Legale
Informativa sul trattamento dei dati personali
Resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e dell'art. 122 del d.lgs. 196/2003.
Ultimo aggiornamento: 26 settembre 2026
1. Titolare del trattamento
KYRiAN Lab SRL, Via Prof. N. Casamassima 1, 70028 Sannicandro di Bari (BA), P.IVA IT09079690724, REA BA-670268 (il «Titolare»). Contatto per ogni richiesta relativa ai dati personali: privacy@crescoplay.com.
2. Ambito di applicazione
CrescoPlay è un servizio rivolto a imprese e professionisti. La presente informativa riguarda i dati delle persone fisiche: chi richiede un'analisi gratuita (scan), chi si registra o utilizza il servizio anche per conto di un'organizzazione, chi corrisponde con il Titolare e chi visita il sito. Le informazioni relative a persone giuridiche — denominazione, dominio, marchi, concorrenti, risultati delle analisi, importi — non costituiscono dati personali e non rientrano nella presente informativa, salvo che siano riferibili a una persona fisica identificata o identificabile.
3. Finalità, basi giuridiche e conservazione
| Finalità | Dati trattati | Base giuridica | Conferimento | Conservazione |
|---|---|---|---|---|
| Analisi gratuita («scan gratuito»): esecuzione, recapito del report e delle due email successive descritte nel modulo di richiesta | Indirizzo email; denominazione, dominio e concorrenti indicati, se riferibili a una persona fisica | Art. 6.1.b GDPR (misure precontrattuali adottate su richiesta dell'interessato) | Necessario: in mancanza l'analisi non può essere eseguita | 36 mesi dalla richiesta; successivamente i risultati sono cancellati o resi anonimi |
| Riscontro a richieste di informazioni e manifestazioni di interesse | Indirizzo email; organizzazione di appartenenza e sito; informazioni fornite dall'interessato nella richiesta | Art. 6.1.b GDPR (misure precontrattuali adottate su richiesta dell'interessato) | Necessario: in mancanza la richiesta non può essere riscontrata | 36 mesi dall'ultimo contatto |
| Registrazione, autenticazione ed erogazione del servizio | Indirizzo email; identificativo dell'account; se l'accesso avviene tramite Google: identificativo, indirizzo email, nome e immagine del profilo; se l'interessato registra una passkey: chiave pubblica e identificativo della credenziale, nome del dispositivo o del gestore di password, rinominabile dall'interessato, data di creazione e data dell'ultimo utilizzo; dati di utilizzo del servizio | Art. 6.1.b GDPR | Necessario | Durata del rapporto. Dopo la cessazione: i dati contrattuali e contabili per i termini di legge (di regola 10 anni, art. 2220 c.c.); i dati di utilizzo sono cancellati o resi anonimi al riesame annuale successivo alla cessazione, salva la conservazione necessaria all'accertamento, esercizio o difesa di un diritto |
| Pagamenti, fatturazione, adempimenti contabili e fiscali | Dati di fatturazione; stato, piano e importi dell'abbonamento. I dati della carta sono trattati esclusivamente dal fornitore dei servizi di pagamento | Art. 6.1.b e 6.1.c GDPR | Necessario e, per i dati fiscali, obbligatorio | Termini previsti dalla normativa civilistica e fiscale: di regola 10 anni dall'ultima registrazione (art. 2220 c.c.) |
| Gestione della relazione con clienti e contatti commerciali | Dati di contatto; organizzazione di appartenenza; origine del contatto; storico del rapporto e dell'abbonamento, compresi gli importi; analisi richieste e relativi esiti; stato dei consensi e delle opposizioni; corrispondenza; esiti di recapito delle comunicazioni | Art. 6.1.f GDPR (interesse legittimo del Titolare alla gestione ordinata dei rapporti commerciali) | — | Riesame annuale; in ogni caso non oltre 36 mesi dall'ultimo contatto, salvo rapporto contrattuale in corso |
| Comunicazioni commerciali | Indirizzo email | Art. 6.1.a GDPR e art. 130 d.lgs. 196/2003 (consenso) | Facoltativo; il mancato consenso non incide sull'erogazione del servizio | Fino alla revoca del consenso |
| Attuazione dell'opposizione e della revoca (lista di esclusione) | Indirizzo email; data e origine della richiesta | Art. 6.1.c GDPR (art. 21.3 GDPR) | — | Per il tempo necessario a garantire che l'interessato non sia ricontattato |
| Prova dei consensi prestati | Scelta espressa, data, versione dell'informativa e dell'avviso sui cookie e, per gli utenti registrati, associazione all'account | Art. 6.1.c GDPR (art. 7.1 GDPR) | — | Durata del consenso e successivi 5 anni |
