Informativa sulla Privacy

Traduzione di cortesia. In caso di divergenze prevale la versione spagnola disponibile su `/legal`.

Ultimo aggiornamento: 29 luglio 2026

01Come leggere questa informativa (prima il riepilogo, poi il dettaglio)

Questa informativa è redatta a livelli. Il Livello 1 è un breve riepilogo in forma di tabella, per comprendere l'essenziale in un minuto. Il Livello 2 sviluppa ogni punto in dettaglio (sezioni da 1 a 13), come richiesto dagli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e dalla Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD) (legge organica spagnola sulla protezione dei dati personali e la garanzia dei diritti digitali).

Una precisazione importante che spieghiamo nella sezione 2: Camaleonic Survey svolge due ruoli distinti a seconda del dato. A volte siamo titolari del trattamento (decidiamo il "perché" e il "come") e a volte siamo responsabili del trattamento (trattiamo dati per conto di un cliente e secondo le sue istruzioni). Questa informativa descrive soprattutto ciò che facciamo come titolari; quando agiamo come responsabili del trattamento, l'informativa applicabile è quella del cliente che ha creato il sondaggio.

02LIVELLO 1. Informazioni di base sulla protezione dei dati

03LIVELLO 2. Informazioni dettagliate

1. Titolare del trattamento e come contattarci

Il titolare del trattamento è Camaleonic ads 2020 S.L., società spagnola che gestisce il servizio con il marchio commerciale Camaleonic Survey.

• Contatto generale: [email protected]
• Contatto in materia di protezione dei dati: [email protected]

Responsabile della Protezione dei Dati (DPO). Camaleonic ads 2020 S.L. ha valutato l'opportunità di designare un Responsabile della Protezione dei Dati ai sensi dell'art. 37 del GDPR e dell'art. 34 della LOPDGDD, e ha concluso che il trattamento che effettua non rientra nei casi che rendono obbligatoria tale designazione: non è un'autorità né un organismo pubblico, la sua attività principale non consiste in un monitoraggio regolare e sistematico di interessati su larga scala, né ha per oggetto il trattamento su larga scala di categorie particolari di dati (art. 9 del GDPR) o di dati relativi a condanne penali e reati (art. 10 del GDPR). Pertanto, non è stato designato un Responsabile della Protezione dei Dati. In sua vece, esiste un referente privacy designato che gestisce tutte le richieste in materia di protezione dei dati: [email protected]. Questa valutazione viene riesaminata periodicamente e, qualora le circostanze del trattamento cambino, verrà designato un DPO e la presente informativa sarà aggiornata.

Per qualsiasi questione relativa alla presente informativa o al trattamento dei suoi dati, incluso l'esercizio dei suoi diritti (sezione 8), può scriverci a [email protected].

2. Il nostro doppio ruolo: quando siamo "responsabili del trattamento" e quando "titolari"

Il GDPR distingue tra il titolare del trattamento (chi decide le finalità e i mezzi) e il responsabile del trattamento (chi tratta i dati per conto del titolare, seguendo le sue istruzioni). In Camaleonic Survey convivono entrambi i ruoli, e da ciò dipende chi decide in merito ai suoi dati:

a) Quando siamo RESPONSABILI del trattamento: risposte ai sondaggi. Quando un cliente (qualsiasi organizzazione che sottoscrive Camaleonic Survey: un'impresa, un hotel, un'università, un marchio, una pubblica amministrazione, una PMI…) crea un sondaggio e lo diffonde, quel cliente è il titolare del trattamento delle risposte raccolte dai rispondenti. Noi ci limitiamo a trattare tali risposte per conto del cliente e secondo le sue istruzioni (le ospitiamo, le proteggiamo e gliele mostriamo). In tale scenario:

• Il cliente decide cosa viene chiesto, con quale finalità e per quanto tempo conserva le risposte.
• Le informazioni che, in quanto rispondente, deve ricevere (art. 13 del GDPR) e il soggetto dinanzi al quale esercitare i propri diritti sono, in primo luogo, quelli del cliente titolare. Qualora ci scriva, la aiuteremo a inoltrare la sua richiesta a tale titolare.
• Le condizioni di questo trattamento sono disciplinate da apposite Condizioni di Trattamento dei Dati (art. 28 del GDPR) sottoscritte tra il cliente e Camaleonic Survey, che regolano l'oggetto, la durata, la natura e la finalità del trattamento, le categorie di interessati e di dati, nonché gli obblighi e i diritti del titolare.

