Informativa sulla privacy

Ultima revisione: 2026-10-14

1. Introduzione

La presente Informativa sulla privacy spiega come TO BRIEF Ι.Κ.Ε. ("TO BRIEF", "noi", "ci") raccoglie, utilizza e protegge i dati personali in relazione ai siti web tobrief.gr e tobrief.eu, alle applicazioni mobili To Brief per iOS e Android e ai servizi correlati (collettivamente, il "Servizio"). TO BRIEF è il titolare del trattamento dei dati personali elaborati tramite il Servizio, salvo laddove un altro titolare sia espressamente identificato di seguito.

Dettagli del titolare del trattamento

• Denominazione legale: TO BRIEF Ι.Κ.Ε. (Ιδιωτική Κεφαλαιουχική Εταιρεία)
• Sede legale: Troon 26, 118 51, Atene, Attica, Grecia
• GEMI: 188116103000
• AFM: 803045387
• Email: [email protected]
• Contatto per la protezione dei dati: [email protected]

Attualmente non disponiamo di un Responsabile della protezione dei dati (DPO) nominato per legge; tuttavia, tutte le richieste relative alla protezione dei dati vengono inoltrate tramite il contatto dedicato sopra indicato e gestite secondo una procedura documentata che soddisfa gli standard previsti per la funzione di DPO ai sensi degli artt. 37-39 del GDPR, ove applicabile.

2. Quali dati raccogliamo

Raccogliamo solo i dati minimi necessari per gestire il Servizio e adempiere ai nostri obblighi legali.

2.1 Dati dell'account

Quando registri un account, memorizziamo: il tuo indirizzo email, una password protetta tramite hashing, il nome visualizzato scelto (opzionale), la data di creazione dell'account, l'edizione tramite la quale ti sei registrato (GR o EU) e lo stato dell'abbonamento. Base giuridica: esecuzione di un contratto (Art. 6(1)(b) del GDPR).

2.2 Dati sull'utilizzo del sito web e analisi

Se — e solo se — concedi il consenso facoltativo alla misurazione tramite il nostro banner dei cookie, raccogliamo segnali di utilizzo aggregati tramite Google Analytics 4, segnali di analisi UX/sessione tramite Contentsquare/Hotjar, segnali di conversione tramite il pixel di X e segnali di conversione tramite il pixel di Meta (Facebook/Instagram): pagine visualizzate, classe di dispositivo/browser, geografia approssimativa (paese/regione dall'IP, mai l'IP grezzo), referrer, durata della sessione, eventi di interazione, segnali di attrito nell'esperienza utente, iscrizioni e conversioni di abbonamento. Base giuridica: consenso (Art. 6(1)(a) del GDPR e Art. 5(3) della direttiva ePrivacy). Con lo stesso consenso, il nostro server informa anche OpenAI quando crei un account sul nostro sito o quando lì viene verificato il primo pagamento del tuo abbonamento, per consentirci di misurare e migliorare gli annunci di To Brief in ChatGPT. OpenAI riceve il tuo indirizzo email in forma di hash, un identificativo cliente casuale in forma di hash, il riferimento del clic su un annuncio in ChatGPT se sei arrivato tramite tale annuncio, l'ora e, per un abbonamento, l'importo e la valuta. OpenAI non imposta alcun cookie e non carica alcuno script nel tuo browser. Base giuridica: consenso (art. 6, par. 1, lett. a) GDPR).

2.3 Dati di pagamento

I pagamenti dell'abbonamento sono elaborati da Stripe Payments Europe, Limited ("Stripe"). L'inserimento della carta è gestito da Stripe; i numeri di carta e i codici CVV non vengono inviati ai nostri server applicativi tramite il nostro checkout. L'informativa sulla privacy di Stripe è disponibile all'indirizzo https://stripe.com/privacy. Riceviamo i dati necessari per gestire gli abbonamenti e verificare i pagamenti: identificativi di cliente, abbonamento, fattura e rimborso; importi e valute di pagamento/rimborso; date e stato; dettagli di fatturazione e registrazioni delle fatture. Associamo questi dati al tuo account To Brief. Base giuridica: esecuzione di un contratto e obbligo legale per la fatturazione e la contabilità. L'uso pubblicitario opzionale di un pagamento verificato segue le regole separate nel §2.7.

