Documenti legali
Privacy Policy
Questa informativa descrive come Vetrinà tratta i dati personali nel rispetto del Regolamento (UE) 2016/679 (“GDPR”) e della normativa italiana applicabile.
1. Titolare e contatti
Il titolare è STOCKA' S.R.L.S., P.IVA/C.F. 03355930599, con sede in Via Randaccio 1098, 04020 Santi Cosma e Damiano (LT), Italia. Attività: Commercio al dettaglio/ingrosso non alimentare di stock, fine serie, rimanenze e resi commerciali (ATECO da confermare con commercialista) (ATECO DA CONFERMARE). I dati societari completi sono nella pagina Informazioni legali.
Per richieste privacy: stocka.official@gmail.com. PEC: stocka@pec.it. Telefono: +39 379 355 0801.
Responsabile per la protezione dei dati (RPD/DPO): non è stato nominato un DPO formale in quanto il trattamento non rientra nei casi di obbligo ex art. 37 GDPR. Le richieste sono gestite dal referente privacy ai contatti sopra indicati; eventuali aggiornamenti sul RPD/DPO saranno pubblicati in questa pagina.
2. Ruoli nel trattamento
Stockà agisce come titolare per registrazione, sicurezza, assistenza, gestione del contratto, pagamenti e adempimenti legali. Quando un cliente business carica dati personali di terzi dentro foto, testi o altri contenuti per proprie finalità, il cliente resta titolare e Stockà opera normalmente come responsabile del trattamento, secondo il Data Processing Addendum.
3. Dati trattati
- dati account e contatto: email, identificativo utente, provider di accesso e dati di sicurezza;
- dati del workspace: organizzazione, ruoli, inviti, brand kit, chiavi API in forma hash e configurazioni;
- contenuti: foto prodotto, loghi, testi, prezzi, prompt AI, template e immagini generate;
- dati di utilizzo e sicurezza: eventi tecnici, timestamp, errori, operazioni amministrative e prevenzione abusi;
- dati economici: piano, movimenti wallet, utilizzi marketplace e riferimenti Stripe. I dati completi della carta non transitano nei nostri server.
- dati di collegamento social (solo se attivi l’integrazione Meta): identificativo utente Meta, identificativo e nome della Pagina Facebook, identificativo e username dell’account Instagram professionale, permessi concessi e token di accesso conservati cifrati. Li usiamo esclusivamente per pubblicare i contenuti che approvi e li eliminiamo quando disconnetti l’account da Impostazioni → Integrazioni, quando revochi l’autorizzazione da Meta o quando invii una richiesta di cancellazione dati tramite Meta.
- Vetrinà usa i YouTube API Services solo se attivi l’integrazione. Trattiamo identificativo, nome, handle, immagine e impostazioni del canale, permessi concessi, token Google conservati cifrati e dati delle pubblicazioni richieste. Li usiamo per identificare il canale e caricare gli Short che confermi; non leggiamo commenti o analytics. Aggiorniamo i dati API del canale almeno ogni 25 giorni mentre la connessione è attiva. Eliminiamo entro 30 giorni i dati API dei job di pubblicazione conclusi e, quando rileviamo la revoca del consenso Google, cancelliamo i dati API associati entro 30 giorni. Quando disconnetti il canale da Impostazioni → Integrazioni, cancelli l’account o richiedi la cancellazione, Vetrinà elimina subito i token e i dati YouTube locali associati alla connessione, comunque entro 7 giorni dalla richiesta. L’uso dell’integrazione è soggetto ai Termini di servizio di YouTube e alla Privacy Policy di Google. Puoi inoltre revocare l’accesso in qualsiasi momento dalla pagina delle autorizzazioni del tuo Account Google. La cancellazione dei dati in Vetrinà non elimina i video dal canale YouTube: per rimuoverli devi usare YouTube Studio.
I dati provengono dall’utente, dagli amministratori del suo team e dai fornitori necessari all’erogazione del servizio.
3-bis. Integrazione TikTok
Se colleghi TikTok, riceviamo e conserviamo gli identificativi del profilo autorizzato, nome, username, avatar e link al profilo quando disponibili, permessi concessi, stato della connessione e token di accesso e aggiornamento cifrati con le relative scadenze. Per preparare le anteprime e gestire le pubblicazioni conserviamo foto o video, titolo, descrizione, visibilità, interazioni, dichiarazioni commerciali e AI, conferma dell’utente, date, stato dell’invio, identificativi restituiti da TikTok ed errori tecnici dei tentativi.
