Informativa sulla privacy

Sintesi

• Raccogliamo ciò che ci serve per gestire il suo account e per acquistare e ritirare crediti di carbonio per lei: la sua email, un hash della sua password, un nome e un’immagine del profilo facoltativi, il suo abbonamento e i suoi ordini.
• I pagamenti sono gestiti da Stripe. I dati della sua carta vanno direttamente a Stripe e non raggiungono mai i nostri server.
• I crediti vengono acquistati e ritirati da CNaught in un account che CNaught mantiene per lei. I ritiri sono registrazioni pubbliche nei registri e non possono essere annullati, anche se lei elimina il suo account TrimCarbon.
• Gli strumenti di analisi nel browser (PostHog) si attivano solo dopo che lei li ha accettati. Può cambiare idea in qualsiasi momento con Preferenze sulla privacy.
• Le inviamo email di marketing solo se sceglie di riceverle, e può interromperle in qualsiasi momento.
• Non vendiamo i suoi dati personali, non li condividiamo per pubblicità mirata e non mostriamo annunci pubblicitari.
• Può eliminare il suo account in autonomia dalla pagina Il mio account e chiederci una copia dei suoi dati all’indirizzo contact@trimcarbon.com.

Chi siamo e come contattarci

Raccoon Ventures Inc. è responsabile dei suoi dati personali (il “titolare del trattamento” ai sensi del Regolamento generale sulla protezione dei dati (GDPR) e della LGPD brasiliana). Siamo una società con sede nel Québec, in Canada:

Persona responsabile della protezione delle informazioni personali

Ai sensi della legge del Québec sulla protezione delle informazioni personali nel settore privato (Act respecting the protection of personal information in the private sector, la “Legge 25”), la persona responsabile della protezione delle informazioni personali presso la nostra società è JP Valery, amministratore delegato (Chief Executive Officer). Può contattare questa persona all’indirizzo contact@trimcarbon.com o per posta all’indirizzo indicato sopra, con la dicitura “Attention: Privacy”.

Non abbiamo designato un rappresentante nell’Unione europea né nel Regno Unito (articolo 27 del GDPR e del GDPR del Regno Unito, o UK GDPR), date le dimensioni ridotte della nostra attività in tali territori. Se si trova nell’UE o nel Regno Unito, ci contatti direttamente all’indirizzo contact@trimcarbon.com.

Non abbiamo designato un responsabile della protezione dei dati (encarregado) ai sensi della LGPD brasiliana, poiché gli agenti di trattamento di piccole dimensioni possono scegliere di non farlo (Risoluzione CD/ANPD 2/2022 dell’ANPD). Se si trova in Brasile, ci contatti all’indirizzo contact@trimcarbon.com.

Ovunque lei si trovi, può contattarci direttamente per qualsiasi aspetto di questa informativa.

Cosa raccogliamo e perché

Raccogliamo le informazioni che lei ci fornisce (quando crea un account, acquista o ci scrive), le informazioni che il suo browser invia quando utilizza il sito e le informazioni provenienti dai servizi che lavorano per noi: Stripe ci comunica se un pagamento è andato a buon fine, CNaught ci comunica lo stato dei suoi ordini e la provenienza dei suoi crediti, e il nostro fornitore di hosting ci comunica il paese e la regione da cui proviene la sua connessione.

La colonna “Base giuridica” si applica se lei si trova nell’UE, nel SEE o nel Regno Unito (e, con le basi equivalenti, in Brasile). Le basi sono spiegate in Basi giuridiche.

Email di marketing. Vengono inviate solo se lei sceglie di riceverle, tramite la casella al momento della creazione dell’account, che è deselezionata per impostazione predefinita, o tramite l’impostazione nella pagina Il mio account. Registriamo la data in cui ha dato il consenso. Può revocarlo in qualsiasi momento nella pagina Il mio account o con il link per annullare l’iscrizione presente in ogni email di marketing. Le email necessarie per utilizzare il servizio, come la verifica dell’email, le ricevute, le conferme d’ordine e l’unica email di benvenuto del nostro fondatore, vengono inviate indipendentemente dalla sua scelta.

