Privacy Policy

La presente informativa è resa da Unicornx S.R.L., con sede legale in Via Riva di Reno 58, 40122 Bologna, P. IVA IT04140551203, PEC [email protected] ("Carzaa" o "Titolare"), in qualità di titolare del trattamento dei dati personali, a tutti i soggetti che interagiscono con la piattaforma digitale Carzaa accessibile tramite il sito web www.carzaa.it e i relativi sottodomini ("Sito"), ivi compresi i potenziali acquirenti di veicoli ("Buyer") e i dealer professionali verificati iscritti alla piattaforma ("Dealer").

La presente informativa è redatta ai sensi dell'art. 13 del Regolamento UE 2016/679 ("GDPR") e del D. Lgs. 30 giugno 2003, n. 196 ("Codice Privacy") come modificato dal D. Lgs. 10 agosto 2018, n. 101.

1. Titolare del trattamento e responsabile della protezione dei dati

Titolare del trattamento: Unicornx S.R.L., Via Riva di Reno 58, 40122 Bologna — P. IVA IT04140551203 — Email: [email protected] — PEC: [email protected] — Tel. +39 392 8906118.

Responsabile della protezione dei dati (DPO): Carzaa non è attualmente tenuta alla nomina obbligatoria di un DPO ai sensi dell'art. 37 GDPR, in quanto il trattamento effettuato non rientra nelle ipotesi di cui all'art. 37, par. 1, lett. b) e c) GDPR. Per qualsiasi questione relativa al trattamento dei dati personali, l'interessato può rivolgersi al Titolare tramite i recapiti sopra indicati.

2. Categorie di dati personali trattati

2.1 Dati di navigazione anonima

I sistemi informatici e le procedure software che governano il funzionamento del Sito acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet. Tali dati non sono raccolti per essere associati a soggetti identificati, ma per loro stessa natura potrebbero permetterne l'identificazione. Rientrano in questa categoria:

indirizzi IP e nomi a dominio dei dispositivi utilizzati per la connessione al Sito;
indirizzo URI delle risorse richieste, orario della richiesta, metodo HTTP, dimensione del file trasferito, codice di risposta del server;
tipo e versione del browser, sistema operativo e dispositivo utilizzato;
pagina di provenienza (referrer), se disponibile.

Questi dati sono utilizzati al solo fine di ricavare informazioni statistiche anonime sull'uso del Sito, controllarne il corretto funzionamento tecnico e, ove necessario, accertare responsabilità in caso di reati informatici commessi ai danni del Sito.

2.2 Dati forniti dal Buyer — Registrazione

Qualora il Buyer scelga di creare un account personale sul Sito, Carzaa raccoglie:

indirizzo email e password (conservata in forma crittografata con algoritmo di hashing one-way, non reversibile da Carzaa);
nome e cognome;
codice postale (facoltativo).

La registrazione è facoltativa. Il Sito è navigabile in forma anonima, fatta eccezione per alcune funzionalità riservate agli utenti registrati (es. salvataggio veicoli preferiti, cronologia delle ricerche).

2.3 Dati raccolti tramite Social Login

2.3.1 Login tramite Google: Carzaa offre la possibilità di registrarsi e accedere al Sito tramite la procedura di autenticazione Single Sign-On (SSO) di Google Ireland Limited, Gordon House, Barrow Street, Dublino 4, Irlanda ("Google"). Se il Buyer sceglie questa modalità, viene reindirizzato al sito di Google per autenticarsi con le proprie credenziali Google. A seguito del consenso prestato, Google trasmette a Carzaa i seguenti dati: nome, cognome, indirizzo email, immagine del profilo (se disponibile) e impostazioni di lingua. Tali dati sono utilizzati esclusivamente per creare e gestire l'account Carzaa. Il trattamento avviene sulla base dell'esecuzione del contratto (art. 6, par. 1, lett. b) GDPR) e del legittimo interesse di Carzaa a semplificare la procedura di registrazione (art. 6, par. 1, lett. f) GDPR). Per ulteriori informazioni: policies.google.com/privacy.

