informativa sulla privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati descritti in questa informativa è Design Web Multimedia Agency, con sede in Piazza Roma 82, 22066, Mariano Comense (IT), partita IVA 04018830135, email per la privacy: info@cursusoffice.com (il «Titolare»), che offre il servizio Cursus Office.

Questa informativa riguarda i dati personali di chi visita il sito cursusoffice.com, cursusoffice.it e cursusoffice.be, si iscrive al servizio o lo usa come utente. Non riguarda i dati personali dei clienti, dei fornitori e dei collaboratori che il nostro cliente inserisce nel gestionale: per quelli il Titolare agisce come responsabile del trattamento per conto del cliente, secondo l'Accordo sul trattamento dei dati (DPA).

2. Quali dati trattiamo

• Dati di iscrizione e di account: nome e cognome, indirizzo email, denominazione dell'azienda, Paese, lingua, piano scelto, data di iscrizione, utenti e ruoli creati nell'account.
• Dati di accesso e sicurezza: credenziali (la password è conservata solo in forma cifrata con hash), chiavi di accesso (passkey) e dati della verifica in due passaggi, sessioni attive, registro degli eventi di sicurezza, indirizzo IP e informazioni sul dispositivo (user agent).
• Prova dell'accettazione dei testi legali: versione e lingua dei testi accettati, data e ora, indirizzo IP e user agent.
• Dati di pagamento e di fatturazione: i dati della carta sono trattati direttamente da Stripe; noi riceviamo solo l'esito, l'importo e un riferimento dell'operazione. Per le fatture del canone conserviamo denominazione, indirizzo, partita IVA, codice fiscale e codice destinatario o PEC.
• Comunicazioni: i messaggi che ci invii e le email di servizio che ti inviamo (verifica dell'indirizzo, inviti, avvisi sulla prova gratuita, sui pagamenti e sulla cancellazione, notifiche di sicurezza).
• Dati tecnici: file di log dei server e limiti di frequenza per prevenire abusi.
• Integrazioni che attivi tu: se colleghi servizi di terzi (ad esempio Google Calendar), i dati strettamente necessari al collegamento, come descritto più sotto.

3. Perché li trattiamo e su quale base

Finalità	Base giuridica
Creare e gestire l'account, fornire il servizio, assistenza	Esecuzione del contratto o di misure precontrattuali (art. 6.1.b GDPR)
Incassare i corrispettivi, fatturare, adempiere agli obblighi fiscali e contabili	Esecuzione del contratto e obbligo legale (art. 6.1.b e 6.1.c)
Sicurezza della piattaforma, prevenzione di frodi e abusi, registro degli accessi, protezione del modulo di iscrizione dai bot	Legittimo interesse del Titolare (art. 6.1.f)
Conservare la prova dell'accettazione dei testi legali, difendere un diritto in giudizio	Legittimo interesse e obbligo legale (art. 6.1.f e 6.1.c)
Ricordare le tue scelte sui cookie	Obbligo legale e legittimo interesse (art. 6.1.c e 6.1.f)
Comunicazioni commerciali sul servizio, se le richiedi o le consenti	Consenso (art. 6.1.a), revocabile in ogni momento

Conferire i dati di iscrizione è necessario per usare il servizio: senza non possiamo creare l'account. Non facciamo profilazione né prendiamo decisioni automatizzate che producano effetti giuridici su di te.

4. Cookie e strumenti simili

• Cookie necessari (non richiedono consenso): la sessione di accesso all'area riservata e la protezione contro gli abusi. Il cookie co_consent serve a ricordare la tua scelta sui cookie e dura 180 giorni.
• Preferenze di visualizzazione (tema chiaro o scuro, barra laterale), salvate nel tuo browser perché sono una funzione che richiedi tu.
• Cookie facoltativi (statistiche, marketing): al momento non li utilizziamo. Se in futuro li introdurremo, li attiveremo solo dopo il tuo consenso, che potrai modificare in ogni momento da «Preferenze cookie» in fondo alla pagina o dal menu utente. Non facciamo pubblicità né profilazione.
• Il modulo di iscrizione usa Cloudflare Turnstile, un controllo anti-bot che tratta dati tecnici del browser per distinguere le persone dai programmi automatici.
• Alcune pagine caricano file (script, caratteri, icone, bandiere) da reti di distribuzione di contenuti (jsDelivr, Cloudflare cdnjs, jQuery CDN), che ricevono il tuo indirizzo IP per consegnarteli.