Usiamo questi dati per mostrarti quale account hai collegato, caricare le opzioni disponibili, rinnovare l’autorizzazione, preparare il contenuto e pubblicare soltanto ciò che confermi, verificando l’esito. La base giuridica per questa funzione richiesta è l’esecuzione del contratto (art. 6.1.b GDPR); sicurezza e diagnostica seguono le finalità indicate nella sezione 4. L’integrazione non legge messaggi privati o il contenuto dei commenti.
TikTok riceve le informazioni necessarie al collegamento e alle richieste API; foto o video, testo e impostazioni scelti vengono inviati solo dopo la tua conferma della pubblicazione. Hosting e Supabase trattano i dati necessari al funzionamento dell’integrazione; i media derivati restano nello storage privato e TikTok li scarica tramite un URL firmato a scadenza. L’integrazione non inoltra token o dati del profilo TikTok a servizi di generazione AI o ad altri social.
La disconnessione rimuove i token locali, ma non cancella i metadati della connessione, la cronologia degli invii o i media preparati, che restano nel workspace per documentare le richieste e i relativi esiti. Non è prevista una cancellazione automatica di questi record dopo un numero fisso di giorni: sono rimossi con la cancellazione del workspace o attraverso una richiesta privacy accolta, salvo obblighi legali. La scadenza dell’URL firmato non elimina il file. La cancellazione di un singolo account in un team condiviso non elimina i contenuti aziendali del team; le copie residue nei backup seguono il ciclo tecnico descritto nella sezione 4.
Puoi scollegare TikTok e rimuovere subito i token di accesso e aggiornamento conservati da Vetrinà in Impostazioni → Integrazioni.
Puoi anche revocare l’autorizzazione dalle impostazioni del tuo account TikTok. Alla disconnessione Vetrinà tenta la revoca presso TikTok quando non risultano altre connessioni attive dell’utente nel workspace; un errore di revoca non ripristina i token locali. La disconnessione o cancellazione in Vetrinà non elimina i post già inviati a TikTok: gestiscili direttamente su TikTok.
Per accesso, esportazione o cancellazione dei dati TikTok conservati in Vetrinà usa il Centro privacy o scrivi a stocka.official@gmail.com.
4. Finalità, basi giuridiche e conservazione
| Finalità | Base giuridica | Conservazione indicativa |
|---|---|---|
| Account, autenticazione, generazione e assistenza | Contratto e misure precontrattuali, art. 6.1.b | Per la durata dell’account; cancellazione self-service, salvo eccezioni legali |
| Sicurezza, antifrode, diagnostica e tutela dei diritti | Legittimo interesse, art. 6.1.f | Log tecnici normalmente fino a 30 giorni; più a lungo per incidenti o contenziosi |
| Pagamenti, contabilità e obblighi fiscali | Contratto e obbligo legale, artt. 6.1.b-c | Per i termini previsti dalla normativa, generalmente fino a 10 anni |
| Comunicazioni operative e di sicurezza | Contratto e legittimo interesse | Per il tempo necessario alla comunicazione e alla prova dell’invio |
| Analytics o marketing futuri | Consenso, art. 6.1.a | Solo per il periodo indicato nelle preferenze e comunque fino a revoca |
| Richieste privacy | Obbligo legale e tutela dei diritti | Registro limitato fino a 5 anni, con accesso ristretto |
Inviti non accettati scadono dopo 14 giorni. Nei backup dei fornitori, copie residue possono permanere per il ciclo tecnico di sovrascrittura e restano isolate da ogni uso ordinario.
5. Destinatari e fornitori
I dati sono accessibili al personale autorizzato e a fornitori vincolati contrattualmente, tra cui Supabase (autenticazione, database e storage), Stripe (pagamenti), Resend (email), il provider di hosting e, solo quando l’utente sceglie le relative funzioni, Google (OAuth e pubblicazione su YouTube), Meta Platforms (pubblicazione su Instagram/Facebook) e Anthropic (generazione assistita con AI). L’elenco aggiornato è nella pagina Sub-responsabili.
5.1 Condivisione, trasferimento e divulgazione dei dati utente Google e YouTube
Per l’integrazione YouTube, Vetrinà by Stockà tratta i dati ricevuti dalle API Google esclusivamente per collegare il canale, mostrare la connessione e gestire le pubblicazioni richieste dall’utente. Questi dati comprendono identificativo, nome, handle, immagine e impostazioni del canale, permessi concessi, token OAuth e identificativi, collegamenti e stato di elaborazione dei video pubblicati tramite Vetrinà. I destinatari e le finalità sono i seguenti:
- Google LLC / YouTube: riceve i token necessari all’autenticazione delle richieste, gli identificativi del canale e dei video e, quando chiedi di pubblicare, il video, titolo, descrizione e impostazioni di pubblicazione. Il trasferimento serve a eseguire l’operazione sul tuo canale e verificarne l’esito. Il contenuto diventa accessibile al pubblico previsto dalle impostazioni di visibilità effettivamente applicate da YouTube; collegare il canale non rende pubblici i token.