2.3.2 Login tramite Apple (in rilascio): Carzaa offrirà la possibilità di accedere tramite la procedura SSO di Apple Inc., One Apple Park Way, Cupertino, CA 95014, USA ("Apple"). Se il Buyer sceglie questa modalità, Apple assegna un ID univoco per l'account Carzaa, diverso da quello utilizzato su altri siti. Il Buyer può scegliere di condividere il proprio indirizzo email reale oppure di utilizzare la funzione "Nascondi il mio indirizzo email" di Apple, che genera un indirizzo relay anonimo. In questo secondo caso, Carzaa riceve e conserva l'indirizzo relay — non l'indirizzo email reale — e lo utilizza per tutte le comunicazioni di servizio. La revoca del relay da parte del Buyer tramite le impostazioni Apple determina l'impossibilità di ricevere comunicazioni di servizio. Il trattamento avviene sulla base dell'esecuzione del contratto (art. 6, par. 1, lett. b) GDPR) e del legittimo interesse (art. 6, par. 1, lett. f) GDPR). Per ulteriori informazioni: apple.com/legal/privacy.

2.4 Dati forniti dal Buyer — Form di contatto e richieste ai Dealer

Quando il Buyer invia una richiesta di informazioni o di appuntamento a un Dealer tramite il form presente sul Sito, Carzaa raccoglie:

nome e cognome;
indirizzo email;
numero di telefono (facoltativo, se inserito dal Buyer);
testo del messaggio;
timestamp e identificativo del veicolo di interesse;
timestamp e prova del consenso GDPR prestato prima dell'invio, ai sensi dell'art. 7 GDPR.

Tali dati costituiscono una "lead" trasmessa al Dealer destinatario. Il trattamento successivo all'inoltro è di responsabilità esclusiva del Dealer, secondo quanto indicato alla Sezione 4.

2.5 Dati raccolti tramite il motore di ricerca semantica

Quando il Buyer utilizza il motore di ricerca del Sito, il testo della query inserita viene trasmesso ai sistemi server-side di Carzaa per l'elaborazione. Come descritto alla Sezione 5.1, le query sono elaborate tramite una singola chiamata stateless alle API di Anthropic per la generazione di un vettore semantico, utilizzato per l'interrogazione del database dei veicoli. Nessuna sessione, cronologia di conversazione o dato personale identificativo è conservato o trasmesso ad Anthropic nell'ambito di questa operazione. Le query possono essere temporaneamente registrate in forma pseudonimizzata per finalità di analisi aggregata e ottimizzazione del motore di ricerca interno.

2.6 Dati raccolti tramite il sistema di Qualifica Lead Intelligente

Quando il Buyer interagisce con il sistema di Qualifica Lead Intelligente attivo sulle pagine veicolo, Carzaa raccoglie le seguenti informazioni nel corso della sessione:

preferenze e criteri di ricerca espressi dal Buyer in linguaggio naturale (es. tipo di veicolo, budget, utilizzo previsto, disponibilità alla permuta);
disponibilità per appuntamento indicata dal Buyer;
trascrizione della sessione di qualifica;
nome, cognome, indirizzo email e numero di telefono del Buyer, raccolti esclusivamente al momento della generazione della lead, prima della trasmissione al Dealer.

Il sistema opera esclusivamente sui dati configurati dal Dealer in piattaforma (stock veicoli, servizi offerti, disponibilità per appuntamenti, opzioni di permuta) e non accede a informazioni esterne né ad altri dealer. Il testo della sessione è elaborato tramite le API di Anthropic PBC ai sensi della Sezione 5.1. Ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act), il Buyer è informato, prima dell'avvio della sessione, che sta interagendo con un sistema automatizzato e non con un operatore umano.

2.7 Dati raccolti tramite la richiesta di report Carfax

Quando il Buyer richiede un report Carfax tramite il Sito, Carzaa trasmette a Carfax Europe GmbH i dati tecnici del veicolo (targa o VIN) necessari alla generazione del report, unitamente all'identificativo anonimo della sessione. Nessun dato personale identificativo del Buyer è trasmesso a Carfax Europe GmbH da Carzaa nell'ambito di tale operazione. Il trattamento dei dati da parte di Carfax Europe GmbH è regolato dalla propria informativa privacy, disponibile su carfax.com.

