1. Titolare del trattamento
Il titolare del trattamento dei dati personali raccolti su goodly.be è:
Tenuto conto della natura e della portata dei trattamenti effettuati, la nomina di un Responsabile della protezione dei dati (DPO) non è richiesta. Per qualsiasi domanda relativa ai vostri dati potete scriverci in qualsiasi momento a contact@goodly.be.
Ruoli: titolare o responsabile a seconda dei dati
- Dati degli esercenti e dei visitatori del sito: Goodly agisce in qualità di titolare del trattamento.
- Dati dei clienti finali (i consumatori che utilizzano una carta fedeltà): l'esercente è il titolare del trattamento; Goodly agisce in qualità di responsabile del trattamento ai sensi dell'articolo 28 del GDPR, su istruzione dell'esercente. Gli impegni di Goodly come responsabile sono dettagliati all'articolo 13 delle CGV. Per esercitare i vostri diritti sui dati legati alla vostra carta fedeltà potete rivolgervi all'esercente interessato o a Goodly (articolo 9).
- Dati del personale degli esercenti (dipendenti che utilizzano l'accesso cassa): l'esercente è il titolare del trattamento; Goodly agisce in qualità di responsabile del trattamento, su istruzione dell'esercente.
2. Dati raccolti
a) Esercenti (utenti della piattaforma)
- Identità, indirizzo e-mail e numero di telefono
- Nome e indirizzo dell'esercizio, tipo di attività
- Dati di fatturazione (trattati da Stripe; Goodly non conserva alcun dato della carta di pagamento)
- Dati di accesso (data, indirizzo IP, dispositivo)
- Preferenze (lingua, personalizzazione delle carte, impostazioni del programma)
b) Clienti finali degli esercenti
- Nome e cognome (obbligatori)
- Indirizzo e-mail (obbligatorio)
- Numero di telefono (facoltativo; serve ad abbinare le vendite della cassa collegata)
- Codice PIN della carta fedeltà
- Lingua
- Cronologia di visite, timbri, punti e premi
- Identificativo cliente della cassa collegata (Lightspeed o Shopify), solo se l'esercente ha attivato il collegamento
- Codice di presentazione
- Preferenze di comunicazione (offerte via e-mail o notifica)
- Sulla pagina di aggiunta della carta: paese, tipo di dispositivo e browser (misurazione del pubblico, senza conservazione dell'indirizzo IP)
Geolocalizzazione: Goodly non raccoglie la posizione dei clienti finali. Per le notifiche di prossimità sono le coordinate dell'esercizio a essere inserite nella carta Wallet; il rilevamento della prossimità avviene localmente sul dispositivo (Apple/Google), senza trasmissione della posizione dell'utente a Goodly.
Il programma fedeltà è riservato alle persone di età pari o superiore a 13 anni. Un'informativa dedicata ai clienti finali è disponibile nella pagina programma fedeltà.
c) Personale degli esercenti (dipendenti che utilizzano l'accesso cassa)
- Codice di accesso
- Azioni effettuate (accesso, consultazione di una scheda cliente, timbro, sconto, annullamento, rifiuto)
- Marca temporale, indirizzo IP e dispositivo
- Posizione GPS approssimativa, solo se l'esercente ha attivato il controllo di prossimità
Per questi dati l'esercente è il titolare del trattamento e Goodly agisce in qualità di responsabile del trattamento. L'esercente informa il proprio personale dell'esistenza di questo registro attività (finalità, dati registrati, periodo di conservazione di 90 giorni).
Visitatori del sito goodly.be
- Pagine consultate, provenienza, paese, tipo di dispositivo e browser, tempo di visibilità della pagina, traguardi di riproduzione video e fasi del modulo senza valori inseriti — misurazione interna del pubblico senza identificativo memorizzato sul vostro dispositivo né conservazione dell'indirizzo IP (vedere l'informativa sui cookie)
- Preferenza linguistica
Misurazione facoltativa OpenAI Ads
Con il vostro consenso, Goodly utilizza il pixel OpenAI Ads per misurare le visite attribuibili alle proprie pubblicità. Il pixel funziona solo sulle pagine pubbliche di marketing nelle sei lingue. È assente dalla dashboard, dalle pagine di accesso, registrazione e configurazione dell’account e dalle pagine destinate ai clienti finali (carte fedeltà, pass e carte regalo).
