Non è nominato un Responsabile della Protezione dei Dati (DPO) in quanto non ricorrono i presupposti dell'art. 37 GDPR.
2. Categorie di dati raccolti
Dati di registrazione: email, username, password (memorizzata in forma cifrata con hash bcrypt/scrypt)
Dati di pagamento: gestiti direttamente da Stripe Payments Europe Ltd.; il titolare riceve solo conferma di pagamento e ID transazione, NON i dati della carta
Dati di fatturazione: nome, cognome, codice fiscale o P.IVA, indirizzo (per emissione fattura)
Log tecnici: indirizzo IP, data/ora di accesso, user agent del browser (memorizzati per finalità di sicurezza)
Conteggi del percorso: contiamo ogni giorno, senza cookie e senza salvare il tuo indirizzo IP, quante visite arrivano alla pagina iniziale (e se arrivano da Instagram, da un link diretto o da un altro sito), quante ricerche vengono fatte fra le aziende analizzate e con quale esito (per le ricerche che non trovano nulla, anche il testo cercato, in minuscolo e senza accenti, senza nulla su chi l'ha cercato: serve a capire quali aziende mancano), quante pagine delle aziende e schede gratis vengono aperte, quante volte si apre la pagina dei prezzi, quanti pagamenti vengono avviati, conclusi o non riescono, quante disdette arrivano e quanti abbonamenti finiscono. Sono numeri per giorno, che non dicono chi ha fatto cosa. Se sei abbonato registriamo anche, sotto il tuo account, il giorno del primo pagamento, i giorni in cui apri l'app e quante schede apri: servono a sapere, sommati a quelli degli altri abbonati, quanti tornano dopo 7 e dopo 30 giorni
«Avvisami quando c’è»: se lo chiedi da una ricerca senza risultato, il tuo indirizzo email (cifrato) e il testo cercato, al solo scopo di mandarti una email, una volta sola, quando l'azienda entra fra quelle analizzate (art. 6.1.b GDPR, la tua richiesta). Le comunicazioni di Mercurio solo se selezioni la casella apposita, che è facoltativa
Visite reali: quando apri una pagina, un piccolo script del sito (nostro: nessun servizio esterno, nessun cookie) ci invia la pagina aperta, il sito da cui arrivi (solo il nome del dominio), i parametri di campagna del link (utm), se il link porta un codice di clic di Meta, Google o TikTok (solo il fatto che c'è, mai il codice), la larghezza dello schermo, per quanto tempo la pagina resta in primo piano e il paese che Cloudflare deduce dall'indirizzo IP. Per contare ogni persona una volta sola al giorno calcoliamo un'impronta dall'indirizzo IP e dal browser insieme a un codice casuale che cambia ogni giorno: l'impronta non contiene l'IP in chiaro, non permette di riconoscerti da un giorno all'altro e si cancella alla fine del giorno. Restano solo numeri per giorno (quante persone, da quali fonti, quali pagine, paesi e dispositivi) e, per persone, pagine viste e fonti, per quarto d'ora. Nel tuo browser non scriviamo nulla. Se durante la stessa visita ti iscrivi alla newsletter, chiedi il manuale o avvii un pagamento, la fonte di quella visita (per esempio «Instagram»), la sua campagna (il parametro utm_campaign del link, se c'è) e il tipo della pagina da cui è cominciata (per esempio «una guida») viaggiano con la richiesta: li contiamo, sommati agli altri, per sapere quali canali e quali pagine portano abbonati, e restano nei dati del pagamento presso Stripe
3 analisi a scelta: l’indirizzo email che lasci nel modulo «3 analisi a scelta» o nel riquadro del manuale che le offre, la scelta della casella delle comunicazioni e le aziende che sblocchi. L’indirizzo lo usiamo per mandarti il link e lo teniamo, cifrato, solo finché non lo confermi (al massimo 7 giorni); poi resta un’impronta, un codice calcolato dall’indirizzo che non lo contiene in chiaro, perché le 3 analisi si danno una volta per indirizzo. Per 24 ore teniamo anche un’impronta dell’indirizzo IP da cui arriva la richiesta, per limitare gli abusi del modulo. Se un giorno ti abboni con lo stesso indirizzo, contiamo in forma aggregata quante persone si abbonano entro 30 giorni dalla conferma
Richieste di assistenza: nome, indirizzo email, argomento e testo del messaggio che scrivi nel modulo di contatto (anche senza un account); se sei collegato, anche il tuo nome utente e il tuo piano. Il messaggio non finisce in un nostro archivio: viaggia in una email verso la casella [email protected] e vi resta per il tempo necessario a gestire la richiesta. Del solo invio resta per 48 ore l'indirizzo IP da cui è partito, insieme a quelli delle altre richieste, per fermare gli abusi del modulo; per 90 giorni teniamo anche il tuo indirizzo email e quell'IP, al solo scopo di poter bloccare chi abusa del modulo (interesse legittimo, art. 6.1.f GDPR). Un indirizzo, un dominio o un IP bloccato resta nella lista finché il blocco non viene tolto
Quali dati sono obbligatori
Email, nome utente e password (oppure l'accesso con Google) servono a creare l'account: senza, non possiamo registrarti.
