Privacy Policy – AraWeb CRM
AraWeb CRM è un software gestionale in cloud (SaaS) per ristoranti e altre attività commerciali ("Attività clienti"), che lo usano per gestire i propri clienti, le prenotazioni e la comunicazione, anche tramite WhatsApp Business. Questa informativa spiega come trattiamo i dati personali e distingue due ruoli:
- AraWeb come titolare del trattamento dei dati degli utenti del gestionale (titolari e personale delle Attività clienti, consulenti e agenzie da esse autorizzati) e dei dati di fatturazione — sezioni 1–10;
- AraWeb come responsabile del trattamento per conto delle Attività clienti, per i dati dei loro clienti finali (inclusi i dati scambiati via WhatsApp) — sezione 11.
1. Titolare del trattamento
Simone Garbuglia, titolare del marchio AraWeb
P.IVA IT02386250688 · Sede: Via Morrone 15, 65124 Pescara (PE), Italia
Email: simone@araweb.cloud · Tel.: +39 352 028 4636
Non è stato nominato un Responsabile della protezione dei dati (DPO), non essendo obbligatorio per l'attività svolta.
2. Dati trattati
- dati anagrafici e di contatto degli utenti (nome, cognome, email, telefono);
- accessi alle Attività (con quale livello, chi ha invitato chi, data dell'ultimo accesso), anche per consulenti e agenzie che lavorano per più Attività;
- dati dell'Attività cliente (ragione sociale, P.IVA, indirizzo, dati di fatturazione) e delle agenzie che acquistano da AraWeb licenze da dare ai propri clienti (dati di fatturazione, licenze acquistate e assegnate);
- richieste di assistenza (nome, email, testo del messaggio e, in una nota interna, l'Attività per cui scrivi, il tuo livello di accesso, lo stato dell'abbonamento e la pagina da cui hai scritto);
- credenziali di accesso (le password sono conservate solo in forma cifrata con hash);
- dati di pagamento, gestiti direttamente da Stripe: AraWeb non riceve né conserva i numeri di carta;
- collegamento con un assistente AI, se acceso dall'Attività: quale app è stata collegata, da quale utente e quando, e il registro delle operazioni svolte «via AI»;
- identificativi dell'account WhatsApp Business, del numero di telefono e dei modelli di messaggio collegati dall'Attività cliente;
- dati tecnici e di log (indirizzo IP, data e ora di accesso, operazioni eseguite nel gestionale).
3. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Creazione e gestione dell'account, erogazione del servizio e assistenza tecnica (anche tramite le richieste di assistenza) | Esecuzione del contratto (art. 6.1.b GDPR) |
| Collegamento dell'account WhatsApp Business dell'Attività tramite la procedura Embedded Signup di Meta e gestione dei modelli di messaggio | Esecuzione del contratto (art. 6.1.b GDPR) |
| Collegamento di un assistente AI al tuo accesso, su tua richiesta | Consenso dell'utente (art. 6.1.a GDPR), revocabile in qualsiasi momento scollegando l'app dalla pagina Assistente AI |
| Gestione di abbonamenti, pagamenti e fatturazione | Esecuzione del contratto (art. 6.1.b) e obblighi di legge (art. 6.1.c GDPR) |
| Comunicazioni di servizio (inviti, reset password, avvisi su scadenze e modifiche del servizio) | Esecuzione del contratto (art. 6.1.b GDPR) |
| Sicurezza del servizio, log di accesso e di audit, prevenzione di abusi e frodi | Legittimo interesse del titolare a proteggere il servizio e i dati delle Attività clienti (art. 6.1.f GDPR) |
| Adempimento di obblighi fiscali e contabili | Obbligo di legge (art. 6.1.c GDPR) |
Non utilizziamo i dati degli utenti per finalità di marketing né li cediamo a terzi per tali finalità.
4. Natura del conferimento
Il conferimento dei dati di account e di fatturazione è necessario per concludere ed eseguire il contratto: in mancanza non è possibile attivare il servizio. Il collegamento di WhatsApp Business è facoltativo; se non effettuato, le funzioni WhatsApp non sono disponibili.