b) Quando siamo TITOLARI del trattamento. Siamo noi a decidere il "perché" e il "come" nei seguenti casi:

• Dati di account e di fatturazione del cliente: la registrazione, l'amministrazione dell'account, l'abbonamento e la fatturazione di chi sottoscrive Camaleonic Survey.
• Dati tecnici e utilizzo consentito del sito: i registri necessari per gestire e proteggere il servizio e, solo previo consenso, i dati di utilizzo trattati tramite Google Analytics 4 per misurare e migliorare il sito web.
• Analitica aggregata e anonimizzata: risultati statistici elaborati in modo tale da non consentire mai di identificare una persona fisica né di rivelare una risposta individuale. I dati personali dei rispondenti non vengono venduti né commercializzati in alcun caso.

La catena completa, dall'inizio alla fine. Il rispondente (interessato) consegna le proprie risposte al cliente che ha creato il sondaggio (titolare del trattamento); tale cliente si avvale di Camaleonic Survey (responsabile del trattamento); e Camaleonic Survey si avvale, a sua volta, di un numero ridotto di sub-responsabili di infrastruttura e intelligenza artificiale (database, calcolo, inferenza IA, traduzione automatica). Ogni anello della catena è vincolato contrattualmente al precedente con garanzie equivalenti di protezione dei dati.

Il resto di questa informativa (sezioni da 3 a 13) descrive principalmente i trattamenti in cui siamo titolari. Per i trattamenti in cui siamo responsabili del trattamento, prevale l'informativa sulla privacy del cliente che ha creato il sondaggio.

3. Quali dati trattiamo, per categorie

3.1. Dati delle persone che rispondono ai sondaggi (rispondenti). A seconda di come il cliente configura il sondaggio, possiamo trattare (in qualità di responsabili del trattamento, per conto del cliente):

• Risposte alle domande del sondaggio.
• Metadati della risposta: lingua, durata e marche temporali (timestamp).
• Email del rispondente, solo se richiesta dal sondaggio (ad esempio, per partecipare a un'estrazione a premi o per ricevere una comunicazione successiva stabilita dal cliente).
• Dati demografici, solo se richiesti dal sondaggio: età, genere e/o città.
• Dati tecnici pseudonimizzati per la sicurezza e il controllo di duplicati/abusi: indirizzo IP, user-agent e un identificatore di dispositivo (device-id), trattati mediante pseudonimizzazione tramite hash (si veda la sezione 10 sulla sicurezza). Importante: la pseudonimizzazione riduce il rischio, ma non equivale ad anonimizzazione: trattiamo tali valori come dati personali.
• Sondaggi anonimi: quando il cliente configura un sondaggio come anonimo, non vengono raccolti identificatori diretti del rispondente, sebbene possano essere trattati identificatori tecnici pseudonimizzati (hash di IP, browser e dispositivo) per motivi di sicurezza e anti-abuso. Tali hash sono dati personali pseudonimizzati e li trattiamo e proteggiamo come tali.

3.2. Dati dell'account del cliente (siamo titolari). Dati identificativi e di contatto necessari per creare e amministrare l'account, gestire l'abbonamento e la fatturazione. In via generale vengono raccolti: nome e cognome della persona di contatto, indirizzo email, denominazione e identificazione dell'organizzazione, credenziali di accesso e dati di pagamento necessari per la fatturazione. Non raccogliamo intenzionalmente categorie particolari di dati (art. 9 del GDPR) attraverso i dati dell'account.

