Informativa sulla privacy
Ultimo aggiornamento: 4 novembre 2026
Questa informativa spiega quali dati personali tratta SincroLead e come. È scritta ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR).
1. Chi siamo
Il titolare del trattamento è:
DA_CAMBIARE Srl DA_CAMBIARE — via, numero, CAP, città Partita IVA DA_CAMBIARE Email: contact@sincrolead.it PEC: pec@DA-CAMBIARE.example
SincroLead è un servizio in abbonamento (SaaS) raggiungibile su app.sincrolead.it.
Serve alle aziende per raccogliere i contatti generati dai propri moduli di Facebook
Lead Ads e assegnarli ai propri agenti commerciali.
2. Due trattamenti diversi, con due ruoli diversi
⚠️ È la parte che conta di più: leggila anche se salti il resto.
SincroLead tratta due categorie di dati che seguono regole diverse.
2.1 I dati di chi usa il gestionale — noi siamo titolari
Sono i dati delle persone che accedono a SincroLead: l'amministratore dell'azienda cliente e i suoi agenti. Su questi decidiamo noi finalità e mezzi, quindi siamo titolari del trattamento.
2.2 I dati dei lead — noi siamo responsabili
Sono i dati delle persone che compilano un modulo di contatto su una pagina Facebook dell'azienda cliente, o su un account Instagram agganciato a quella pagina. Quei dati appartengono al rapporto fra l'azienda cliente e la persona che ha compilato il modulo: è l'azienda cliente a decidere perché raccoglierli e cosa farne.
Noi li trattiamo soltanto su istruzione dell'azienda cliente, come responsabili del trattamento ai sensi dell'art. 28 GDPR, sulla base di un accordo scritto.
Conseguenza pratica per chi ha compilato un modulo: se vuoi sapere quali dati sono stati raccolti, correggerli o farli cancellare, l'interlocutore è l'azienda che ha pubblicato l'inserzione, non noi. Se scrivi a noi, giriamo la richiesta a quell'azienda e te lo diciamo — vedi il §9.
3. Quali dati trattiamo
3.1 Dati di account (titolari — §2.1)
| dato | perché |
|---|---|
| Nome e cognome | identificare l'utente dentro il gestionale |
| Indirizzo email | accesso, comunicazioni di servizio, codice di verifica in due passaggi |
| Password | conservata solo come hash (bcrypt): non è leggibile, nemmeno da noi |
| Ruolo e permessi | stabilire cosa l'utente può vedere e fare |
| Dati dell'azienda | ragione sociale, partita IVA, dati di fatturazione |
| Registro delle attività | chi ha fatto cosa e quando dentro il gestionale, per sicurezza e ricostruzione degli incidenti |
| Indirizzo IP e dati tecnici della sessione | sicurezza, prevenzione degli abusi |
| Storico degli accessi | data, esito, indirizzo IP e browser di ogni tentativo di accesso, per riconoscere chi prova a entrare in un account. L'email o il codice digitati si salvano solo in forma non leggibile (hash). Lo consulta solo il gestore della piattaforma |
| Dispositivi con le notifiche attive | solo se l'utente le attiva dal profilo: l'indirizzo di consegna che il browser assegna al dispositivo, le sue chiavi di cifratura, il browser e l'ultimo uso, per mandare gli avvisi sul telefono o sul computer. Si cancellano quando l'utente rimuove il dispositivo, esce dall'account o viene disattivato |
3.2 Dati ricevuti da Meta (responsabili — §2.2)
Quando un'azienda cliente collega una propria pagina Facebook — e con essa l'eventuale account Instagram agganciato — riceviamo da Meta:
| dato | perché |
|---|---|
| Token di accesso alla pagina | leggere i moduli e i lead di quella pagina, compresi quelli compilati su Instagram. Conservato cifrato nel database |
| Identificativo e nome della pagina, e dell'account Instagram agganciato | mostrare all'utente che cosa ha collegato |
| Elenco dei moduli di contatto della pagina | far scegliere quali moduli sincronizzare |
| Tutte le risposte del modulo compilato: nome, email, telefono e ogni domanda personalizzata | è il contenuto del lead, cioè il servizio stesso |
| Contesto pubblicitario: campagna, gruppo di inserzioni, inserzione, e se il modulo è stato compilato su Facebook o su Instagram | far capire all'azienda quale campagna e quale canale hanno generato il contatto |
| Data e ora di compilazione | ordinare e misurare i tempi di risposta |
Non riceviamo e non chiediamo: i tuoi post, i tuoi messaggi, la tua lista di amici, i tuoi dati di pagamento su Meta.