2.8 Dati forniti dal Dealer — Registrazione e contratto

Per l'iscrizione alla piattaforma in qualità di Dealer professionale verificato, Carzaa raccoglie:

dati anagrafici del referente: nome, cognome, titolo, indirizzo email, numero di telefono;
dati aziendali: ragione sociale, Partita IVA, sede legale e operativa, email, PEC (se disponibile);
dati per la fatturazione: IBAN, indirizzo di fatturazione — trattati tramite Stripe Inc. ai sensi del contratto Dealer;
dati relativi al parco veicoli: marca, modello, anno, chilometraggio, prezzo, condizioni, immagini, descrizione, VIN;
credenziali di accesso alla dashboard.

Il trattamento dei dati del Dealer è regolato anche dai Termini e Condizioni per i Dealer e dal Data Processing Agreement (DPA) allegato al contratto di abbonamento, ai sensi dell'art. 28 GDPR.

2.9 Dati raccolti tramite cookie e tecnologie di tracciamento pubblicitario

Previo consenso dell'utente, Carzaa raccoglie dati di navigazione e comportamentali tramite pixel di tracciamento e tag di terze parti installati sul Sito per finalità pubblicitarie, di remarketing e di analisi delle conversioni, come specificato alle Sezioni 5.1 e 7. Il dettaglio dei cookie installati è disponibile nella Cookie Policy gestita tramite iubenda (Cookie Solution).

3. Finalità del trattamento e basi giuridiche

3.1 Erogazione del servizio al Buyer

Base giuridica: esecuzione di misure precontrattuali su richiesta dell'interessato e adempimento del contratto, ai sensi dell'art. 6, par. 1, lett. b) GDPR.

Finalità: navigazione del catalogo veicoli, utilizzo del motore di ricerca, visualizzazione delle pagine di dettaglio, richiesta report Carfax, invio di richieste ai Dealer, gestione dell'account personale.

3.2 Gestione del rapporto contrattuale con il Dealer

Base giuridica: adempimento del contratto di abbonamento, ai sensi dell'art. 6, par. 1, lett. b) GDPR; adempimento di obblighi legali (fatturazione, conservazione fiscale), ai sensi dell'art. 6, par. 1, lett. c) GDPR.

Finalità: registrazione e verifica del Dealer, gestione dell'abbonamento, fatturazione tramite Stripe, pubblicazione e gestione degli annunci, consegna delle lead, accesso alla dashboard KPI.

3.3 Trasmissione della lead al Dealer

Base giuridica: consenso esplicito del Buyer, prestato prima dell'invio del form di contatto, ai sensi dell'art. 6, par. 1, lett. a) GDPR. Timestamp e prova del consenso sono registrati da Carzaa.

Finalità: inoltrare la richiesta del Buyer al Dealer titolare dell'annuncio. Il consenso è revocabile in qualsiasi momento tramite le modalità indicate alla Sezione 9, senza pregiudizio per la liceità del trattamento precedente.

3.4 Social Login

Base giuridica: esecuzione del contratto (art. 6, par. 1, lett. b) GDPR) e legittimo interesse di Carzaa alla semplificazione della procedura di accesso (art. 6, par. 1, lett. f) GDPR).

Finalità: autenticazione dell'utente tramite provider terzo (Google, Apple), creazione e gestione dell'account Carzaa senza necessità di registrazione separata. I dati trasmessi dal provider sono limitati a quelli strettamente necessari all'identificazione dell'utente.

3.5 Sistema di Qualifica Lead Intelligente

Base giuridica: adempimento del contratto o esecuzione di misure precontrattuali su richiesta del Buyer, ai sensi dell'art. 6, par. 1, lett. b) GDPR; consenso esplicito del Buyer prestato prima dell'avvio della sessione per la trasmissione della lead al Dealer, ai sensi dell'art. 6, par. 1, lett. a) GDPR.

Finalità: rispondere alle domande del Buyer nella fase di prevendita tramite un sistema di elaborazione del linguaggio naturale; qualificare l'interesse del Buyer in base alle sue preferenze espresse; generare e trasmettere la lead al Dealer con i dati di contatto e la trascrizione della sessione. La base giuridica per la trasmissione al Dealer è il consenso esplicito del Buyer, in linea con quanto previsto dalla Sezione 3.3. Ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act), il Buyer viene informato prima di ogni interazione che sta utilizzando un sistema automatizzato.