2.4 Dati su reclami e segnalazioni

Quando utilizzi /report o invii un reclamo via email, memorizziamo: la tua email, il testo del reclamo, gli allegati forniti, un hash salato del tuo indirizzo IP (non l'IP grezzo), il numero di ticket assegnato e l'esito dell'indagine. Base giuridica: legittimo interesse (gestione di un servizio di informazione responsabile e difesa di rivendicazioni legali) e obbligo legale (Art. 20 dell'EMFA, Art. 16 del DSA).

2.5 Dati su dispositivo e browser

I nostri server ricevono metadati standard delle richieste HTTP — user-agent, Accept-Language, referrer, IP troncato — che vengono conservati nei log di accesso. Base giuridica: legittimo interesse (sicurezza, prevenzione delle frodi, diagnostica).

2.6 Categorie particolari di dati

Non raccogliamo consapevolmente categorie particolari di dati personali (Art. 9 del GDPR) come dati relativi alla salute, religione, opinioni politiche o orientamento sessuale. Ti preghiamo di non inviare tali dati tramite campi di testo libero.

2.7 Misurazione dell'app mobile

Utilizziamo AppsFlyer per comprendere quali campagne portano all'installazione dell'app e ad abbonati paganti, e per migliorare la pubblicità di To Brief su Meta (Facebook/Instagram), X e Reddit. Questa misurazione pubblicitaria è facoltativa e basata sul consenso. L'accesso all'account, l'amministrazione dell'abbonamento e i dati di sicurezza necessari per rispettare le tue scelte rimangono funzioni di servizio separate.

Solo nuovi utenti in questa versione. La misurazione facoltativa tramite AppsFlyer inizia solo dopo aver verificato un nuovo account e una prima installazione effettuata dopo l’avvio del rilascio, e dopo che hai dato il permesso. Sono esclusi gli account esistenti, gli aggiornamenti, le reinstallazioni e le installazioni di origine incerta. Verifichiamo i requisiti prima di chiedere il permesso di tracciamento o caricare AppsFlyer. Le scelte di misurazione dei lettori esistenti non cambiano.

Quando la misurazione dell'app è abilitata e consentita, AppsFlyer riceve il suo identificativo di installazione, un identificativo pubblicitario disponibile, lanci dell'app e informazioni tecniche su app/dispositivo utilizzate per attribuzione, analisi e prevenzione delle frodi. Ciò può includere versioni del sistema operativo e dell'app, lingua, diagnostica di avvio e informazioni di rete. I suoi server ricevono l'indirizzo IP della connessione e possono derivare la geografia approssimativa. Non richiediamo l'accesso alla posizione precisa o al GPS per questa misurazione. Il nostro backend conserva l'associazione dell'installazione, lo stato del permesso e le revisioni, le informazioni su app/piattaforma, l'ora di installazione nativa e un'osservazione limitata della campagna, ove disponibile.

Dopo un primo accesso all'account idoneo, colleghiamo l'installazione a tale account utilizzando un identificativo cliente casuale separato. Registriamo la registrazione, un utilizzo iniziale qualificante dell'app, l'avvio del checkout e gli eventi di abbonamento verificati. Se paghi sul nostro sito web utilizzando lo stesso account To Brief, possiamo associare tale pagamento a un'installazione dell'app idonea. Gli eventi consentiti inviati tramite AppsFlyer possono includere registrazione e pagamenti di abbonamento, rinnovi o rimborsi, con un identificativo evento, importo, valuta e ora. Ogni partner riceve gli eventi configurati per la sua integrazione; non ogni evento viene inviato a ogni partner. Con la stessa autorizzazione nell'app, il nostro server invia anche direttamente a OpenAI fino a tre eventi, per consentirci di misurare e migliorare gli annunci di To Brief in ChatGPT: la registrazione, il primo pagamento verificato dell'abbonamento e una nuova installazione dell'app. Vengono inviati solo per nuove installazioni idonee e solo per eventi successivi alla tua autorizzazione, mai per installazioni esistenti, aggiornamenti dell'app o reinstallazioni. Ogni evento contiene il tuo indirizzo email in forma di hash, un identificativo cliente casuale in forma di hash, il riferimento del clic su un annuncio in ChatGPT se è stato registrato al momento dell'iscrizione, l'ora e, per un abbonamento, l'importo e la valuta. I rinnovi e i rimborsi non vengono inviati a OpenAI.