3.3 Dati inviati da altri sistemi dell'azienda cliente (responsabili — §2.2)
L'azienda cliente può collegare a SincroLead anche fonti diverse da Meta. In particolare può collegare i propri moduli per contatti di Google Ads, che ci consegnano i dati direttamente; e può inviarci contatti da altri sistemi — i moduli del proprio sito, un portale di settore, il proprio gestionale — tramite la nostra interfaccia di programmazione (API). Può anche caricare un elenco di contatti da un file (Excel o CSV) o inserirli a mano: in quel caso dichiara di avere il diritto di contattare quelle persone, e il consenso alle comunicazioni promozionali non è dato a meno che il file non lo indichi espressamente. Il file caricato si cancella a fine importazione.
In questo caso è l'azienda cliente a decidere quali dati inviarci: tipicamente nome, email, telefono e le risposte del modulo che ha pubblicato. Noi li trattiamo esattamente come quelli che arrivano da Meta: solo su sua istruzione, come responsabili del trattamento, e senza usarli per finalità nostre.
⚠️ Per chi ha compilato quel modulo, l'interlocutore resta l'azienda che lo ha pubblicato — vale quanto detto al §2.2.
3.4 Cosa NON facciamo
- Non vendiamo dati a nessuno.
- Non usiamo i lead di un'azienda cliente per fini nostri, né per profilazione, né per addestrare modelli di intelligenza artificiale.
- Non mettiamo in comune i dati di aziende clienti diverse: ogni azienda vede soltanto i propri, ed è una separazione applicata dal database, non una promessa.
4. Perché li trattiamo e con quale base giuridica
| finalità | base giuridica |
|---|---|
| Fornire il servizio a chi lo ha sottoscritto | esecuzione del contratto (art. 6.1.b) |
| Trattare i lead per conto dell'azienda cliente | contratto fra noi e l'azienda cliente; per la persona che ha compilato il modulo la base è quella dichiarata dall'azienda cliente nella propria informativa |
| Sicurezza, registro attività, prevenzione degli abusi | legittimo interesse (art. 6.1.f) |
| Fatturazione e obblighi contabili | obbligo di legge (art. 6.1.c) |
| Comunicazioni di servizio (avvisi tecnici, cambi di condizioni) | esecuzione del contratto |
5. Chi altro vede questi dati
Nessuno, salvo i soggetti qui elencati, che agiscono come responsabili per nostro conto:
| soggetto | cosa fa | dove |
|---|---|---|
| Meta Platforms Ireland Ltd. | è l'origine dei lead: i dati arrivano da lì | UE / USA |
| Hetzner Online GmbH | ospita i server dell'applicazione e il database | Germania |
| Fornitore di posta elettronica | recapita le email di servizio: verifica, codici di accesso, avvisi tecnici, e l'avviso all'agente quando gli viene affidato un contatto — ⚠️ quell'avviso contiene il nome della persona, mai il suo indirizzo email né il suo telefono | UE |
| Servizio di notifiche del browser (Google per Chrome e Android, Apple per Safari e iPhone, Mozilla per Firefox) | recapita le notifiche sul dispositivo di chi le ha attivate. Il testo viaggia cifrato e il servizio non può leggerlo: contiene il nome del contatto (si può togliere dal profilo), mai email né telefono | UE / USA |
Accesso del fornitore ai dati dei clienti
Il personale di DA_CAMBIARE Srl accede ai dati solo per assistenza e manutenzione ed è vincolato alla riservatezza. Può farlo in due modi, entrambi riservati agli amministratori della piattaforma, con il secondo fattore obbligatorio:
- Consultazione: dal pannello della piattaforma può leggere i lead, gli utenti, il rendimento degli agenti, i moduli e le connessioni delle aziende clienti, senza poterli modificare, esportare o usare per contattare qualcuno. Ogni ricerca fra i lead e ogni scheda di un lead aperta restano nel registro delle attività dell'azienda cliente: chi, quando, quale azienda, quale lead.
- Accesso all'account dell'azienda («Accedi come»): per risolvere un problema segnalato, può entrare nel gestionale con l'account di un utente dell'azienda, indicando il motivo, per al massimo 60 minuti. In quel tempo non può cambiare password, email, secondo fattore, utenti e ruoli, né creare token o collegare e scollegare account social. L'inizio e la fine dell'accesso, con il motivo, e tutto ciò che fa restano nel registro delle attività, con il suo nome accanto a quello dell'utente.
Comunichiamo dati a un'autorità solo se obbligati da una richiesta legittima.
