Informativa sul trattamento dei dati personali della piattaforma WhatsApp Sender

BOZZA — da validare con legale e consulente privacy

Codice: privacy Versione: 0.2-bozza Data: 2026-09-30

Informativa resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR»).

1. A chi si rivolge questa informativa

Questa informativa riguarda:

• gli Utenti della Piattaforma, cioè le persone che vi accedono per conto di un Cliente (amministratori, operatori, referenti amministrativi e per la protezione dei dati);
• i visitatori del portale e delle pagine di accesso.

Non riguarda i Contatti. Se hai ricevuto un messaggio WhatsApp da un'azienda che usa la Piattaforma, il titolare del trattamento dei tuoi dati è quell'azienda (il Cliente), non Innova: è a lei che devi rivolgerti per sapere come tratta i tuoi dati, per revocare il consenso o esercitare i tuoi diritti. Rispetto a quei dati Innova opera come responsabile del trattamento, su istruzione del Cliente. Se scrivi a Innova, inoltreremo la tua richiesta al Cliente interessato.

2. Titolare del trattamento

Titolare è Innova S.r.l., con sede legale in [sede legale], P.IVA [P.IVA], PEC [PEC] («Innova»).

Per ogni questione relativa ai dati personali: [email privacy].

[Responsabile della protezione dei dati: da indicare se designato, con recapito.]

3. Quali dati trattiamo e da dove provengono

Dati dell'account. Nome e cognome, indirizzo email, ruolo nella Piattaforma, Cliente di appartenenza, lingua e preferenze. Li fornisci tu oppure l'amministratore del Cliente che ti invita: in questo secondo caso riceviamo da lui il tuo nome e la tua email.

Dati di autenticazione. Password, conservata solo in forma non reversibile; elementi necessari all'autenticazione a due fattori (segreto del generatore di codici, codici di recupero); identificativi di sessione.

Log di accesso e di sicurezza. Data e ora di accessi e tentativi di accesso, indirizzo IP, user-agent del browser, esito.

Audit delle operazioni. Registro delle operazioni rilevanti che compi nella Piattaforma (per esempio importazioni, esportazioni, avvio di campagne, modifiche alle impostazioni, inviti, cancellazioni), con data, ora e indirizzo IP.

Accettazioni contrattuali. Quando accetti per conto del Cliente i Termini di Servizio, la Policy d'uso e il DPA, registriamo versione del documento, data e ora, indirizzo IP e il tuo identificativo, insieme alle dichiarazioni rese.

Dati del rapporto commerciale. Dati dei referenti del Cliente per contratto, fatturazione e comunicazioni (nome, email, telefono, qualifica).

Richieste di assistenza. Contenuto delle comunicazioni che ci invii e dati di contatto usati.

Dati di navigazione dei visitatori. Indirizzo IP, data e ora, pagina richiesta, user-agent, registrati nei log tecnici del server.

Non chiediamo né trattiamo intenzionalmente dati appartenenti a categorie particolari.

4. Perché trattiamo i dati e su quale base

Finalità	Base giuridica
Creare e gestire il tuo account, consentirti l'accesso e l'uso della Piattaforma	Esecuzione del contratto con il Cliente per cui operi; quando non sei tu parte del contratto, legittimo interesse di Innova e del Cliente a erogare e utilizzare il servizio (art. 6, par. 1, lett. b e f)
Inviarti comunicazioni di servizio: inviti, reimpostazione della password, avvisi di sicurezza, notifiche operative, nuove versioni dei documenti contrattuali	Come sopra
Garantire la sicurezza della Piattaforma: autenticazione, prevenzione di accessi abusivi, rilevazione di anomalie, audit	Legittimo interesse alla sicurezza di sistemi e dati (art. 6, par. 1, lett. f); adempimento degli obblighi di sicurezza (art. 32 GDPR)
Documentare le accettazioni contrattuali e le dichiarazioni rese	Legittimo interesse a provare il contenuto del rapporto e a difendere un diritto (art. 6, par. 1, lett. f)
Amministrazione, contabilità, fatturazione	Obbligo di legge (art. 6, par. 1, lett. c) ed esecuzione del contratto
Assistenza	Esecuzione del contratto; legittimo interesse
Accertare, esercitare o difendere un diritto; gestire abusi e segnalazioni	Legittimo interesse (art. 6, par. 1, lett. f)
Dare seguito a richieste delle autorità	Obbligo di legge (art. 6, par. 1, lett. c)

Non usiamo i tuoi dati per marketing né li cediamo a terzi per fini loro. Non svolgiamo profilazione e non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te. I controlli automatici della Piattaforma (per esempio l'arresto di una campagna) riguardano l'attività del Cliente, non la valutazione di persone.

5. Se il conferimento è obbligatorio

I dati dell'account e di autenticazione sono necessari: senza di essi non è possibile accedere alla Piattaforma. I log e l'audit sono generati automaticamente dall'uso del servizio.

6. Per quanto tempo conserviamo i dati

Dati	Conservazione
Dati dell'account e di autenticazione	Finché l'account è attivo; cancellati entro [30] giorni dalla disattivazione o, a fine rapporto con il Cliente, al termine del periodo di grazia
Log di accesso e di sicurezza	[12] mesi
Audit delle operazioni	[24] mesi, o fino alla cancellazione del tenant se anteriore, salvo necessità di difesa
Accettazioni contrattuali e dichiarazioni	Durata del rapporto e successivi 10 anni (prescrizione ordinaria)
Documenti contabili e fiscali	10 anni
Richieste di assistenza	[24] mesi dalla chiusura
Log tecnici del server e dell'applicazione	[90] giorni
Email di servizio inviate (inviti, avvisi)	[90] giorni; il testo delle email che contengono un link di accesso è rimosso alla scadenza del link
Copie di backup	Rotazione con conservazione massima di [30] giorni

I termini possono essere prolungati per il tempo strettamente necessario in presenza di un contenzioso o di una richiesta dell'autorità.

