Privacy policy

Il titolare del trattamento è Startup Bakery S.r.l., con sede in via Carlo Farini, 5 — 20154 Milano (MI), Italia e C.F./P.IVA 11196110966. Per richieste privacy, esercizio dei diritti o chiarimenti usa info@startup-bakery.com. Il DPO è Angelo Cavallini — info@startup-bakery.com.

Toolio può trattare dati dell'account e dell'autenticazione, dati professionali e di company inseriti dagli utenti autorizzati, richieste di accesso, dati tecnici necessari alla sicurezza e gli eventi di utilizzo eventualmente abilitati tramite consenso. Per i dati HR e i contenuti inseriti dai clienti, il cliente determina le proprie finalità e Startup Bakery li tratta per erogare Toolio secondo le istruzioni applicabili.

I dati sono trattati per gestire accessi e autorizzazioni, erogare e proteggere il servizio, gestire richieste di accesso, fornire supporto e mantenere registri tecnici. Per queste finalità la base giuridica può essere l'esecuzione del contratto o di misure precontrattuali, il legittimo interesse del titolare o un obbligo di legge, secondo il trattamento concreto. Gli analytics di prodotto sono facoltativi e si basano sul consenso. Per i dati inseriti dal cliente, il cliente determina la base giuridica e fornisce le istruzioni applicabili.

L'applicazione usa Supabase per autenticazione e dati, Render per l'hosting, Cloudflare Turnstile per la verifica anti-abuso, Resend per l'invio email, PostHog per analytics opzionali e Google Tag Manager per il tag management. GTM viene caricato solo dopo una scelta positiva per una categoria opzionale e deve contenere esclusivamente tag governati dai relativi controlli di consenso. Le scelte del banner vengono salvate nel browser e, per documentare la preferenza, in un registro tecnico server-side su Supabase: il registro contiene identificativi tecnici, i tre flag, la versione della policy, la lingua e un timestamp; non contiene IP, user-agent, nome o email. Per i dati dei clienti selezionati, Startup Bakery opera come responsabile secondo le condizioni applicabili. L'elenco dei fornitori, i sub-responsabili, i trasferimenti e le relative garanzie devono essere mantenuti aggiornati.

I dati vengono conservati per il tempo necessario alla finalità e agli obblighi applicabili. Gli account, i workspace, i dati HR, i file e i contenuti cliente vengono cancellati entro 30 giorni dalla disattivazione o chiusura; le richieste di accesso vengono conservate fino a 90 giorni dalla chiusura. Il tracking delle email è conservato 30 giorni, gli analytics di prodotto 90 giorni, gli eventi server-side delle scelte privacy fino a 24 mesi dalla registrazione e i log tecnici dell'hosting 7 giorni, salvo tempi diversi imposti dal fornitore o da obblighi documentati.

Gli interessati possono chiedere accesso, rettifica, cancellazione, limitazione, opposizione e, quando applicabile, portabilità, oltre a proporre reclamo all'autorità di controllo. Le richieste vanno gestite tramite il contatto privacy indicato dal titolare, con verifica dell'identità e tracciamento della risposta.

Toolio applica controlli di autenticazione, autorizzazione e protezione delle richieste. Le misure tecniche e organizzative, la gestione degli incidenti, il registro dei trattamenti e la procedura per le richieste degli interessati devono essere mantenuti aggiornati dal titolare.