3.6 Pubblicità online, remarketing e analisi delle conversioni

Base giuridica: consenso dell'interessato, acquisito tramite il banner cookie iubenda (Cookie Solution) al primo accesso al Sito, ai sensi dell'art. 6, par. 1, lett. a) GDPR e dell'art. 122 del Codice Privacy.

Finalità: erogazione di campagne pubblicitarie mirate verso potenziali Buyer e Dealer su piattaforme Meta (Facebook, Instagram), Google (Ricerca, Display, YouTube) e YouTube tramite i relativi strumenti di tracciamento (Pixel Meta, Google Ads Tag, Google Tag Manager). Le finalità specifiche includono:

remarketing: mostrare annunci personalizzati a utenti che hanno già visitato il Sito o interagito con specifiche pagine o veicoli;
lookalike audience: individuare nuovi utenti con caratteristiche simili a quelli già acquisiti, sulla base di dati pseudonimizzati;
misurazione delle conversioni: verificare l'efficacia delle campagne pubblicitarie (es. quante visite al Sito derivano da un annuncio);
campagne brand awareness: promozione della piattaforma Carzaa verso audience targetizzate per area geografica, interesse o comportamento.

Il consenso al tracciamento pubblicitario è granulare e separato dal consenso agli strumenti di analisi statistica. L'utente può modificare o revocare il proprio consenso in qualsiasi momento tramite il pannello iubenda (Cookie Solution) accessibile dal footer del Sito. La revoca del consenso comporta la disinstallazione dei cookie di tracciamento pubblicitario e la cessazione del trattamento per dette finalità, senza effetto retroattivo.

3.7 Analisi statistica e ottimizzazione della piattaforma

Base giuridica: legittimo interesse di Carzaa alla corretta gestione e miglioramento della piattaforma, ai sensi dell'art. 6, par. 1, lett. f) GDPR. L'analisi avviene su dati aggregati o pseudonimizzati.

Finalità: analisi del traffico e del comportamento di navigazione in forma aggregata tramite Google Analytics 4, identificazione di anomalie tecniche, ottimizzazione delle funzionalità di ricerca e della user experience.

3.8 Comunicazioni di servizio

Base giuridica: adempimento del contratto o esecuzione di misure precontrattuali, ai sensi dell'art. 6, par. 1, lett. b) GDPR; legittimo interesse per comunicazioni strettamente connesse al servizio, ai sensi dell'art. 6, par. 1, lett. f) GDPR.

Finalità: invio di email transazionali (conferma registrazione, notifica ricezione lead, aggiornamenti account, comunicazioni relative all'abbonamento) tramite Brevo SAS. Non vengono inviate comunicazioni di marketing senza il preventivo consenso dell'interessato.

3.9 Sicurezza, prevenzione degli abusi e tutela dei diritti

Base giuridica: legittimo interesse di Carzaa e dei suoi utenti alla sicurezza della piattaforma (art. 6, par. 1, lett. f) GDPR); adempimento di obblighi legali (art. 6, par. 1, lett. c) GDPR).

Finalità: prevenzione di accessi non autorizzati, frodi, scraping non autorizzato e abusi della piattaforma; rilevazione e correzione di vulnerabilità; adempimento di obblighi di legge; accertamento, esercizio e difesa di diritti in sede giudiziaria o amministrativa.

4. Trasmissione dei dati ai Dealer — titolari autonomi del trattamento

Con riferimento specifico al trattamento dei dati personali del Buyer contenuti nella lead — nome, cognome, email, numero di telefono (se fornito) e testo del messaggio — Carzaa agisce in qualità di titolare del trattamento per la raccolta del consenso e la trasmissione della lead al Dealer. Il Dealer destinatario riceve i dati in qualità di titolare autonomo del trattamento ai sensi dell'art. 4, n. 7 GDPR, determinando in modo indipendente finalità e mezzi del trattamento successivo all'inoltro della lead. Le due fasi del trattamento sono distinte e non danno luogo a contitolarità ai sensi dell'art. 26 GDPR.

