Traduzione non vincolante. Fa fede la versione tedesca: Datenschutzerklärung (tedesco).

Aggiornamento: novembre 2026 | Versione: 1.0
Titolare del trattamento: Tapcoat GmbH, Hanauer Landstraße 204, 60314 Frankfurt am Main

Ambito di applicazione: La presente informativa sulla privacy si applica congiuntamente a: (1) il sito web tapcoat.com, (2) la dashboard SaaS di Tapcoat e (3) l’app Tapcoat (iOS e Android). Si rivolge a chi visita il sito web, alle organizzazioni clienti registrate e alle persone interessate — non ai clienti finali e agli ospiti, i cui dati Tapcoat tratta per conto delle organizzazioni clienti (vedi sezione 11).

1. Titolare del trattamento

Titolare del trattamento ai sensi del GDPR è:

Tapcoat GmbH
Hanauer Landstraße 204, 60314 Frankfurt am Main
Rappresentanti legali: Tim Hoh, Lutz Bischoff (direzione)
Tribunale del registro: Amtsgericht Frankfurt am Main, HRB 141281
Email protezione dei dati: datenschutz@tapcoat.com
Contatto generale: hello@tapcoat.com

Tapcoat non ha designato un responsabile della protezione dei dati; al momento non sussiste un obbligo di legge di designazione ai sensi dell’art. 37 GDPR e del § 38 BDSG. Per richieste in materia di protezione dei dati scrivi direttamente a datenschutz@tapcoat.com.

2. Quali dati trattiamo e perché — panoramica

Trattiamo dati personali solo se sussiste una base giuridica ai sensi dell’art. 6 GDPR:

Art. 6, par. 1, lett. a — consenso: ad es. cookie di tracciamento, Hotjar, newsletter (se non si tratta di pubblicità a clienti esistenti)
Art. 6, par. 1, lett. b — esecuzione/conclusione di un contratto: ad es. registrazione, gestione dell’account, fatturazione
Art. 6, par. 1, lett. c — obbligo legale: ad es. obblighi di conservazione ai sensi di HGB/AO
Art. 6, par. 1, lett. f — legittimo interesse: ad es. log del server, prevenzione delle frodi, comunicazioni di servizio, HubSpot CRM

3. Chi visita il sito web (tapcoat.com)

3.1 Log del server e dati di connessione di Cloudflare

Quando apri tapcoat.com, vengono rilevati automaticamente e memorizzati nei log del server i seguenti dati:

Indirizzo IP (anonimizzato al più tardi dopo 7 giorni)
Data e ora dell’accesso
URL richiesto
Volume di dati trasferito
Tipo di browser e sistema operativo (user agent)
Codice di stato HTTP

Base giuridica: art. 6, par. 1, lett. f GDPR (funzionamento e sicurezza del sito web).
Fornitori di servizi: Mittwald CM Service GmbH & Co. KG (hosting, Espelkamp) e Cloudflare, Inc. (CDN/protezione DDoS, PoP di Francoforte). Con entrambi è stato concluso un DPA.
Periodo di conservazione: 30 giorni, poi cancellazione automatica.

3.2 Contatto tramite modulo HubSpot o email

Se ci contatti tramite il modulo di contatto su tapcoat.com (fornito da HubSpot Ireland Limited) o via email a hello@tapcoat.com, trattiamo:

Nome
Indirizzo email
Azienda (se indicata)
Contenuto della tua richiesta
Momento del contatto

Il modulo di contatto viene caricato solo quando fai clic su «Carica modulo» (solo per questa visita della pagina) oppure automaticamente se nel banner dei cookie hai consentito «Contenuti esterni». Prima non viene trasmesso alcun dato a HubSpot. Al caricamento vengono trasmessi a HubSpot in particolare il tuo indirizzo IP, le informazioni sul browser e sul dispositivo e la pagina visitata. HubSpot può utilizzare cookie o tecnologie simili. La base giuridica per il caricamento del modulo è il tuo consenso (art. 6, par. 1, lett. a GDPR, § 25, comma 1, TDDDG). Puoi revocarlo in qualsiasi momento con effetto per il futuro tramite le «Impostazioni cookie» nel piè di pagina.

Per il trattamento della tua richiesta vale quanto segue:

Base giuridica: art. 6, par. 1, lett. b GDPR (misure precontrattuali) o lett. f GDPR (legittimo interesse alla gestione delle richieste).
Fornitore di servizi: HubSpot Ireland Limited, 1 Sir John Rogerson’s Quay, Dublin 2, Irlanda (DPA ai sensi dell’art. 28 GDPR, trasferimento verso paesi terzi tramite SCC + EU-US Data Privacy Framework).
Periodo di conservazione: I dati delle richieste vengono conservati per la durata della gestione e per 3 anni successivi (termini di prescrizione BGB). I dati da cui nasce un rapporto con un’organizzazione cliente sono trattati nella sezione 6.