Non includiamo la tua email, nome, numero di telefono, testo dei commenti, titoli degli articoli, argomenti di lettura, query di ricerca, interessi politici, dettagli della carta o documenti di fatturazione in questi payload di eventi pubblicitari. La condivisione con i partner può includere nuovi utenti idonei provenienti da fonti organiche e altre fonti di campagna, non solo utenti attribuiti a quel partner. L'unica eccezione sono gli eventi destinati a OpenAI descritti al §2.2 e in questa sezione, che contengono il tuo indirizzo email solo in forma di hash, mai in chiaro.

La tua scelta. Su iOS, il prompt standard App Tracking Transparency (ATT) di Apple è l'unico prompt di autorizzazione al tracciamento. Puoi modificarlo in seguito nelle Impostazioni dell'iPhone. Su Android, utilizza la scelta di misurazione dell'app e la relativa voce nelle Impostazioni. Puoi utilizzare l'app dopo aver rifiutato. Una scelta sui cookie del sito web non può sovrascrivere un rifiuto al tracciamento dell'app. L'app ricontrolla la scelta della piattaforma quando ritorna in primo piano; il nostro backend controlla il permesso registrato corrente e l'associazione dell'account prima di inviare gli eventi in coda. Il ritiro interrompe l'SDK sul dispositivo e aggiorna il nostro backend; se il dispositivo è offline, tale aggiornamento del server viene riprovato al ripristino della connettività.

Il meccanismo di attribuzione aggregata separato di Apple può rimanere attivo dopo il rifiuto dell'ATT. Esso riporta valori di conversione limitati senza i nostri identificativi di account o AppsFlyer. Il ritiro interrompe la futura misurazione pubblicitaria personale; non costituisce una cancellazione automatica dei dati già ricevuti da un fornitore. La cancellazione dell'account avvia la procedura di cancellazione applicabile, rimuove le osservazioni locali della campagna e recide i collegamenti pubblicitari dai dati di fatturazione conservati. I dati detenuti dal fornitore vengono gestiti tramite la procedura di cancellazione anziché essere considerati immediatamente eliminati. Puoi anche richiedere la cancellazione tramite [email protected]. Si applicano le distinzioni di conservazione nel §4.

3. Perché utilizziamo i tuoi dati

Finalità	Categorie di dati	Base giuridica
Fornitura dell'esperienza di lettura	Account, dispositivo	Contratto, legittimo interesse
Fatturazione, prevenzione frodi, conformità fiscale	Pagamento, account	Contratto, obbligo legale
Misurazione del coinvolgimento e miglioramento del prodotto	Misurazione	Consenso
Analisi UX tramite Contentsquare/Hotjar	Misurazione	Consenso
Misurazione della conversione tramite pixel di X	Misurazione	Consenso
Misurazione della conversione tramite pixel di Meta	Misurazione	Consenso
Misurazione delle conversioni per gli annunci OpenAI (lato server)	Misurazione	Consenso
Misurazione opzionale acquisizione app e abbonamento	Installazione, permesso, eventi account e pagamento	Consenso
Gestione di reclami e correzioni	Reclami, account	Legittimo interesse, obbligo legale
Sicurezza, rilevamento abusi, risposta agli incidenti	Dispositivo, account	Legittimo interesse
Conformità a richieste legali	Tutte le categorie, come pertinente	Obbligo legale

Non utilizziamo dati personali per processi decisionali automatizzati che producono effetti giuridici o significativamente simili su di te (Art. 22 del GDPR).

