piano Agency.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto).

Categorie di dati trattati:

• Indirizzi e-mail e dati di contatto dei titolari dei Sub-Account (clienti finali dell'agenzia)
• Dati di invito (e-mail, ora)
• Log di accesso ai token proxy (ora, utente dell'agenzia, Sub-Account)
• Configurazioni del sito web e dati di consenso dei Sub-Account

Destinatari: Hetzner Online GmbH (hosting), Resend (e-mail di invito).

Durata della conservazione: Per la durata del rapporto contrattuale tra l'agenzia e Campcruisers GmbH.

11.2 Dominio personalizzato (CNAME)

Scopo: Fornitura di un dominio proprio per il dashboard dell'agenzia.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto).

Categorie di dati trattati:

• Nome del dominio dell'agenzia
• Dati di verifica DNS
• Dati del certificato SSL/TLS (forniti automaticamente tramite Let's Encrypt)

Destinatari: Let's Encrypt (emissione di certificati SSL — vengono trasmessi esclusivamente nomi di dominio, non dati personali di persone fisiche), Hetzner Online GmbH (hosting, routing Traefik).

11.3 E-mail transazionali proprie

Scopo: Consentire l'invio di e-mail transazionali con il branding dell'agenzia tramite un proprio provider di e-mail.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto).

Categorie di dati trattati:

• Chiavi API del provider di e-mail dell'agenzia (memorizzate crittografate con AES-256-GCM)
• Dati del mittente dell'e-mail (nome, indirizzo e-mail)
• Provider supportati: Resend, SendGrid, Mailjet, Mailchimp/Mandrill, Maileroo, Gmail SMTP, Custom SMTP

Nota: In caso di utilizzo di un proprio provider di e-mail, l'invio delle e-mail avviene sotto la responsabilità dell'agenzia in materia di protezione dei dati.

Durata della conservazione: Le chiavi API crittografate vengono conservate per la durata del rapporto contrattuale.

12. Newsletter

12.1 Abbonamento alla Newsletter

Scopo: Invio di informazioni su aggiornamenti di prodotto, diritto della protezione dei dati, temi di compliance e novità relative a Biscotti CMP.

Base giuridica: Art. 6 par. 1 lett. a GDPR (consenso — la newsletter viene inviata solo dopo esplicito consenso tramite procedura Double-Opt-In).

Categorie di dati trattati:

• Indirizzo e-mail
• Momento dell'iscrizione e della conferma Double-Opt-In
• Stato di disiscrizione

Procedura Double-Opt-In: Dopo aver inserito l'indirizzo e-mail, riceverete un'e-mail di conferma con un link di verifica. Solo dopo aver cliccato su questo link il vostro indirizzo e-mail verrà inserito nella lista di distribuzione della newsletter.

Destinatari: Resend (invio delle e-mail della newsletter e dell'e-mail di conferma).

Disiscrizione: Potete disdire la newsletter in qualsiasi momento. Ogni e-mail della newsletter contiene un link di disiscrizione (Unsubscribe-Link). In alternativa, potete disiscrivervi inviando un'e-mail a [email protected].

Durata della conservazione: Il vostro indirizzo e-mail viene conservato fino alla disiscrizione dalla newsletter. Dopo la disiscrizione, l'indirizzo e-mail viene immediatamente cancellato dalla lista di distribuzione. Per la documentazione del consenso prestato, il momento dell'iscrizione e della conferma viene conservato per un periodo di 3 anni dopo la disiscrizione (legittimo interesse alla dimostrabilità del consenso, Art. 6 par. 1 lett. f GDPR).

13. Programma Review Rewards

Scopo: Premiare i clienti che lasciano recensioni su Biscotti CMP su piattaforme di recensioni esterne con sessioni bonus e un upgrade temporaneo del piano.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto — la partecipazione al programma è volontaria e costituisce una prestazione contrattuale aggiuntiva).