3.3 HubSpot Chat

Su tapcoat.com utilizziamo una live chat tramite HubSpot. Se apri o usi la chat, cookie e dati di connessione (indirizzo IP, contenuti della chat, marcature temporali) vengono trasmessi a HubSpot.

Base giuridica: art. 6, par. 1, lett. a GDPR (consenso tramite il banner dei cookie per le funzioni di tracciamento); art. 6, par. 1, lett. f GDPR per la sola funzione di comunicazione.
Fornitore di servizi: HubSpot Ireland Limited (come sopra). Le conversazioni in chat possono essere memorizzate nel CRM di HubSpot.
Opposizione: Puoi chiudere la chat in qualsiasi momento senza usarla. Il consenso è revocabile in qualsiasi momento su tapcoat.com/datenschutz.

3.4 Prenotazione di appuntamenti tramite HubSpot Meetings

Sulla nostra pagina «Demo» puoi prenotare un appuntamento per una presentazione del prodotto. Per questo utilizziamo HubSpot Meetings, un servizio di HubSpot Ireland Limited, 1 Sir John Rogerson’s Quay, Dublin 2, Irlanda. Il calendario degli appuntamenti viene caricato solo quando fai clic su «Carica il calendario» (solo per questa visita della pagina) oppure automaticamente se nel banner dei cookie hai consentito «Contenuti esterni». Prima non viene trasmesso alcun dato a HubSpot. Al caricamento vengono trasmessi a HubSpot in particolare il tuo indirizzo IP, le informazioni sul browser e sul dispositivo e la pagina visitata. HubSpot può utilizzare cookie o tecnologie simili.

Se prenoti un appuntamento, trattiamo in HubSpot i dati che inserisci (ad es. nome, indirizzo email, appuntamento scelto, eventuali altre informazioni) per fissare e svolgere l’appuntamento.

Base giuridica: Per il caricamento del calendario e l’accesso al tuo dispositivo, il tuo consenso (art. 6, par. 1, lett. a GDPR, § 25, comma 1, TDDDG). Il consenso tramite clic vale solo per la rispettiva visita della pagina. Puoi revocare il consenso in qualsiasi momento con effetto per il futuro tramite le «Impostazioni cookie» nel piè di pagina. La revoca non pregiudica la liceità del trattamento effettuato fino a quel momento. Puoi chiedere la cancellazione di dati già trasmessi o informazioni su di essi a datenschutz@tapcoat.com (sezione 14). Per il trattamento dei tuoi dati di prenotazione, art. 6, par. 1, lett. b GDPR (misure precontrattuali) o lett. f GDPR (legittimo interesse alla definizione degli appuntamenti).
Fornitore di servizi: HubSpot Ireland Limited (come sopra). HubSpot tratta i dati per nostro conto sulla base di un accordo sul trattamento dei dati (art. 28 GDPR). Trasferimento verso paesi terzi tramite SCC + EU-US Data Privacy Framework.
Periodo di conservazione: Conserviamo i tuoi dati di prenotazione per la definizione dell’appuntamento e successivamente per 3 anni (termini di prescrizione BGB). Se nasce un contratto, vale la sezione 6.

3.5 Indicatore di stato di Better Stack

Sulla nostra pagina «System status» (in inglese) mostriamo lo stato attuale di tapcoat con un indicatore di stato di Better Stack (Better Stack s.r.o., Praga, CZ). L’indicatore viene caricato solo quando fai clic su «Load status» (solo per questa visita della pagina) oppure automaticamente se nel banner dei cookie hai consentito «Contenuti esterni». Prima non viene trasmesso alcun dato a Better Stack. Al caricamento vengono trasmessi a Better Stack in particolare il tuo indirizzo IP, le informazioni sul browser e sul dispositivo e la pagina visitata.

Base giuridica: il tuo consenso (art. 6, par. 1, lett. a GDPR, § 25, comma 1, TDDDG). Il consenso tramite clic vale solo per la rispettiva visita della pagina. Puoi revocare il consenso in qualsiasi momento con effetto per il futuro tramite le «Impostazioni cookie» nel piè di pagina.
Fornitore di servizi: Better Stack s.r.o., Praga, CZ (UE, nessun trasferimento verso paesi terzi).

Ai sensi del § 25 TDDDG (Telekommunikation-Telemedien-Datenschutz-Gesetz), l’impostazione di cookie o la lettura di informazioni dal dispositivo è consentita solo con consenso esplicito, a meno che non si tratti di cookie tecnicamente indispensabili. Impostiamo cookie non tecnicamente necessari (ad es. analisi, marketing, chat) esclusivamente dopo il tuo consenso attivo tramite il nostro banner dei cookie.

