Informativa sulla Privacy

Versione 1.0 · Ultimo aggiornamento: 23 giugno 2026

La presente informativa descrive come La Madonnina Group S.r.l. (di seguito "Titolare", "noi") raccoglie, utilizza e protegge i dati personali degli utenti della piattaforma gestionale accessibile su lamadonninaai.it, in conformità al Regolamento UE 2016/679 (GDPR) e alle policy di Google relative all'uso delle API e dei dati utente.

1. Titolare del trattamento

Ragione sociale: La Madonnina Group S.r.l.
Sede legale: Via Vittor Pisani, 10 — 20124 Milano (MI)
Sede operativa: Via T. Edison 249 — 20019 Settimo Milanese (MI)
P.IVA / Codice Fiscale: 08984030968
Telefono fisso: 02 4891 1533
Cellulare: 331 928 8272
Orari: Lun–Ven 8:30–19:30 · Domenica chiuso
Email generica: info@lamadonninasnc.it
Email contatto privacy: privacy@lamadonninaai.it

2. Dati personali raccolti

Trattiamo le seguenti categorie di dati strettamente necessarie all'erogazione del servizio:

Dati identificativi: nome, cognome, ragione sociale, codice fiscale, partita IVA;
Dati di contatto: email, numero di telefono, indirizzo postale;
Dati di accesso: nome utente, password (salvata cifrata tramite hashing bcrypt), token di sessione, token OAuth Google;
Dati operativi: preventivi, ordini, dati di vendita, anagrafiche articoli e clienti, fotografie caricate, dati di consegna;
Log tecnici: indirizzo IP, user-agent, timestamp di accesso, audit log delle operazioni amministrative.

3. Finalità del trattamento

Erogazione del servizio gestionale (preventivi, logistica, mercato dell'usato, mandati a vendere, fatturazione);
Sincronizzazione automatica di eventi e impegni con il calendario aziendale Google e archiviazione documentale su Dropbox (solo per gli utenti che lo autorizzano);
Adempimento degli obblighi contrattuali, contabili e fiscali previsti dalla normativa italiana;
Sicurezza informatica, prevenzione frodi e audit di sistema;
Comunicazioni di servizio (notifiche operative, alert).

4. Base giuridica

Esecuzione di un contratto (art. 6.1.b GDPR) di cui l'interessato è parte;
Adempimento di obblighi di legge (art. 6.1.c GDPR) di natura fiscale e contabile;
Consenso esplicito dell'utente (art. 6.1.a GDPR) per l'integrazione con i servizi Google e Dropbox.

5. Uso delle Google API e Limited Use Statement

Questa sezione descrive in modo trasparente come trattiamo i dati ricevuti tramite le API di Google, ai sensi della Google API Services User Data Policy.

5.1 Scope OAuth utilizzati

L'applicazione richiede l'accesso ai seguenti scope Google, esclusivamente per gli utenti aziendali abilitati e con il loro consenso esplicito tramite il flow OAuth standard:

https://www.googleapis.com/auth/calendar.events — per la creazione, lettura e modifica di eventi calendario relativi a interventi logistici (ritiri, sgomberi, recall agenda, promemoria di lavorazione);
email, profile, openid — per identificare l'account di connessione e visualizzarlo nell'interfaccia amministrativa.

Non richiediamo né utilizziamo scope che permettano l'accesso a Gmail, Drive, Foto o ad altri dati personali Google al di fuori del calendario lavorativo aziendale.

5.2 Limited Use — Dichiarazione vincolante

L'uso e il trasferimento all'utente finale delle informazioni ricevute dalle Google API rispetterà la Google API Services User Data Policy, incluse le restrizioni di Limited Use.
In particolare dichiariamo esplicitamente che:
Non utilizziamo i dati Google per pubblicità, profilazione o re-marketing;
Non vendiamo né condividiamo i dati Google con terze parti per finalità di marketing;
I dati Google sono accessibili solo agli utenti aziendali autorizzati esplicitamente dall'amministratore;
Non utilizziamo i dati Google per addestrare modelli di intelligenza artificiale generalizzata;
I dati Google sono utilizzati esclusivamente per fornire le funzionalità descritte ed esposte all'utente.