Se lei fa parte di un account di team o lo gestisce (attualmente offerto solo ad alcuni clienti), conserviamo anche il nome, il logo, i membri, i ruoli e gli inviti in sospeso dell’organizzazione, compresa l’email della persona invitata.

Non chiediamo informazioni sensibili come i dati relativi alla salute. Le uniche informazioni “sensibili” ai sensi della normativa californiana sono le sue credenziali di accesso, che utilizziamo solo per consentirle di accedere. Le passkey usano in locale lo sblocco tramite impronta digitale o riconoscimento del volto del suo dispositivo: riceviamo una chiave pubblica, mai dati biometrici.

Non prendiamo decisioni che la riguardano basate unicamente su un trattamento automatizzato e non creiamo profili su di lei a fini pubblicitari.

Basi giuridiche

Ai sensi del GDPR e del GDPR del Regno Unito, ci basiamo su queste basi giuridiche (la LGPD brasiliana prevede basi equivalenti):

• Esecuzione del contratto: per fornire il servizio per cui lei ha creato un account o che ha pagato, e per adottare le misure che lei richiede prima di creare un account.
• Obbligo legale: per tenere le scritture contabili e fiscali e per dimostrare il consenso.
• Consenso: per gli strumenti di analisi nel browser e le email di marketing. Può revocarlo in qualsiasi momento; ciò non pregiudica quanto avvenuto prima. Per le email di marketing, si tratta anche del consenso espresso richiesto dalla legge antispam del Canada (CASL).
• Legittimo interesse: quando l’utilizzo è qualcosa che lei si aspetterebbe ragionevolmente e non prevale sui suoi diritti. I nostri legittimi interessi sono: mantenere gli account e il servizio sicuri e liberi da bot e abusi; rispondere ai messaggi; misurare la creazione di account, la conversione e le disdette a partire dai nostri eventi dell’account; inviare un’unica email di benvenuto dopo la creazione dell’account; e conservare la prova delle sue scelte sul consenso. Può opporsi a ciascuno di essi (consulti I suoi diritti).

Con chi li condividiamo

Ci avvaliamo dei seguenti fornitori di servizi. Trattano dati personali per nostro conto, in base a contratti che limitano ciò che possono farne.

Stripe utilizza inoltre alcuni dati in qualità di titolare autonomo del trattamento per finalità proprie, come la prevenzione delle frodi e il rispetto degli obblighi di legge, conformemente all’Informativa sulla privacy di Stripe. Le pagine di pagamento e di fatturazione di Stripe sono gestite da Stripe.

Comunichiamo inoltre dati personali:

• Pubblicamente, quando lei lo sceglie: ogni ordine ha un certificato nel nostro registro (trimcarbon.com/registry), con un link pubblico che chiunque con cui lei lo condivide può aprire. Le pagine dei certificati sono escluse dai motori di ricerca. Se sceglie un nome per i suoi certificati (nella pagina Il mio account o prima dell’acquisto), questo compare sui certificati dei suoi ordini successivi, e un certificato mantiene il nome con cui è stato emesso. CNaught registra i ritiri nei registri pubblici dei crediti di carbonio. Non forniamo a CNaught il suo nome né la sua email. Fino all’8 ottobre 2026, CNaught riceveva anche il nome da lei scelto e lo mostrava sui propri certificati, che lo conservano. Le immagini del profilo sono conservate a un indirizzo web pubblico.
• Quando la legge lo richiede, ad esempio per rispondere a un provvedimento giudiziario valido, o quando è necessario per proteggere la sicurezza di qualcuno o per accertare o difendere i nostri diritti.
• Se la nostra attività cambia proprietario, all’acquirente o al successore, che deve continuare a proteggerli come previsto da questa informativa. La informeremo se ciò dovesse accadere.

Non vendiamo dati personali, non li diamo in locazione e non li condividiamo per pubblicità mirata (“pubblicità comportamentale cross-context”, o cross-context behavioral advertising). Non pubblichiamo annunci e non utilizziamo tracker pubblicitari.

Alcune immagini delle nostre pagine provengono da Unsplash. È il nostro server a recuperarle e ridimensionarle, quindi il suo browser non contatta Unsplash. Le immagini di anteprima utilizzate quando qualcuno condivide un link al nostro sito sono generate da un servizio gestito dal nostro fondatore, che non riceve dalle nostre pagine alcuna informazione sui visitatori.