I seguenti cookie li impostiamo senza consenso, perché sono indispensabili per il funzionamento del sito web:

Cookie di sessione (stato di accesso nella dashboard, attivo per la durata della sessione)
Token di protezione CSRF (sicurezza contro il cross-site request forgery)
Scelta sul consenso ai cookie (memorizza il tuo consenso o rifiuto)

Base giuridica: § 25, comma 2, n. 2 TDDDG, art. 6, par. 1, lett. f GDPR.

I cookie e le tecnologie di tracciamento seguenti vengono attivati solo se hai dato il consenso nel banner dei cookie. Puoi revocare il tuo consenso in qualsiasi momento con effetto per il futuro (sezione 15.1).

Anche i contenuti esterni come il calendario degli appuntamenti (sezione 3.4) li carichiamo solo con il tuo consenso: con un clic o tramite la categoria «Contenuti esterni» nel banner dei cookie.

5. Strumenti di analisi e marketing

5.1 Google Analytics 4 (GA4)

Utilizziamo Google Analytics 4 (GA4) per analizzare il comportamento di utilizzo su tapcoat.com. GA4 utilizza cookie e tecnologie simili per raccogliere dati utente pseudonimizzati.

Dati trattati: ID dispositivo pseudonimizzato, dati di sessione, visualizzazioni di pagina, eventi (ad es. clic su pulsanti, invio di moduli), indirizzo IP (abbreviato lato server).

Se utilizzi la ricerca nel nostro Centro assistenza, previo tuo consenso trasmettiamo a GA4 anche il termine di ricerca inserito, insieme alla lingua della pagina, al numero di risultati e, se del caso, alla posizione del risultato cliccato. Il termine di ricerca viene abbreviato a un massimo di 60 caratteri. Non trasmettiamo termini che sembrano un indirizzo e-mail, un numero di telefono o di cliente, un indirizzo web o coordinate bancarie. Ti preghiamo di non inserire dati personali nel campo di ricerca. Analizziamo i termini di ricerca per individuare i contenuti di assistenza mancanti.

Base giuridica: art. 6, par. 1, lett. a GDPR (consenso), § 25, comma 1, TDDDG.
Contitolarità: Tapcoat e Google Ireland Limited (Gordon House, Barrow Street, Dublin 4, Irlanda) sono contitolari del trattamento ai sensi dell’art. 26 GDPR. Il contenuto essenziale dell’accordo di contitolarità è disponibile su https://business.safety.google/adscontrollerterms.
Trasferimento verso paesi terzi: Google LLC, USA. Garanzia: SCC ai sensi dell’art. 46 GDPR + EU-US Data Privacy Framework (decisione di adeguatezza del 10.07.2023).
Periodo di conservazione: dati grezzi 14 mesi (impostazione standard GA4). Puoi disattivare la raccolta in modo permanente con il componente aggiuntivo del browser di Google: https://tools.google.com/dlpage/gaoptout
Opposizione: consenso revocabile in qualsiasi momento nel banner dei cookie.

5.2 Google Ads e monitoraggio delle conversioni

Utilizziamo Google Ads per pubblicare annunci sui servizi Google e il monitoraggio delle conversioni di Google per misurare il successo delle nostre campagne pubblicitarie.

Dati trattati: ID cookie, ID clic (gclid), evento di conversione (ad es. registrazione), informazioni sul dispositivo pseudonimizzate.

Base giuridica: art. 6, par. 1, lett. a GDPR (consenso), § 25, comma 1, TDDDG.
Contitolarità: Tapcoat e Google Ireland Limited, contitolari ai sensi dell’art. 26 GDPR. Informativa sulla privacy di Google: https://policies.google.com/privacy
Trasferimento verso paesi terzi: Google LLC, USA — come sopra (SCC + EU-US DPF).
Opposizione: consenso revocabile in qualsiasi momento nel banner dei cookie. In alternativa: disattiva la pubblicità personalizzata su https://adssettings.google.com/.

5.3 Meta Pixel e Meta Conversion API

Utilizziamo il Meta Pixel e la Meta Conversion API (CAPI) per misurare l’efficacia dei nostri annunci su Facebook e Instagram e indirizzarli a gruppi target specifici.

Dati trattati: indirizzo email con hash (solo per conversioni tramite CAPI), cookie del browser (_fbp, _fbc), indirizzo IP, dati di comportamento su tapcoat.com, dati sugli eventi (ad es. visualizzazione di pagina, registrazione).

Base giuridica: art. 6, par. 1, lett. a GDPR (consenso), § 25, comma 1, TDDDG.
Contitolarità: Tapcoat e Meta Platforms Ireland Limited (Merrion Road, Dublin 4, Irlanda) sono contitolari ai sensi dell’art. 26 GDPR secondo il Meta Controller Addendum (https://www.facebook.com/legal/controller_addendum).
Trasferimento verso paesi terzi: Meta Platforms, Inc., USA — SCC + EU-US Data Privacy Framework.
Opposizione: consenso revocabile in qualsiasi momento nel banner dei cookie. È possibile disattivare la pubblicità personalizzata di Facebook tramite le impostazioni di Facebook.