Dati di pagamento: servono per abbonarti e li inserisci direttamente nella pagina di pagamento di Stripe: senza, l'abbonamento non parte.
Dati di fatturazione: servono solo se chiedi la fattura; in quel caso la legge li rende obbligatori e senza non possiamo emetterla.
Consenso alle comunicazioni promozionali: facoltativo. Se non lo dai, il servizio resta identico.
Richieste di assistenza: nome, email e testo del messaggio servono per risponderti.
Log tecnici: li registra il server quando usi il sito, per sicurezza; non dipendono da una tua scelta.
Il servizio è riservato a chi ha compiuto 18 anni (Termini d'uso, art. 1): chi ha meno di 18 anni non deve registrarsi né abbonarsi.
3. Finalità e basi giuridiche del trattamento
Finalità
Base giuridica
Erogazione del servizio (autenticazione, dashboard, fatturazione)
Art. 6.1.b — esecuzione contratto
Adempimenti fiscali e contabili
Art. 6.1.c — obbligo legale (normativa fiscale e contabile)
Sicurezza informatica, prevenzione abusi e frodi
Art. 6.1.f — legittimo interesse
Sapere, con numeri aggregati, quanti visitatori diventano abbonati e quanti abbonati tornano a usare il servizio (conteggi del percorso)
Art. 6.1.f — legittimo interesse a migliorare il servizio; nessun cookie oltre a quello tecnico del login, nessuno strumento di terze parti
Sapere quante persone visitano davvero il sito, da dove arrivano e quali canali portano abbonati (visite reali)
Art. 6.1.f — legittimo interesse a misurare e migliorare il sito; nessun cookie, nessuno strumento di terze parti, solo numeri aggregati
3 analisi a scelta: mandarti il link, aprire per 7 giorni le schede che scegli, darle una volta per indirizzo e limitare gli abusi del modulo
Art. 6.1.b — esecuzione del servizio che chiedi; art. 6.1.f — legittimo interesse a evitare gli abusi e a sapere, con numeri aggregati, quante persone poi si abbonano. Le comunicazioni di Mercurio solo se lasci spuntata la casella (art. 6.1.a, consenso)
Programma «Invita un amico»: ricordare chi ha invitato chi, accreditare il mese gratis e, per le regole contro gli abusi, confrontare presso Stripe la carta, l'email e il nome dell'intestatario dei due (della carta e dell'email di chi è stato invitato teniamo solo un'impronta, un codice calcolato dal dato che non lo contiene in chiaro ma permette di riconoscerlo se si ripresenta, accanto agli identificativi Stripe del suo pagamento)
Art. 6.1.b — esecuzione contratto (il premio promesso nei Termini); Art. 6.1.f — legittimo interesse a evitare premi indebiti
Comunicazioni di servizio (rinnovi, modifiche TOS)
Art. 6.1.b — esecuzione contratto
Rispondere alle richieste di assistenza (modulo di contatto, email, PEC)
Art. 6.1.b — esecuzione contratto, se sei un cliente; Art. 6.1.f — legittimo interesse a rispondere a chi ci scrive senza avere un account
Comunicazioni educational e promozionali sui nostri servizi
Art. 6.1.a — consenso esplicito, preventivo e facoltativo (art. 130, commi 1-2, d.lgs. 196/2003), raccolto con una casella non pre-spuntata e registrato con data, ora, indirizzo IP e la dichiarazione che hai spuntato, nella sua forma integrale. Senza consenso registrato non inviamo nulla. Revoca in ogni momento dall'area utente, dal link in fondo a ogni messaggio o con il tasto di disiscrizione del tuo client di posta: la revoca non pregiudica gli invii già fatti (art. 7.3)
Art. 6.1.a — consenso esplicito (opzionale e revocabile in ogni momento)