7. A chi comunichiamo i dati

I dati sono trattati da personale di Innova autorizzato e istruito. Sono inoltre trattati, per nostro conto e in qualità di responsabili del trattamento, da:

• Hetzner Online GmbH (Germania) — hosting dei server e archivio dei backup, in data center nell'Unione europea;
• Sendinblue SAS — Brevo (Francia) — invio delle email di servizio (inviti, notifiche): tratta il tuo nome e il tuo indirizzo email;
• Functional Software, Inc. — Sentry — monitoraggio degli errori dell'applicazione, con dati ospitati nella regione UE del servizio e rimozione dei dati personali dagli eventi prima dell'invio.

Possono ricevere i dati, come autonomi titolari: consulenti e professionisti (legali, fiscali), istituti bancari per i pagamenti, autorità pubbliche quando la legge lo impone.

Gli amministratori del Cliente per cui operi vedono i dati del tuo account e le operazioni che compi nel tenant del Cliente.

I dati non sono diffusi.

8. Trasferimenti fuori dallo Spazio economico europeo

I dati sono conservati nell'Unione europea. Non effettuiamo in via ordinaria trasferimenti verso paesi terzi. Il fornitore del servizio di monitoraggio degli errori è una società statunitense: pur essendo i dati ospitati nella regione UE, l'eventuale accesso dagli Stati Uniti è coperto da [decisione di adeguatezza relativa al quadro UE–USA per la protezione dei dati e/o clausole contrattuali tipo]. Puoi chiederci copia delle garanzie a [email privacy].

9. Cookie e strumenti simili

La Piattaforma usa soltanto cookie tecnici, necessari al funzionamento:

• cookie di sessione, che ti mantiene autenticato dopo l'accesso e scade al termine della sessione o per inattività;
• cookie di sicurezza, che protegge i moduli da invii fraudolenti;
• eventuale cookie di preferenza (per esempio lingua), che non ti identifica.

Per questi cookie la legge non richiede il consenso. Non usiamo cookie di profilazione, né strumenti di tracciamento pubblicitario o statistico di terze parti. Puoi cancellare o bloccare i cookie dalle impostazioni del browser, ma in tal caso l'accesso alla Piattaforma non funzionerà.

10. I tuoi diritti

Puoi, nei casi e nei limiti previsti dagli artt. 15-22 GDPR:

• sapere se trattiamo tuoi dati e ottenerne copia (accesso);
• far correggere dati inesatti o integrare dati incompleti (rettifica);
• ottenere la cancellazione, quando ne ricorrono i presupposti;
• ottenere la limitazione del trattamento;
• ricevere in formato strutturato i dati che ci hai fornito, per i trattamenti basati sul contratto ed effettuati con mezzi automatizzati (portabilità);
• opporti, per motivi connessi alla tua situazione particolare, ai trattamenti fondati sul legittimo interesse.

Per esercitarli scrivi a [email privacy]. Rispondiamo entro un mese, prorogabile nei casi previsti dalla legge. Alcuni dati (nome, email, ruolo) sono modificabili direttamente da te o dall'amministratore del Cliente nella Piattaforma.

Se ritieni che il trattamento violi la normativa, puoi proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del paese in cui risiedi o lavori, oppure ricorrere all'autorità giudiziaria.

11. Modifiche

Possiamo aggiornare questa informativa. La versione vigente è sempre disponibile nella Piattaforma, con numero di versione e data; delle modifiche sostanziali diamo avviso agli Utenti.

Note per il legale

0. Conservazione — versione 0.2. I periodi della tabella del § 6 coincidono con la configurazione della Piattaforma: log di accesso 12 mesi, audit 24 mesi, log tecnici 90 giorni (rotazione giornaliera), email di servizio 90 giorni (valore proposto da Innova). La cancellazione è automatica e giornaliera.

1. Base giuridica per gli Utenti. Gli Utenti sono di norma dipendenti o collaboratori del Cliente e non parti del contratto: l'informativa richiama insieme lett. b) e lett. f). Valutare se indicare la sola lett. f) e predisporre il relativo bilanciamento degli interessi.

2. Titolarità sui dati degli Utenti. Si è scelto di qualificare Innova come titolare autonomo per account, log e audit. Una parte della dottrina e della prassi considera questi dati trattati dal fornitore come responsabile per conto del cliente; verificare e, se del caso, coordinare con il DPA (art. 2.3).
3. Tempi di conservazione. Tutti i valori tra parentesi quadre sono proposte da allineare alla configurazione reale; in particolare i 10 anni per le accettazioni e la durata dei log di accesso.
4. Sentry e trasferimenti. Come nel DPA: verificare garanzie e testo del paragrafo 8.
5. Responsabile della protezione dei dati. Valutare se Innova sia tenuta a designarlo (art. 37 GDPR), considerando il trattamento su larga scala di dati per conto dei clienti.
6. Art. 14. Per gli Utenti invitati dall'amministratore, verificare che l'informativa sia resa disponibile già nell'email di invito.
7. Cookie. Confermare l'inventario reale dei cookie e dell'eventuale archiviazione locale; se il portale pubblico includerà strumenti di statistica, l'informativa e il banner vanno rivisti.
8. Visibilità dell'audit al Cliente. Valutare i riflessi in materia di controllo a distanza dei lavoratori (art. 4 l. 300/1970), che gravano sul Cliente come datore di lavoro, e l'opportunità di un richiamo nei Termini.