5.4 LinkedIn Insight Tag

Utilizziamo il LinkedIn Insight Tag per misurare le conversioni delle campagne LinkedIn e creare gruppi target per il remarketing su LinkedIn.

Dati trattati: ID cookie (li_fat_id), indirizzo IP, metadati del dispositivo, URL visitati, eventi di conversione.

Base giuridica: art. 6, par. 1, lett. a GDPR (consenso), § 25, comma 1, TDDDG.
Contitolarità: Tapcoat e LinkedIn Ireland Unlimited Company (Wilton Place, Dublin 2, Irlanda) sono contitolari ai sensi dell’art. 26 GDPR secondo l’accordo di contitolarità di LinkedIn.
Trasferimento verso paesi terzi: LinkedIn Corporation, USA — SCC + EU-US Data Privacy Framework.
Opposizione: consenso revocabile in qualsiasi momento nel banner dei cookie. I membri di LinkedIn possono disattivare il tracciamento nelle impostazioni del proprio account LinkedIn.

5.5 Hotjar (registrazione delle sessioni e heatmap)

Hotjar registra movimenti del mouse anonimizzati, clic, profondità di scorrimento e, in casi eccezionali, anche registrazioni dello schermo. Tutti i campi password e i campi con dati sensibili sono mascherati tecnicamente e non raggiungono Hotjar.

Utilizziamo Hotjar di Hotjar Ltd. (Level 2, St Julian’s Business Centre, 3 Elia Zammit Street, St Julian’s STJ 3155, Malta) per migliorare l’usabilità di tapcoat.com.

Dati trattati: movimenti del mouse anonimizzati, comportamento di clic e di scorrimento, tipo di dispositivo, tipo di browser, marcature temporali, URL visitati. Nessun trattamento programmato di nomi, indirizzi email o campi password.

Base giuridica: art. 6, par. 1, lett. a GDPR (consenso), § 25, comma 1, TDDDG.
Trasferimento verso paesi terzi: memorizzazione dei dati nell’UE (Hotjar è un’azienda maltese). Eventuali sub-fornitori in paesi terzi sono disciplinati nel DPA di Hotjar.
Opposizione: consenso revocabile in qualsiasi momento nel banner dei cookie. Opt-out anche su: https://www.hotjar.com/legal/compliance/opt-out

Per una misurazione di base della copertura utilizziamo il software di analisi web phpAnalytics. formwandler interactive (Molchkragen Media GmbH) lo gestisce per nostro conto in qualità di responsabile del trattamento su server in Germania. Lo script viene caricato da analytics.formwandler-interactive.com.

L’analisi web non imposta cookie. All’apertura di una pagina lo script legge informazioni tecniche del tuo browser e le trasmette al server di analisi. Il tuo indirizzo IP viene trattato solo brevemente per la trasmissione e per determinare il paese, e non viene memorizzato. Se nel tuo browser è attivato «Do Not Track», non avviene alcuna raccolta.

Dati trattati: pagina visitata, pagina di provenienza (referrer), browser, sistema operativo, tipo di dispositivo, risoluzione dello schermo, impostazione della lingua e paese ricavato dalla connessione. Se usi la ricerca del nostro Centro assistenza, con il tuo consenso raccogliamo inoltre il termine di ricerca (abbreviato a un massimo di 60 caratteri; non raccogliamo termini che sembrano un indirizzo e-mail, un numero di telefono o di cliente, un indirizzo web o coordinate bancarie), il numero di risultati e, se del caso, la posizione del risultato cliccato. Non inserire dati personali nel campo di ricerca. Analizziamo i dati solo in forma riassunta, senza riferimento a singole persone.

Base giuridica: per la misurazione della copertura art. 6, par. 1, lett. f GDPR (legittimo interesse alla misurazione e al miglioramento della nostra offerta web) e § 25, comma 2, n. 2 TDDDG; per i termini di ricerca art. 6, par. 1, lett. a GDPR (consenso) e § 25, comma 1 TDDDG.
Luogo di memorizzazione: server in Germania, nessun trasferimento verso paesi terzi.
Periodo di conservazione: cancelliamo i dati individuali dopo 14 mesi, così da poter confrontare i dati con l’anno precedente. Successivamente conserviamo solo statistiche riassunte senza riferimento personale.
Opposizione e revoca: puoi opporti alla misurazione della copertura in qualsiasi momento attivando «Do Not Track» nel tuo browser o comunicandocelo in forma libera tramite i dati di contatto indicati in questa informativa. Puoi revocare in qualsiasi momento il consenso per i termini di ricerca tramite il link ‘Impostazioni cookie’ nel footer.