| Sicurezza, prevenzione di abusi e accessi non autorizzati | Indirizzo IP; dati del dispositivo e del browser; registro degli accessi | Art. 6.1.f GDPR (interesse legittimo del Titolare alla sicurezza del servizio) | Raccolti automaticamente alla connessione | Registro degli accessi: 12 mesi. Log tecnici dell'infrastruttura: per il tempo strettamente necessario a sicurezza e continuità del servizio |
| Misurazione del percorso di attivazione del servizio, dall'arrivo sulle pagine iniziali del sito alla prima misurazione, alla prova gratuita e all'acquisto | Passaggi del percorso e loro esito: arrivo sulla pagina iniziale del sito o sulla pagina di Focus, invio del sito da analizzare, esito della preparazione, accesso, configurazione, conferma, interruzioni dovute al servizio; per le preparazioni confermate, gli eventi successivi (risultato, consultazione dei piani, avvio del pagamento, attivazione, acquisto), senza importi. I passaggi sono associati a un identificativo pseudonimo (casuale) della preparazione, l'arrivo sul sito a nessun identificativo. Parametri di campagna della visita (utm_source, utm_medium, utm_campaign). Non sono registrati indirizzo IP, dati del browser, sito indicato, indirizzo email né testi inseriti | Art. 6.1.f GDPR (interesse legittimo del Titolare a conoscere dove e perché il percorso di attivazione si interrompe, per correggerlo, e a valutare quali canali di acquisizione lo alimentano). Non sono lette né archiviate informazioni sul dispositivo dell'interessato, salvo i cookie tecnici indicati nella sezione 6 | Raccolti automaticamente dai server del Titolare | Preparazioni non confermate: entro 49 ore dalla richiesta l'identificativo non è più riferibile ad alcuna persona nei sistemi del Titolare. Preparazioni confermate: per la durata del rapporto e comunque non oltre 36 mesi dalla richiesta dell'analisi, come per l'analisi gratuita; successivamente resi anonimi. Presso il fornitore dello strumento di misurazione (sezione 4): 12 mesi; il profilo pseudonimo della preparazione presso il fornitore, che scaduti i passaggi contiene l'identificativo e i parametri di campagna della visita, è cancellato dal Titolare al riesame annuale successivo alla scadenza dei passaggi e comunque entro 24 mesi dall'ultimo passaggio registrato |
| Domanda facoltativa a chi interrompe il percorso di attivazione | Risposta scelta tra quelle proposte e nota libera facoltativa, fino a 280 caratteri, associate all'identificativo della preparazione. Non sono registrati identificativo dell'account, indirizzo IP né dati del browser. L'interessato è invitato a non inserire dati personali; le note che contengono un indirizzo email o un numero di telefono non sono accettate | Art. 6.1.f GDPR (interesse legittimo del Titolare a comprendere i motivi per cui il percorso di attivazione si interrompe) | Facoltativo | Nota libera: 12 mesi, poi cancellata automaticamente. Risposta scelta: come per la misurazione del percorso di attivazione |
| Rilevazione degli errori del servizio | Tipo e messaggio dell'errore, sequenza delle chiamate del codice, funzione o pagina interessata, privati prima dell'invio di indirizzi email, chiavi e token, parametri e frammenti degli indirizzi, identificativi, numeri e nomi di dominio diversi da quelli del Titolare e dei suoi fornitori | Art. 6.1.f GDPR (interesse legittimo del Titolare alla sicurezza e alla continuità del servizio) | Raccolti automaticamente dai server del Titolare | Presso il fornitore dello strumento di misurazione (sezione 4): 12 mesi. Log tecnici dell'infrastruttura: per il tempo strettamente necessario a sicurezza e continuità del servizio |
| Misurazione statistica delle visite | Si veda la sezione 6 | Art. 6.1.a GDPR; art. 122 d.lgs. 196/2003 | Facoltativo | 12 mesi |
| Misurazione e ottimizzazione delle campagne pubblicitarie | Si veda la sezione 6 | Art. 6.1.a GDPR; art. 122 d.lgs. 196/2003 | Facoltativo | Indirizzo IP, browser, pagina, identificativi del click e identificativo pseudonimo: non oltre 90 giorni dall'invio; registro degli invii (evento, destinatario, esito, data, riferimento della scelta di consenso): 5 anni |
| Accertamento, esercizio o difesa di un diritto | I dati pertinenti tra quelli sopra indicati | Art. 6.1.f GDPR (interesse legittimo del Titolare a far valere o difendere un proprio diritto) | — | Termini di prescrizione applicabili |
I dati riferiti a persone giuridiche non sono soggetti ai termini indicati. Alla scadenza del termine i dati sono cancellati o resi anonimi, salvo l'obbligo di conservazione previsto dalla legge e salva la conservazione per l'accertamento, l'esercizio o la difesa di un diritto.