Decisioni automatizzate. I giudizi che il servizio pubblica riguardano le aziende, non le persone. Le decisioni automatiche che ti riguardano servono a eseguire il contratto e a proteggere il servizio (art. 22, par. 2, lett. a, GDPR): l'accesso alle funzioni a pagamento segue lo stato del tuo abbonamento presso Stripe, l'importo da rimborsare in caso di recesso è calcolato in automatico (i casi che il calcolo non copre li controlla una persona), e dopo troppi tentativi di accesso sbagliati serve un link di sblocco che ti mandiamo per email; oltre 1.500 schede aperte nello stesso giorno, le schede si chiudono fino al giorno dopo. Su ognuna puoi dire la tua, contestarla e chiedere che la riesamini una persona scrivendo a [email protected].
Schede aperte. Per proteggere i dati concessi in licenza dal fornitore (Termini d'uso, art. 7; base giuridica: art. 6.1.f, legittimo interesse) contiamo, per ogni account e per ogni giorno, le schede aperte, le aziende nei file scaricati, l'ora dell'ultima scheda e il ritmo dell'ultima serie di schede senza pause. Oltre 300 aziende in un giorno, o a ritmo da programma (in media almeno una scheda al secondo per tre minuti), il titolare riceve una email con il tuo nome utente; l'email da sola non cambia nulla del tuo account. Il conteggio resta 31 giorni, lo trovi nell'esportazione dei tuoi dati e si cancella con l'account.
4. Responsabili del trattamento (terze parti)
I dati sono comunicati ai seguenti responsabili esterni del trattamento, che operano per conto del titolare con apposita Data Processing Agreement (DPA):
Fornitore
Finalità e dati trattati
Sede
Garanzie e link
Render Inc.
Hosting dell'applicazione e database utenti (account, watchlist, portfolio, log accessi).
Invio di tutte le email che partono dal sito: quelle del servizio (verifica dell'indirizzo, reimpostazione della password, avvisi di accesso, conferme e ricevute di pagamento, avvisi di rinnovo, messaggi del modulo di assistenza) e le comunicazioni promozionali ed educational, che inviamo solo a chi ha dato il consenso. Tratta: indirizzo email destinatario, contenuto del messaggio, timestamp e, per chi si iscrive alla newsletter, l'elenco degli iscritti.
Tracciamento errori applicativi (debugging produzione). Tratta: stack trace, IP utente, user agent, URL della richiesta. Personally Identifiable Information disabilitata di default.
Gestione pagamenti e fatturazione. Tratta: dati di pagamento, dati fatturazione (nome, indirizzo, P.IVA/CF). Il titolare riceve solo conferma di pagamento e ID transazione, NON i dati della carta. Per le finalità proprie che la sua informativa elenca (fra cui prevenzione delle frodi e obblighi antiriciclaggio) Stripe tratta i dati come titolare autonomo.
Irlanda (UE), certificato PCI-DSS Level 1
Trasferimenti a Stripe, LLC (USA, già Stripe, Inc.) coperti da SCC + EU-US DPF · stripe.com/it/privacy
Backblaze Inc.
Backup off-site dei database (account utenti e catalogo aziende). Tratta copie cifrate (AES) dei database, conservate in un bucket privato; la chiave di cifratura resta unicamente presso il titolare. Nello stesso spazio privato c'è anche una copia, non cifrata, del registro delle cancellazioni descritto al punto 6 (Dati di account).
Con ciascuno dei fornitori elencati nella tabella si applica l'accordo sul trattamento dei dati (Data Processing Agreement, DPA) conforme all'art. 28 GDPR che il fornitore offre ai propri clienti; il titolare ne conserva copia e, su richiesta scritta a [email protected], può fornirla.