6. Registrazione e uso della dashboard Tapcoat

Alla registrazione di un account Tapcoat raccogliamo i seguenti dati:

Nome, cognome
Indirizzo email (usato come identificativo di accesso)
Nome dell’azienda / della location
Funzione / ruolo in azienda
Password (memorizzata esclusivamente come hash bcrypt — Tapcoat non ha accesso alla password in chiaro)
Indirizzo IP e marcatura temporale della registrazione (sicurezza / prevenzione delle frodi)

Base giuridica: art. 6, par. 1, lett. b GDPR (esecuzione del contratto — messa a disposizione dell’account Tapcoat).
Dati obbligatori: email, password, nome dell’azienda. Tutti gli altri campi sono facoltativi.

6.2 Dati di utilizzo nella dashboard

Durante l’uso della dashboard Tapcoat vengono raccolti dati tecnici di utilizzo:

Orari di accesso e durata della sessione
Azioni eseguite (ad es. creazione di pass, configurazione delle organizzazioni clienti) — anonimizzate come log di audit
Messaggi di errore e metriche di prestazione (tramite Sentry, anonimizzati)
Log del server delle richieste API (IP, marcatura temporale, endpoint) — conservazione 30 giorni

Base giuridica: art. 6, par. 1, lett. b GDPR (esecuzione del contratto), lett. f GDPR (legittimo interesse alla sicurezza e al funzionamento).

6.3 Elaborazione dei pagamenti e fatturazione tramite Frisbii

La fatturazione degli abbonamenti Tapcoat avviene tramite Frisbii Germany GmbH (Mainzer Landstraße 51, 60329 Frankfurt am Main) in qualità di responsabile del trattamento. Tapcoat stessa non tratta numeri di carte di credito né dati bancari completi.

Dati trattati: nome, nome dell’azienda, indirizzo di fatturazione, metodo di pagamento (tokenizzato), dati contrattuali, storico delle fatture, dati di identificazione KYC (se richiesti da requisiti di vigilanza).

Base giuridica: art. 6, par. 1, lett. b GDPR (esecuzione del contratto), lett. c GDPR (obblighi di conservazione fiscali).
Periodo di conservazione dei dati di fatturazione: 10 anni (§ 147 AO, § 257 HGB).

Se attivi le funzioni di pagamento facoltative ai guardaroba, il fornitore dei servizi di pagamento effettua una verifica dell’identità una tantum (KYC). A tal fine trasmettiamo al fornitore dei servizi di pagamento i necessari dati dell’azienda, dei rappresentanti e del conto. Base giuridica: art. 6, par. 1, lett. b e c GDPR.

6.4 Monitoraggio degli errori tramite Sentry

Per la garanzia della qualità e la correzione degli errori utilizziamo Sentry (Functional Software, Inc. d/b/a Sentry, 45 Fremont Street, San Francisco, CA 94105, USA; rappresentante UE: Sentry Software Netherlands B.V., Amsterdam).

Dati trattati: ID utente pseudonimo, stack trace (righe di codice dell’errore), tipo di dispositivo, versione del browser, versione dell’app, indirizzo IP (abbreviato lato server — IP masking attivo).

Base giuridica: art. 6, par. 1, lett. f GDPR (legittimo interesse alla stabilità del funzionamento e alla correzione degli errori).
Trasferimento verso paesi terzi: USA, DPA di Sentry + clausole contrattuali tipo (art. 46 GDPR).
Periodo di conservazione: 90 giorni (standard Sentry).

7. App Tapcoat (iOS e Android)

7.1 Notifiche push

L’app Tapcoat invia notifiche push (ad es. aggiornamenti dei pass, avvisi di sicurezza) tramite l’infrastruttura di Apple (APNs) e Google (FCM).

Apple APNs: device token APNs, pass type identifier, indirizzo IP — trattati da Apple Distribution International Limited, Cork, Irlanda.
Google FCM: registration token FCM, instance ID, indirizzo IP — trattati da Google Ireland Limited, Dublino.

Base giuridica: art. 6, par. 1, lett. b GDPR (esecuzione del contratto — messa a disposizione delle funzioni dell’app).
Trasferimento verso paesi terzi: Apple Inc. e Google LLC, USA — SCC + EU-US Data Privacy Framework.

7.2 Aggiornamenti over-the-air tramite Capawesome

Gli aggiornamenti dell’app vengono distribuiti tramite Capawesome Cloud (Genz IT Solutions GmbH, Brückengasse 1b, 78462 Konstanz). In questo caso vengono trasmessi ID del dispositivo, versione dell’app e indirizzo IP.

Base giuridica: art. 6, par. 1, lett. b GDPR (messa a disposizione della versione attuale dell’app).
Trasferimento verso paesi terzi: nessuno; memorizzazione in Germania/UE.

