Privacy Policy

1. Titolare del Trattamento

2. Finalità del Trattamento

One2One tratta dati personali per le seguenti finalità:

A. Comunicazione e Servizi Richiesti

• Rispondere a richieste di informazioni tramite form contatti
• Fornire servizi di web development e digitalizzazione ristoranti
• Gestire onboarding e supporto clienti
• Comunicazioni via email, WhatsApp, telefono

B. Adempimenti Contrattuali e Legali

• Esecuzione contratti di servizio (menu digitali, siti custom)
• Gestione fatturazione e pagamenti tramite Stripe
• Adempimento di obblighi legali e fiscali

C. Analytics e Miglioramento Servizio

• Analisi del comportamento utenti sul sito (Google Analytics 4)
• Monitoraggio performance e usabilità
• Identificazione problemi tecnici e miglioramenti UX
• Tracking conversioni e funnels di marketing

D. Pubblicità e Marketing (solo con consenso esplicito)

• Remarketing tramite Meta Pixel (Facebook, Instagram, Audience Network)
• Profilazione per annunci personalizzati
• Segmentazione utenti per campagne specifiche
• Tracking conversioni da campagne pubblicitarie

3. Base Giuridica del Trattamento

Il trattamento si fonda su:

• Articolo 6(1)(b) GDPR: Adempimento contratto (servizi SaaS, siti custom)
• Articolo 6(1)(a) GDPR: Consenso esplicito (analytics, marketing, pixel)
• Articolo 6(1)(c) GDPR: Obbligo legale (normativa fiscale, riciclaggio)
• Articolo 6(1)(f) GDPR: Legittimo interesse (sicurezza, prevenzione frodi)

4. Categorie di Dati Trattati

Dati Forniti Direttamente

• Nome completo
• Indirizzo email
• Numero telefono / WhatsApp
• Nome attività / razionalità sociale
• Messaggi, note, richieste via form

Dati Raccolti Automaticamente

Google Analytics 4 (per analytics e statistiche)

• Identificativo anonimo sessione (GA4 client ID)
• Tipo dispositivo (mobile, tablet, desktop)
• Sistema operativo e browser
• Paese, città (da IP geolocalizzazione)
• Pagine visitate e durata visita
• Scroll depth, click su elementi
• Conversioni e funnel progress
• Referrer, sorgente traffico

Nota: GA4 è configurato con anonimizzazione IP e senza tracciamento PII diretti.

Meta Pixel (per remarketing e marketing, solo con consenso)

• Pixel ID Facebook/Instagram
• Hash email (se fornita su form)
• Identificativo dispositivo annunci
• Evento conversione (pageview, lead, purchase)
• Device identifiers anonimizzati

5. Destinatari dei Dati

I dati possono essere comunicati a:

Fornitori di Servizi (Data Processor)

• Hetzner Online GmbH – VPS hosting, database PostgreSQL – Germania (EU) – Privacy
• Cloudflare – CDN, R2 Storage (immagini) – EU/USA con DPA – Privacy
• Google Cloud (GA4, GTM) – Analytics USA-based con DPA – Privacy
• Meta / Facebook – Per Meta Pixel e remarketing – Privacy
• Stripe – Pagamenti online (PCI compliant) – Privacy
• Resend – Invio email transazionali – Privacy

6. Trasferimenti Internazionali Dati (Extra-UE)

Alcuni fornitori trasferiscono dati fuori dell'UE:

• Google (USA): Beneficia di EU-US Data Privacy Framework e SCCs
• Meta (USA): Beneficia di Meta Data Transfer Framework e SCCs
• Cloudflare (USA): Beneficia di EU-US Data Privacy Framework e SCCs

Per ulteriori informazioni sui transfer extra-UE, contattare info@one2one.it

7. Tempi di Conservazione

Post-cancellazione: Dati eliminati entro 30 giorni, salvo obblighi legali di conservazione.

8. Diritti dell'Interessato (Articoli 15-22 GDPR)

Ogni persona ha il diritto di:

9. Come Esercitare i Diritti

Per esercitare qualsiasi diritto sopra:

10. Cookie e Tecnologie di Tracciamento

Vedi Cookie Policy per dettagli completi su tipologia cookie, strumenti di tracciamento (GA4, Meta Pixel, GTM) e come gestire il consenso.

11. Sicurezza dei Dati

One2One implementa:

• Crittografia in transito: SSL/TLS via Let's Encrypt (auto-renewal)
• Crittografia a riposo: Volume Docker crittografati su VPS
• Controllo accesso: Autenticazione Lucia v3 con sessioni server-side
• Backup automatici: Backup giornaliero PostgreSQL (3:00 AM, retention 7 giorni)
• Isolamento tenant: RLS (Row-Level Security) con FORCE RLS
• Firewall: UFW con accesso limitato (80, 443, 22)
• Rate limiting: Protezione brute-force su login e magic link
• Validation input: Zod validation, SQL injection prevention

12. Reclami e Contatti Autorità

Se ritieni che One2One violi diritti GDPR:

1. Contattare direttamente info@one2one.it – cercheremo una soluzione
2. Reclamo al Garante per la Protezione dei Dati Personali (Italia):
   • https://www.garanteprivacy.it/
   • Email: protocollo@garanteprivacy.it

13. Modifiche alla Privacy Policy

One2One può aggiornare questa policy in qualsiasi momento per cambiamenti normativi GDPR, nuovi fornitori di servizi o nuove funzionalità. Variazioni significative comunicate via email ai clienti attivi o banner sul sito.