Per l'accesso con passkey, l'impronta digitale, il volto o il codice di sblocco del dispositivo restano sul dispositivo dell'interessato; la chiave privata della passkey resta sul dispositivo o nel suo gestore di password. Il Titolare e il fornitore del servizio di autenticazione non ricevono né trattano tali dati né la chiave privata.
Dati non raccolti presso l'interessato (art. 14 GDPR)
Il Titolare può ricevere nome, indirizzo email e organizzazione di appartenenza di una persona da partner commerciali o da soggetti della propria rete professionale. La fonte è indicata all'interessato nella prima comunicazione. Tali dati sono trattati per la finalità «Gestione della relazione con clienti e contatti commerciali». Nell'accesso tramite Google, il Titolare riceve da Google Ireland Limited i dati indicati nella tabella che precede, alla riga «Registrazione, autenticazione ed erogazione del servizio». L'informativa è resa all'interessato entro un mese dalla ricezione dei dati o, se anteriore, con la prima comunicazione.
Nell'esecuzione di un'analisi il Titolare tratta inoltre i dati eventualmente contenuti nelle pagine pubbliche del sito indicato e i nomi dei concorrenti indicati dal richiedente, quando riferibili a una persona fisica. Tali dati provengono da fonti accessibili al pubblico e sono trattati per la sola esecuzione dell'analisi. L'informazione individuale di questi interessati richiederebbe uno sforzo sproporzionato (art. 14.5.b GDPR): la presente pagina costituisce la misura appropriata prevista dalla medesima disposizione.
4. Destinatari
I dati non sono venduti né ceduti a terzi per finalità proprie di questi ultimi, salvo quanto indicato nelle sezioni 6 e 8 per Meta Platforms Ireland Limited. Sono trattati da personale autorizzato del Titolare e comunicati alle seguenti categorie di destinatari.
| Categoria | Ruolo | Dati interessati | Luogo del trattamento |
|---|---|---|---|
| Fornitori di infrastruttura cloud, database, rete e sicurezza | Responsabili del trattamento (art. 28 GDPR) | Tutti i dati trattati tramite il servizio | SEE e paesi extra SEE (sezione 5) |
| Fornitori di invio di email e di posta elettronica | Responsabili del trattamento (art. 28 GDPR) | Indirizzo email; contenuto ed esiti di recapito delle comunicazioni | SEE e paesi extra SEE (sezione 5) |
| Fornitori di hosting del sistema di gestione dei contatti | Responsabili del trattamento (art. 28 GDPR) | Dati relativi alla relazione commerciale | SEE |
| Fornitori di servizi di pagamento | Responsabili del trattamento o titolari autonomi, secondo i rispettivi termini | Dati di pagamento e di fatturazione | SEE e paesi extra SEE (sezione 5) |
| Fornitori di modelli di intelligenza artificiale e di lettura di pagine web | Responsabili del trattamento (art. 28 GDPR) | Denominazione, dominio, concorrenti indicati ed estratti di pagine pubbliche del sito analizzato, con i dati che tali pagine pubblicano. L'indirizzo email fornito nel modulo e i dati di fatturazione non sono comunicati a questi fornitori | SEE e paesi extra SEE (sezione 5) |
| Fornitore dello strumento di misurazione statistica (PostHog Inc.) | Responsabile del trattamento (art. 28 GDPR) | I dati indicati nella sezione 6 e, comunicati dai server del Titolare, i passaggi del percorso di attivazione e gli errori del servizio indicati nella sezione 3 | SEE e paesi extra SEE (sezione 5) |
| Meta Platforms Ireland Limited | Contitolare del trattamento (art. 26 GDPR) | I dati indicati nella sezione 6 | SEE e paesi extra SEE (sezione 5) |
| Google Ireland Limited | Titolare autonomo, per il solo accesso tramite Google | Il fatto dell'accesso a CrescoPlay | SEE e paesi extra SEE (sezione 5) |
| Consulenti e professionisti; autorità pubbliche | Titolari autonomi | I dati necessari all'incarico o richiesti dalla legge | SEE |
L'elenco nominativo aggiornato dei responsabili del trattamento è disponibile su richiesta all'indirizzo indicato nella sezione 1.