7.3 Creazione di pass Wallet (Apple Wallet e Google Wallet)

Su istruzione delle organizzazioni clienti, Tapcoat crea ricevute digitali del guardaroba come pass Wallet (Apple Wallet tramite PassKit, Google Wallet tramite Google Wallet API). Nella creazione dei pass Wallet, Tapcoat è responsabile del trattamento per conto dell’organizzazione cliente, non titolare autonomo. Le informazioni sulla protezione dei dati nei confronti degli ospiti spettano all’organizzazione cliente.

Base giuridica: art. 6, par. 1, lett. b GDPR (esecuzione del contratto con l’organizzazione cliente).

8. Hosting e infrastruttura

I dati principali e di utilizzo della piattaforma Tapcoat (database, object storage) vengono trattati su server in Germania. Singoli servizi di supporto, in particolare monitoraggio degli errori, CDN e strumenti di analisi e marketing, possono trattare dati personali in paesi terzi, in particolare negli USA (vedi sezione 12). Per hosting e infrastruttura ci avvaliamo dei seguenti fornitori di servizi:

DigitalOcean, LLC (DPA): hosting del backend (compute, database, object storage) insieme a Hetzner Online GmbH — sede: FRA1, Frankfurt am Main / Falkenstein/Norimberga, Germania
Mittwald CM Service GmbH & Co. KG (DPA): hosting del sito di marketing tapcoat.com — sede: Espelkamp, Germania
Cloudflare, Inc. (DPA): DNS, CDN, protezione DDoS, WAF — sede: PoP di Francoforte (routing UE)

Tutti i fornitori sono vincolati contrattualmente come responsabili del trattamento ai sensi dell’art. 28 GDPR. Per i fornitori statunitensi la garanzia avviene tramite clausole contrattuali tipo (SCC, modulo 2) e l’EU-US Data Privacy Framework.

9. Comunicazione e marketing

9.1 Email transazionali

Nell’ambito del rapporto contrattuale ti inviamo le email di servizio necessarie (ad es. conferma dell’account, fatture, avvisi di sicurezza, aggiornamenti dei pass). Queste email sono necessarie per l’esecuzione del contratto e non possono essere disattivate.

Base giuridica: art. 6, par. 1, lett. b GDPR.

Se sei già un’organizzazione cliente, possiamo inviarti occasionalmente informazioni su nuove funzioni, miglioramenti o offerte rilevanti di Tapcoat. Ciò avviene sulla base del § 7, comma 3, UWG (pubblicità diretta a clienti esistenti). Puoi opporti a questo utilizzo in qualsiasi momento.

Alle persone interessate senza un rapporto contrattuale in essere inviamo email di marketing solo sulla base di un consenso esplicito.

Base giuridica: § 7, comma 3, UWG in combinato disposto con l’art. 6, par. 1, lett. f GDPR (clienti esistenti) o art. 6, par. 1, lett. a GDPR (consenso per le persone interessate).
Fornitore di servizi: ActiveCampaign LLC, 1 N Dearborn Street, 5th Floor, Chicago, IL 60602, USA (DPA + SCC + EU-US Data Privacy Framework).
Opt-out: ogni email di marketing contiene un link per annullare l’iscrizione. Opposizione possibile in qualsiasi momento anche via email a datenschutz@tapcoat.com.

9.3 Sistema CRM (HubSpot)

I dati di contatto di persone interessate e organizzazioni clienti vengono memorizzati e gestiti in HubSpot CRM per consentire i processi di vendita e la comunicazione con la clientela.

Base giuridica: art. 6, par. 1, lett. f GDPR (legittimo interesse a una gestione strutturata della clientela) o lett. b (preparazione ed esecuzione di un contratto).
Fornitore di servizi: HubSpot Ireland Limited, Dublin 2, Irlanda (DPA + SCC + EU-US DPF).
Periodo di conservazione: durata del contratto più 3 anni (termini di prescrizione). Su richiesta è possibile una cancellazione anticipata.

10. Funzionamento, monitoraggio e disponibilità

Per garantire un funzionamento senza disservizi ci avvaliamo dei seguenti servizi di monitoraggio:

Better Stack (Better Stack s.r.o., Praga, CZ): gestione dei log, monitoraggio dell’uptime — tratta log del server, ID account, indirizzi IP, metadati delle richieste — base giuridica: art. 6, par. 1, lett. f GDPR
Oh Dear (Immutable VOF, Berlaar, Belgio): monitoraggio esterno della disponibilità — tratta URL degli endpoint, tempi di risposta — base giuridica: art. 6, par. 1, lett. f GDPR

11. Delimitazione: dati degli ospiti e pass Wallet delle organizzazioni clienti

I dati dei clienti finali e degli ospiti che usano i pass Wallet delle organizzazioni clienti di Tapcoat non vengono trattati sulla base della presente informativa sulla privacy. In questo ambito Tapcoat agisce esclusivamente come responsabile del trattamento ai sensi dell’art. 28 GDPR. Titolare del trattamento è di volta in volta la location / l’organizzatore in qualità di organizzazione cliente. Le informazioni sulla protezione dei dati nei confronti degli ospiti devono essere fornite dall’organizzazione cliente (ad es. come avviso esposto al guardaroba o nel ticketing).