La ripartizione delle responsabilità è la seguente:

Carzaa è responsabile della raccolta del consenso del Buyer prima dell'invio della lead, della conservazione della relativa prova, della trasmissione sicura della lead al Dealer tramite i propri sistemi, e della conservazione temporanea nei propri archivi per le finalità di cui alla Sezione 3.
Il Dealer è l'unico titolare del trattamento per tutte le operazioni effettuate sui dati del Buyer successivamente alla ricezione della lead: contatto commerciale, gestione della trattativa, eventuale stipula del contratto di compravendita e, ove applicabile, invio di comunicazioni di marketing. Carzaa non esercita alcun controllo su tali trattamenti e non risponde della loro liceità.

Il Buyer è informato che, una volta trasmessa la lead al Dealer, il trattamento successivo è regolato dall'informativa privacy del Dealer medesimo. Il Buyer può esercitare i propri diritti ai sensi degli artt. 15–22 GDPR per la fase di raccolta e trasmissione della lead rivolgendosi a Carzaa tramite i recapiti di cui alla Sezione 12, e per la fase successiva direttamente al Dealer destinatario.

5. Destinatari dei dati e trasferimento verso paesi terzi

5.1 Responsabili del trattamento (art. 28 GDPR)

Carzaa si avvale di fornitori terzi che trattano dati personali per suo conto, vincolati da apposito Data Processing Agreement. I principali responsabili del trattamento sono:

Terasoftware (sviluppo e hosting): tratta dati tecnici e di accesso dell'intera piattaforma. Sede: Italia. Trasferimento extra-UE: no.

Anthropic PBC (motore di ricerca semantica e sistema di Qualifica Lead Intelligente): Anthropic elabora server-side, in qualità di responsabile del trattamento, due distinte tipologie di dati: (a) il testo della query del motore di ricerca, tramite singola chiamata stateless senza dati personali identificativi, al solo scopo di generare un vettore semantico; (b) il testo della sessione di Qualifica Lead Intelligente, comprese le preferenze espresse dal Buyer, per la generazione della risposta conversazionale. Per entrambi gli usi, Anthropic non utilizza i dati trasmessi tramite API per l'addestramento dei propri modelli. Sede: USA. Garanzie: Standard Contractual Clauses ex art. 46, par. 2, lett. c) GDPR. Informativa: anthropic.com/privacy.

Google Ireland Limited (Google Analytics 4 — analisi statistica): tratta dati di navigazione pseudonimizzati per analisi statistica del traffico. L'indirizzo IP è anonimizzato prima di qualsiasi trasmissione. Sede: Irlanda (UE). Trasferimento a server Google LLC, USA — garanzie: Standard Contractual Clauses e meccanismo EU-U.S. Data Privacy Framework. Opt-out: tools.google.com/dlpage/gaoptout.

Google Ireland Limited (Google Ads, Google Tag Manager, YouTube Ads — pubblicità): previo consenso dell'utente, Carzaa utilizza Google Ads Tag e Google Tag Manager per la misurazione delle conversioni, il remarketing tramite Google Display Network e le campagne video su YouTube. Google riceve dati di navigazione pseudonimizzati (identificativo del cookie, pagine visitate, eventi di conversione) e può abbinarli all'account Google dell'utente se questi è collegato. Sede: Irlanda (UE). Trasferimento a server Google LLC, USA — garanzie: Standard Contractual Clauses e meccanismo EU-U.S. Data Privacy Framework. Informativa: policies.google.com/privacy. Opposizione alle inserzioni personalizzate: adssettings.google.com.

Meta Platforms Ireland Limited (Facebook Pixel, Instagram Ads — pubblicità): previo consenso dell'utente, Carzaa installa il Meta Pixel sul Sito per la misurazione delle conversioni, il remarketing su Facebook e Instagram e la creazione di pubblici personalizzati (Custom Audience) e simili (Lookalike Audience). Meta riceve dati di navigazione pseudonimizzati (identificativo del pixel, pagine visitate, eventi di conversione) e può abbinarli all'account Facebook/Instagram dell'utente se questi è collegato. Nessun dato è trasmesso a Meta in assenza di consenso. Sede: Irlanda (UE). Trasferimento a server Meta Platforms Inc., USA — garanzie: Standard Contractual Clauses. Informativa: facebook.com/privacy/policy. Opposizione alle inserzioni personalizzate: facebook.com/ads/preferences.