Categorie di dati trattati:

• Dati dell'account del cliente partecipante
• Piattaforma di recensioni (OMR Reviews, Capterra, G2, Google Business, WordPress.org, Trustpilot, SourceForge, Facebook, earlybird.so)
• Link alla recensione lasciata
• Stato di approvazione (tramite verifica amministrativa)
• Dati del premio (15.000 sessioni bonus, 1 mese di upgrade del piano)

Destinatari: Hetzner Online GmbH (hosting).

Durata della conservazione: I dati del premio vengono conservati per la durata del rapporto contrattuale. Le sessioni bonus scadono dopo 6 mesi (piani regolari) o sono valide illimitatamente (piani LTD).

14. Elaborazione dei pagamenti (Stripe)

14.1 Pagamenti degli abbonamenti

Scopo: Gestione dei pagamenti per piani di abbonamento a pagamento, Credit Packs e altri servizi a pagamento.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto).

Categorie di dati trattati:

• Indirizzo di fatturazione (Nome/Azienda, Via, CAP, Città, Paese)
• Partita IVA (per clienti B2B)
• Metodo di pagamento (carta di credito, addebito diretto SEPA, PayPal, Apple Pay, Google Pay ecc.)
• Cronologia dei pagamenti e fatture
• ID Cliente Stripe e ID Abbonamento

Destinatari: Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Grand Canal Dock, Dublino, Irlanda. Stripe è certificata nell'ambito del EU-US Data Privacy Framework.

Durata della conservazione: Fatture e dati contabili vengono conservati per 10 anni (§ 147 AO, §§ 238, 257 HGB). I metodi di pagamento vengono conservati presso Stripe per la durata dell'abbonamento.

14.2 Stripe Connect (Mercato degli avvocati)

Scopo: Gestione dei pagamenti tra clienti e avvocati tramite il mercato degli avvocati e pagamento agli avvocati.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto).

Categorie di dati trattati:

• Dati dell'account Stripe Connect Express degli avvocati
• Importi dei pagamenti, commissione della piattaforma, importi dei versamenti
• Dati della sessione di checkout

Destinatari: Stripe Payments Europe, Ltd., Dublino, Irlanda.

Durata della conservazione: Secondo gli obblighi di conservazione per i dati di fatturazione (10 anni).

14.3 Fatture ZUGFeRD

Scopo: Creazione e fornitura di fatture in formato ZUGFeRD (PDF con XML incorporato secondo EN 16931).

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto) in combinato disposto con Art. 6 par. 1 lett. c GDPR (obbligo legale — obblighi di fatturazione secondo UStG, HGB).

Categorie di dati trattati:

• Indirizzo di fatturazione, numero cliente (CUS-JJMM-XXXXX), numero fattura (INV-JJMM-XXXXX)
• Descrizione del servizio, importi, aliquote fiscali

Destinatari: Resend (invio della fattura via e-mail), Hetzner Online GmbH (hosting).

Durata della conservazione: 10 anni (§ 147 AO, §§ 238, 257 HGB).

15. Rilevamento GeoIP

Scopo: Determinazione basata su IP del paese o della giurisdizione del visitatore del sito web per la visualizzazione dinamica di varianti di banner conformi alla legge (ad es. Opt-In per i paesi GDPR, Opt-Out per i paesi CCPA, Notice-Only per i paesi senza legislazione specifica sui cookie).

Base giuridica: Art. 6 par. 1 lett. f GDPR (legittimo interesse alla visualizzazione conforme alla legge del banner di consenso in base alla giurisdizione applicabile del visitatore del sito web).

Categorie di dati trattati:

• Indirizzo IP del visitatore del sito web (viene trasmesso a ip-api.com per il rilevamento del paese)
• Codice paese rilevato

Implementazione tecnica: L'indirizzo IP viene trasmesso al servizio ip-api.com (sede: Lituania, UE). Il risultato (codice paese) viene memorizzato nella cache (Redis) per 1 ora per evitare query ripetute. Dopo il rilevamento del paese, l'indirizzo IP viene anonimizzato in un hash crittografico (IP-Hash). Gli indirizzi IP grezzi non vengono memorizzati in modo permanente.