A tal fine Tapcoat mette a disposizione delle organizzazioni clienti un modello di avviso.

12. Trasferimenti verso paesi terzi

Alcuni dei fornitori di servizi di cui ci avvaliamo trasferiscono dati personali verso paesi terzi, in particolare negli USA. La garanzia avviene in ogni caso tramite clausole contrattuali tipo UE (SCC, decisione di esecuzione UE 2021/914, modulo 2) e — ove applicabile — la decisione di adeguatezza della Commissione europea sull’EU-US Data Privacy Framework del 10 luglio 2023.

Google (Analytics, Ads) — USA — SCC + EU-US DPF
Meta Platforms — USA — SCC + EU-US DPF
LinkedIn Corporation — USA — SCC + EU-US DPF
DigitalOcean, LLC — USA (i dati restano in FRA1) — SCC + EU-US DPF
Cloudflare, Inc. — USA; distribuzione tramite data center nell’UE (Francoforte) — SCC + EU-US DPF
Sentry (Functional Software, Inc.) — USA — SCC (art. 46 GDPR)
ActiveCampaign LLC — USA — SCC + EU-US DPF
HubSpot Ireland Limited — Irlanda/USA — SCC + EU-US DPF
GitHub, Inc. — USA — SCC + EU-US DPF
GitLab Inc. (repository del codice) — USA — SCC + EU-US DPF
Microsoft Ireland Operations Limited (Microsoft 365) — Irlanda/USA — SCC + EU-US DPF
Apple Inc. e Google LLC (notifiche push, Wallet) — USA — SCC + EU-US DPF
Dropbox International — Irlanda/USA — SCC + EU-US DPF

Lo stato di certificazione attuale dei fornitori statunitensi nell’EU-US Data Privacy Framework puoi verificarlo su https://www.dataprivacyframework.gov/s/participant-search.

13. Periodo di conservazione

Conserviamo i dati personali solo per il tempo necessario alle rispettive finalità del trattamento o finché sussistono obblighi di conservazione di legge:

Log del server (sito web): 30 giorni
Richieste di contatto: durata della gestione + 3 anni (prescrizione BGB)
Dati dell’account delle organizzazioni clienti attive: durata del contratto; dopo la disdetta in modo permanente come account Free
Dati dell’account su richiesta di cancellazione: anonimizzazione immediata + 30 giorni per l’esportazione
Dati di fatturazione e pagamento: 10 anni (§ 147 AO, § 257 HGB)
Consenso alle email di marketing: fino alla revoca (consenso) o all’opposizione (§ 7, comma 3, UWG)
Segnalazioni di errore Sentry: 90 giorni
Dati CRM HubSpot: durata del contratto + 3 anni
Dati grezzi di Google Analytics: 14 mesi
Registrazioni Hotjar: 365 giorni (standard Hotjar)

14. I tuoi diritti come interessato

Nei confronti di Tapcoat in qualità di titolare del trattamento hai i seguenti diritti ai sensi del GDPR:

Diritto di accesso (art. 15 GDPR): Hai il diritto di sapere quali dati abbiamo memorizzato su di te.
Diritto di rettifica (art. 16 GDPR): Hai il diritto di far rettificare i dati inesatti.
Diritto alla cancellazione (art. 17 GDPR): Hai il diritto di chiedere la cancellazione dei tuoi dati, se non vi si oppone un obbligo di conservazione.
Diritto di limitazione del trattamento (art. 18 GDPR): A determinate condizioni puoi chiedere che il trattamento venga limitato.
Diritto alla portabilità dei dati (art. 20 GDPR): Hai il diritto di ricevere i tuoi dati in un formato leggibile da dispositivo automatico o di farli trasmettere a un altro fornitore.
Diritto di opposizione (art. 21 GDPR): Hai il diritto di opporti in qualsiasi momento al trattamento basato su legittimi interessi. In caso di pubblicità diretta (§ 7, comma 3, UWG) l’opposizione è sempre efficace.
Diritto di revoca (art. 7, par. 3, GDPR): Puoi revocare in qualsiasi momento un consenso prestato, con effetto per il futuro.
Diritto di reclamo (art. 77 GDPR): Hai il diritto di proporre reclamo all’autorità di controllo competente per la protezione dei dati. Per Tapcoat GmbH, con sede a Frankfurt am Main, si tratta dell’Hessischer Beauftragter für Datenschutz und Informationsfreiheit (HBDI), Gustav-Stresemann-Ring 1, 65189 Wiesbaden, https://datenschutz.hessen.de

Per esercitare i tuoi diritti scrivi a datenschutz@tapcoat.com o per posta a: Tapcoat GmbH, Hanauer Landstraße 204, 60314 Frankfurt am Main. Gestiamo le richieste entro un mese (art. 12, par. 3, GDPR). Per richieste complesse questo termine può essere prorogato di altri due mesi.