5.3 Conservazione e revoca dei token

I token OAuth (access token e refresh token) sono conservati in forma cifrata in database;
L'utente può revocare in qualsiasi momento l'accesso direttamente dalla propria pagina di gestione permessi Google: myaccount.google.com/permissions ;
Dopo la revoca, i token vengono invalidati e non più utilizzati per nuove chiamate alle API Google.

6. Modalità di trattamento e sicurezza

Hosting su infrastruttura cloud conforme agli standard di sicurezza europei;
Trasporto cifrato in HTTPS / TLS 1.2+ per tutte le comunicazioni;
Password utenti memorizzate solo come hash bcrypt non reversibile;
URL HMAC-firmate con scadenza per l'accesso ai file media caricati;
Backup periodici criptati e ripristinabili;
Accessi protetti da credenziali individuali e ruoli (admin / commerciale / operatore logistica / operatore capannone);
Audit log delle modifiche ai permessi e delle operazioni amministrative.

7. Tempi di conservazione

Dati account utente: per tutta la durata del contratto di utilizzo del servizio + 10 anni post-cessazione (obblighi contabili/fiscali ex art. 2220 c.c.);
Foto caricate e documenti operativi: per il periodo necessario all'evasione della pratica e successivamente conservati nei sistemi di backup per non oltre 10 anni;
Token OAuth Google e Dropbox: fino a revoca esplicita dell'utente o naturale scadenza;
Log tecnici di accesso: 12 mesi.

8. Trasferimento dati extra-UE

I dati personali sono trattati prevalentemente all'interno dello Spazio Economico Europeo (SEE). Alcuni servizi tecnici di terze parti (es. Google Workspace per il calendario) possono comportare trasferimenti in paesi terzi: in tali casi i fornitori operano in regime di Standard Contractual Clauses (SCC) UE approvate dalla Commissione Europea e garantiscono livelli di protezione adeguati ai sensi del Capo V del GDPR.

9. Diritti dell'interessato (artt. 15-22 GDPR)

L'utente ha diritto in qualsiasi momento di:

Accesso ai propri dati personali (art. 15);
Rettifica di dati inesatti o incompleti (art. 16);
Cancellazione ("diritto all'oblio") nei limiti consentiti dalla legge (art. 17);
Limitazione del trattamento (art. 18);
Portabilità dei dati in formato strutturato e leggibile (art. 20);
Opposizione al trattamento (art. 21);
Revoca del consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento basata sul consenso prestato prima della revoca;
Reclamo all'Autorità Garante per la protezione dei dati personali italiana: garanteprivacy.it.

Per esercitare tali diritti, scrivere a: privacy@lamadonninaai.it

L'applicazione utilizza esclusivamente cookie tecnici essenziali per il funzionamento del sistema:

Cookie di sessione e di autenticazione (durata: sessione browser o token di sicurezza);
Token JWT salvati in localStorage per mantenere l'utente loggato tra le sessioni.

Non utilizziamo cookie di profilazione, di marketing o di tracciamento di terze parti. Non sono presenti strumenti di analytics che raccolgano dati personali identificativi.

11. Aggiornamenti

La presente informativa può essere aggiornata. La versione più recente è sempre disponibile all'indirizzo https://lamadonninaai.it/privacy. Le modifiche sostanziali saranno comunicate agli utenti registrati tramite email o avviso nell'applicazione.

12. Contatti

Per ogni questione relativa alla privacy: privacy@lamadonninaai.it

La Madonnina Group S.r.l. · P.IVA 08984030968 · Documento versione 1.0 — 23 giugno 2026