Google Ireland Limited (Google SSO — autenticazione): in caso di login tramite Google, Google Ireland Limited trasmette a Carzaa i dati di cui alla Sezione 2.3.1. Sede: Irlanda (UE). Trasferimento a server Google LLC, USA — garanzie: Standard Contractual Clauses e EU-U.S. Data Privacy Framework.

Apple Inc. (Apple SSO — autenticazione, in rilascio): in caso di login tramite Apple, Apple Inc. trasmette a Carzaa i dati di cui alla Sezione 2.3.2. Sede: USA. Garanzie: Standard Contractual Clauses. Informativa: apple.com/legal/privacy.

Brevo SAS (comunicazioni email transazionali): tratta indirizzi email e dati di contatto per l'invio di comunicazioni transazionali. Sede: Francia (UE). Informativa: brevo.com/legal/privacypolicy.

iubenda (Consent Management Platform — gestione consensi cookie): gestisce la raccolta, la registrazione e il ritiro del consenso ai cookie e agli strumenti di tracciamento. iubenda registra un log del consenso espresso dall'utente, comprensivo di timestamp e configurazione scelta, necessario per la dimostrazione della liceità del trattamento ai sensi dell'art. 7, par. 1 GDPR. Sede: Italia. Trasferimento extra-UE: no.

5.2 Titolari autonomi terzi

I seguenti soggetti ricevono dati da Carzaa in qualità di titolari autonomi del trattamento:

Dealer destinatari delle lead inviate dai Buyer, nei termini descritti alla Sezione 4;
Carfax Europe GmbH, per le finalità di cui alla Sezione 2.7;
Autorità pubbliche e giudiziarie, nei casi previsti dalla legge.

5.3 Trasferimento verso paesi terzi

Alcuni responsabili del trattamento indicati alla Sezione 5.1 (Anthropic PBC, Google LLC, Meta Platforms Inc., Apple Inc., Stripe Inc.) hanno sede negli Stati Uniti d'America, paese terzo ai sensi del GDPR. Il trasferimento avviene nel rispetto delle garanzie previste dall'art. 46 GDPR, mediante Standard Contractual Clauses adottate con Decisione della Commissione 2021/914 del 4 giugno 2021 e, ove applicabile, in virtù del meccanismo EU-U.S. Data Privacy Framework (Decisione di adeguatezza della Commissione del 10 luglio 2023).

Carzaa non trasferisce dati personali verso paesi terzi privi di adeguate garanzie senza il previo consenso dell'interessato o altro titolo giuridico idoneo.

6. Tempi di conservazione

I dati personali sono conservati per il tempo strettamente necessario al conseguimento delle finalità per cui sono stati raccolti, nel rispetto del principio di limitazione della conservazione di cui all'art. 5, par. 1, lett. e) GDPR.

Dati di navigazione anonima e log tecnici: massimo 14 (quattordici) giorni, salvo necessità di conservazione ulteriore per accertamento di illeciti.

Dati di registrazione del Buyer: per tutta la durata dell'account; cancellati entro 30 (trenta) giorni dalla richiesta di cancellazione, fatti salvi gli obblighi di conservazione legale.

Lead (dati del Buyer trasmessi al Dealer): conservati da Carzaa per un massimo di 24 (ventiquattro) mesi dalla data di invio, salvo revoca del consenso. La prova del consenso prestato è conservata per ulteriori 6 (sei) anni dalla revoca, in ragione del legittimo interesse di Carzaa a dimostrare la liceità del trattamento precedente.

Dati del Dealer — rapporto contrattuale: per tutta la durata del contratto e per 10 (dieci) anni dalla cessazione, ai sensi degli obblighi di conservazione fiscale e contabile di cui al D.P.R. n. 600/1973 e al D.P.R. n. 633/1972.

Dati raccolti tramite Social Login: per tutta la durata dell'account Carzaa associato. La revoca dell'autorizzazione SSO dal pannello Google o Apple non comporta automaticamente la cancellazione dell'account Carzaa — l'interessato deve richiedere separatamente la cancellazione dell'account tramite le modalità di cui alla Sezione 9.

