Informativa sulla privacy

Questa informativa spiega quali dati personali tratta Prospex, perché e che cosa può fare al riguardo. È redatta secondo la Legge federale svizzera sulla protezione dei dati (LPD). Dove si applica il GDPR, ai visitatori nell'UE e alle persone nell'UE che compaiono nei dati pubblici di registro che trattiamo, esso si applica in aggiunta, e questa informativa è scritta per soddisfare entrambi.

Prospex è un servizio tra imprese. Quasi tutti i dati che gestisce riguardano aziende. Una parte è comunque costituita da dati personali, perché un organo di un'azienda iscritto in un registro ufficiale è una persona, e questa informativa è precisa su questo punto.

1. Chi è responsabile

Il titolare del trattamento è:

Sidorenko Consulting
Semion Sidorenko
Chemin du Frêne 7
1004 Lausanne
Svizzera

Per qualsiasi punto di questa informativa scriva a hello@prospex.ch.

2. Se ha un account Prospex

Dei nostri clienti conserviamo quanto segue:

• Account: il suo indirizzo e-mail, che è anche il nome utente, una password sotto forma di hash (mai la password stessa), la data di registrazione e la data dell'ultimo accesso.
• Preferenze: la descrizione di quello che vende e i settori, le dimensioni aziendali, i cantoni e le clientele su cui filtra, oltre al ruolo professionale scelto durante la configurazione iniziale.
• Uso del servizio: i contatti che ha segnato come esaminati, le ricerche che ha salvato, i riscontri che ha dato sui singoli contatti, le aziende che segue e le impostazioni del riepilogo per e-mail.
• Fatturazione: i suoi identificatori Stripe di cliente e di abbonamento, lo stato dell'abbonamento e la fine del periodo in corso. Nessun dato di carta arriva mai a Prospex; i dati di pagamento si inseriscono sulle pagine di Stripe e restano presso Stripe.
• HubSpot: soltanto se collega il suo account HubSpot, conserviamo i token di accesso di quel collegamento e la registrazione di quanto abbiamo scritto nel suo CRM.
• Log del server: i normali log del server web e dell'applicazione, compresi gli indirizzi IP, conservati per l'esercizio e la sicurezza.

La finalità è fornire il servizio che ha sottoscritto e la base legale è il contratto tra noi (art. 6 par. 1 lett. b GDPR / art. 31 cpv. 2 lett. a LPD). I documenti di fatturazione sono conservati anche per adempiere agli obblighi contabili svizzeri.

3. Dati aziendali e di registro su altre persone

Prospex raccoglie informazioni pubblicamente accessibili sulle aziende svizzere e le trasforma in segnali commerciali per i suoi clienti. Dove il registro di commercio svizzero li pubblica, quelle informazioni comprendono nomi, funzioni e diritto di firma degli organi: amministratori, direttori, soci e persone con diritto di firma. Questi nomi provengono da pubblicazioni ufficiali e possono comparire nei titoli dei segnali che mostriamo ai nostri clienti, per esempio «Nominato un nuovo direttore». Le stesse pubblicazioni indicano il comune di attinenza o la cittadinanza di ogni persona e il suo domicilio, e conserviamo entrambe le indicazioni così come pubblicate. I nomi degli organi, e le pubblicazioni stesse, compaiono anche sulla pagina pubblica dell'azienda.

Tutto proviene da fonti pubblicamente accessibili, dei tipi seguenti: i registri svizzeri di commercio e della proprietà intellettuale e i fogli ufficiali che ne pubblicano gli avvisi, federali e cantonali; gli annunci di lavoro pubblici; i siti web pubblici delle aziende e le pagine e i contenuti pubblici che le aziende pubblicano su di sé nelle reti sociali e professionali; gli elenchi commerciali pubblici e i repertori di startup. Non compriamo dati personali da intermediari di dati.

La base legale è il nostro interesse legittimo, e quello dei nostri clienti, alle informazioni commerciali sulle imprese (art. 6 par. 1 lett. f GDPR / art. 31 cpv. 1 LPD). Lo abbiamo ponderato con gli interessi delle persone coinvolte. Secondo la nostra valutazione prevale perché: i dati sono già stati pubblicati ufficialmente, per legge, proprio affinché il pubblico possa farvi affidamento; li trattiamo soltanto nella veste professionale della persona, in quanto organo di un'azienda; non costruiamo profili comportamentali, non deduciamo nulla sulla vita privata e non trattiamo categorie particolari di dati; e quello che conserviamo su una singola persona corrisponde a quanto il registro ha pubblicato su di lei: nome, comune di attinenza o cittadinanza, domicilio, funzione, diritto di firma e date delle iscrizioni, per ogni azienda in cui è iscritta.

Una voce ripresa senza modifiche dal registro di commercio svizzero, o dai fogli ufficiali che ne pubblicano gli avvisi, resta visibile, anche dopo un'opposizione. La legge rende pubbliche queste voci perché chiunque possa verificare chi agisce per un'azienda e chi ha agito per essa, e Prospex le mostra, con la loro cronologia, per lo stesso scopo. Correggiamo una voce di questo tipo quando si discosta dall'avviso pubblicato.