Destinatari: ip-api.com (ip-api, Lituania — servizio GeoIP), Hetzner Online GmbH (hosting, cache Redis).

Durata della conservazione: Il risultato GeoIP viene memorizzato nella cache per 1 ora. Gli indirizzi IP grezzi vengono immediatamente anonimizzati dopo il rilevamento del paese. L'IP-Hash viene memorizzato come parte dei dati di consenso per il periodo di conservazione configurato (standard: 18 mesi).

16. Rilevamento Bot

Scopo: Distinzione tra visitatori umani del sito web e accessi automatizzati (bot, crawler, scraper) per un conteggio corretto delle sessioni. Gli accessi automatizzati non vengono contati come sessioni e non vengono fatturati.

Base giuridica: Art. 6 par. 1 lett. f GDPR (legittimo interesse alla corretta fatturazione e alla protezione della piattaforma da abusi).

Categorie di dati trattati:

• Stringa User-Agent
• Header HTTP (ad es. Accept-Language, Accept-Encoding)
• Caratteristiche dei browser headless
• Indirizzo IP (per il rate-limiting basato su IP, non memorizzato in modo permanente)

Implementazione tecnica: Il rilevamento dei bot analizza ogni accesso tramite analisi User-Agent, analisi degli header (ad es. header Accept-Language mancanti), rilevamento di browser headless e rate-limiting basato su IP. L'analisi avviene in tempo reale sui nostri server.

Destinatari: Hetzner Online GmbH (hosting).

Durata della conservazione: I risultati dell'analisi non vengono memorizzati in modo permanente. Il risultato (Bot: sì/no) viene incluso nel conteggio delle sessioni.

16.1 Cloudflare Turnstile (Protezione bot per login/registrazione)

Scopo: Protezione dei moduli di login e registrazione dagli attacchi automatizzati dei bot.

Base giuridica: Art. 6 par. 1 lett. f GDPR (legittimo interesse alla protezione della piattaforma da abusi e attacchi automatizzati).

Categorie di dati trattati:

• Indirizzo IP
• Informazioni sul browser
• Dati di interazione con il widget Turnstile

Destinatari: Cloudflare Germany GmbH, Rosental 7, 80331 Monaco, Germania. Cloudflare è certificata nell'ambito del EU-US Data Privacy Framework. La protezione è ulteriormente garantita da Clausole Contrattuali Standard (SCCs).

Durata della conservazione: Cloudflare memorizza i dati in conformità con le proprie politiche sulla protezione dei dati. Sui nostri server non vengono memorizzati dati aggiuntivi da Turnstile.

17. Tracciamento delle sessioni

Scopo: Conteggio delle sessioni per la fatturazione basata sul piano tariffario. Una sessione viene contata quando il widget Biscotti-CMP (biscotti.min.js) viene caricato su un sito web del cliente e invia un ping HTTP all'endpoint /api/v1/ping.

Base giuridica: Art. 6 par. 1 lett. b GDPR (esecuzione del contratto — la fatturazione basata sulle sessioni è la base del modello tariffario).

Categorie di dati trattati:

• Contatore sessioni (aggregato per sito web e mese di fatturazione)
• Momento del ping
• Risultato del rilevamento bot (cfr. sezione 16)

Implementazione tecnica: Redis viene utilizzato come database in-memory per il tracciamento delle sessioni e il caching. Redis è auto-ospitato su Hetzner (Falkenstein, Germania). Non avviene alcuna trasmissione di dati a terzi.

Destinatari: Hetzner Online GmbH (hosting, Redis).

Durata della conservazione: I contatori delle sessioni vengono memorizzati per il rispettivo mese di fatturazione. I dati storici delle sessioni vengono conservati per la durata del rapporto contrattuale per la tracciabilità della fatturazione.

18. Backup

Scopo: Backup regolare dei log di consenso, delle configurazioni dei banner, delle configurazioni dei siti web e dei dati del database per garantire la recuperabilità in caso di perdita di dati.