4. Per quanto tempo conserviamo i tuoi dati

• Osservazioni locali sulle campagne dell'app: scadono 89 giorni dopo la prima tra la registrazione dell'installazione nel backend o la ricezione dell'osservazione della campagna, e vengono cancellate prima in caso di ritiro o cancellazione dell'account. I callback ripetuti della campagna non estendono il periodo.
• Collegamenti diretti evento-installazione: esclusi dai report di misurazione dopo 89 giorni dall'evento e rimossi tramite pulizia programmata. Anche i vecchi reclami di conversione del browser vengono rimossi dopo 89 giorni. Le identità finanziarie, gli importi e i dati minimi dell'evento necessari per prevenire record di pagamento/conversione duplicati sono separati da questi collegamenti pubblicitari.
• Dati su permessi e cancellazione: i dati di installazione necessari per far rispettare le scelte, prevenire la riassegnazione dell'account e soddisfare le richieste di cancellazione sono conservati separatamente dalle osservazioni della campagna. Un identificativo del fornitore richiesto per una richiesta di cancellazione in sospeso rimane fino alla conferma del completamento. Un record di soppressione limitato viene conservato per impedire che tale identità ritirata venga riutilizzata per la pubblicità. Questi dati non sono anonimi e non vengono utilizzati come dati di pubblico di campagna. La conservazione lato fornitore e una richiesta di cancellazione individuale sono separate dalla nostra scadenza locale della campagna.
• Dati dell'account: per tutto il tempo in cui l'account è attivo e fino a due (2) anni dopo la chiusura, per gestire controversie e storni post-chiusura.
• Dati di analisi: quattordici (14) mesi per GA4; i cookie di misurazione di Contentsquare/Hotjar sono conservati in base alla loro finalità e generalmente fino a tredici (13) mesi per i cookie di analisi UX a livello di visitatore.
• Dati di pagamento / fatturazione: sette (7) anni, per soddisfare gli obblighi di archiviazione fiscale greci (Κ.Φ.Α.Σ. / Legge 4174/2013).
• Dati sui reclami: tre (3) anni dalla risposta finale, allineati con lo statuto quinquennale per le rivendicazioni contrattuali ma ridotti ove possibile.
• Log di accesso: novanta (90) giorni.
• Backup: i backup crittografati vengono eliminati entro 35 giorni.

Dopo questi periodi, eliminiamo o rendiamo irreversibilmente anonimi i dati.

5. Con chi condividiamo i dati

Condividiamo i dati personali solo con i destinatari e per le finalità qui elencate. Non vendiamo dati personali a terzi.

• Stripe (pagamenti, come titolare indipendente).
• Google Ireland Limited (GA4) — solo se acconsenti all'analisi.
• Contentsquare/Hotjar — solo se acconsenti alla misurazione facoltativa dell'analisi UX.
• X — misurazione facoltativa della conversione del sito web e condivisione consentita degli eventi dell'app tramite AppsFlyer.
• Meta (Facebook/Instagram) — misurazione facoltativa della conversione del sito web e condivisione consentita degli eventi dell'app tramite AppsFlyer.
• AppsFlyer — il nostro fornitore di servizi di attribuzione e misurazione mobile, inclusi il collegamento consentito account-abbonamento e la gestione della cancellazione descritti nel §2.7.
• Reddit — condivisione consentita degli eventi dell'app tramite AppsFlyer per misurare e migliorare le campagne di To Brief.
• OpenAI (OpenAI Ireland Limited): misurazione facoltativa delle conversioni degli annunci di To Brief in ChatGPT, inviata dal nostro server come descritto ai §2.2 e §2.7.
• Fornitori di hosting e infrastruttura (es. Vercel, AWS, Cloudflare) che agiscono rigorosamente come responsabili del trattamento ai sensi dei contratti Art. 28.
• Consulenti professionali (avvocati, commercialisti, revisori) ove legalmente necessario e sotto riservatezza.
• Autorità competenti, laddove siamo obbligati da una richiesta legale, specifica e proporzionata (ordine del tribunale, DPA, autorità fiscale).