Usiamo inoltre modelli linguistici di grandi dimensioni per riassumere e classificare questo materiale. Generano la formulazione di un segnale; non prendono decisioni con effetti giuridici o analogamente rilevanti su nessuno.

4. Analisi

Ogni pagina di questo sito, comprese quelle pubbliche, carica PostHog (PostHog EU Cloud). Il suo browser invia questi dati a g.prospex.ch, un nostro dominio che li inoltra all'infrastruttura europea di PostHog; il destinatario è PostHog in entrambi i casi. Registra le pagine viste e le interazioni, insieme al suo indirizzo IP, e imposta cookie nel suo browser. Se ha effettuato l'accesso, inviamo inoltre a PostHog il suo identificatore utente, il suo indirizzo e-mail e il suo nome utente, in modo che l'uso del prodotto possa essere attribuito a un account.

I nostri server inviano a PostHog anche le tappe della registrazione e dell'abbonamento: che un account è stato creato, che la pagina dell'abbonamento è stata mostrata, che una cassa è stata avviata e che un abbonamento è iniziato, si è rinnovato o ha cambiato stato, con l'importo fatturato. Lo stato attuale del suo abbonamento è memorizzato nel suo profilo presso di loro. Nessun dato di carta arriva mai a PostHog; quelli restano soltanto presso Stripe (sezione 5).

PostHog gestisce anche la chat di supporto dietro il pulsante Aiuto all'interno del prodotto. Si apre soltanto quando lo clicca e funziona per i clienti che hanno effettuato l'accesso qualunque sia la scelta fatta per le analisi: è un servizio che ha chiesto e non una misurazione su di lei. Contiene la conversazione stessa, il suo identificatore utente e un identificatore della chat, scritto nella memoria locale del browser al caricamento del prodotto affinché ritrovi la sua conversazione. Se ha disattivato le analisi, nient'altro della sua visita viene registrato.

Carichiamo inoltre il codice di tracciamento di HubSpot, il CRM in cui teniamo i dati dei nostri clienti. Imposta i cookie __hstc, __hssc, __hssrc e hubspotutk e registra le pagine che visita, insieme ad alcune caratteristiche tecniche del suo browser che HubSpot usa per riconoscere un visitatore che ritorna. Se ha effettuato l'accesso, riceve anche il suo indirizzo e-mail, così che queste visualizzazioni compaiano nella sua scheda cliente. Il suo browser invia questi dati a prospex.ch, che li inoltra all'infrastruttura europea di HubSpot; il destinatario è HubSpot.

Usiamo anche il pixel pubblicitario di Reddit e comunichiamo le conversioni a Reddit dai nostri server. Il pixel si carica su ogni pagina, imposta un cookie di prima parte _rdt_uuid nel suo browser e segnala che una pagina è stata vista. Separatamente, i nostri server comunicano a Reddit che un account è stato creato, che una cassa è stata avviata e che un abbonamento è iniziato, quest'ultimo con l'importo fatturato, insieme a una forma sotto hash (SHA-256) del suo indirizzo e-mail, a un identificatore di account sotto hash, al suo indirizzo IP, allo user agent del suo browser e all'identificatore di clic Reddit dell'annuncio da cui è arrivato. Reddit non riceve mai il suo indirizzo e-mail in chiaro e non riceve mai dati di carta.

Usiamo il tag di Google Ads alle stesse condizioni. Si carica su ogni pagina e imposta cookie di prima parte che iniziano con _gcl e registrano l'identificatore di clic dell'annuncio da cui è arrivato, il che permette di attribuirgli una registrazione avvenuta settimane dopo. Quando crea un account, avvia una cassa o inizia un abbonamento, il tag comunica quell'evento a Google, l'ultimo con l'importo fatturato, insieme a una forma sotto hash (SHA-256) del suo indirizzo e-mail. Come per Reddit, Google non riceve mai il suo indirizzo in chiaro e non riceve mai dati di carta. A differenza di Reddit, qui nulla parte dai nostri server: se rifiuta i cookie di marketing l'evento non viene comunicato.

Usiamo anche il pixel pubblicitario di OpenAI, che misura gli annunci che acquistiamo dentro ChatGPT. Si carica su ogni pagina, segnala che una pagina è stata vista e può impostare cookie nel suo browser. Quando crea un account, avvia una cassa o inizia un abbonamento, il pixel comunica quell'evento a OpenAI, l'ultimo con l'importo fatturato. Come per Google, qui nulla parte dai nostri server: se rifiuta i cookie di marketing l'evento non viene comunicato. Nessun indirizzo e-mail, sotto hash o in chiaro, arriva a OpenAI, e nemmeno i dati di carta.