3.3. Dati di utilizzo e tecnici della piattaforma (siamo titolari). Dati di funzionamento e sicurezza del servizio e registri tecnici necessari per operare, mantenere e proteggere la piattaforma. Quando la misurazione è attivata secondo i controlli della presente informativa, utilizziamo Google Analytics 4 (fornitore: Google Ireland Limited, con un possibile trasferimento a Google LLC negli USA coperto dalle Clausole Contrattuali Tipo e dal Quadro UE-USA sulla privacy dei dati) per elaborare analitica web aggregata (pagine viste, provenienza del traffico, tipo di dispositivo) con cui migliorare il sito. Google Analytics 4 impiega cookie (ad esempio `_ga`) e identificatori del dispositivo. Ai sensi dell'art. 22.2 della LSSI-CE e della Direttiva 2002/58/CE (ePrivacy), i tag di analisi non vengono caricati prima del tuo consenso preventivo nel banner. Le pagine di risposta, chiosco, risultati pubblici e le superfici interne escluse non utilizzano questa analitica. Quando la misurazione è attivata, puoi revocare o concedere nuovamente il consenso tramite i controlli alla fine di questa informativa; la revoca interrompe la raccolta successiva ed elimina i cookie di Google Analytics accessibili al sito. Finché la misurazione è disattivata, tali controlli non vengono mostrati e Google Analytics non viene caricato.

3.4. Dati di invito. Quando vengono inviati inviti o email transazionali, trattiamo gli indirizzi email dei destinatari. Parte di questi dati può non essere ottenuta direttamente dall'interessato, bensì fornita dal cliente; in tali casi si applica l'art. 14 del GDPR (informativa quando i dati non sono ottenuti direttamente dall'interessato).

Non trattiamo intenzionalmente categorie particolari di dati (art. 9 del GDPR) né dati di carattere penale.

4. Finalità e base giuridica di ciascun trattamento

Trattiamo i suoi dati per le seguenti finalità, ciascuna con la propria base giuridica ai sensi dell'art. 6 del GDPR:

Quando la base è il consenso, potrà revocarlo in qualsiasi momento senza che ciò pregiudichi la liceità del trattamento effettuato in precedenza. Quando la base è il legittimo interesse, ha diritto di opporsi (sezione 8) e può richiederci informazioni sul relativo test di bilanciamento del legittimo interesse (LIA) scrivendo a [email protected].

5. Destinatari e sub-responsabili del trattamento

Non vendiamo dati personali. Per fornire il servizio ci avvaliamo di fornitori tecnologici che agiscono come responsabili o sub-responsabili del trattamento, vincolati contrattualmente (art. 28 del GDPR) e soggetti a obblighi di riservatezza e sicurezza. I fornitori verificati sono:

Il sub-responsabile Groq è inoltre soggetto a un impegno contrattuale a non utilizzare i dati dei clienti per addestrare modelli. Nel caso dei motori di traduzione automatica, il testo del sondaggio viene inviato al motore unicamente quando il cliente utilizza la funzione di traduzione.

Elenco dei sub-responsabili. Manteniamo un elenco aggiornato dei sub-responsabili, disponibile per i clienti titolari che lo richiedano scrivendo a [email protected]. Prima di aggiungere o sostituire un sub-responsabile, lo comunicheremo ai clienti titolari con un preavviso di 30 giorni di calendario, termine durante il quale potranno opporsi per motivi ragionevoli, ai sensi dell'art. 28.2 del GDPR.

Potremo inoltre comunicare dati alle autorità pubbliche in presenza di un obbligo legale.

6. Trasferimenti internazionali di dati

È opportuno distinguere tra dove vengono archiviati i dati e dove possono essere trattati in modo puntuale:

• Archiviazione primaria (UE). Il database (Supabase) è ospitato nell'Unione Europea. I sondaggi e le risposte dei rispondenti sono pertanto archiviati all'interno del SEE.
• Trattamenti puntuali al di fuori dell'UE. Quando il cliente utilizza funzioni di intelligenza artificiale o di traduzione automatica, il contenuto strettamente necessario per fornire la funzione viene trasmesso in modo puntuale ai fornitori corrispondenti (Groq, Anthropic, motori di traduzione), che possono trattarlo negli Stati Uniti o in altri paesi. Tale trasmissione puntuale non altera il luogo di archiviazione: i dati continuano a risiedere nell'UE.
• Altri fornitori. Google Ireland Limited fornisce Google Analytics 4 e può trasferire dati di utilizzo consentiti a Google LLC negli Stati Uniti; Stripe (pagamenti, solo dati di account del cliente) opera dagli Stati Uniti; Cloudflare (anti-bot) ha portata globale; AWS fornisce l'infrastruttura di calcolo su cui opera l'applicazione.