Un elenco attuale e verificabile dei sub-responsabili del trattamento è mantenuto internamente e può essere fornito su richiesta.

6. Trasferimenti internazionali di dati

Alcuni dei nostri responsabili del trattamento sono stabiliti negli Stati Uniti o operano a livello globale. Laddove i dati personali vengano trasferiti al di fuori dello SEE, ci basiamo su:

• le Clausole Contrattuali Standard della Commissione Europea (Decisione 2021/914), o
• una decisione di adeguatezza (es. il Data Privacy Framework UE-USA, per Stripe, Google e altri importatori certificati), o
• il tuo consenso esplicito per trasferimenti limitati e mirati.

Misure supplementari come la crittografia in transito (TLS 1.2+), la crittografia a riposo e i controlli di accesso vengono applicate oltre al meccanismo di trasferimento legale.

7. I tuoi diritti GDPR

Hai i seguenti diritti ai sensi degli artt. 15-22 del GDPR:

• Accesso — conferma che elaboriamo i tuoi dati e una copia degli stessi.
• Rettifica — correzione di dati inesatti o incompleti.
• Cancellazione ("diritto all'oblio") — eliminazione laddove sussistano i motivi.
• Limitazione — limitazione del modo in cui elaboriamo i tuoi dati in attesa di verifica.
• Portabilità — una copia leggibile da dispositivo automatico dei dati che hai fornito in base a contratto o consenso.
• Opposizione — al trattamento basato su legittimi interessi, inclusa la profilazione.
• Revoca del consenso — in qualsiasi momento, senza pregiudicare il trattamento effettuato prima della revoca.
• Reclamo a un'autorità di controllo — specialmente l'Autorità ellenica per la protezione dei dati (vedi §12).

Per esercitare qualsiasi diritto, invia un'email a [email protected] dall'indirizzo registrato o fornisci un altro mezzo ragionevole di verifica dell'identità. Rispondiamo entro un (1) mese, prorogabile una volta di ulteriori due (2) mesi per richieste complesse; spiegheremo qualsiasi proroga.

8. Cookie

Utilizziamo cookie e tecnologie simili. Le categorie, le finalità e la durata di ciascun cookie sono descritte nella Cookie Policy. Puoi configurare le tue preferenze e revocare il consenso in qualsiasi momento tramite /cookie-preferences.

9. Minori

Il Servizio non è rivolto a minori di quindici (15) anni, l'età del consenso digitale in Grecia ai sensi della Legge 4624/2019 Art. 21. Non raccogliamo consapevolmente dati da bambini più piccoli. Se ritieni che un minore si sia registrato, contatta [email protected] e cancelleremo l'account.

10. Sicurezza

Applichiamo misure tecniche e organizzative commercialmente ragionevoli — inclusi TLS, password con hash (famiglia Argon2), ambienti isolati, principio del privilegio minimo, logging, backup e procedure di risposta agli incidenti — ma nessun sistema è perfettamente sicuro. In caso di violazione dei dati personali che possa comportare un rischio per i tuoi diritti, informeremo l'Autorità ellenica per la protezione dei dati entro 72 ore come richiesto dall'Art. 33 del GDPR e, laddove il rischio sia elevato, informeremo anche te direttamente.

11. Modifiche a questa informativa

Pubblicheremo una versione revisionata a questo URL e, per modifiche sostanziali, daremo preavviso con almeno trenta (30) giorni di anticipo tramite il Servizio o via email. La data di "Ultima revisione" in alto riflette sempre l'aggiornamento più recente. Le versioni storiche di questo documento sono conservate nel registro delle modifiche delle pagine legali.

12. Contatti e autorità di controllo

• Richieste sulla protezione dei dati: [email protected]
• Indirizzo postale: Troon 26, 118 51, Atene, Attica, Grecia

Hai il diritto di presentare un reclamo all'Autorità ellenica per la protezione dei dati (Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα):

• Sito web: https://www.dpa.gr
• Posta: Kifissias 1-3, 115 23 Atene, Grecia

I residenti nell'UE al di fuori della Grecia possono anche contattare l'autorità di controllo nel loro Stato membro di residenza abituale.