Informativa sulla privacy

Katla Privacy AB («Katla», «noi», «ci», «nostro»), numero di registrazione (organisationsnummer) 559603-7134, con sede legale in Tulpanvägen 3a, 125 53 Älvsjö, Svezia, è la persona giuridica che fornisce questo servizio. Gestisce il sito web katla.app, la console di Katla e l’API, l’SDK, il widget, la CLI e il server MCP che li accompagnano. La presente informativa spiega quali dati personali raccogliamo, perché li raccogliamo, con chi li condividiamo e cosa puoi chiederci di farne.

Per il tuo account e per i dati che ci fornisci sui tuoi siti, siamo il titolare del trattamento. Per le registrazioni del consenso che i tuoi visitatori lasciano tramite Katla sui tuoi siti web, il titolare sei tu e noi siamo il tuo responsabile del trattamento: trattiamo quei dati secondo le tue istruzioni, in base ai Termini di servizio, e per nessuno scopo nostro.

Raccogliamo le seguenti categorie di dati personali:

• Dati dell’account: il tuo nome, il tuo indirizzo email e l’URL della tua immagine del profilo, ricevuti dal nostro fornitore di identità quando accedi. Se accedi con un account Google, nome, indirizzo email e immagine del profilo provengono da Google.
• Dati del team: i team a cui appartieni, il tuo ruolo al loro interno e gli inviti che invii o accetti.
• Dati dei siti e delle scansioni: i domini che aggiungi, i record di verifica della proprietà che inserisci e tutto ciò che una scansione vi trova: cookie, tracker, tag e metadati delle pagine.
• Registrazioni del consenso: le scelte dei visitatori dei tuoi siti web, insieme a un timestamp e ai dati necessari a dimostrare la scelta. Raccolte per tuo conto, in qualità di tuo responsabile del trattamento.
• Dati di fatturazione: il tuo piano, lo stato dell’abbonamento e le fatture. I dati della carta vengono inseriti presso il nostro fornitore di servizi di pagamento e non raggiungono mai i nostri server.
• Dati di assistenza e di contatto: ciò che ci scrivi tramite il modulo di contatto o via email, per poterti rispondere.
• Log tecnici: indirizzo IP, user agent e metadati delle richieste, conservati per 30 giorni per mantenere il servizio in funzione e per indagare su abusi ed errori.
• Dati delle integrazioni: ciò che un account di terze parti collegato ci rende accessibile, descritto per Google nelle sezioni da 05 a 08 qui sotto.

Usiamo i dati personali solo per:

• fornire il servizio: eseguire scansioni, classificare ciò che trovano, generare informative, registrare il consenso e mostrarti tutto questo.
• autenticarti e mantenere sicuri il tuo account e la tua appartenenza ai team.
• fatturarti, se hai un piano a pagamento, e inviarti le ricevute e i solleciti di pagamento che ne derivano.
• inviare email di servizio da cui non puoi ragionevolmente disiscriverti, come gli avvisi di sicurezza, ed email di onboarding da cui puoi disiscriverti in qualsiasi momento.
• rispondere alle richieste di assistenza e a ciò che ci invii.
• mantenere il servizio disponibile e sicuro: limitazione della frequenza delle richieste, prevenzione di abusi e frodi, debug e pianificazione della capacità.
• adempiere agli obblighi legali, contabili e di revisione.

Ci basiamo sull’esecuzione di un contratto (art. 6, par. 1, lett. b), GDPR) per gestire il tuo account e fornire il servizio, sul nostro legittimo interesse (art. 6, par. 1, lett. f), GDPR) per mantenere il servizio sicuro e migliorarlo, sul tuo consenso (art. 6, par. 1, lett. a), GDPR) per i cookie non essenziali e per il collegamento di un account di terze parti come Google Tag Manager, e sull’obbligo legale (art. 6, par. 1, lett. c), GDPR) quando la legge ci impone di conservare documentazione.

Quando agiamo come tuo responsabile del trattamento per le registrazioni del consenso dei visitatori, spetta a te, in qualità di titolare, determinare la base giuridica di quel trattamento.

Katla accede ai dati utente Google in un solo punto: l’installazione facoltativa tramite Google Tag Manager, che avvii tu stesso dalla pagina Install di un sito e che non fa nulla finché non completi la schermata di consenso di Google. Se non colleghi mai Google Tag Manager, Katla non accede ad alcun dato utente Google.