5. Destinatari
I dati possono essere comunicati, nei limiti necessari, a:
- Hostinger International Ltd. (61 Lordou Vironos Street, 6023 Larnaca, Cipro), fornitore dell'infrastruttura di hosting con server a Francoforte (Germania) e della casella di posta da cui partono le email di servizio (inviti, reimpostazione della password), in qualità di responsabile del trattamento;
- Stripe Payments Europe Ltd., per la gestione dei pagamenti;
- Meta Platforms Ireland Ltd., per i servizi WhatsApp Business Platform (Cloud API), utilizzati solo se l'Attività collega il proprio account WhatsApp Business;
- FreeScout (support.araweb.cloud), il software con cui gestiamo le richieste di assistenza, gestito direttamente da AraWeb;
- OpenRouter Inc., solo se l'Attività sceglie di usare l'assistente AI tramite una chiave API OpenRouter: inoltra le richieste ai modelli di intelligenza artificiale scelti e riceve i dati necessari a rispondere, come descritto alla sezione 11;
- il fornitore dell'assistente AI (per esempio Anthropic o OpenAI), solo se l'Attività accende il collegamento e tu lo autorizzi: riceve i dati necessari a rispondere alle tue richieste, come descritto alla sezione 11, in base al rapporto che l'Attività ha con lui;
- Fiscozen e il commercialista, per gli adempimenti fiscali;
- autorità competenti, nei casi previsti dalla legge.
I dati non sono diffusi né venduti.
6. Trasferimenti fuori dall'UE
I dati del gestionale sono ospitati su server situati nell'Unione europea. Alcuni fornitori (Meta, Stripe, OpenRouter e i fornitori degli assistenti AI) possono trattare dati negli Stati Uniti o in altri Paesi extra-UE. In tali casi il trasferimento avviene sulla base della decisione di adeguatezza UE-USA (EU-U.S. Data Privacy Framework) per i fornitori certificati, oppure delle Clausole Contrattuali Standard approvate dalla Commissione europea. Copia delle garanzie può essere richiesta all'indirizzo email indicato alla sezione 1.
7. Conservazione
- Dati di account: per tutta la durata del contratto e per i 12 mesi successivi alla cessazione, poi cancellati automaticamente; l'account di una persona che non ha più accesso ad alcuna Attività viene cancellato dopo 12 mesi senza accessi;
- Dati di fatturazione: 10 anni, come previsto dall'art. 2220 del Codice civile;
- Log di sicurezza e audit: 12 mesi, poi cancellati automaticamente;
- Copie di backup: il database viene salvato ogni notte e ogni copia è conservata 14 giorni; un dato cancellato può quindi restare nelle copie di backup fino a 14 giorni, senza essere usato.
7 bis. Cookie
Usiamo solo cookie tecnici, che non richiedono consenso e non servono a profilarti: il cookie di sessione dell'accesso (12 ore), il cookie che ricorda su quale Attività stai lavorando (1 anno) e il cookie che ricorda la vista scelta per le attività, elenco o schede (1 anno). Non usiamo cookie di analisi, pubblicitari o di terze parti. Puoi cancellarli dal browser: dovrai solo accedere di nuovo.
8. Processi decisionali automatizzati
AraWeb non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sugli utenti.
9. Diritti dell'interessato
Puoi chiedere in qualsiasi momento l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità e opporti al trattamento basato sul legittimo interesse (artt. 15–21 GDPR), scrivendo a simone@araweb.cloud. Rispondiamo entro un mese, prorogabile di due mesi nei casi complessi.
Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it, Piazza Venezia 11, 00187 Roma).
10. Cancellazione dei dati e disconnessione di WhatsApp
Per chiedere la cancellazione del tuo account e dei dati associati scrivi a simone@araweb.cloud con oggetto "Cancellazione dati": la richiesta viene eseguita entro 30 giorni, salvo i dati che la legge impone di conservare (es. fatture). L'Attività cliente può scollegare in qualsiasi momento il proprio account WhatsApp Business dalle impostazioni di AraWeb CRM o da Meta Business Suite; dopo la disconnessione AraWeb non invia né riceve più messaggi per suo conto.