Trasferimenti internazionali

Ci troviamo nel Québec, in Canada. I fornitori elencati in Con chi li condividiamo trattano i suoi dati negli Stati Uniti (Stripe anche in Irlanda), in base alle loro condizioni sul trattamento dei dati, che impongono loro di proteggerli. I suoi dati possono quindi essere conservati e trattati al di fuori della sua provincia o del suo paese, dove le leggi sulla privacy possono essere diverse e dove i tribunali e le autorità possono avervi accesso in base alla legge locale.

• Dall’UE, dal SEE e dal Regno Unito: la Commissione europea ritiene che il Canada garantisca un livello di protezione adeguato per le organizzazioni soggette alla PIPEDA, e anche il Regno Unito riconosce il Canada. Per il trattamento negli Stati Uniti, i nostri fornitori si basano sulla loro certificazione ai sensi dell’EU-US Data Privacy Framework (e della sua estensione al Regno Unito), se ne dispongono, e altrimenti sulle clausole contrattuali tipo della Commissione europea (con l’addendum del Regno Unito) contenute nelle loro condizioni sul trattamento dei dati.
• Dal Brasile: trasferiamo dati nei casi in cui la LGPD lo consente, ad esempio quando il trasferimento è necessario per l’esecuzione del nostro contratto con lei.

Cookie e tecnologie simili

I cookie sono piccoli file che un sito memorizza nel suo browser; l’archiviazione locale (local storage) e l’archiviazione di sessione (session storage) sono simili. Utilizziamo i seguenti:

Su HTTPS, i browser vedono i nomi dei nostri cookie di accesso con il prefisso __Secure-. Stripe imposta i propri cookie sulle sue pagine di pagamento e di fatturazione, che si trovano sui domini di Stripe e sono disciplinate dall’informativa sui cookie di Stripe. PostHog viene scaricato solo dopo che lei ha accettato gli strumenti di analisi; fino ad allora non imposta nulla.

Le sue scelte sul consenso

Il nostro strumento di consenso, c15t, funziona sui nostri server e conserva le sue scelte nel nostro database. Ovunque lei si trovi, un banner le chiede di accettare o rifiutare gli strumenti di analisi. Gli strumenti di analisi restano disattivati a meno che lei non prema Accetta. Se li rifiuta, ce ne ricordiamo.

Il testo del banner segue la legge del luogo in cui lei si trova, in base al paese e alla regione della sua connessione, che il nostro fornitore di hosting individua.

La sua scelta vale per 365 giorni, dopodiché glielo chiediamo di nuovo. Può modificarla in qualsiasi momento con Preferenze sulla privacy, qui o in fondo a ogni pagina. Disattivare gli strumenti di analisi impedisce a PostHog di raccogliere qualsiasi altro dato e di memorizzare qualsiasi cosa nel suo browser.

Se il suo browser invia un segnale Global Privacy Control, non dobbiamo fare nient’altro: non vendiamo né condividiamo mai dati personali, e gli strumenti di analisi si attivano solo dopo che lei li ha accettati. Lo stesso vale per il segnale meno recente “Do Not Track”.

I suoi diritti

A seconda del luogo in cui vive, lei ha alcuni o tutti questi diritti. Estendiamo i diritti principali (accesso, rettifica, cancellazione, copia dei suoi dati e revoca del consenso) a tutti.

UE, SEE e Regno Unito

Ai sensi del GDPR e del GDPR del Regno Unito, lei può chiederci di darle accesso ai suoi dati personali, di rettificarli, di cancellarli, di limitarne l’utilizzo o di fornirle una copia in un formato portabile. Può opporsi in qualsiasi momento agli utilizzi basati sui nostri legittimi interessi e revocare il consenso in qualsiasi momento. Può proporre reclamo alla sua autorità locale di protezione dei dati (l’elenco è pubblicato dal Comitato europeo per la protezione dei dati) o, nel Regno Unito, all’Information Commissioner's Office. Le saremmo grati se ci desse prima l’opportunità di risolvere la questione con lei.

