Privacy Policy

Titolare del trattamento: Superduck S.r.l. unipersonale, Piazza Maestri del Lavoro 7, 20063 Cernusco sul Naviglio (MI), P.IVA IT13202240969.

Responsabile della protezione dei dati (DPO): raggiungibile all'indirizzo [email protected].

• Dati di navigazione: indirizzi IP, log accessi, user-agent, pagine visitate, cookie tecnici e — previo consenso — analytics.
• Dati forniti volontariamente: nome, cognome, email aziendale, ragione sociale, ruolo, recapito telefonico, contenuto delle richieste tramite form di contatto.
• Dati contrattuali e di fatturazione: ragione sociale, P.IVA, sede, codice destinatario/PEC, dati bancari, referenti contrattuali.
• Dati di marketing (solo previo consenso o soft opt-in B2B): preferenze, attività su email e contenuti.

I dati sono trattati per le seguenti finalità:

• Erogazione del servizio Duckday e gestione contrattuale — base giuridica: art. 6.1.b GDPR (esecuzione di un contratto).
• Adempimenti contabili, fiscali e amministrativi — base giuridica: art. 6.1.c GDPR (obbligo legale).
• Risposta a richieste di contatto e supporto — base giuridica: art. 6.1.b GDPR (misure precontrattuali) o 6.1.f GDPR (legittimo interesse).
• Marketing diretto su prodotti analoghi a clienti già contraenti (soft opt-in B2B) — base giuridica: art. 130, co. 4, Codice Privacy. È sempre possibile opporsi.
• Newsletter e comunicazioni promozionali — base giuridica: art. 6.1.a GDPR (consenso esplicito).
• Sicurezza, prevenzione frodi, gestione incidenti — base giuridica: art. 6.1.f GDPR (legittimo interesse al sicuro funzionamento dei sistemi).
• Adempimento di richieste delle Autorità — base giuridica: art. 6.1.c GDPR.

I dati sono trattati con strumenti elettronici, applicando misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR. Duckday è un prodotto di Superduck S.r.l.; lo sviluppo e l'infrastruttura sono affidati al fornitore di Superduck, Oncode S.r.l., certificata ISO/IEC 27001, il cui ISMS copre queste attività.

I server di Duckday e dei principali sub-responsabili sono ubicati nell'Unione Europea (Italia — AWS eu-south-1, Milano). Per dettagli e meccanismi di trasferimento extra-UE, vedi la sezione successiva.

• Dati contrattuali e fiscali: 10 anni dalla cessazione del contratto (obbligo civilistico/fiscale).
• Dati di lead/contatto commerciale: fino a 24 mesidall'ultima interazione, salvo consenso al marketing.
• Newsletter: fino a revoca del consenso o 24 mesi di inattività.
• Log applicativi: massimo 12 mesi, salvo eccezioni per esigenze di sicurezza o adempimenti legali.
• Cookie: come indicato nella Cookie Policy.

I dati possono essere comunicati a fornitori qualificati nominati Responsabili del trattamento ex art. 28 GDPR (cloud provider, email marketing, observability, AI). L'elenco aggiornato è consultabile alla pagina Sub-processors.

Ove necessario per fornire il Servizio, alcuni dati possono essere trasferiti a fornitori situati al di fuori dello Spazio Economico Europeo. In tali casi adottiamo le garanzie previste dal Capo V del GDPR: decisioni di adeguatezza della Commissione Europea, Standard Contractual Clauses (Decisione UE 2021/914), Data Privacy Framework (USA) e — ove necessario — valutazioni di impatto sul trasferimento (TIA).

In qualità di interessato puoi esercitare in qualsiasi momento i diritti previsti dagli artt. 15–22 GDPR:

• Accesso ai dati e copia (art. 15)
• Rettifica dei dati inesatti (art. 16)
• Cancellazione («diritto all'oblio», art. 17)
• Limitazione del trattamento (art. 18)
• Portabilità (art. 20)
• Opposizione, anche al marketing diretto (art. 21)
• Diritto a non essere sottoposto a decisioni automatizzate (art. 22)

Le richieste possono essere inviate a [email protected]. Daremo riscontro entro 30 giorni (prorogabili in casi complessi).

Qualora ritenga che il trattamento dei suoi dati violi il GDPR o il Codice Privacy, l'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali — Piazza Venezia 11, 00187 Roma.

La presente Privacy Policy è soggetta ad aggiornamento. Le versioni precedenti sono conservate per finalità di audit. Le modifiche sostanziali sono comunicate agli interessati con i mezzi più idonei.