5. Trasferimenti verso paesi extra SEE
Alcuni destinatari sono stabiliti, o trattano dati, negli Stati Uniti, in Giappone, a Singapore e in Svizzera. I trasferimenti verso gli Stati Uniti avvengono sulla base della decisione di adeguatezza relativa all'EU-U.S. Data Privacy Framework (decisione di esecuzione (UE) 2023/1795) per i soggetti certificati e, negli altri casi, delle Clausole Contrattuali Standard adottate dalla Commissione europea (decisione di esecuzione (UE) 2021/914). I trasferimenti verso Singapore e quelli con conservazione dei dati in Giappone, paesi non oggetto di decisione di adeguatezza applicabile a questi trattamenti, avvengono sulla base delle medesime Clausole Contrattuali Standard ai sensi dell'art. 46.2.c GDPR. La Svizzera è oggetto di decisione di adeguatezza. Copia delle garanzie adottate è disponibile su richiesta all'indirizzo indicato nella sezione 1.
6. Cookie e strumenti analoghi
Il sito utilizza cookie tecnici, per i quali non è richiesto il consenso ai sensi dell'art. 122 d.lgs. 196/2003, e due categorie di strumenti soggetti a consenso, espresso e modificabile in ogni momento dal collegamento «Preferenze cookie» presente in ogni pagina del sito pubblico. La scelta ha validità di 12 mesi. Il sito utilizza inoltre, senza consenso in quanto strettamente necessario, lo strumento di verifica automatica del fornitore dei servizi di sicurezza, volto a distinguere le richieste umane da quelle automatizzate.
| Cookie | Tipo | Finalità | Durata |
|---|---|---|---|
| Cookie di registrazione del consenso | Tecnici, di prima parte | Registrazione e memorizzazione delle scelte di consenso | 12 mesi |
| Cookie di autenticazione | Tecnici, di prima parte | Autenticazione e mantenimento della sessione nell'area riservata | Fino a 400 giorni |
| Cookie del percorso di attivazione del servizio | Tecnici, di prima parte | Avanzamento della registrazione e dell'attivazione del servizio, collegamento all'account e ripresa del percorso dopo un'interruzione | Fino a 7 giorni, secondo la fase del percorso |
| Cookie di preferenza | Tecnici, di prima parte | Preferenza di visualizzazione dell'area riservata (barra laterale aperta o chiusa) | 7 giorni |
| Cookie di presenza della sessione | Tecnici, di prima parte | Indicazione, sulle pagine del sito pubblico, che nel browser è aperta una sessione dell'area riservata, per mostrare il collegamento «Dashboard» al posto di «Accedi». Non contiene identificativi | 30 giorni |
| Cookie di esclusione del personale | Tecnici, di prima parte | Memorizza che il browser è utilizzato dal personale del Titolare, per escluderlo dalle misurazioni, come la memoria di un rifiuto. Non contiene identificativi | 12 mesi |
| cp_adclick | Di prima parte, soggetto al consenso Advertising | Attribuzione di una richiesta, dell'attivazione della prova gratuita o di un acquisto a un annuncio | 90 giorni |
Il sito memorizza inoltre sul dispositivo, nell'archiviazione locale del browser e per sole finalità tecniche, la preferenza di tema dell'interfaccia e una copia locale dello stato del consenso, registrato come indicato nella sezione 3. Tali informazioni sono accessibili unicamente nell'ambito dell'origine del sito e, a differenza dei cookie, non sono inviate automaticamente con le richieste. Lo strumento che scrive lo stato del consenso è del fornitore dei servizi di sicurezza, responsabile del trattamento.