Quando lo colleghi, richiediamo questi scope OAuth e accediamo esattamente ai dati coperti da ciascuno:

I dati utente Google vengono usati esclusivamente per eseguire l’installazione che hai richiesto, e per nient’altro. In particolare:

• Gli elenchi dei tuoi account, container e aree di lavoro servono a mostrare il selettore nella procedura guidata di installazione, così puoi scegliere dove inserire il tag.
• Gli ID dell’account, del container e dell’area di lavoro scelti servono a scrivere un unico tag HTML personalizzato chiamato «Katla consent», attivato dall’attivatore integrato di Tag Manager «Consent Initialization - All Pages», così che i valori predefiniti del consenso siano impostati prima che venga eseguito qualsiasi tag di analisi o pubblicitario. Nient’altro nel tuo container viene letto, modificato o rimosso.
• Gli ID di tag, attivatore e versione restituiti da Google vengono conservati, così che un successivo aggiornamento o scollegamento modifichi esattamente ciò che Katla ha creato e lasci intatto il resto del tuo container.
• Una versione del container viene creata, e pubblicata, solo quando scegli di pubblicare dalla procedura guidata.
• L’indirizzo email dell’account Google viene conservato e mostrato nella console come etichetta, così puoi capire a quale account Google appartiene un collegamento. Non viene mai usato per autenticarti né per autorizzare alcunché.
• Il refresh token emesso da Google viene conservato cifrato con AES-256-GCM e usato solo per generare un access token di breve durata quando una delle azioni sopra indicate lo richiede. L’access token in sé non viene mai conservato.

Non vendiamo i dati utente Google, non li condividiamo né li trasferiamo a terzi per finalità di pubblicità, analisi, profilazione, valutazione del merito creditizio o concessione di prestiti, e non li usiamo per addestrare, riaddestrare o migliorare alcun modello di intelligenza artificiale o di machine learning, nostro o di chiunque altro.

I dati utente Google vengono ritrasmessi all’API di Tag Manager di Google per eseguire le azioni che hai richiesto, e per il resto vengono comunicati solo ai seguenti destinatari:

• Il nostro fornitore di hosting e database, che conserva per nostro conto il record cifrato del collegamento in qualità di sub-responsabile del trattamento e non ne fa alcun altro uso.
• Il personale di Katla, e solo quando è necessario per gestire il servizio, indagare su un problema di sicurezza o gestire una richiesta di assistenza che hai aperto, e solo per il tempo richiesto da quell’attività.
• Un’autorità competente, quando la comunicazione è richiesta dalla legge e la richiesta è valida; te lo diremo, a meno che la legge non ce lo vieti.

L’uso e il trasferimento ad altre app, da parte di Katla, delle informazioni ricevute dalle API di Google rispettano le Norme relative ai dati utente dei servizi API di Google (Google API Services User Data Policy), inclusi i requisiti di utilizzo limitato (Limited Use).

I dati utente Google vengono conservati solo finché esiste il collegamento. Scollegare Google Tag Manager dalla pagina Install rimuove il tag e l’attivatore creati da Katla, revoca il refresh token presso Google ed elimina dal nostro database il record del collegamento (gli ID di account, container, area di lavoro, tag e versione e l’indirizzo email Google memorizzato). Eliminare il sito o il tuo account ha lo stesso effetto.

Puoi anche revocare l’accesso di Katla in qualsiasi momento dalla pagina delle autorizzazioni del tuo account Google, su myaccount.google.com/permissions. In questo modo ogni ulteriore accesso si interrompe immediatamente; scrivici a privacy@katla.app se vuoi che anche il record del collegamento venga rimosso da parte nostra.

Non vendiamo dati personali. Li condividiamo solo con i fornitori di servizi di cui abbiamo bisogno per gestire Katla, ciascuno vincolato da un accordo sul trattamento dei dati e ciascuno dei quali tratta solo ciò che il suo compito richiede:

• WorkOS: autenticazione e gestione delle sessioni.
• Stripe: fatturazione degli abbonamenti ed elaborazione dei pagamenti.
• Resend: email transazionali e di onboarding.
• Anthropic: classificazione tramite IA dei cookie e dei tracker trovati da una scansione. Vengono inviati i risultati della scansione, non i dati dell’account né le registrazioni del consenso, e i dati non vengono usati per addestrare modelli.
• Better Stack: logging delle applicazioni e monitoraggio degli errori.
• Google: solo se hai collegato Google Tag Manager, e solo come descritto nelle sezioni da 05 a 08.
• I nostri fornitori di hosting, database e code, che conservano e trasferiscono dati per nostro conto.

Comunicheremo inoltre dati personali quando la legge lo richiede, e a un’entità subentrante in caso di fusione o acquisizione, nel qual caso la presente informativa continua ad applicarsi finché non ti verrà comunicato diversamente. Chiedi a privacy@katla.app l’elenco aggiornato dei sub-responsabili del trattamento.