Base giuridica: Art. 6 par. 1 lett. f GDPR (legittimo interesse alla sicurezza dei dati e alla recuperabilità ai sensi dell'Art. 32 par. 1 lett. c GDPR).

Categorie di dati trattati:

• Tutti i dati memorizzati nel database (log di consenso, configurazioni, dati dell'account, testi legali, risultati della scansione)
• Configurazioni dei banner

Implementazione tecnica:

• Backup automatico giornaliero del database PostgreSQL
• Backup automatico giornaliero delle configurazioni dei banner e delle configurazioni dei siti web
• Memorizzazione su storage MinIO auto-ospitato all'interno della Hetzner
• Crittografia lato server con AES-256
• Verifica dell'integrità tramite checksum SHA-256
• Test di ripristino regolari

Destinatari: MinIO (auto-ospitato su Hetzner Online GmbH).

Durata della conservazione: I backup vengono conservati per un periodo di tempo a rotazione. In caso di eliminazione dell'account, i dati di backup vengono cancellati dopo la scadenza del periodo di grazia di 30 giorni e del successivo ciclo di rotazione del backup.

19. Hosting e Infrastruttura

19.1 Hetzner Online GmbH

Scopo: Hosting dell'intera infrastruttura Biscotti CMP, inclusi web server, database, logica applicativa e tutti i servizi correlati.

Base giuridica: Art. 6 par. 1 lett. b DSGVO (esecuzione del contratto) in combinato disposto con Art. 6 par. 1 lett. f DSGVO (legittimo interesse a un'infrastruttura affidabile e sicura).

Ubicazione del data center: Falkenstein/Vogtland (Germania, EU).

Fornitore: Hetzner Online GmbH, 70 Sir John Rogerson's Quay, Dublino 2, Irlanda.

Architettura tecnica:

• Applicazione containerizzata (Docker)
• Traefik come reverse proxy e load balancer
• PostgreSQL come database relazionale (auto-ospitato su Hetzner)
• Redis come database in-memory per il tracciamento delle sessioni e il caching (auto-ospitato su Hetzner)
• Playwright come browser headless per la scansione di siti web (auto-ospitato su Hetzner)
• MinIO come Object Storage compatibile con S3 per i backup (auto-ospitato su Hetzner)

19.2 File di log del server

Scopo: Fornitura tecnica del sito web e garanzia della stabilità del sistema.

Base giuridica: Art. 6 par. 1 lett. f DSGVO (legittimo interesse alla fornitura tecnica e alla sicurezza).

Categorie di dati trattati:

• Indirizzo IP (anonimizzato)
• Data e ora dell'accesso
• Pagina/endpoint richiamato
• Codice di stato HTTP
• Quantità di dati trasferiti
• URL di riferimento
• Tipo e versione del browser
• Sistema operativo

Durata della conservazione: I file di log del server vengono conservati per un massimo di 30 giorni e successivamente cancellati automaticamente.

20. Cookie e Local Storage su biscotti-cmp.com

20.1 Utilizzo proprio di Biscotti CMP

Per la gestione dei consensi necessari sul nostro sito web (biscotti-cmp.com), utilizziamo il nostro prodotto "Biscotti CMP".

20.2 Cookie tecnicamente necessari

Scopo: Garanzia della funzionalità del sito web e del dashboard.

Base giuridica: Art. 6 par. 1 lett. f DSGVO (legittimo interesse alla funzionalità tecnica) in combinato disposto con § 25 par. 2 n. 2 TDDDG (i cookie tecnicamente necessari sono esenti dall'obbligo di consenso).

Cookie tecnicamente necessari utilizzati:

• Cookie di sessione (token JWT per l'autenticazione, validità: 7 giorni)
• Cookie di consenso (memorizzazione della decisione di consenso del visitatore su biscotti-cmp.com)
• Cookie di preferenza linguistica

20.3 Cookie di analisi (solo con consenso)

Scopo: Valutazione statistica dell'utilizzo del nostro sito web per migliorare la nostra offerta.

