1. Titolare del trattamento
- Titolare: GIRA, SL
- NRT: L-719243-J
- Sede: Crta. de Nagol, C/ Camp del Tomasset, núm. 8, AD600 Sant Julià de Lòria, Principat d’Andorra
- Contatto per questioni di privacy: privadesa@calers.ad
La presente informativa spiega come trattiamo i dati personali quando visiti calers.ad e quando usi l’applicazione app.calers.ad (il «servizio»).
2. Normativa applicabile
Trattiamo i dati in conformità con la Legge 29/2021, del 28 ottobre, qualificata di protezione dei dati personali del Principato di Andorra (LQPD) e, quando applicabile poiché offriamo il servizio a persone che si trovano nell’Unione europea, con il Regolamento (UE) 2016/679 generale sulla protezione dei dati (GDPR).
3. Quali dati trattiamo
A seconda di come interagisci con Calers, trattiamo:
- Dati dell’account: nome, cognome, indirizzo e-mail, password (salvata solo sotto forma di hash), lingua e preferenze.
- Accesso con Google o Apple: se scegli questa opzione, riceviamo l’identificativo dell’account, il nome e l’e-mail che il fornitore ci trasmette. Non riceviamo mai la tua password.
- Dati finanziari che inserisci: conti, saldi, movimenti, categorie, etichette, budget, obiettivi, debiti, movimenti programmati e file bancari che importi. Calers non si collega alla tua banca: tratta solo ciò che inserisci.
- Dati dell’abbonamento: piano, stato, date e identificativi cliente e di abbonamento di Paddle. I dati della carta o del mezzo di pagamento sono trattati direttamente da Paddle e noi non li riceviamo.
- Accettazione dei testi legali: la versione delle condizioni e dell’informativa sulla privacy che accetti, la conferma di avere almeno 18 anni, la data e l’indirizzo IP.
- Verifica in due passaggi, se la attivi: la chiave segreta (salvata cifrata), i codici di recupero (solo sotto forma di hash) e i browser che decidi di ricordare (tipo di browser e di sistema, indirizzo IP e date di utilizzo).
- Dati tecnici e di sicurezza: indirizzo IP, tipo di browser, date di accesso, tentativi di accesso e registro delle azioni sensibili.
- Dati di navigazione sul sito web calers.ad, solo se accetti i cookie analitici: pagine visitate, pagina di provenienza, tipo di dispositivo e di browser, lingua, posizione approssimativa (Paese e città) e gli identificativi dei cookie di Google Analytics. Non li colleghiamo mai al tuo account né ai tuoi dati finanziari, e l’app non usa Google Analytics.
- Richieste e comunicazioni: i dati che ci fornisci quando ci scrivi o ci invii una richiesta per esercitare i tuoi diritti.
4. Finalità e basi giuridiche
- Fornire il servizio (creare e gestire l’account, salvare e mostrare i tuoi dati, importarli ed esportarli): esecuzione del contratto.
- Gestire la prova gratuita, l’abbonamento, gli addebiti e i rimborsi tramite Paddle: esecuzione del contratto e adempimento di obblighi di legge.
- Registrare che hai accettato le condizioni e l’informativa sulla privacy e che sei maggiorenne: esecuzione del contratto e legittimo interesse a poterlo dimostrare.
- Garantire la sicurezza del servizio, prevenire frodi e accessi non autorizzati, controllare gli accessi del nostro personale ai dati ed eseguire backup: legittimo interesse.
- Inviarti comunicazioni di servizio (verifica dell’e-mail, recupero della password, avvisi sull’abbonamento o modifiche rilevanti): esecuzione del contratto.
- Gestire le richieste di esercizio dei tuoi diritti: adempimento di un obbligo di legge. Rispondere alle altre domande: legittimo interesse.
- Gestire gli incidenti di sicurezza e, se necessario, notificarli all’autorità di controllo e alle persone interessate: adempimento di un obbligo di legge.
- Adempiere agli obblighi legali, fiscali e contabili: obbligo di legge.