L’unico evento configurato da Goodly è page_viewed (pagina visualizzata). OpenAI riceve l’URL della pagina e la pagina di provenienza (origine e percorso, senza parametri di query o frammenti), informazioni sul browser e sulla connessione, incluso l’indirizzo IP, e identificativi pseudonimi del browser e dei clic pubblicitari. Questi dati non sono anonimi.
Goodly non fornisce esplicitamente dati di contatto al pixel. Tuttavia, la corrispondenza avanzata automatica è attivata nella configurazione OpenAI: dopo il vostro consenso, l’SDK può rilevare i campi dei moduli supportati e sottoporre a hashing nel browser indirizzi e-mail, numeri di telefono, nomi e cognomi prima di inviarli a OpenAI per la corrispondenza pubblicitaria. Anche i campi supportati relativi a paese, città, regione e codice postale possono essere trasmessi, senza hashing. L’hashing non rende anonimi questi dati.
3. Finalità del trattamento
- Fornitura e gestione del servizio di carte fedeltà digitali (carte, timbri, punti, premi, presentazioni)
- Gestione degli account degli esercenti, della fatturazione e dell'assistenza
- Invio di notifiche Wallet legate al funzionamento della carta (timbro, premio, aggiornamento)
- Invio di notifiche geolocalizzate (se attivate dall'esercente)
- Invio di offerte ai clienti finali via e-mail o notifica, anche tramite campagne automatizzate, unicamente con il loro consenso
- Abbinamento delle vendite della cassa collegata (Lightspeed, Shopify) se l'esercente l'ha attivata
- Registro attività dell'accesso cassa (sicurezza e tracciabilità delle operazioni)
- Funzionamento dell'assistente IA e generazione di testi per le campagne
- Invio di e-mail transazionali agli esercenti (sicurezza, fatturazione, codici di verifica)
- Invio di e-mail con consigli e offerte Goodly agli esercenti (con link di disiscrizione)
- Misurazione del pubblico e miglioramento del servizio
- Misurazione facoltativa delle visite attribuibili alle pubblicità Goodly con OpenAI Ads, con il vostro consenso
- Prevenzione delle frodi e sicurezza della piattaforma
Notifiche ed e-mail
- Clienti finali — notifiche di servizio: le notifiche legate al funzionamento della carta (timbro ricevuto, premio disponibile, aggiornamento della carta) sono inviate nell'ambito dell'esecuzione del servizio.
- Clienti finali — offerte: le offerte via e-mail o notifica sono inviate solo con il consenso del cliente (casella da spuntare all'iscrizione), revocabile in qualsiasi momento presso l'esercente o Goodly.
- Esercenti — e-mail transazionali: le e-mail di sicurezza, di fatturazione e i codici di verifica sono inviati nell'ambito del contratto.
- Esercenti — consigli e offerte Goodly: queste e-mail contengono un link di disiscrizione.
4. Base giuridica del trattamento
- Esecuzione del contratto (art. 6.1.b GDPR): trattamento dei dati degli esercenti necessario alla fornitura del servizio (iscrizione, gestione dell'account, fatturazione, assistenza, e-mail transazionali); notifiche di servizio legate al funzionamento della carta.
- Legittimo interesse (art. 6.1.f GDPR): misurazione interna del pubblico senza identificativo memorizzato sul dispositivo, log tecnici e di sicurezza, prevenzione delle frodi, e-mail con consigli agli esercenti clienti (opposizione possibile in qualsiasi momento).
- Consenso (art. 6.1.a GDPR): offerte inviate ai clienti finali via e-mail o notifica, e-mail di marketing, attivazione delle notifiche geolocalizzate; misurazione facoltativa OpenAI Ads e corrispondenza avanzata automatica.
- Dati dei clienti finali e del personale: Goodly agisce su istruzione dell'esercente, titolare del trattamento, che determina la base giuridica applicabile.
- Obbligo legale (art. 6.1.c GDPR): conservazione dei dati di fatturazione conformemente agli obblighi contabili e fiscali belgi.