EODHD (EOD Historical Data Ltd, Regno Unito) ci fornisce i dati finanziari (prezzi e fundamentals delle aziende analizzate) e non compare nella tabella perché non tratta dati per nostro conto: le nostre richieste di dati e i loghi delle aziende passano dal nostro server e il tuo browser non contatta mai EODHD, e nessun dato dell'utente finale viene comunicato a EODHD. Per questo con EODHD non c'è una DPA. Informativa: eodhd.com/privacy.
Altri destinatari. Il commercialista che assiste il titolare negli adempimenti fiscali riceve ogni mese il registro dei pagamenti e dei rimborsi, con nome utente, email e, se l'hai indicato, codice fiscale di chi ha pagato. Se chiedi la fattura riceve anche i dati di fatturazione e, per suo tramite, la fattura elettronica arriva al Sistema di Interscambio dell'Agenzia delle Entrate, per obbligo di legge.
Google: quando entra, e solo se lo scegli tu
Se accedi con email e password, il tuo browser non contatta mai Google mentre navighi questo sito: nessun font, script o altra risorsa di Google viene caricato dalle nostre pagine. Google entra in un punto soltanto, e sei tu a deciderlo:
Il pulsante «Continua con Google» sulla pagina di accesso, per entrare in un account che hai già, se scegli questo metodo invece di email e password. Riceviamo da Google l'identificativo del tuo account, l'indirizzo email, il nome e — se presente — l'immagine del profilo; di questi usiamo l'indirizzo email per trovare il tuo account e conserviamo il fatto che accedi con Google (agli account creati in passato con Google abbiamo dato anche un nome utente derivato dal nome). Google, dal canto suo, apprende che ti sei autenticato su questo sito. Base giuridica: art. 6.1.b GDPR (esecuzione del contratto su tua richiesta, avendo tu scelto questo metodo di accesso). Dettaglio tecnico: OpenID Connect, ambito openid email profile.
Google Ireland Ltd (gruppo Google LLC) non compare nella tabella qui sopra, e non per dimenticanza: nella tabella stanno i responsabili, cioè chi tratta dati per conto del titolare con una DPA ex art. 28 GDPR. Google, in questi trattamenti, decide da sé finalità e mezzi: è un titolare autonomo, e per un titolare autonomo una DPA ex art. 28 non è lo strumento previsto.
Sede: Irlanda (UE), con trasferimenti negli Stati Uniti garantiti da SCC ed EU-US Data Privacy Framework. Informativa: policies.google.com/privacy.
5. Trasferimenti extra-UE
Alcuni dati possono essere trasferiti al di fuori dell'Unione Europea, in particolare negli Stati Uniti (Render, Cloudflare, Sentry, Stripe, Backblaze, GitHub), e — solo se usi «Continua con Google» — Google Ireland Ltd, che ha sede nell'Unione Europea ma trasferisce a sua volta dati negli Stati Uniti. Tali trasferimenti sono garantiti da:
Standard Contractual Clauses (SCC) approvate dalla Commissione UE (Decisione 2021/914) ex art. 46 GDPR
EU-US Data Privacy Framework (DPF), riconosciuto adeguato dalla Commissione UE con Decisione del 10/07/2023
Hai sempre diritto di richiedere ulteriori informazioni sui trasferimenti e di ricevere copia delle garanzie applicate scrivendo a [email protected].