- Supabase, Inc.: ospita il database e lo storage di Vetrinà. Conserva i dati del canale collegato, i permessi, i token di accesso e aggiornamento cifrati, i contenuti da caricare e i dati delle operazioni di pubblicazione, per mantenere la connessione e lo storico del servizio.
- Hetzner, fornitore dell’hosting applicativo: ospita i server che elaborano le richieste OAuth, comunicano con Google e caricano i video. Su questa infrastruttura sono trattati i dati del canale, i token necessari alle chiamate API, i contenuti e i dati tecnici delle operazioni; i log di diagnostica possono includere identificativi dei video, stati ed errori di pubblicazione.
- Utenti autorizzati della tua organizzazione in Vetrinà: possono vedere i dati del canale collegato e delle pubblicazioni resi disponibili dalle funzioni a cui hanno accesso. Le interfacce dell’integrazione non mostrano loro i token OAuth. Questi dati non sono condivisi con le altre organizzazioni clienti di Vetrinà.
- Personale autorizzato di Stockà: può accedere ai dati strettamente necessari per l’assistenza richiesta dall’utente, la sicurezza e la gestione degli incidenti. Eventuali divulgazioni ad autorità competenti sono limitate a quanto richiesto dalla legge.
Non vendiamo i dati utente ottenuti dalle API Google e non li condividiamo per pubblicità mirata, profilazione pubblicitaria o addestramento di modelli AI generalisti. L’integrazione YouTube non invia i token OAuth o i dati del canale ad Anthropic, Stripe, Resend, Meta o TikTok. L’uso di altre funzioni di Vetrinà non autorizza il trasferimento dei dati del canale Google a tali servizi. I fornitori infrastrutturali sopra indicati trattano i dati per erogare il servizio, non per finalità pubblicitarie proprie. Le misure di sicurezza e le garanzie sui trasferimenti internazionali sono descritte nelle sezioni 10 e 6 di questa informativa.
I dati del canale ottenuti tramite i YouTube API Services sono verificati e aggiornati almeno ogni 25 giorni. I dati API dei job di pubblicazione conclusi sono eliminati automaticamente entro 30 giorni. I token OAuth restano cifrati solo finché servono a mantenere la connessione richiesta dall’utente. Una disconnessione, cancellazione account o richiesta di cancellazione elimina immediatamente i dati YouTube locali della connessione, comunque entro 7 giorni; una revoca effettuata presso Google viene rilevata dalla verifica periodica e i dati associati vengono eliminati entro 30 giorni. Queste operazioni non eliminano i contenuti già presenti su YouTube, che l’utente può gestire o cancellare direttamente tramite YouTube Studio.
L’uso e il trasferimento da parte di Vetrinà delle informazioni ricevute dalle API Google rispettano la Google API Services User Data Policy, inclusi i requisiti di Limited Use.
6. Trasferimenti fuori dallo SEE
Alcuni fornitori possono trattare dati fuori dallo Spazio Economico Europeo. In tali casi il trasferimento avviene sulla base di decisioni di adeguatezza, Clausole Contrattuali Standard o altre garanzie previste dagli artt. 44-49 GDPR. Puoi richiedere informazioni sulle garanzie applicabili ai contatti del titolare.
7. Cookie e tecnologie locali
La versione corrente utilizza tecnologie necessarie per sessione, sicurezza e preferenze richieste dall’utente. Eventuali categorie opzionali restano disattivate fino al consenso. Dettagli nella Cookie Policy.
8. Diritti
Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione, nonché revocare il consenso senza pregiudicare i trattamenti precedenti. Puoi usare il Centro privacy se hai un account o scrivere a stocka.official@gmail.com. Il termine ordinario di risposta è un mese, prorogabile nei casi previsti dal GDPR con comunicazione motivata.
Puoi proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo competente del tuo Stato membro.
9. Decisioni automatizzate e minori
Vetrinà non adotta decisioni con effetti giuridici basate unicamente su trattamenti automatizzati o profilazione.
Il servizio è rivolto ad attività professionali e non è destinato a minori.
10. Sicurezza e violazioni
Applichiamo controllo degli accessi, isolamento per organizzazione, storage privato, URL firmati, cifratura in transito, segreti lato server e registrazione degli eventi rilevanti. In caso di violazione dei dati, valuteremo rischio, notifiche all’autorità e comunicazioni agli interessati secondo gli artt. 33-34 GDPR.
11. Aggiornamenti
Le modifiche sostanziali saranno comunicate nell’app o via email prima della loro efficacia, quando richiesto.