- Elaborare statistiche aggregate sulle visite al sito web calers.ad con Google Analytics per migliorarne i contenuti: il tuo consenso, che puoi revocare in qualsiasi momento da «Impostazioni cookie», nel piè di pagina.
Non utilizziamo i tuoi dati per pubblicità, non elaboriamo profili commerciali e non prendiamo decisioni automatizzate che producano effetti giuridici nei tuoi confronti.
5. Destinatari e responsabili del trattamento
Non vendiamo né cediamo i tuoi dati. Li comunichiamo solo ai fornitori di cui abbiamo bisogno per fornire il servizio:
- Clouding.io (Spagna): hosting dei server su cui funzionano il sito web e l’applicazione e in cui sono salvati i dati e i backup. Agisce come responsabile del trattamento.
- SiteGround (server nell’Unione europea): servizio di posta elettronica con cui ti inviamo le e-mail del servizio e riceviamo quelle che ci invii. Agisce come responsabile del trattamento.
- Paddle.com Market Limited (Regno Unito) e le società del suo gruppo, che agiscono come rivenditore ufficiale (Merchant of Record) e trattano i dati di pagamento e fatturazione come titolari autonomi, secondo la propria informativa sulla privacy.
- Google e Apple, solo se scegli di accedere con il tuo account. Agiscono come titolari autonomi, secondo le proprie informative.
- Google Ireland Limited (Irlanda), solo se accetti i cookie analitici del sito web calers.ad: servizio di statistiche Google Analytics. Agisce come responsabile del trattamento, con le funzioni pubblicitarie e Google Signals disattivate, e non riceve alcun dato del tuo account né dell’app.
I responsabili del trattamento possono utilizzare i dati solo per fornirci i loro servizi, secondo le nostre istruzioni e con adeguate garanzie di riservatezza e sicurezza.
Possiamo inoltre comunicare dati alle autorità quando una legge ci obbliga a farlo, ad esempio all’Agenzia andorrana per la protezione dei dati se dobbiamo notificarle un incidente di sicurezza.
6. Trasferimenti internazionali
I dati dell’account e i dati finanziari sono salvati su server situati nell’Unione europea (Spagna) e anche la posta elettronica è gestita dall’Unione europea. Andorra e l’Unione europea si riconoscono reciprocamente un livello di protezione dei dati equivalente, per cui queste comunicazioni non richiedono garanzie aggiuntive.
- Paddle tratta i dati di pagamento e fatturazione nel Regno Unito, Paese riconosciuto come dotato di un livello di protezione adeguato, e può avvalersi di propri fornitori in altri Paesi con le garanzie descritte nella sua informativa sulla privacy.
- Se accedi con Google o Apple, ti identifichi direttamente presso queste società, che possono trattare i dati negli Stati Uniti secondo le proprie informative. Non inviamo loro i dati del tuo account né i tuoi dati finanziari: riceviamo da loro solo l’identificativo, il nome e l’e-mail necessari per avviare la sessione.
- Se accetti i cookie analitici, Google può trattare i dati di navigazione del sito web negli Stati Uniti. Google LLC aderisce al quadro UE-USA per la protezione dei dati personali (EU-U.S. Data Privacy Framework), e il trattamento è regolato anche dalle clausole contrattuali tipo incluse nei termini sul trattamento dei dati di Google.
7. Conservazione dei dati
- Dati dell’account e dati finanziari: finché hai un abbonamento o una prova attivi. Se termina e non lo rinnovi, conserviamo l’account per altri 12 mesi perché tu possa riattivarlo o esportare i dati; ti avviseremo via e-mail 30 e 7 giorni prima e poi lo elimineremo definitivamente insieme ai backup. Se elimini l’account dal profilo, vengono cancellati immediatamente il tuo database, i file associati e i backup.
- Accettazione delle condizioni e dell’informativa sulla privacy: finché esiste l’account.
- Dati dell’abbonamento e dei pagamenti: fino a 6 anni, il periodo richiesto dalla normativa fiscale e contabile.
- Registro delle azioni dell’account (accessi, modifiche rilevanti e indirizzo IP): 12 mesi.
- Tentativi di accesso e richieste di recupero della password: 30 giorni.
- Browser ricordati per la verifica in due passaggi: 30 giorni, o finché non li dimentichi o disattivi la verifica.
- Registro degli accessi del nostro personale ai dati: 24 mesi.
- Avvisi di sicurezza automatici: 12 mesi.
- Registri del server e dell’applicazione: tra 14 giorni e 6 mesi.
- Dati di navigazione di Google Analytics: 14 mesi. I cookie analitici scadono dopo 2 anni o quando revochi il consenso.
- Backup: 14 giorni.
- Richieste di esercizio dei diritti: 3 anni dalla loro risoluzione, per poter dimostrare di averle gestite.
- Incidenti di sicurezza e comunicazioni inviate alle persone interessate: per il tempo necessario a dimostrare di aver adempiuto agli obblighi di legge.
- Altre comunicazioni: per il tempo necessario a gestirle e per le eventuali responsabilità che ne derivano.
Se elimini l’account, tutti questi dati vengono cancellati immediatamente, tranne quelli di cui abbiamo bisogno per dimostrare di aver adempiuto ai nostri obblighi (richieste di esercizio dei diritti, incidenti di sicurezza e registro degli accessi del nostro personale) e i registri del server, che sono conservati fino alla fine dei periodi indicati. Le fatture sono conservate da Paddle secondo la propria informativa.
8. I tuoi diritti
Puoi esercitare in qualsiasi momento i diritti di accesso, rettifica, cancellazione, opposizione, limitazione del trattamento e portabilità, nonché revocare il consenso prestato.
Il modo più rapido è dall’applicazione, in Il mio profilo → Privacy e dati, dove puoi:
- Scaricare tutti i tuoi dati in un file ZIP (formati JSON e CSV).
- Rettificare i dati del profilo.
- Eliminare l’account e tutti i tuoi dati.
- Inviarci una richiesta per esercitare qualsiasi altro diritto e consultarne lo stato e la risposta.
Puoi anche scrivere a privadesa@calers.ad dall’indirizzo associato all’account. Se necessario, potremo chiederti informazioni aggiuntive per verificare la tua identità. Ti risponderemo entro un mese, termine prorogabile di altri due mesi se la richiesta è complessa o ne riceviamo molte; in tal caso, te lo comunicheremo entro il primo mese.
Se ritieni che non abbiamo trattato correttamente i tuoi dati, puoi presentare un reclamo all’Agenzia andorrana per la protezione dei dati (APDA, www.apda.ad) o, se risiedi nell’Unione europea, all’autorità di controllo del tuo Paese.
9. Sicurezza
Applichiamo misure tecniche e organizzative adeguate al rischio: connessioni cifrate con HTTPS, un database indipendente con un utente dedicato per ogni cliente, password salvate con hash, verifica in due passaggi facoltativa, limitazione dei tentativi di accesso, sessioni che scadono, registro delle azioni sensibili, registro firmato degli accessi del nostro personale ai dati, avvisi automatici in caso di attività sospette e backup automatici. Nessun sistema è infallibile, ma rivediamo e miglioriamo queste misure in modo continuo.
Se si verifica un incidente di sicurezza che riguarda i tuoi dati e comporta un rischio per i tuoi diritti, lo notificheremo all’Agenzia andorrana per la protezione dei dati entro 72 ore da quando ne veniamo a conoscenza e, se il rischio è elevato, ti avviseremo via e-mail senza ritardo.
10. Minori
Il servizio è rivolto a persone maggiori di 18 anni e, per creare un account, devi confermare di avere almeno 18 anni. Non raccogliamo consapevolmente dati di minori e, se scopriamo di averlo fatto, li cancelleremo.
11. Modifiche alla presente informativa
Possiamo aggiornare la presente informativa per adeguarla a modifiche normative o del servizio. Pubblicheremo la versione in vigore in questa pagina con la data di aggiornamento e, se le modifiche sono rilevanti, ti avviseremo via e-mail o nell’applicazione.