Garanzie del trasferimento. Tali trasferimenti si fondano sulle Clausole Contrattuali Tipo approvate dalla Commissione Europea (Decisione di esecuzione (UE) 2021/914), unitamente alle misure supplementari eventualmente necessarie a seguito della relativa valutazione del trasferimento, conformemente al Capo V del GDPR. Qualora il fornitore aderisca a un quadro di adeguatezza riconosciuto dalla Commissione Europea, il trasferimento potrà fondarsi anche su tale quadro.

Può richiederci informazioni sulle garanzie applicabili scrivendo a [email protected].

7. Termini di conservazione

Conserviamo i dati solo per il tempo necessario a ciascuna finalità:

• Risposte ai sondaggi (siamo responsabili del trattamento): sono conservate secondo la configurazione del cliente titolare. Ogni sondaggio può avere un termine di conservazione proprio, decorso il quale le risposte vengono eliminate automaticamente mediante un processo giornaliero. Quando una risposta viene eliminata, applichiamo prima una cancellazione logica e successivamente un'eliminazione automatica e definitiva decorsi 30 giorni. Alla cessazione del contratto con il cliente, i dati vengono cancellati o restituiti conformemente alle Condizioni di Trattamento dei Dati.
• Dati dell'account del cliente: per tutta la durata del contratto e, dopo la sua cessazione, bloccati per il tempo legalmente richiesto per far fronte a eventuali responsabilità, fino alla prescrizione delle azioni applicabili.
• Dati di abbonamento, fatturazione/contabilità: per i termini richiesti dalla normativa commerciale e tributaria (in particolare, sei anni ai sensi dell'art. 30 del Código de Comercio, il codice di commercio spagnolo, e quattro anni ai sensi della Ley 58/2003, de 17 de diciembre, General Tributaria, la legge generale tributaria spagnola).
• Dati tecnici di sicurezza (IP/UA/device-id pseudonimizzati) e registri: per il tempo strettamente necessario alla finalità di sicurezza/antiabuso e, in ogni caso, per il termine legalmente richiesto per far fronte a eventuali responsabilità.
• Dati di utilizzo di Google Analytics 4: il periodo di conservazione dei dati a livello di evento e utente deve essere configurato e documentato nella proprietà GA4 prima di attivare la misurazione. Finché il titolare non registra la prova dell'impostazione effettiva, Google Analytics 4 resterà disattivato. Dopo l'attivazione, tali dati saranno conservati solo per il periodo documentato e l'impostazione sarà riesaminata periodicamente rispetto alla finalità di misurazione. La revoca del consenso interrompe la raccolta successiva e, ove applicabili, vengono utilizzati i meccanismi di eliminazione di Google. I report effettivamente aggregati che non identificano più una persona possono essere conservati.

Decorsi tali termini, i dati vengono cancellati o anonimizzati in modo effettivo.

8. I suoi diritti e come esercitarli

In qualità di interessato, il GDPR le riconosce i seguenti diritti:

• Accesso (art. 15): sapere quali suoi dati trattiamo.
• Rettifica (art. 16): correggere dati inesatti o incompleti.
• Cancellazione / "diritto all'oblio" (art. 17): chiedere che cancelliamo i suoi dati.
• Limitazione del trattamento (art. 18): chiedere che "congeliamo" l'uso dei suoi dati in determinati casi.
• Portabilità (art. 20): ricevere i suoi dati in un formato strutturato e di uso comune, o farli trasmettere a un altro titolare qualora sia tecnicamente possibile.
• Opposizione (art. 21): opporsi a trattamenti basati sul legittimo interesse.
• Revoca del consenso: quando la base sia il consenso, revocarlo in qualsiasi momento (senza effetti retroattivi).

Come esercitarli. Può scriverci a [email protected] indicando il diritto che desidera esercitare. Potremo chiederle di comprovare la sua identità. Risponderemo entro il termine di un mese (prorogabile a due mesi nei casi complessi, art. 12 del GDPR). L'esercizio di questi diritti è gratuito.