Consenso Analytics — misurazione statistica
Previo consenso, il sito carica lo strumento di misurazione di PostHog Inc. (San Francisco, Stati Uniti), responsabile del trattamento, nella configurazione con conservazione dei dati nell'Unione europea. Dati trattati: indirizzo della pagina visitata e di quella di provenienza, troncati prima della stringa di ricerca e del frammento, cioè privati di tutto ciò che segue «?» o «#»; caratteristiche tecniche del browser e del dispositivo; indirizzo IP, utilizzato per ricavare l'area geografica approssimativa. Lo strumento caricato nel browser non comunica i parametri di campagna. Lo strumento non installa cookie, non utilizza altre forme di archiviazione sul dispositivo e non crea profili individuali dei visitatori. Conservazione: 12 mesi. Informativa del fornitore: posthog.com/privacy.
Misurazione del percorso di attivazione sulla base del legittimo interesse
Indipendentemente dal consenso Analytics, il Titolare registra dai propri server i passaggi del percorso di attivazione e gli errori del servizio indicati nella sezione 3 e li comunica a PostHog Inc., responsabile del trattamento, con conservazione dei dati nell'Unione europea, per esaminarli e ricevere avvisi quando il percorso si interrompe. Questa misurazione non legge né archivia informazioni sul dispositivo, salvo i cookie tecnici indicati in questa sezione. PostHog riceve i passaggi riferiti a un identificativo pseudonimo della preparazione (un codice casuale) e li riunisce sotto quel codice in un profilo pseudonimo, che contiene i passaggi della stessa preparazione e i parametri di campagna della visita, senza indirizzo IP, dati del browser, account, indirizzo email, nome, sito indicato, importi o testi inseriti. Il profilo serve a raggruppare e a cancellare i passaggi di una preparazione e non è utilizzato per valutare o prevedere aspetti della persona; nessuna decisione che riguardi la persona si fonda su questi dati. I parametri di campagna della visita servono unicamente ad attribuire il percorso al canale di provenienza; la comunicazione di eventi a Meta Platforms Ireland Limited per la misurazione delle campagne pubblicitarie resta subordinata al consenso Advertising. I passaggi registrati dai browser del personale del Titolare non sono comunicati a PostHog Inc. né considerati nelle analisi.
Consenso Advertising — misurazione delle campagne
Previo consenso, il Titolare comunica a Meta Platforms Ireland Limited (Dublino, Irlanda), dai propri server, gli eventi di richiesta di analisi, di avvio della procedura di pagamento, di attivazione della prova gratuita e di pagamento dell'abbonamento (il primo e ciascun rinnovo, con il relativo importo), unitamente a: indirizzo IP, tipo di browser, indirizzo della pagina di origine, identificativo del click sull'annuncio e un identificativo pseudonimo derivato dall'indirizzo email mediante funzione di hash, utilizzato da Meta per l'associazione all'utenza. Il Titolare e Meta Platforms Ireland Limited sono contitolari del trattamento ai sensi dell'art. 26 GDPR. Il contenuto essenziale dell'accordo, contenuto nel Controller Addendum di Meta, è il seguente: il Titolare risponde della liceità della raccolta e della trasmissione, compreso il consenso; Meta Platforms Ireland Limited risponde del trattamento successivo nei propri sistemi. L'interessato può esercitare i propri diritti nei confronti di ciascuno dei due contitolari (art. 26.3 GDPR), e presso il Titolare all'indirizzo indicato nella sezione 1. Informativa del contitolare: facebook.com/privacy/policy. In assenza di consenso non è comunicato alcun dato.