15. Gestire e revocare i consensi

Puoi revocare in qualsiasi momento, con effetto per il futuro, i tuoi consensi per cookie e strumenti di tracciamento. Per farlo, fai clic sul link «Impostazioni cookie» nel piè di pagina di tapcoat.com.

Dal 1° aprile 2025 è in vigore la Einwilligungsverwaltungsverordnung (EinwV). Puoi gestire le tue preferenze anche centralmente tramite un Personal Information Management Service (PIMS) riconosciuto ai sensi del § 26 TDDDG, se utilizzi un servizio di questo tipo.

15.2 Email di marketing

Ogni email di marketing contiene un link per annullare l’iscrizione. In alternativa puoi annullare l’iscrizione in qualsiasi momento via email a datenschutz@tapcoat.com.

15.3 Cancellazione dell’account

Tramite le impostazioni dell’account nella dashboard Tapcoat puoi richiedere la cancellazione completa del tuo account. Dopo la richiesta hai 30 giorni per esportare i dati. Successivamente i dati personali vengono cancellati, se non vi si oppongono obblighi di conservazione di legge.

16. Sicurezza dei dati

Tapcoat adotta misure tecniche e organizzative per proteggere i tuoi dati da perdita, alterazione e accesso non autorizzato. Tra queste:

Crittografia di tutte le connessioni con TLS 1.2 o superiore (HTTPS obbligatorio, HSTS attivo)
Hashing delle password con un metodo sicuro (bcrypt/argon2)
Crittografia dei dati memorizzati nel database
Accesso ai dati di produzione limitato al minimo necessario (least privilege)
Backup regolari con archiviazione crittografata
Piano di risposta agli incidenti per le violazioni dei dati (art. 33 GDPR)

La descrizione completa delle misure tecniche e organizzative (TOM) è documentata come allegato 1 al DPA (accordo sul trattamento dei dati) e può essere consultata su richiesta dalle organizzazioni clienti.

17. Modifiche della presente informativa sulla privacy

Ci riserviamo di aggiornare la presente informativa sulla privacy se necessario, in particolare in caso di modifiche della nostra piattaforma, nuovi servizi impiegati o adeguamenti del quadro normativo. Comunichiamo attivamente le modifiche sostanziali via email alle organizzazioni clienti registrate con un preavviso di almeno 30 giorni.

La data dell’ultimo aggiornamento è indicata all’inizio di questo documento.

Allegato: responsabili del trattamento impiegati (panoramica)

L’elenco completo di tutti i responsabili del trattamento, contitolari e titolari autonomi è documentato nell’allegato 2 al DPA di Tapcoat. I principali responsabili del trattamento in sintesi:

DigitalOcean, LLC — hosting del backend (FRA1 + Hetzner DE) — USA (dati in DE) + Hetzner DE
Hetzner Online GmbH — hosting del backend (Falkenstein/Norimberga) — Germania
Molchkragen Media GmbH (formwandler) — sviluppo, gestione, supporto — Germania
Mittwald CM Service GmbH & Co. KG — hosting del sito web — Germania
Cloudflare, Inc. — CDN, protezione DDoS — USA; distribuzione tramite data center nell’UE (Francoforte)
Frisbii Germany GmbH — billing, abbonamenti, KYC — Germania
Sentry (Functional Software, Inc.) — monitoraggio degli errori — USA
Better Stack s.r.o. — gestione dei log, uptime — UE
Capawesome / Genz IT Solutions GmbH — aggiornamenti OTA dell’app — Germania
HubSpot Ireland Limited — CRM, modulo di contatto, chat, prenotazione di appuntamenti — Irlanda/USA
ActiveCampaign LLC — email marketing — USA
Microsoft Ireland Operations Ltd. — email, Teams, OneDrive — Irlanda/USA
Dropbox International — archiviazione di documenti — Irlanda/USA
GitHub, Inc. — repository del codice — USA
GitLab Inc. — repository del codice — USA
Immutable VOF (Oh Dear) — monitoraggio esterno della disponibilità — Belgio
Symplion GmbH — amministrazione IT — Germania
Apple Distribution International Limited — notifiche push iOS, Apple Wallet — Irlanda/USA
Google Ireland Limited — notifiche push Android, Google Wallet — Irlanda/USA
Hotjar Ltd. — registrazione delle sessioni, heatmap — Malta

Contitolari (art. 26 GDPR): Google Ireland Ltd. (Analytics, Ads), Meta Platforms Ireland Ltd. (Pixel, Ads), LinkedIn Ireland Unlimited Company (Insight Tag).

Aggiornamento: novembre 2026
Tapcoat GmbH | Hanauer Landstraße 204 | 60314 Frankfurt am Main | datenschutz@tapcoat.com

Informativa sulla privacy