Importante (doppio ruolo). Se la sua richiesta riguarda risposte a un sondaggio, il titolare è il cliente che ha creato quel sondaggio; in tal caso, in qualità di responsabili del trattamento, inoltreremo la sua richiesta o la aiuteremo a indirizzarla al titolare corrispondente.

9. Diritto di proporre reclamo all'autorità di controllo

Qualora ritenga che il trattamento dei suoi dati non sia conforme alla normativa, ha diritto di presentare un reclamo dinanzi all'Agencia Española de Protección de Datos (AEPD) (art. 77 del GDPR), con sede in C/ Jorge Juan, 6, 28001 Madrid, e sede elettronica su www.aepd.es. Prima, se preferisce, può contattarci a [email protected] per tentare di risolvere la questione.

10. Sicurezza dei dati

Applichiamo misure tecniche e organizzative adeguate (art. 32 del GDPR). Tra quelle già implementate:

• Cifratura in transito (TLS) e cifratura a riposo dei dati.
• Isolamento per organizzazione mediante sicurezza a livello di riga (RLS), in modo che i dati di un'organizzazione non siano accessibili da un'altra.
• Pseudonimizzazione degli identificatori tecnici: l'IP, lo user-agent e il device-id sono trattati mediante hash. Per essere precisi: si tratta di pseudonimizzazione, non di anonimizzazione irreversibile; continuiamo a trattarli come dati personali e li proteggiamo come tali.
• Conservazione configurabile per sondaggio con eliminazione automatica giornaliera, cancellazione logica delle risposte ed eliminazione automatica e definitiva decorsi 30 giorni.

Notifica delle violazioni di sicurezza. In caso di violazione della sicurezza dei dati personali, agiremo conformemente agli artt. 33 e 34 del GDPR. Quando siamo titolari, notificheremo la violazione all'AEPD senza ingiustificato ritardo e, in ogni caso, entro un termine non superiore a 72 ore da quando ne avremo avuto conoscenza, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà degli interessati, e comunicheremo la violazione agli interessati quando comporti un rischio elevato. Quando agiamo come responsabili del trattamento, notificheremo la violazione al cliente titolare senza ingiustificato ritardo e, al più tardi, entro 48 ore da quando si abbia conoscenza dell'incidente, fornendo le informazioni ragionevolmente disponibili affinché possa adempiere ai propri obblighi di notifica (in particolare, il termine massimo di 72 ore dinanzi all'AEPD che l'art. 33 del GDPR impone a chi agisce come titolare).

11. Intelligenza artificiale, decisioni automatizzate e profilazione (art. 22 del GDPR)

Non adottiamo decisioni individuali automatizzate che producano effetti giuridici o che incidano significativamente in modo analogo, né effettuiamo attività di profilazione con tali effetti, ai sensi dell'art. 22 del GDPR.

Funzioni di IA del servizio. Il servizio incorpora funzioni attive di intelligenza artificiale: assistenza nella creazione e nell'analisi dei sondaggi, generazione di riepiloghi, analisi della qualità e del sentiment delle risposte, analisi multi-sondaggio, estrazione della palette del marchio a partire da un'immagine e traduzione automatica. Le nuove funzionalità verranno attivate gradualmente, quando saranno disponibili. Queste funzioni si basano su fornitori esterni di inferenza che agiscono come sub-responsabili del trattamento:

• Groq (Stati Uniti): fornitore principale di inferenza delle funzioni di IA. Il trasferimento si fonda sulle Clausole Contrattuali Tipo (Decisione (UE) 2021/914) e Groq è soggetto a un impegno a non utilizzare i dati dei clienti per addestrare modelli.
• Anthropic (Stati Uniti): interviene in funzioni specifiche, l'analisi multi-sondaggio e l'estrazione della palette del marchio da un'immagine. Il trasferimento si fonda anch'esso sulle Clausole Contrattuali Tipo.
• Motori di traduzione automatica (MyMemory e/o LibreTranslate): quando il cliente utilizza la traduzione, il testo del sondaggio viene inviato al motore per la relativa traduzione. Questo trattamento avviene solo se il cliente attiva la funzione.