Base giuridica: Art. 6 par. 1 lett. a DSGVO (consenso) in combinato disposto con § 25 par. 1 TDDDG.

Google Analytics 4: Utilizziamo Google Analytics 4 per la valutazione statistica esclusivamente con il Suo consenso. Fornitore: Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda. Il trattamento dei dati avviene nell'UE. L'anonimizzazione dell'IP è attivata.

20.4 Informazioni dettagliate sui cookie

Informazioni dettagliate su tutti i cookie utilizzati su biscotti-cmp.com, inclusi nome, scopo, fornitore, durata di conservazione e tipo, sono disponibili nella nostra politica sui cookie separata.

21. Fornitori di servizi esterni / Destinatari

Per la fornitura dei nostri servizi, utilizziamo i seguenti fornitori di servizi esterni. Questo elenco corrisponde a § 24 delle nostre Condizioni Generali e § 7 del nostro Accordo sul Trattamento dei Dati:

Tecnologie auto-ospitate (nessun sub-responsabile del trattamento autonomo):

• PostgreSQL (Open Source) — Database relazionale, auto-ospitato su Hetzner (Falkenstein)
• Redis (Open Source) — Database in-memory per il tracciamento delle sessioni e il caching, auto-ospitato su Hetzner (Falkenstein)
• Playwright (Open Source, Microsoft) — Browser headless per la scansione di siti web, auto-ospitato su Hetzner (Falkenstein)
• MinIO (Open Source) — Object Storage compatibile con S3 per i backup, auto-ospitato su Hetzner (Falkenstein)

Con queste tecnologie non avviene alcuna trasmissione di dati a terzi. Esse sono parte dell'infrastruttura Hetzner menzionata al n. 5.

22. Trasferimento verso paesi terzi

22.1 Principio

Il trattamento dei dati personali avviene di norma all'interno dell'Unione Europea (UE) o dello Spazio Economico Europeo (SEE). L'infrastruttura primaria (Hetzner Online GmbH, Falkenstein) si trova in Germania.

22.2 Trasferimenti verso paesi terzi

Nella misura in cui un trattamento da parte di fornitori di servizi esterni avviene al di fuori dell'UE/SEE, ci assicuriamo che siano soddisfatti i requisiti speciali degli Artt. 44 e seguenti DSGVO:

(a) Resend (USA):

• Protezione tramite le attuali Clausole Contrattuali Standard (SCC) della Commissione Europea ai sensi della Decisione di Esecuzione (UE) 2021/914
• Protezione aggiuntiva tramite l'EU-US Data Privacy Framework (DPF) ai sensi della Decisione di Adeguatezza della Commissione Europea del 10 luglio 2023
• Misure tecniche complementari: crittografia TLS di tutte le trasmissioni e-mail
• Il trattamento dei dati avviene su server AWS nell'UE (regione eu-west-1)

(b) Let's Encrypt (USA):

• La comunicazione con Let's Encrypt si limita all'emissione automatizzata di certificati SSL/TLS tramite il protocollo ACME
• Vengono trasmessi esclusivamente nomi di dominio — nessun dato personale di persone fisiche

(c) Cloudflare Turnstile (Globale):

• Protezione tramite le Clausole Contrattuali Standard (SCC) della Commissione Europea
• Protezione aggiuntiva tramite l'EU-US Data Privacy Framework
• Il trattamento si limita al rilevamento dei bot durante le procedure di login e registrazione

22.3 Valutazione dell'impatto del trasferimento

Per ogni trasferimento verso un paese terzo, effettuiamo una Valutazione dell'Impatto del Trasferimento (Transfer Impact Assessment — TIA) per garantire che il livello di protezione dei dati nel paese terzo sia sostanzialmente equivalente a quello dell'UE. I risultati della TIA sono disponibili su richiesta.