I cookie di analisi del browser e i cookie pubblicitari richiedono il suo consenso. CookieYes gestisce le sue scelte in tutto il mondo. Può accettare o rifiutare i cookie di Analisi (PostHog e HubSpot) e di Pubblicità nel banner e modificare le sue scelte tramite il link Cookie. I cookie necessari per accedere e ricordare le sue scelte restano attivi. CookieYes conserva la sua scelta nel cookie cookieyes-consent per un massimo di un anno. Conserviamo una copia di questa scelta nel nostro cookie consent_mirror per un anno al massimo, affinché valga anche quando torna dall'accesso con Google o da una pagina di pagamento. Finché non effettua una scelta, le analisi del browser restano disattivate. Se rifiuta i cookie di Analisi, PostHog misura le visite e le interazioni di base senza cookie analitici né identificativi del visitatore memorizzati. Stima il numero di visitatori tramite un hash calcolato sul server che cambia ogni giorno. Il suo indirizzo IP non viene conservato con queste visite. L’identificazione del suo account e le registrazioni delle sessioni restano disattivate in questa modalità. Dopo che ha accettato i cookie di Analisi, impostiamo anche il nostro cookie first_touch. Per 30 giorni ricorda la prima pagina visitata con le analisi attive, la sua lingua, il dominio di provenienza e i parametri della campagna, così possiamo capire quali visite portano alla creazione di un account. Non contiene alcun identificativo del visitatore. La revoca del consenso alle analisi rimuove questo cookie. Modificare le scelte sui cookie. A PostHog sono inviati anche i nostri dati interni di osservabilità sulle chiamate ai modelli.

5. Chi altro tratta i dati

Usiamo i fornitori seguenti. Agiscono secondo le nostre istruzioni e sono vincolati da condizioni sul trattamento dei dati.

Fornitore	Finalità	Dove
Cloudflare	DNS, CDN e firewall applicativo web	Mondiale
PostHog	Analisi di prodotto	UE
Stripe	Pagamenti e fatturazione degli abbonamenti	UE / USA
HubSpot	Sincronizzazione CRM, soltanto se la collega	UE / USA
HubSpot	Dati dei clienti e tracciamento del sito	UE / USA
Reddit (Reddit Ads)	Misurazione pubblicitaria	USA
Google (Google Ads)	Misurazione pubblicitaria	USA
OpenAI (OpenAI Ads)	Misurazione pubblicitaria	USA

La nostra banca dati, l'indice di ricerca e lo scheduler dei processi girano sul nostro server; non sono terzi. Non vendiamo dati personali e non li condividiamo con nessuno fuori da questo elenco, salvo quando la legge lo impone.

6. Trasferimenti fuori dalla Svizzera e dall'UE

PostHog conserva i dati in Europa. Stripe, HubSpot, Reddit, Google e OpenAI comportano trattamenti negli Stati Uniti, e Cloudflare opera a livello mondiale. Questi trasferimenti si fondano sulle clausole contrattuali tipo della Commissione europea, sul Swiss-US Data Privacy Framework quando il destinatario è certificato e sul corrispondente riconoscimento nel diritto svizzero.

7. Per quanto tempo conserviamo le cose

I dati dell'account sono conservati finché ha un account e, in seguito, soltanto dove un termine legale lo impone: i documenti di fatturazione, per esempio, per dieci anni secondo il diritto commerciale svizzero. Chiuda l'account e ci scriva, e cancelleremo il resto.

I dati raccolti dalle fonti pubbliche della sezione 3 sono conservati finché Prospex è in servizio, sotto forma dei documenti grezzi che abbiamo scaricato e dei dati che ne sono stati estratti. Sono i documenti originali che ci permettono di correggere in seguito un errore.

8. I suoi diritti

Ha il diritto di:

• chiedere quali dati personali conserviamo su di lei e ottenerne una copia
• far rettificare i dati inesatti
• far cancellare i dati quando la legge lo prevede
• opporsi al trattamento fondato sull'interesse legittimo; le voci del registro di commercio restano visibili (sezione 3)
• ricevere in forma portabile i dati che ci ha fornito
• revocare un consenso dato, senza effetto su quanto è già avvenuto

Per esercitarli, scriva a hello@prospex.ch.

Se non è soddisfatto, può rivolgersi all'Incaricato federale della protezione dei dati e della trasparenza (IFPDT, Feldeggweg 1, 3003 Berna) oppure all'autorità di controllo del suo Stato membro dell'UE.

9. Sicurezza

Tutto il traffico verso il sito passa da TLS. Il server di origine si trova dietro Cloudflare e accetta traffico web soltanto da esso; la banca dati ascolta unicamente sull'interfaccia locale e non è raggiungibile da internet. Le password sono conservate come hash con sale e non sono mai recuperabili, né da noi né da altri. L'accesso amministrativo è riservato al titolare.

Non sosteniamo che i dati conservati siano cifrati a riposo. Nessun sistema è perfettamente sicuro, e diciamo quello che facciamo davvero invece di quello che suona rassicurante.

10. Modifiche

Aggiorneremo questa informativa quando il servizio cambia. La data in alto indica la versione in vigore. Le modifiche sostanziali che riguardano i clienti sono annunciate per e-mail.

Questo documento è una traduzione fornita per comodità. In caso di divergenza tra questa versione e la versione inglese, prevale la versione inglese.