5. Destinatari e responsabili del trattamento
I dati possono essere condivisi con i seguenti responsabili del trattamento, nel quadro rigoroso della fornitura del servizio:
| Responsabile del trattamento | Paese | Ruolo | Garanzia di trasferimento |
|---|
| Vercel Inc. | Stati Uniti | Hosting del sito e dell'applicazione, CDN | Data Privacy Framework UE-USA |
| Supabase Inc. | Stati Uniti — server nell'Unione europea | Banca dati e autenticazione | Dati ospitati nell'UE; clausole contrattuali tipo |
| Stripe Payments Europe Ltd / Stripe Inc. | Irlanda / Stati Uniti | Pagamenti e fatturazione (certificato PCI DSS) | Data Privacy Framework UE-USA |
| Resend Inc. | Stati Uniti | Invio di e-mail | Clausole contrattuali tipo |
| Anthropic PBC | Stati Uniti | Assistente IA del sito, generazione di testi per le campagne e analisi tecnica del percorso — nessun addestramento dei modelli sui vostri dati | Clausole contrattuali tipo |
| Apple Inc. | Stati Uniti | Apple Wallet (carte e notifiche) | Data Privacy Framework UE-USA |
| Google LLC | Stati Uniti | Google Wallet (carte e notifiche) | Data Privacy Framework UE-USA |
| Lightspeed Commerce Inc. | Canada | Collegamento cassa — solo se l'esercente lo attiva | Decisione di adeguatezza della Commissione europea |
| Shopify International Ltd | Irlanda | Collegamento negozio — solo se l'esercente lo attiva | Unione europea (nessun trasferimento) |
I dati dei vostri clienti sono trasmessi a Lightspeed o Shopify solo se attivate voi stessi il collegamento con la vostra cassa. L'integrazione SumUp è annunciata ma non attiva: ad oggi nessun dato è trasmesso a SumUp e questo elenco sarà aggiornato prima di qualsiasi attivazione.
Goodly non vende né affitta i vostri dati personali. Con il vostro consenso, i dati di misurazione pubblicitaria descritti sopra vengono trasmessi a OpenAI. Il loro utilizzo è descritto nella sua informativa sulla privacy.
6. Trasferimenti al di fuori dell'Unione europea
Alcuni responsabili del trattamento hanno sede al di fuori dell'Unione europea (Stati Uniti, Canada). Tali trasferimenti sono disciplinati da:
- Il Data Privacy Framework UE-USA, per i responsabili che vi sono certificati (Vercel, Stripe, Apple, Google)
- Le clausole contrattuali tipo (CCT) adottate dalla Commissione europea (Resend, Anthropic, Supabase)
- La decisione di adeguatezza della Commissione europea relativa al Canada (Lightspeed)
Goodly si assicura che ogni responsabile del trattamento offra garanzie adeguate conformemente agli articoli da 44 a 49 del GDPR.
I dati inviati al pixel OpenAI possono essere trattati al di fuori dell’Unione europea, anche negli Stati Uniti. L’informativa sulla privacy di OpenAI descrive i trattamenti e le protezioni applicabili ai trasferimenti internazionali.
7. Periodo di conservazione
- Account degli esercenti: conservati finché l'Account esiste. L'esercente può eliminare il proprio Account in qualsiasi momento dalle impostazioni; Goodly non effettua alcuna cancellazione automatica per inattività. I dati di fatturazione sono conservati 10 anni conformemente agli obblighi contabili e fiscali belgi.
- Dati dei clienti finali: conservati finché la carta del cliente esiste; cancellati su richiesta dell'esercente (strumenti del pannello di controllo) o del cliente (articolo 9), oppure insieme all'account dell'esercente.
- Registro attività del personale: 90 giorni.
- Eventi di vendita trasmessi dalla cassa collegata: 24 mesi.
- Codici di verifica: 24 ore.
- Log tecnici e di sicurezza: 12 mesi.
- Misurazione interna del pubblico: 12 mesi, senza indirizzo IP.