Québec e resto del Canada

Ai sensi della Legge 25 e della legge federale PIPEDA, lei può chiedere di accedere ai suoi dati personali, di farli rettificare e di revocare il suo consenso. Ai sensi della Legge 25, può anche ricevere le informazioni che ci ha fornito in un formato tecnologico strutturato e di uso comune. Nel Québec, può anche chiederci di cessare la diffusione delle sue informazioni o di deindicizzare un link che vi rimanda, ove la legge lo consenta, e di ricevere informazioni su qualsiasi decisione presa unicamente tramite un trattamento automatizzato (non ne prendiamo). Può proporre reclamo alla Commission d'accès à l'information du Québec o all’Office of the Privacy Commissioner of Canada.

Utilizziamo il paese e la regione della sua connessione solo per mostrare l’avviso di consenso adeguato alla legge del luogo in cui si trova. A parte la registrazione del consenso che lei crea quando effettua una scelta, non conserviamo questa informazione. I nostri strumenti di analisi ricavano una posizione approssimativa dal suo indirizzo IP e restano disattivati finché lei non li accetta.

California e altri stati degli Stati Uniti

Se vive in California, le riconosciamo i diritti previsti dal CCPA (come modificato dal CPRA), indipendentemente dal fatto che tali leggi si applichino o meno a noi: il diritto di sapere quali dati personali raccogliamo, utilizziamo e comunichiamo; di accedervi, rettificarli e cancellarli; di opporsi (opt-out) alla loro vendita o condivisione; di limitare l’uso dei dati personali sensibili; e di non subire discriminazioni per aver esercitato tali diritti. Può avvalersi di un agente autorizzato; possiamo chiedere all’agente una prova e chiedere a lei di confermare la sua identità.

• Non vendiamo dati personali né li condividiamo per pubblicità comportamentale cross-context, e non lo abbiamo fatto negli ultimi 12 mesi. Non siamo a conoscenza di vendite o condivisioni di informazioni relative a persone di età inferiore a 16 anni.
• Utilizziamo i dati personali sensibili (le sue credenziali di accesso) solo per fornire il servizio, quindi il diritto di limitazione non si applica.
• Un segnale Global Privacy Control non richiede alcuna ulteriore azione da parte nostra, come spiegato in Le sue scelte sul consenso.

Le fonti, le finalità e i periodi di conservazione di ciascuna categoria sono indicati in Cosa raccogliamo e perché.

I residenti di altri stati degli Stati Uniti dotati di leggi sulla privacy (ad esempio Virginia, Colorado, Connecticut, Oregon o Texas) possono avere diritti simili di accesso, rettifica, cancellazione e portabilità dei propri dati, e di opposizione (opt-out) alla pubblicità mirata, alla vendita e alla profilazione, attività che non svolgiamo. Se respingiamo la sua richiesta, può presentare ricorso replicando alla nostra risposta; se respingiamo il ricorso, può contattare il procuratore generale (attorney general) del suo stato.

Brasile

Ai sensi della LGPD, lei può chiederci: la conferma dell’esistenza di un trattamento dei suoi dati; l’accesso ai dati; la rettifica di dati incompleti, inesatti o non aggiornati; l’anonimizzazione, il blocco o la cancellazione di dati non necessari, eccessivi o trattati illecitamente; la portabilità dei dati verso un altro fornitore; la cancellazione dei dati trattati con il suo consenso; informazioni su con chi li condividiamo; informazioni su cosa accade se non presta il consenso; e la revoca del consenso. Può proporre reclamo all’Autoridade Nacional de Proteção de Dados (ANPD).

Come esercitare i suoi diritti

• Modificare i suoi dati: il suo nome, l’immagine, la lingua, la password, le passkey e le impostazioni dell’autenticazione a due fattori si trovano nella pagina Il mio account. I dati di fatturazione si trovano nel portale di fatturazione di Stripe, che lei apre dalla pagina Il mio account.
• Eliminare il suo account: usi “Elimina account” nella pagina Il mio account. Consulti Conservazione ed eliminazione dell’account per sapere cosa viene rimosso e cosa resta.
• Tutto il resto (una copia dei suoi dati, un’esportazione in formato portabile, la rettifica di qualcosa che non può modificare, l’opposizione, la limitazione o qualsiasi domanda): scriva a contact@trimcarbon.com dall’indirizzo associato al suo account, oppure ci indichi come possiamo contattarla.
• Strumenti di analisi: modifichi la sua scelta in qualsiasi momento con Preferenze sulla privacy.
• Email di marketing: le disattivi nella pagina Il mio account, oppure usi il link per annullare l’iscrizione presente in ogni email di marketing.