5. A chi comunichiamo i dati

I dati sono trattati solo da persone autorizzate e da fornitori che agiscono per nostro conto come responsabili del trattamento, tra cui:

• IONOS SE (Germania): infrastruttura e hosting dei server;
• Google Ireland Limited: invio delle email di servizio;
• Stripe Payments Europe Ltd.: pagamenti con carta;
• Cloudflare, Inc.: protezione dei moduli (Turnstile) e rete di distribuzione dei contenuti.

Possiamo comunicare dati a consulenti (commercialista, legale) vincolati alla riservatezza e ad autorità, quando la legge lo impone. Non vendiamo i tuoi dati.

Google Calendar (integrazione facoltativa)

Se scegli di collegare il tuo account Google alla sincronizzazione con Google Calendar, ti chiediamo di concedere l'accesso solo a un calendario creato da Cursus Office (ambito calendar.app.created). Usiamo questo accesso esclusivamente per copiare in quel calendario le scadenze che selezioni (ad esempio incassi, preventivi, contratti e attività), in una sola direzione, e per aggiornarle o rimuoverle quando cambiano. Non leggiamo gli altri tuoi calendari né i tuoi eventi. Il token di accesso è conservato cifrato e puoi scollegarti in qualsiasi momento dal prodotto (che elimina anche il calendario creato da noi) o dalle autorizzazioni del tuo account Google.

L'uso e il trasferimento a qualsiasi altra app, da parte di Cursus Office, delle informazioni ricevute dalle API di Google rispetteranno la Google API Services User Data Policy, inclusi i requisiti di uso limitato (Limited Use). Non usiamo questi dati per pubblicità, non li vendiamo e non permettiamo a persone di leggerli, salvo con il tuo consenso, per motivi di sicurezza o per obblighi di legge.

6. Trasferimenti fuori dallo Spazio economico europeo

Alcuni fornitori (ad esempio Stripe, Google e Cloudflare) possono trattare dati anche fuori dallo SEE. In tal caso il trasferimento avviene sulla base di una decisione di adeguatezza (ad esempio il Data Privacy Framework UE-USA) o delle clausole contrattuali standard della Commissione europea, con misure supplementari ove necessarie.

7. Per quanto tempo li conserviamo

• Dati dell'account: per la durata del contratto. Puoi chiedere la cancellazione definitiva dell'account e di tutti i dati dalla pagina «Account e dati», quando non hai un piano in corso; riceverai un'email di conferma.
• Prova gratuita non seguita da un piano: alla scadenza hai 7 giorni per scaricare i tuoi dati e scegliere un piano; ti avvisiamo per email. Se non scegli un piano, lo spazio e tutti i suoi dati, compresi i documenti emessi, sono cancellati definitivamente. La conservazione dei documenti che hai emesso resta tua responsabilità.
• Iscrizioni non confermate o rifiutate: sono eliminate dopo 30 giorni.
• Registro degli eventi di sicurezza e delle sessioni: per il periodo impostato nell'account (di norma 12 mesi).
• Prova dell'accettazione dei testi legali, pagamenti e fatture del canone: per il tempo richiesto dalla legge (documenti fiscali fino a 10 anni) o dalla difesa di diritti. Quando cancelliamo un account rendiamo anonimi l'email e l'indirizzo IP nelle prove di accettazione.
• File di log dei server: per un periodo limitato, solo per la sicurezza e la diagnosi dei guasti.

8. I tuoi diritti

Puoi chiedere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione, la portabilità e opporti al trattamento basato sul legittimo interesse; puoi revocare il consenso dove richiesto. Scrivi a info@cursusoffice.com. Hai il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del tuo Paese. Se la tua richiesta riguarda dati inseriti da un nostro cliente nel gestionale, ti indirizziamo al cliente, che ne è titolare.

9. Sicurezza

Adottiamo misure tecniche e organizzative adeguate: password con hash, segreti dei servizi collegati cifrati, database separato per ogni account, verifica in due passaggi e passkey, sessioni revocabili, registro degli eventi di sicurezza, limiti di frequenza contro gli abusi.

10. Modifiche

Possiamo aggiornare questa informativa; la versione in vigore è quella pubblicata su questa pagina, con la data di entrata in vigore. Per modifiche rilevanti ti avvisiamo.