In tutti i casi:

• Trattiamo i dati strettamente necessari per fornire la funzione richiesta, sulla base del legittimo interesse o dell'esecuzione del contratto (art. 6.1.f e 6.1.b) per quanto riguarda i dati dell'account, e in qualità di responsabili del trattamento secondo le istruzioni del cliente titolare per quanto riguarda i dati dei rispondenti; non utilizziamo le risposte per addestrare modelli di terzi senza un'adeguata base giuridica.
• I dati restano archiviati nell'UE; la trasmissione al fornitore è puntuale e si limita al contenuto necessario per fornire la funzione (sezione 6).
• Qualora un trattamento di IA possa comportare un rischio elevato per i diritti e le libertà degli interessati, effettueremo preventivamente la Valutazione d'Impatto sulla Protezione dei Dati (DPIA, art. 35 del GDPR) e applicheremo gli obblighi di trasparenza e gli ulteriori requisiti previsti dal Regolamento (UE) 2024/1689 (Regolamento sull'Intelligenza Artificiale).
• Titolarità dei contenuti e dei risultati. I contenuti forniti dal cliente e i risultati (output) generati dall'IA a partire da tali contenuti spettano al cliente, in conformità al Texto Refundido de la Ley de Propiedad Intelectual (Real Decreto Legislativo 1/1996) (testo unico spagnolo della legge sulla proprietà intellettuale) e ai termini del contratto. Non rivendichiamo diritti di proprietà intellettuale su tali contenuti né su tali risultati.

La informeremo in modo evidente prima che qualsiasi nuova funzione di IA con un impatto rilevante sui suoi dati entri in funzione.

12. Minori

Il servizio non è rivolto ai minori e, in via generale, non deve essere utilizzato da questi ultimi senza l'intervento di chi eserciti la responsabilità genitoriale o la tutela.

In Spagna, ai sensi dell'art. 8 del GDPR e dell'art. 7 della LOPDGDD, il trattamento dei dati di un minore basato sul suo consenso è lecito solo a partire dai 14 anni; al di sotto di tale età, è richiesto il consenso del titolare della responsabilità genitoriale o della tutela. (L'art. 8 del GDPR fissa di default i 16 anni, ma consente a ciascuno Stato membro di abbassare tale soglia fino a un minimo di 13; la Spagna l'ha fissata a 14.)

Qualora un sondaggio specifico possa raccogliere dati di minori (decisione che spetta al cliente titolare), quest'ultimo dovrà attivare, tramite la configurazione del sondaggio, i meccanismi di verifica dell'età e di raccolta del consenso del titolare della responsabilità genitoriale o della tutela appropriati, secondo i termini previsti nelle Condizioni di Trattamento dei Dati. Camaleonic Survey si adopererà per mettere a disposizione del cliente configurazioni del sondaggio che lo aiutino a tal fine.

13. Modifiche alla presente informativa

Potremo aggiornare la presente informativa per riflettere modifiche legali, tecniche o del servizio (ad esempio, l'ampliamento delle funzioni di IA). Pubblicheremo la versione vigente con la relativa data di aggiornamento e, qualora le modifiche siano sostanziali, glielo comunicheremo con un mezzo adeguato, in particolare tramite email ai clienti e/o un avviso in evidenza nell'applicazione.

Fonti normative citate: GDPR (Regolamento (UE) 2016/679), artt. 6, 8, 9, 10, 12, 13, 14, 15-18, 20-22, 28, 32, 33-34, 35, 37, 77 e Capo V; LOPDGDD (Ley Orgánica 3/2018), artt. 7 e 34; LSSI-CE (Ley 34/2002), artt. 21 e 22.2; Direttiva 2002/58/CE (ePrivacy); Decisione di esecuzione (UE) 2021/914 (Clausole Contrattuali Tipo); Regolamento (UE) 2024/1689 (Regolamento sull'Intelligenza Artificiale); Texto Refundido de la Ley de Propiedad Intelectual (Real Decreto Legislativo 1/1996); Código de Comercio, art. 30; Ley 58/2003, General Tributaria.