Trasferimenti fuori dall'Unione Europea
I dati sono conservati in Germania. Meta può trattare dati anche negli Stati Uniti: quel trasferimento è coperto dalle garanzie previste dal capo V del GDPR (clausole contrattuali standard e, dove applicabile, il Data Privacy Framework).
6. Per quanto tempo li teniamo
| dato | quanto |
|---|---|
| Dati di account | finché l'abbonamento è attivo, poi 90 giorni per ripensamenti e contestazioni |
| Lead | secondo le istruzioni dell'azienda cliente, e comunque non oltre 90 giorni dalla fine del contratto |
| Registro delle attività | 24 mesi, per poter ricostruire un incidente di sicurezza |
| Storico degli accessi | 12 mesi, poi cancellato automaticamente |
| Registro tecnico dei messaggi ricevuti da Meta | 90 giorni |
| Documenti contabili | 10 anni, come impone la legge |
| Registrazioni mai confermate via email | cancellate automaticamente, senza intervento |
⚠️ Nota di trasparenza, da togliere quando non sarà più vera: oggi la cancellazione periodica dei lead non è automatica. Una richiesta su un singolo lead l'azienda cliente la lavora dal gestionale (§9); le altre le lavora a mano il nostro personale nei termini indicati al §9.
7. Come li proteggiamo
- Trasmissione sempre cifrata (HTTPS).
- Le password sono conservate come hash, mai in chiaro.
- I token di accesso alle pagine Facebook sono cifrati nel database.
- Verifica in due passaggi disponibile per gli account del gestionale.
- Separazione fra aziende clienti applicata a livello di database, su ogni singola interrogazione, non lasciata al codice che scrive la pagina.
- I messaggi in arrivo da Meta sono verificati con firma crittografica: un messaggio non firmato viene scartato.
- Registro delle attività su ogni operazione sensibile.
Nessuna misura è perfetta. Se dovesse verificarsi una violazione dei dati, avvisiamo il Garante entro 72 ore e, quando la legge lo richiede, anche gli interessati.
8. Cookie
SincroLead è un gestionale ad accesso riservato: non usa cookie di profilazione né strumenti di tracciamento pubblicitario.
Usa soltanto cookie tecnici, indispensabili al funzionamento:
| cookie | a cosa serve |
|---|---|
| Cookie di sessione | tenerti collegato dopo l'accesso |
| Token CSRF | impedire che un altro sito invii moduli a tuo nome |
Per questi cookie non serve il consenso: senza, il servizio non funziona.
9. I tuoi diritti
Hai diritto di: accedere ai tuoi dati, farli correggere, farli cancellare, limitarne il trattamento, riceverli in formato leggibile da un computer (portabilità), opporti al trattamento fondato sul legittimo interesse, e revocare un consenso già dato.
A chi scrivere:
| se sei… | scrivi a… |
|---|---|
| un utente del gestionale | contact@sincrolead.it |
| una persona che ha compilato un modulo di contatto | all'azienda che ha pubblicato l'inserzione. Se non sai qual è, scrivi a contact@sincrolead.it: la identifichiamo e giriamo la tua richiesta |
Rispondiamo entro 30 giorni. Le istruzioni operative sono nella pagina Cancellazione dei dati.
Due funzioni del gestionale servono a rispondere alle richieste su un lead. L'azienda cliente (i suoi amministratori) può:
- esportare i dati di un singolo lead — nome, recapiti, risposte al modulo, consenso, note e appuntamenti — in un file JSON (leggibile da un computer) o CSV (leggibile con un foglio di calcolo), per rispondere a una richiesta di accesso o di portabilità;
- cancellare i dati di un singolo lead su richiesta: nome, recapiti, risposte, testo delle note e degli appuntamenti vengono cancellati e non si recuperano. Resta solo un numero anonimo, con data, fonte e stato, che serve alle statistiche dell'azienda.
Entrambe le operazioni restano nel registro delle attività, con chi le ha fatte e quando, ma senza recapiti dell'interessato: il registro dice «dati cancellati su richiesta», non quali.
Puoi anche presentare reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it) o all'autorità del Paese in cui vivi.
10. Modifiche a questa informativa
Se cambiamo qualcosa di sostanziale lo comunichiamo via email agli utenti registrati e aggiorniamo la data in cima alla pagina. Le versioni precedenti restano disponibili su richiesta.
11. Contatti
DA_CAMBIARE Srl — DA_CAMBIARE — via, numero, CAP, città Richieste privacy: contact@sincrolead.it Assistenza: support@sincrolead.it