6. Tempo di conservazione
Dati di account (email, nome utente, password e impostazioni di accesso): finché esiste l'account. Se lo cancelli tu dall'area utente spariscono subito dal servizio; se lo cancelliamo noi su tua richiesta, l'account smette subito di funzionare e i dati spariscono con la cancellazione definitiva. Dopo la cancellazione resta un registro delle cancellazioni, separato e senza scadenza, con il numero interno e il nome utente dell'account, un'impronta non reversibile dell'indirizzo email, il codice cliente presso Stripe se ne avevi uno e le date della cancellazione: serve a ricancellare l'account se dovessimo ripristinare una copia di sicurezza più vecchia. Il nome utente e, dove c'è, l'email restano anche nei documenti che provano una fattura, un pagamento, un rimborso o un recesso, e nel registro delle operazioni fatte dall'amministratore sul tuo account
Dati di fatturazione: 10 anni dall'emissione (Codice Civile art. 2220 e normativa tributaria), anche se nel frattempo cancelli l'account: la cancellazione non tocca le fatture già emesse
Copie di sicurezza: tutto ciò che è legato all'account (dati di accesso, liste e portafogli, consensi, note dell'assistenza, registro dei download) resta anche nelle copie di sicurezza del database già fatte, finché la rotazione non le sostituisce: fino a 24 mesi. Le copie del database che un eventuale ripristino lascia sul server si cancellano da sole dopo 30 giorni, tranne quelle che contengono dati che il database in uso non ha più (per esempio un rimborso ancora da fare): restano finché non li abbiamo recuperati e poi le cancelliamo a mano
Log tecnici di accesso: massimo 12 mesi dalla raccolta
Registro dei download (utente, data, ambito richiesto a parole, numero di righe e formato di ogni report o export generato — mai il contenuto del file): 12 mesi dalla generazione. Finalità: far rispettare i tetti giornalieri del tuo piano (art. 6.1.b) e il nostro legittimo interesse a tutelare la licenza personale sui file scaricati, che non possono essere ceduti o pubblicati (art. 6.1.f; Termini, § 6.7)
Codici dei PDF delle schede (utente, data e ora, azienda e codice di documento di ogni PDF generato con «Scarica PDF» — mai il contenuto): 12 mesi dalla generazione, e spariscono con l'account. Il codice è stampato in ogni pagina del PDF, insieme alla tua email, e serve a risalire a chi l'ha generato se il documento venisse diffuso. Finalità: il nostro legittimo interesse a tutelare le analisi, che sono per uso personale (art. 6.1.f; Termini, § 6.7)
Liste, portafoglio e filtri: finché esiste l'account. Seguono l'account anche quando viene cancellato: se lo cancelli tu, spariscono insieme a esso nello stesso passaggio; se lo cancelliamo noi su tua richiesta, già dalla prima tappa smettono di essere collegati al tuo nome utente — chi dovesse registrarsi con quel nome dopo di te non li vedrebbe mai — e spariscono del tutto con la cancellazione definitiva. Se l'account torna in piedi prima di quel passaggio, le tue liste tornano con lui.
Conteggi del percorso: i numeri per giorno non riguardano nessuno in particolare e restano. Il giorno del primo pagamento, i giorni d'uso e il numero di schede aperte di un abbonato restano al massimo 13 mesi, e spariscono con l'account quando viene cancellato definitivamente
Ricerche senza risultato e «Avvisami quando c’è»: i testi cercati restano 180 giorni; l'indirizzo email di una richiesta si cancella appena parte l'avviso, e comunque dopo 12 mesi. Per annullare una richiesta scrivi a [email protected]
Visite reali: le impronte giornaliere si cancellano alla fine di ogni giorno (ora italiana); i numeri per giorno e per quarto d'ora restano al massimo 13 mesi
3 analisi a scelta: l’indirizzo email cifrato fino alla conferma (al massimo 7 giorni), l’impronta dell’IP 24 ore; l’impronta dell’indirizzo, le date e le aziende sbloccate 13 mesi.