11. Dati dei clienti delle Attività (AraWeb come responsabile)
Le Attività clienti usano AraWeb CRM per registrare i dati dei propri clienti finali (ad es. nome, contatti, prenotazioni, preferenze e, solo con consenso esplicito, allergie o intolleranze). Per questi dati il titolare del trattamento è l'Attività, che fornisce ai propri clienti la relativa informativa e raccoglie i consensi necessari. AraWeb opera come responsabile del trattamento ai sensi dell'art. 28 GDPR, in base all'Accordo sul trattamento dei dati che il titolare di ciascuna Attività accetta nel gestionale insieme alle Condizioni del servizio, e tratta tali dati solo per erogare il servizio e secondo le istruzioni dell'Attività.
Sub-responsabili autorizzati dall'Attività per questi dati: Hostinger International Ltd. (Cipro), per i server a Francoforte (Germania) e la casella di posta delle email di servizio; Meta Platforms Ireland Ltd., solo se l'Attività collega il proprio account WhatsApp Business. L'elenco aggiornato è nell'Accordo; le modifiche sono comunicate alle Attività con 30 giorni di anticipo.
Conservazione: i dati di un cliente finale senza contatti da 24 mesi (visite, appuntamenti, note, moduli o prenotazioni) vengono resi anonimi automaticamente, dopo un avviso all'Attività 30 giorni prima. Se l'Attività cessa il servizio, i suoi dati restano esportabili per 12 mesi e poi vengono cancellati; le copie di backup si eliminano entro i 14 giorni successivi.
L'Attività può autorizzare consulenti o agenzie esterne ad accedere al proprio gestionale, con un livello di accesso scelto da lei. Questi soggetti trattano i dati dei clienti finali per conto dell'Attività e secondo le sue istruzioni; non possono gestire gli accessi né cancellare i dati dei clienti. Un'agenzia autorizzata può indicare quali persone del proprio team lavorano sul gestionale dell'Attività, entro il livello di accesso che l'Attività le ha concesso. L'Attività vede in ogni momento chi ha accesso, persona per persona, e può revocarlo con effetto immediato a una persona o all'intera agenzia; le operazioni svolte restano registrate.
L'Attività può accendere il collegamento con un assistente di intelligenza artificiale (per esempio Claude di Anthropic o ChatGPT di OpenAI) scelto e contrattualizzato da lei o dai suoi collaboratori. È spento finché il titolare dell'Attività non lo accende; ciascun utente collega la propria AI con un consenso esplicito e la può scollegare in ogni momento. Su istruzione dell'Attività, AraWeb CRM trasmette all'assistente i dati necessari a rispondere alle richieste dell'utente (contatti, prenotazioni, visite, note) e registra le modifiche che l'assistente esegue. Non vengono mai trasmessi dati sulla salute né i consensi dei clienti finali, e l'assistente non può cancellare dati, esportare elenchi o modificare impostazioni. Il fornitore dell'assistente non è un sub-responsabile di AraWeb: il rapporto con lui (condizioni d'uso, eventuale accordo sul trattamento dei dati, uso delle conversazioni per l'addestramento) è gestito dall'Attività. Ogni operazione resta registrata con l'indicazione «via AI».
Per le funzioni WhatsApp, in arrivo, che l'Attività potrà collegare:
- i messaggi (conferme e promemoria di prenotazione, link a moduli, comunicazioni promozionali) sono inviati dall'account WhatsApp Business dell'Attività, tramite la WhatsApp Business Platform di Meta;
- i messaggi promozionali sono inviati solo ai clienti finali che hanno dato un consenso specifico al canale WhatsApp, registrato nel gestionale;
- le risposte dei clienti finali (es. conferma o disdetta di una prenotazione) sono ricevute da AraWeb CRM solo per aggiornare la prenotazione nel gestionale dell'Attività;
- ciascuna Attività può accedere soltanto ai dati e all'account WhatsApp Business propri.
I clienti finali che vogliono esercitare i propri diritti devono rivolgersi all'Attività (ristorante o esercizio) con cui sono entrati in contatto; AraWeb assiste l'Attività nel dare seguito alle richieste.
12. Modifiche
Questa informativa può essere aggiornata. La data di ultimo aggiornamento è indicata in alto; in caso di modifiche sostanziali avviseremo gli utenti tramite il gestionale o via email.