Dati di tracciamento pubblicitario (Meta Pixel, Google Ads): regolati dai rispettivi termini dei fornitori; il consenso dell'utente può essere revocato in qualsiasi momento tramite iubenda (Cookie Solution), con cessazione immediata del tracciamento.

Dati di analisi statistica (GA4): in forma aggregata o pseudonimizzata, secondo le impostazioni di retention configurate su Google Analytics 4 (periodo standard: 14 mesi).

Dati per finalità di sicurezza e prevenzione abusi: non oltre 5 (cinque) anni dall'evento che ha determinato la raccolta.

Decorsi i termini di conservazione, i dati sono cancellati o resi anonimi in modo irreversibile. Laddove la conservazione sia necessaria per adempiere a un obbligo legale, l'ulteriore trattamento è limitato a tale scopo.

7. Cookie e tecnologie di tracciamento

Il Sito utilizza cookie e tecnologie simili. La gestione del consenso è affidata ad iubenda (Cookie Solution), piattaforma conforme ai requisiti del GDPR e alle Linee Guida del Garante per la protezione dei dati personali sui cookie del 10 giugno 2021. Il dettaglio completo dei cookie installati, la loro durata, i soggetti terzi coinvolti e le istruzioni per la gestione delle preferenze sono disponibili nella Cookie Policy accessibile tramite il banner iubenda e il link nel footer del Sito.

Cookie tecnici e di sessione (necessari): indispensabili per il funzionamento tecnico del Sito (es. gestione sessione, autenticazione, preferenze di navigazione). Non richiedono il consenso dell'utente ai sensi dell'art. 122 del Codice Privacy.

Cookie analitici (Google Analytics 4): raccolgono informazioni sull'utilizzo del Sito in forma pseudonimizzata. Installati solo previo consenso acquisito tramite iubenda (Cookie Solution).

Cookie pubblicitari e di remarketing (Meta Pixel, Google Ads Tag): raccolgono dati di navigazione per la misurazione delle conversioni e l'erogazione di pubblicità personalizzata su Facebook, Instagram, Google e YouTube. Installati solo previo consenso esplicito acquisito tramite iubenda (Cookie Solution), con possibilità di revoca in qualsiasi momento.

Il consenso ai cookie non necessari è facoltativo. Il rifiuto o la revoca del consenso ai cookie pubblicitari non pregiudica la possibilità di navigare il Sito né di utilizzare le funzionalità principali della piattaforma.

8. Misure di sicurezza

Carzaa adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza appropriato al rischio, ai sensi dell'art. 32 GDPR, tra cui:

crittografia delle comunicazioni tramite protocollo TLS/HTTPS su tutte le pagine del Sito;
conservazione delle password in forma crittografata con algoritmo di hashing one-way; Carzaa non è in grado di risalire alla password in chiaro dell'utente;
controllo degli accessi basato su ruoli (RBAC) per i sistemi interni;
le chiavi API di servizi terzi (inclusa la chiave Anthropic) sono gestite esclusivamente server-side e non sono mai esposte al browser del client né incluse nel codice frontend;
procedure di backup regolare dei dati;
monitoraggio dei sistemi per il rilevamento di anomalie e accessi non autorizzati;
obbligo contrattuale di riservatezza e adozione di misure di sicurezza adeguate da parte di tutti i responsabili del trattamento.

In caso di violazione dei dati personali (data breach) che possa comportare un rischio per i diritti e le libertà degli interessati, Carzaa notifica l'evento al Garante entro 72 ore (art. 33 GDPR) e informa gli interessati qualora il rischio sia elevato (art. 34 GDPR).

9. Diritti dell'interessato

In qualità di interessato, ai sensi degli artt. 15-22 GDPR, hai il diritto di:

Accesso (art. 15 GDPR): ottenere conferma che sia o meno in corso un trattamento di dati che ti riguardano e, in caso affermativo, accedere ai dati e alle informazioni sul trattamento.

Rettifica (art. 16 GDPR): ottenere la rettifica dei dati inesatti e l'integrazione di dati incompleti.