Invita un amico: il codice del tuo link e i premi che hai ricevuto restano finché esiste l'account e spariscono quando lo cancelli (il credito già accreditato resta sul tuo conto presso Stripe come ogni altra scrittura di pagamento). Se sei stato invitato, quando cancelli l'account la riga del tuo primo pagamento viene staccata dall'account e resta per 13 mesi dal pagamento. Al posto del tuo account resta il numero interno che aveva: è lo stesso numero, col segno meno, che il registro delle cancellazioni (vedi «Dati di account») tiene accanto al tuo nome utente, quindi la riga resta riconducibile a te. La riga tiene, quando ci sono, gli identificativi Stripe del tuo pagamento (fattura e addebito); un'impronta della carta e una dell'email, cioè codici calcolati da quei dati che non li contengono in chiaro ma permettono di riconoscerli se si ripresentano; e il premio di chi ti ha invitato (chi è, il suo codice cliente presso Stripe, esito, importo e valuta del mese gratis, l'eventuale storno, i riferimenti delle scritture sul suo saldo Stripe), con le date. Serve a togliere il mese a chi ti ha invitato se il pagamento viene contestato, e a non dare un premio per te a nessun altro invito, nemmeno se ti riabboni con un altro account
Newsletter (se sottoscritta): fino a revoca del consenso
Registro dei consensi alle comunicazioni promozionali: teniamo una riga per ogni consenso e per ogni revoca (data, ora, indirizzo IP e dichiarazione che hai spuntato). Le righe non vengono mai modificate: un nuovo consenso ne aggiunge una, non riscrive le precedenti. Il registro resta anche dopo la revoca — serve a dimostrare che gli invii già fatti erano leciti (art. 7.1 GDPR). Quando l'account viene cancellato, invece, il registro sparisce con esso: non c'è più nessuno a cui scrivere, e tenerne la prova non avrebbe più uno scopo. Se lo cancelli tu dall'area utente, in quel solo passaggio spariscono insieme all'account anche il registro dei tuoi consensi, le eventuali note interne dell'assistenza scritte sul tuo conto e i riscontri di recapito delle email inviate al tuo indirizzo; e la cancellazione resta tale anche se dovessimo ripristinare un backup più vecchio. Se invece a procedere siamo noi su tua richiesta, il percorso ha due tappe: l'account smette subito di funzionare e il registro dei consensi sparisce subito, mentre note interne e riscontri di recapito vengono rimossi quando cancelliamo i dati in via definitiva — una seconda operazione, che facciamo noi a mano e che nessun automatismo esegue al posto nostro. Su questi tre dati il punto d'arrivo è lo stesso. Cancellando da solo dall'area utente ottieni la cancellazione completa in un colpo solo: è la strada che ti consigliamo
7. Diritti dell'interessato
In qualità di interessato, ai sensi degli artt. 15-22 GDPR, hai diritto di:
Accesso (art. 15) — sapere quali dati trattiamo
Rettifica (art. 16) — correggere dati inesatti
Cancellazione (art. 17 — "diritto all'oblio")
Limitazione (art. 18) del trattamento
Portabilità (art. 20) — ricevere i tuoi dati in formato strutturato
Opposizione (art. 21) al trattamento basato su legittimo interesse
Revoca del consenso (art. 7) per i trattamenti basati su consenso, in qualsiasi momento
Per esercitare questi diritti, scrivi a [email protected]. Riceverai risposta entro 30 giorni (prorogabili a 60 in caso di particolare complessità).
8. Reclamo all'autorità di controllo
Hai diritto di proporre reclamo al Garante per la protezione dei dati personali (autorità italiana competente):
Mercurio Finance usa solo cookie tecnici, necessari all'accesso e alla sessione. Nessun cookie di profilazione, pubblicitario o di terze parti. Per i cookie tecnici non serve il consenso (provvedimento del Garante del 10 giugno 2021): per questo il sito non ti chiede di accettarli. Eccoli tutti:
Nome
A cosa serve
Quanto dura
mf_session
Tiene aperta la sessione dopo l'accesso e protegge i moduli del sito da invii contraffatti
Fino alla chiusura del browser; dopo l'accesso, 14 giorni dall'ultima visita
mf_stepup
Solo dopo troppi tentativi di accesso sbagliati: ricorda che da questo browser hai aperto il link di sblocco ricevuto via email
15 minuti
mf_dev
Dopo l'accesso: un codice casuale che riconosce questo browser, così l'email «Nuovo accesso» non parte a ogni accesso da un browser che riconosciamo già
400 giorni
mf_tre
Solo se apri il link delle «3 analisi a scelta»: contiene il codice di quel link, così questo browser apre le aziende che hai scelto. Nessun dato su di te
Fino alla chiusura del browser
Un cookie mf_user scritto dalle versioni precedenti del sito può restare nel tuo browser fino a 30 giorni dall'ultimo accesso: non lo leggiamo e viene cancellato quando esci dall'account.
10. Modifiche all'informativa
La presente informativa può essere aggiornata. Le modifiche sostanziali sono comunicate agli utenti registrati con almeno 30 giorni di preavviso con un avviso nell'area utente e nella dashboard, che ricompare a ogni accesso finché l'utente non conferma di averlo letto, e sono pubblicate su questa pagina con la data dell'ultima modifica.