22.4 Modifiche della situazione giuridica

Qualora una decisione di adeguatezza della Commissione Europea venga revocata o un trasferimento verso un paese terzo venga vietato da un'autorità di controllo o da un tribunale, La informeremo immediatamente e adotteremo misure di protezione alternative adeguate o interromperemo il trattamento interessato.

23. Durata della conservazione e termini di cancellazione

Conserviamo i dati personali solo per il tempo necessario allo scopo del trattamento o in presenza di obblighi legali di conservazione. Di seguito una panoramica dei principali termini di conservazione:

Dopo la cancellazione dell'account, tutti i dati personali vengono cancellati in modo irrevocabile e conforme alla protezione dei dati dai sistemi produttivi e dai backup dopo la scadenza del periodo di grazia di 30 giorni, fatti salvi gli obblighi legali di conservazione sopra menzionati.

24. Diritti degli interessati (Artt. 15–22 DSGVO)

In qualità di interessato, Lei ha i seguenti diritti in relazione ai Suoi dati personali:

24.1 Diritto di accesso (Art. 15 DSGVO)

Lei ha il diritto di ottenere da noi la conferma che sia o meno in corso un trattamento di dati personali che La riguardano. In tal caso, Lei ha il diritto di accedere a tali dati personali e alle informazioni di cui all'Art. 15 par. 1 DSGVO (finalità del trattamento, categorie di dati personali, destinatari, periodo di conservazione previsto, origine dei dati, esistenza di un processo decisionale automatizzato).

Implementazione tecnica: Può visualizzare i Suoi dati dell'account in qualsiasi momento nel dashboard. I dati di consenso possono essere scaricati tramite la funzione di esportazione (CSV). I visitatori del sito web possono visualizzare i loro dati di consenso memorizzati tramite la pagina pubblica di ricerca del consenso, indicando il loro ID di consenso.

24.2 Diritto di rettifica (Art. 16 DSGVO)

Lei ha il diritto di ottenere senza ingiustificato ritardo la rettifica dei dati personali inesatti che La riguardano. Tenuto conto delle finalità del trattamento, Lei ha il diritto di ottenere l'integrazione dei dati personali incompleti.

Implementazione tecnica: I dati dell'account (nome, e-mail, azienda, indirizzo) possono essere rettificati in qualsiasi momento nel dashboard.

24.3 Diritto alla cancellazione (Art. 17 DSGVO)

Lei ha il diritto di ottenere la cancellazione senza ingiustificato ritardo dei Suoi dati personali, qualora sussista uno dei motivi di cui all'Art. 17 par. 1 DSGVO (ad es. i dati non sono più necessari per lo scopo, revoca del consenso, trattamento illecito).

Implementazione tecnica: Può richiedere la cancellazione del Suo account in qualsiasi momento tramite il dashboard o via e-mail a [email protected]. Con la cancellazione dell'account, tutti i dati personali vengono irrevocabilmente cancellati, fatti salvi gli obblighi legali di conservazione (cfr. Sezione 23). I dati di consenso possono essere cancellati dal cliente (gestore del sito web) tramite le funzioni del dashboard.

Limitazioni: Il diritto alla cancellazione non sussiste nella misura in cui il trattamento sia necessario per l'adempimento di un obbligo legale (ad es. obblighi di conservazione fiscali e commerciali).

24.4 Diritto di limitazione del trattamento (Art. 18 DSGVO)

Lei ha il diritto di ottenere la limitazione del trattamento, qualora sussista una delle condizioni di cui all'Art. 18 par. 1 DSGVO (ad es. contestazione dell'esattezza, trattamento illecito, opposizione ai sensi dell'Art. 21 DSGVO).

Implementazione tecnica: La limitazione di singoli set di dati può essere richiesta tramite le funzioni del dashboard o contattando il nostro supporto.

24.5 Diritto alla portabilità dei dati (Art. 20 DSGVO)

Lei ha il diritto di ricevere in un formato strutturato, di uso comune e leggibile da dispositivo automatico i dati personali che La riguardano e che ci ha fornito. Lei ha il diritto di trasmettere tali dati a un altro titolare del trattamento senza impedimenti.