I tuoi dati personali possono essere trasferiti e trattati in paesi al di fuori dello Spazio economico europeo. In tal caso ci basiamo su una decisione di adeguatezza o su clausole contrattuali tipo, insieme alle garanzie aggiuntive che tali clausole richiedono.

Puoi ottenere una copia delle garanzie su cui ci basiamo per un determinato trasferimento scrivendo a privacy@katla.app, e te la invieremo. Se invece un trasferimento si basa su una decisione di adeguatezza, ti diremo quale decisione si applica.

Conserviamo i dati personali solo per il tempo necessario alla finalità per cui sono stati raccolti. I dati di account, team e siti vengono conservati finché il tuo account è aperto. Le registrazioni del consenso vengono conservate finché le conservi tu, poiché dimostrare il consenso è lo scopo stesso della loro conservazione, e vengono eliminate quando le elimini tu o chiudi il tuo account. I dati di fatturazione vengono conservati per il tempo richiesto dalla normativa fiscale e contabile. I log tecnici, che includono indirizzi IP, vengono conservati per 30 giorni e poi eliminati. I dati del collegamento con Google seguono la sezione 08.

Dopo la chiusura del tuo account conserviamo i tuoi dati per un breve periodo, così che tu possa esportarli, e poi li eliminiamo o li rendiamo anonimi.

Applichiamo misure tecniche e organizzative adeguate: cifratura in transito, cifratura a riposo per credenziali e token di terze parti, controlli di accesso circoscritti, accesso del personale secondo il principio del privilegio minimo e registrazione delle azioni amministrative in log di audit. Nessun sistema è perfettamente sicuro, ma in caso di violazione dei dati personali informeremo te e l’autorità di controllo competente quando la legge lo richiede.

In base al GDPR e a leggi analoghe hai il diritto di accedere ai tuoi dati personali, di ottenerne la rettifica o la cancellazione, di limitarne il trattamento o di opporti a esso, di riceverli in un formato portabile e di revocare il consenso in qualsiasi momento senza pregiudicare il trattamento già effettuato. In base al CCPA/CPRA hai inoltre il diritto di sapere cosa raccogliamo, di farlo cancellare, di farlo rettificare e di opporti alla vendita o alla condivisione; non vendiamo né condividiamo dati personali secondo la definizione di questi termini.

Scrivi a privacy@katla.app per esercitare uno qualsiasi di questi diritti. Rispondiamo entro un mese. Se la nostra risposta non ti soddisfa, puoi presentare un reclamo alla tua autorità locale per la protezione dei dati.

Katla è uno strumento per aziende e non è destinato a minori di 16 anni. Non raccogliamo consapevolmente dati personali di minori. Se ritieni che un minore ci abbia fornito dei dati, contattaci e li elimineremo.

I cookie impostati da katla.app stesso, a cosa serve ciascuno e quanto dura, sono elencati nella nostra Informativa sui cookie, che Katla genera a partire dalla propria scansione di questo sito. Puoi modificare le tue scelte lì o tramite il widget di consenso in qualsiasi momento.

Nulla viene inviato al nostro fornitore di analisi prima che tu scelga. Il tag non viene proprio caricato finché non consenti i cookie analitici: nessuna richiesta, nessun indirizzo IP e nessun indirizzo di pagina raggiunge Google da una visita in cui hai rifiutato o semplicemente non hai mai risposto. È il più rigoroso dei due modi in cui si può configurare Google Consent Mode; lo abbiamo scelto perché vendiamo strumenti per il consenso e preferiamo rinunciare alla misurazione. Un browser che invia un segnale Global Privacy Control viene trattato come un rifiuto, e anche in quel caso non viene caricato nulla.

Potremmo aggiornare la presente informativa per riflettere modifiche al servizio o alla legge. Le modifiche sostanziali vengono annunciate nella console o via email, e la data di entrata in vigore in cima a questa pagina ti indica sempre quale versione stai leggendo. Le versioni precedenti sono disponibili su richiesta.

Domande su questa informativa o sui dati personali che conserviamo: privacy@katla.app. Il nostro responsabile della protezione dei dati (DPO) è raggiungibile all’indirizzo dpo@katla.app. Il titolare del trattamento è Katla Privacy AB, numero di registrazione (organisationsnummer) 559603-7134, Tulpanvägen 3a, 125 53 Älvsjö, Svezia. Hai inoltre il diritto di proporre reclamo alla tua autorità di controllo locale; in Svezia è l’Integritetsskyddsmyndigheten (IMY).