- Misurazione OpenAI Ads: la vostra scelta Goodly è valida per 30 giorni; le durate dei cookie e delle archiviazioni sono descritte nell’informativa sui cookie. Tali durate non determinano la conservazione dei dati già ricevuti da OpenAI, descritta nella sua informativa sulla privacy.
8. Diritti degli interessati
Conformemente al GDPR (articoli da 15 a 22), disponete dei seguenti diritti:
- Diritto di accesso: ottenere conferma che i dati che vi riguardano sono trattati e riceverne una copia
- Diritto di rettifica: far correggere i vostri dati inesatti o incompleti
- Diritto alla cancellazione: chiedere la soppressione dei vostri dati, fatti salvi gli obblighi legali di conservazione
- Diritto alla portabilità: ricevere i vostri dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico
- Diritto di opposizione: opporvi al trattamento dei vostri dati fondato sul legittimo interesse
- Diritto di limitazione: chiedere la limitazione del trattamento in determinati casi
- Diritto di revocare il consenso: in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca
9. Esercizio dei diritti
Per esercitare i vostri diritti, inviate un'e-mail a contact@goodly.be precisando la vostra identità e la natura della richiesta. Goodly si impegna a rispondere entro 30 giorni.
Se ritenete che i vostri diritti non siano rispettati, potete presentare reclamo all'Autorità per la protezione dei dati (APD) belga:
10. Cookie
Il sito utilizza cookie funzionali per l’accesso e le vostre preferenze, una misurazione interna del pubblico senza cookie e, solo con il vostro consenso, il pixel OpenAI Ads sulle pagine di marketing. Il banner offre opzioni ugualmente visibili per consentire la misurazione o rifiutarla. Il controllo « Preferenze cookie » sul sito pubblico permette di cambiare scelta o revocare il consenso in qualsiasi momento.
Per maggiori dettagli, consultate la nostra informativa sui cookie.
11. Sicurezza
Goodly adotta misure tecniche e organizzative per proteggere i vostri dati:
- Connessioni cifrate tramite HTTPS/TLS
- Cifratura dei dati sensibili a riposo
- Row Level Security (RLS) per l'isolamento dei dati per esercente
- Accesso limitato ai dati di produzione
- Password sottoposte ad hashing (mai conservate in chiaro)
- Pagamenti gestiti da Stripe (certificato PCI DSS), senza conservazione di dati bancari sui nostri server
12. Intelligenza artificiale
L'assistente disponibile sul sito e nel pannello di controllo è un agente conversazionale automatizzato (intelligenza artificiale) basato sull'API Claude di Anthropic PBC. Gli scambi con l'assistente, così come gli elementi necessari alla generazione dei testi per le campagne, sono trasmessi ad Anthropic per produrre le risposte; sono trattati conformemente agli impegni contrattuali di Anthropic e non sono utilizzati per addestrare modelli.
Su richiesta di un amministratore autorizzato, Anthropic tratta inoltre esclusivamente indicatori funzionali del percorso (numero di pagine, tempo di visibilità della pagina, fasi del modulo e dell’account, categorie di errore e traguardi video) per stabilire la priorità degli aspetti tecnici da verificare. Per questa analisi non vengono trasmessi identificativi del visitatore, URL, indirizzi e-mail o contenuti inseriti. Gli aspetti proposti non costituiscono cause accertate di un’interruzione del percorso.
Conformemente all'articolo 50 del Regolamento europeo sull'intelligenza artificiale (AI Act), le interazioni con un sistema di IA sono chiaramente segnalate come tali nell'interfaccia (assistente « IA »). Le risposte e i suggerimenti dell'assistente sono ausili alla decisione: non hanno valore contrattuale, non vincolano Goodly e non comportano alcuna decisione automatizzata che produca effetti giuridici sulle persone. Fanno fede unicamente i presenti documenti e gli scambi con il team Goodly.
13. Modifica dell'informativa
Goodly si riserva il diritto di modificare la presente informativa sulla privacy in qualsiasi momento. Le modifiche sostanziali saranno comunicate via e-mail. La data dell'ultimo aggiornamento è indicata in cima a questa pagina.
14. Contatti
Per qualsiasi domanda relativa alla protezione dei vostri dati personali: contact@goodly.be