Implementazione tecnica: Biscotti CMP offre ampie possibilità di esportazione dei dati in formato CSV tramite il dashboard e l'API REST. Sono esportabili: dati di consenso, configurazioni del sito web, risultati della scansione, testi legali, log di audit e fatture.

24.6 Diritto di opposizione (Art. 21 DSGVO)

Lei ha il diritto di opporsi in qualsiasi momento, per motivi connessi alla Sua situazione particolare, al trattamento dei dati personali che La riguardano ai sensi dell'Art. 6 par. 1 lett. f DSGVO (legittimo interesse). Non tratteremo più i dati personali, a meno che non dimostriamo l'esistenza di motivi legittimi cogenti per procedere al trattamento che prevalgono sui Suoi interessi, diritti e libertà, oppure il trattamento sia necessario per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria.

24.7 Diritto di revoca del consenso (Art. 7 par. 3 DSGVO)

Qualora il trattamento si basi sul Suo consenso (Art. 6 par. 1 lett. a DSGVO), Lei ha il diritto di revocare il consenso in qualsiasi momento. La revoca del consenso non pregiudica la liceità del trattamento basata sul consenso prima della revoca.

Implementazione tecnica per i visitatori del sito web: Il banner di consenso di Biscotti CMP offre agli utenti finali la funzione di richiamare e revocare le impostazioni effettuate in qualsiasi momento. La revoca è altrettanto semplice quanto la concessione del consenso.

Implementazione tecnica per la newsletter: Ogni e-mail della newsletter contiene un link di disiscrizione.

24.8 Diritto di proporre reclamo a un'autorità di controllo (Art. 77 DSGVO)

Lei ha il diritto di proporre reclamo a un'autorità di controllo per la protezione dei dati in merito al trattamento dei Suoi dati personali da parte nostra. L'autorità di controllo competente per noi è:

L'incaricato statale per la protezione dei dati e per il diritto di accesso agli atti del Brandeburgo
Stahnsdorfer Damm 77
14532 Kleinmachnow
Telefon: +49 33203 356-0
E-Mail: [email protected]

Tuttavia, Lei può anche rivolgersi all'autorità di controllo del Suo luogo di residenza abituale o di lavoro.

24.9 Contatto per l'esercizio dei Suoi diritti

Per esercitare i Suoi diritti, La preghiamo di contattare:

E-Mail: [email protected]
Telefon: +49 3322 50703301
Posta: Campcruisers GmbH, Berliner Str. 21 B, 14612 Falkensee, Germania

Elaboreremo la Sua richiesta senza indugio, e comunque entro un mese dal ricevimento (Art. 12 par. 3 DSGVO). In casi complessi o in presenza di un numero elevato di richieste, tale termine può essere prorogato di altri due mesi, di cui La informeremo indicando i motivi.

25. Processo decisionale automatizzato (Art. 22 DSGVO)

25.1 Generazione di testi AI

Nell'ambito della Legal Suite, i testi legali vengono generati tramite Intelligenza Artificiale (Alibaba Cloud Qwen). Questa generazione di testi costituisce un trattamento automatizzato, che tuttavia non rappresenta un processo decisionale automatizzato ai sensi dell'Art. 22 par. 1 DSGVO, poiché:

• I testi generati non producono effetti giuridici nei confronti dell'interessato e non lo pregiudicano in modo analogo in modo significativo.
• I testi rappresentano solo bozze che devono essere verificate, modificate e approvate dal cliente prima dell'uso.
• Nessuna decisione si basa esclusivamente su un trattamento automatizzato — il cliente mantiene sempre il pieno controllo sull'utilizzo dei testi generati.

25.2 Categorizzazione di cookie basata su AI

La categorizzazione automatica dei cookie tramite AI (Essenziali, Funzionali, Analitici, Marketing) rappresenta una funzione di supporto. Il cliente può verificare e adattare la categorizzazione manualmente in qualsiasi momento. Non si tratta di un processo decisionale automatizzato ai sensi dell'Art. 22 DSGVO.