Cancellazione — "diritto all'oblio" (art. 17 GDPR): ottenere la cancellazione dei dati nei casi previsti dalla norma, salvo che il trattamento sia necessario per adempiere a un obbligo legale o per l'accertamento, l'esercizio o la difesa di diritti in sede giudiziaria.

Limitazione del trattamento (art. 18 GDPR): ottenere la limitazione del trattamento nei casi previsti dalla norma.

Portabilità (art. 20 GDPR): ricevere in formato strutturato e leggibile da dispositivo automatico i dati forniti a Carzaa e trasmetterli a un altro titolare, ove tecnicamente fattibile, nei casi in cui il trattamento sia basato su consenso o contratto e avvenga con mezzi automatizzati.

Opposizione (art. 21 GDPR): opporti al trattamento basato sul legittimo interesse di Carzaa. In tal caso Carzaa si astiene dal trattare ulteriormente i dati, salvo dimostrazione di motivi cogenti legittimi che prevalgano sugli interessi dell'interessato.

Revoca del consenso: revocare in qualsiasi momento il consenso prestato, senza pregiudizio per la liceità del trattamento precedente. La revoca del consenso ai cookie pubblicitari è esercitabile tramite iubenda (Cookie Solution). La revoca del consenso alla trasmissione della lead è esercitabile tramite i recapiti di cui alla Sezione 12.

Le richieste di esercizio dei diritti devono essere inviate a Carzaa tramite i recapiti di cui alla Sezione 12. Carzaa risponde senza ingiustificato ritardo e comunque entro 1 (un) mese, prorogabile di ulteriori 2 (due) mesi in caso di complessità, con obbligo di informarne l'interessato entro il primo mese. L'esercizio dei diritti è gratuito.

10. Diritto di reclamo all'Autorità di vigilanza

Fermo restando ogni altro ricorso amministrativo o giurisdizionale, hai il diritto di proporre reclamo al Garante per la protezione dei dati personali, ai sensi dell'art. 77 GDPR, qualora ritenghi che il trattamento dei tuoi dati violi il GDPR.

Garante per la protezione dei dati personali
Piazza Venezia 11 — 00187 Roma
Sito web: www.garanteprivacy.it
Centralino: +39 06 696771
Email: [email protected]
PEC: [email protected]

11. Modifiche all'informativa

Carzaa si riserva il diritto di modificare la presente informativa per adeguarla a variazioni normative, sviluppi giurisprudenziali, modifiche ai servizi offerti o alle tecnologie utilizzate, incluse variazioni nei responsabili del trattamento o negli strumenti di tracciamento pubblicitario. La versione aggiornata è sempre disponibile sul Sito con indicazione della data di ultima revisione.

In caso di modifiche rilevanti che incidano sostanzialmente sui diritti degli interessati, Carzaa informa gli utenti registrati tramite email, con un preavviso di almeno 15 (quindici) giorni prima dell'entrata in vigore.

12. Contatti per richieste privacy

Per l'esercizio dei diritti di cui alla Sezione 9, per qualsiasi richiesta relativa al trattamento dei propri dati personali, o per segnalare un presunto data breach o illecito nel trattamento, l'interessato può contattare il Titolare:

Unicornx S.R.L.
Via Riva di Reno 58 — 40122 Bologna (BO)
Email: [email protected]
PEC: [email protected]
Telefono: +39 392 8906118
Orari: lunedì–venerdì, 09:00–18:00 (esclusi i giorni festivi)

Ai fini dell'identificazione, Carzaa potrebbe richiedere la verifica dell'identità del richiedente prima di dare seguito alla richiesta.

La presente informativa è redatta ai sensi dell'art. 13 del Regolamento UE 2016/679 (GDPR) ed è efficace dalla data indicata in intestazione. Le sezioni relative ai trasferimenti verso paesi terzi e ai responsabili del trattamento saranno aggiornate in caso di variazioni nei fornitori o nelle garanzie contrattuali applicabili. Le clausole relative ai cookie pubblicitari (Meta Pixel, Google Ads Tag) e al Social Login Apple sono da considerarsi efficaci dalla data di effettivo rilascio in produzione di tali funzionalità, che sarà comunicata tramite aggiornamento della presente informativa.