7. Diritti dell'interessato
L'interessato può esercitare i diritti di accesso, rettifica, cancellazione, limitazione e portabilità (artt. 15-18 e 20 GDPR) e può revocare in ogni momento il consenso prestato, senza pregiudizio per la liceità del trattamento fondato sul consenso prima della revoca (art. 7.3 GDPR), scrivendo a privacy@crescoplay.com. Per i consensi Analytics e Advertising la revoca si esercita dal collegamento «Preferenze cookie» (sezione 6), poiché tali consensi non sono associati all'indirizzo email; per le comunicazioni commerciali, anche tramite il collegamento di disiscrizione presente in ciascuna comunicazione.
Diritto di opposizione (art. 21 GDPR)
L'interessato può opporsi in ogni momento, per motivi connessi alla propria situazione particolare, al trattamento fondato sul legittimo interesse del Titolare, e può opporsi in ogni momento, senza necessità di motivazione, al trattamento per finalità di comunicazione commerciale. L'opposizione si esercita all'indirizzo indicato nella sezione 1.
Per la misurazione del percorso di attivazione e per la domanda facoltativa, ricevuta l'opposizione il Titolare cancella nei propri sistemi gli eventi del percorso fino alla conferma e le risposte riferiti alla preparazione, interrompe la comunicazione a PostHog Inc. per quell'identificativo, anche per gli eventi successivi alla conferma, e cancella presso il fornitore il profilo della preparazione con i relativi passaggi, entro un mese dalla richiesta (art. 12.3 GDPR). Gli eventi successivi alla conferma restano nei sistemi del Titolare per l'erogazione del servizio (sezione 3) e non sono più usati per questa misurazione. Se la preparazione è collegata a un account, il Titolare la individua tramite l'account. In caso contrario il Titolare non dispone di elementi per identificare l'interessato (artt. 11 e 12.2 GDPR) e può dare seguito alla richiesta solo se l'interessato fornisce informazioni che consentano di individuare la preparazione, per esempio il sito indicato e il momento della richiesta, finché questi dati restano nei sistemi del Titolare (entro 49 ore dalla richiesta, sezione 3).
Per il trattamento svolto da Google Ireland Limited ai fini dell'autenticazione, i diritti si esercitano nei confronti di Google. L'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali (art. 77 GDPR).
8. Processi decisionali automatizzati e profilazione
Il Titolare non adotta decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione, che producano effetti giuridici che riguardano l'interessato o che incidano in modo analogo significativamente sulla sua persona (art. 22 GDPR). Solo previo consenso Advertising, i dati indicati nella sezione 6 possono essere utilizzati da Meta Platforms Ireland Limited per la personalizzazione degli annunci pubblicitari.
9. Le versioni di questa pagina
- 26 settembre 2026 — misurazione del percorso di attivazione: in luogo di quanto dichiarato nella versione precedente, i passaggi di ciascuna preparazione sono riuniti presso il fornitore in un profilo pseudonimo riferito all'identificativo della preparazione, cancellato dal Titolare in caso di opposizione e, in ogni caso, entro 24 mesi dall'ultimo passaggio.
- 25 settembre 2026 — misurazione del percorso di attivazione del servizio sulla base del legittimo interesse, anche tramite il fornitore dello strumento di misurazione statistica; domanda facoltativa a chi interrompe il percorso; rilevazione degli errori del servizio; due cookie tecnici (presenza della sessione ed esclusione del personale).
- 24 settembre 2026 — introduzione dell'accesso con passkey (WebAuthn/FIDO2), facoltativo e aggiuntivo rispetto al link via email e all'accesso con Google: aggiornamento dei dati trattati per la finalità «Registrazione, autenticazione ed erogazione del servizio».
- 23 settembre 2026 — misurazione delle campagne: aggiunta dell'evento di attivazione della prova gratuita tra quelli comunicati a Meta Platforms Ireland Limited.
- 20 settembre 2026 — riorganizzazione dell'informativa in forma tabellare. Definizione dei termini di conservazione; indicazione dei destinatari per categorie; aggiornamento della finalità di gestione della relazione commerciale.
- 17 settembre 2026
- 3 settembre 2026
- 13 agosto 2026
- 12 agosto 2026
- 11 agosto 2026
- 10 agosto 2026
- 5 agosto 2026
- 4 agosto 2026
- 31 luglio 2026
- 30 luglio 2026
Il testo di ciascuna versione è disponibile su richiesta all'indirizzo indicato nella sezione 1.