25.3 Rilevamento bot

Il rilevamento automatizzato dei bot (cfr. Sezione 16) decide automaticamente se un accesso è classificato come umano o automatizzato. Questa decisione ha un impatto sul conteggio delle sessioni e quindi sulla fatturazione. Poiché la decisione riguarda esclusivamente il cliente (non il visitatore del sito web) e il cliente può monitorare il conteggio delle sessioni nel dashboard, non si tratta di un processo decisionale automatizzato ai sensi dell'Art. 22 DSGVO che pregiudichi in modo significativo un interessato.

25.4 Compliance-Health-Score

Il calcolo automatizzato del Compliance-Health-Score (A–F) nell'ambito dell'audit delle policy (cfr. Sezione 9) rappresenta una funzione di informazione e supporto. Il punteggio non ha alcun effetto legale e serve esclusivamente all'informazione del cliente.

25.5 Avviso di trasparenza ai sensi dell'EU AI Act

Utilizziamo sistemi di IA (Alibaba Cloud Qwen) per la generazione di testi, la categorizzazione dei cookie e l'analisi delle policy. Ai sensi degli obblighi di trasparenza del Regolamento (UE) 2024/1689 (EU AI Act), segnaliamo che:

• I contenuti generati dall'IA sono contrassegnati come tali.
• L'IA simula diversi ruoli di esperti legali — non si tratta di una verifica da parte di veri avvocati.
• Raccomandiamo vivamente di far verificare i testi legali generati dall'IA da un avvocato qualificato prima dell'uso produttivo.

26. Modifiche dell'Informativa sulla protezione dei dati

Ci riserviamo il diritto di adattare la presente Informativa sulla protezione dei dati per adeguarla a modifiche legislative, sviluppi tecnici o nuove funzionalità di Biscotti CMP. La versione attuale è sempre disponibile sul nostro sito web all'indirizzo biscotti-cmp.com/de/datenschutz.

In caso di modifiche sostanziali che riguardano i Suoi diritti o la natura del trattamento dei dati, La informeremo via e-mail all'indirizzo e-mail memorizzato nel Suo account. Le raccomandiamo di controllare regolarmente la presente Informativa sulla protezione dei dati.

27. Autorità di controllo competente

L'autorità di controllo per la protezione dei dati competente per Campcruisers GmbH è:

L'incaricato statale per la protezione dei dati e per il diritto di accesso agli atti del Brandeburgo
Stahnsdorfer Damm 77
14532 Kleinmachnow
Germania
Telefon: +49 33203 356-0
E-Mail: [email protected]
Webseite: https://www.lda.brandenburg.de

Sicurezza dei dati

Adottiamo misure di sicurezza tecniche e organizzative complete ai sensi dell'Art. 32 DSGVO per proteggere i Suoi dati personali. Queste includono in particolare:

• Crittografia durante la trasmissione: TLS 1.2/1.3 per tutte le trasmissioni di dati, imposizione HTTPS (HSTS)
• Crittografia a riposo: Crittografia AES-256 di tutti i database e supporti di archiviazione sulla Hetzner Online GmbH, AES-256-GCM per dati di configurazione sensibili (chiavi API, chiavi BYOK)
• Pseudonimizzazione: I dati di consenso sono collegati a ID di consenso pseudonimi, gli indirizzi IP sono anonimizzati in hash IP
• Controllo degli accessi: Controllo degli accessi basato sui ruoli (RBAC), principio del minimo privilegio, separazione logica dei tenant
• Autenticazione: Autenticazione basata su JWT, Cloudflare Turnstile per la protezione dagli attacchi bot
• Backup e ripristino: Backup automatici giornalieri con crittografia AES-256 e verifica dell'integrità SHA-256
• Registrazione degli audit: Sistema di registrazione completo per tutte le azioni rilevanti per la sicurezza

Le misure tecniche e organizzative complete (TOM) sono documentate nel § 8 del nostro Accordo sul Trattamento dei Dati (AVV).