Potremmo dover verificare che sia davvero lei, di solito tramite una sua risposta inviata dall’indirizzo email del suo account. Rispondiamo entro 30 giorni, o prima se la legge lo richiede (ad esempio, 15 giorni per alcune richieste ai sensi della LGPD brasiliana). Se la legge ci concede più tempo e ne abbiamo bisogno, le comunicheremo il motivo. L’esercizio dei suoi diritti è gratuito.

Conservazione ed eliminazione dell’account

Conserviamo i dati personali solo per il tempo necessario alle finalità sopra indicate; la tabella in Cosa raccogliamo e perché indica il periodo per ciascun tipo di dato. Trascorso tale periodo, li cancelliamo o li rendiamo anonimi.

Le informazioni che i nostri fornitori conservano per nostro conto, come i log di consegna delle email, gli eventi di analisi, i log di hosting e i dati di esecuzione dei flussi di lavoro, sono conservate per il periodo di conservazione che ciascun fornitore stabilisce per il nostro account, poi vengono cancellate. Le utilizziamo solo per le finalità sopra indicate.

L’eliminazione del suo account dalla pagina Il mio account disdice qualsiasi abbonamento attivo in Stripe ed elimina il suo account, le sue sessioni, le sue passkey e la sua immagine del profilo. Non elimina:

• i suoi ordini presso CNaught e i suoi certificati nel nostro registro. Il ritiro di un credito è permanente ed è registrato in un registro pubblico, e i certificati mantengono il nome con cui sono stati emessi;
• i documenti di fatturazione, compresi il libro mastro di evasione e le fatture e le ricevute presso Stripe, che conserviamo per 6 anni dopo la fine dell’anno di ciascuna transazione, come richiesto dalla normativa fiscale e contabile. Il libro mastro non è più collegato al suo account;
• gli eventi di analisi collegati al suo ID account, che sono conservati per il periodo di conservazione dei dati di analisi, salvo che lei ci chieda di cancellarli;
• i messaggi che ci ha inviato, che conserviamo per 2 anni dopo il nostro ultimo scambio;
• le registrazioni del consenso, che non sono collegate al suo account.

Minori

TrimCarbon non è destinato ai minori di 16 anni e non raccogliamo consapevolmente dati personali presso di loro. Gli account e gli acquisti sono riservati agli adulti (consulti i nostri Termini e condizioni). Se ritiene che un minore ci abbia fornito dati personali, scriva a contact@trimcarbon.com e li cancelleremo.

Sicurezza

Proteggiamo le sue informazioni con misure che comprendono:

• connessioni cifrate (HTTPS) ovunque;
• password conservate solo come hash irreversibili, codici di accesso monouso conservati come hash e segreti per l’autenticazione a due fattori conservati in forma cifrata;
• verifica dell’email prima del primo accesso, passkey e autenticazione a due fattori facoltative;
• limiti di frequenza delle richieste sull’accesso e su altre azioni dell’account, e rilevamento dei bot nella creazione dell’account e nei nostri moduli;
• pagamenti con carta gestiti interamente da Stripe, certificata secondo lo standard PCI DSS;
• accesso ai dati personali limitato alle persone e ai fornitori che ne hanno bisogno.

Nessun sistema è perfettamente sicuro. Se un incidente di riservatezza crea un rischio di danno grave per lei, informeremo lei e le autorità come richiesto dalla legge, e teniamo un registro degli incidenti.

Modifiche a questa informativa

Pubblicheremo qui ogni nuova versione con una nuova data di “Ultimo aggiornamento”. Se una modifica è significativa, ad esempio una nuova finalità o un nuovo tipo di fornitore, la informeremo via email (se ha un account) e sul sito almeno 30 giorni prima della sua entrata in vigore, e le chiederemo nuovamente il consenso ove la legge lo richieda.

Contatti

Domande, richieste o reclami sulla privacy: scriva a contact@trimcarbon.com o per posta a: