La presente informativa sulla privacy è resa ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (di seguito "GDPR") e del D.Lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali, come modificato dal D.Lgs. 101/2018) a tutti i soggetti che interagiscono con il sito web cartaly.it (di seguito il "Sito").
1. Titolare del trattamento
Il Titolare del trattamento dei dati personali è:
- Nome: Alfredo Cristofano
- Sito web: cartaly.it
- Email di contatto: info@cartaly.it
Per qualsiasi richiesta relativa al trattamento dei dati personali, è possibile contattare il Titolare all'indirizzo email sopra indicato.
2. Tipi di dati raccolti
2.1 Dati di navigazione
I sistemi informatici e le procedure software preposte al funzionamento del Sito acquisiscono, nel corso del loro normale esercizio, alcuni dati personali la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet. Si tratta di informazioni che non sono raccolte per essere associate a interessati identificati, ma che per loro stessa natura potrebbero, attraverso elaborazioni e associazioni con dati detenuti da terzi, permettere di identificare gli utenti. In questa categoria di dati rientrano gli indirizzi IP, il tipo di browser utilizzato, il sistema operativo, il nome di dominio e gli indirizzi dei siti web dai quali è stato effettuato l'accesso o l'uscita, le informazioni sulle pagine visitate all'interno del Sito, l'orario di accesso, la permanenza sulla singola pagina e altri parametri relativi al sistema operativo e all'ambiente informatico dell'utente.
Le funzioni del nostro server (iscrizione alla newsletter e cancellazione, recensioni, chat, notifiche push, registro dei consensi) registrano l'indirizzo IP insieme al numero di richieste arrivate negli ultimi 10 minuti, per bloccare gli invii automatici e gli abusi: le voci più vecchie di due ore vengono cancellate automaticamente ogni notte.
2.2 Dati forniti volontariamente dall'utente
Il Sito prevede un modulo di iscrizione alla newsletter. L'invio facoltativo, esplicito e volontario dell'indirizzo email tramite tale modulo comporta la successiva acquisizione dell'indirizzo del mittente, necessario per rispondere alle richieste e per l'invio della newsletter.
L'iscrizione alla newsletter avviene tramite procedura di doppio opt-in: dopo l'inserimento dell'indirizzo email, l'utente riceve un'email di conferma con un link da cliccare per completare l'iscrizione. Solo dopo la conferma l'indirizzo verrà aggiunto alla lista di distribuzione.
Il link di conferma resta valido 48 ore. Se non confermi l'iscrizione, cancelliamo il tuo indirizzo dai nostri sistemi entro 7 giorni dalla richiesta. Dopo la conferma registriamo la data della conferma, che serve a scandire la sequenza di email della newsletter.
Gli utenti iscritti alla newsletter ricevono una serie di comunicazioni automatizzate (guide, confronti, offerte) secondo un calendario programmato. L'utente può annullare l'iscrizione in qualsiasi momento tramite il link presente in ogni email o scrivendo a info@cartaly.it.
Ogni email che inviamo contiene un link di cancellazione personale e le intestazioni tecniche che permettono di annullare l'iscrizione con un solo clic dal proprio client di posta. Alla cancellazione l'indirizzo viene inserito nella lista di esclusione (blocklist) di Brevo, che blocca ogni invio successivo; la cancellazione integrale del contatto può essere richiesta scrivendo a info@cartaly.it.
Dati raccolti tramite il form newsletter:
- Indirizzo email
Insieme all'indirizzo registriamo in Brevo la pagina da cui ti iscrivi, la carta suggerita dal quiz con la percentuale di affinità, se hai completato il quiz, e l'ultima scheda carta che hai visitato, se hai dato il consenso ai cookie analitici: servono a scegliere le email più adatte a te. Registriamo anche lo stato della conferma e l'ultima email della sequenza che hai ricevuto.
Chi scrive a info@cartaly.it, anche con il modulo della pagina Contatti (che prepara il messaggio nel programma di posta dell'utente, senza inviare nulla ai nostri server), ci comunica indirizzo email, nome e contenuto del messaggio: li usiamo solo per rispondere alla richiesta.
2.3 Cookie e tecnologie di tracciamento
Il Sito utilizza cookie tecnici, analitici e di profilazione. Tra i cookie di terze parti, il Sito può impostare cookie di Meta Pixel (_fbp, _fbc) per remarketing e analisi conversioni, cookie di Google Ads per conversion tracking e, negli articoli che mostrano il banner pubblicitario del negozio Doctor Quality, il pixel di Awin che ne conta le visualizzazioni. Tutti questi strumenti si attivano solo con il consenso ai cookie di marketing.
Google AdSense e Cookie pubblicitari: Fornitori di terze parti, tra cui Google, utilizzano cookie per pubblicare annunci in base alle precedenti visite degli utenti a questo o ad altri siti web. L'utilizzo dei cookie per la pubblicità consente a Google e ai suoi partner di pubblicare annunci per gli utenti in base alla loro visita a questo Sito e/o ad altri siti Internet. Gli utenti possono scegliere di disattivare la pubblicità personalizzata visitando le Impostazioni annunci di Google. In alternativa, puoi disattivare l'uso dei cookie di fornitori di terze parti per la pubblicità personalizzata visitando il sito www.aboutads.info.
Per informazioni dettagliate su tutti i cookie utilizzati, si prega di consultare la nostra Cookie Policy.
2.4 Link di invito e richiesta del conto
La richiesta di un conto o di una carta si compila sul sito dell'emittente, non su Cartaly: documenti, dati sul reddito e dati della carta vanno direttamente all'emittente, che li tratta come titolare autonomo secondo la propria informativa. I pulsanti del Sito portano a una pagina di passaggio di Cartaly e poi al sito ufficiale dell'emittente.
Se un'azienda apre il conto aziendale Revolut Business con il nostro link di invito, Revolut comunica al Titolare informazioni limitate sulla configurazione e sull'attività del conto, come prevedono le condizioni che Revolut mostra nella pagina di registrazione. Cartaly riceve solo queste informazioni.
Solo se l'utente ha prestato il consenso ai cookie analitici, il Sito registra nel browser (localStorage) i click sui link di invito (referral) e invia a Google Analytics quei click e i passaggi dalla pagina di reindirizzamento, per analizzare l'efficacia dei contenuti; le voci salvate nel browser più vecchie di 30 giorni vengono cancellate. Senza consenso questi dati non vengono registrati.
Con lo stesso consenso il Sito invia a Google Analytics alcuni eventi sull'uso delle pagine. Sono le risposte del quiz e l'importo di spesa mensile indicato nel calcolatore, che servono in forma aggregata a capire quali profili di spesa arrivano sul Sito; il termine digitato nella ricerca interna, ridotto a 60 caratteri e scartato quando contiene una chiocciola, quattro cifre di seguito o più di sei parole; l'apertura della chat e l'invio di un messaggio, senza il testo del messaggio; il tentativo di iscrizione alla newsletter, la conferma e la cancellazione, senza l'indirizzo email; la copia di un codice invito, di cui viene registrato solo l'esito e mai il codice; la condivisione di una pagina, di cui vengono registrati il canale scelto (per esempio WhatsApp o Telegram) e la sezione del sito da cui parte, senza alcun dato della persona a cui la invii; il clic sulla barra di annuncio in cima alle pagine, di cui vengono registrati la posizione e la carta a cui rimanda; la comparsa e il clic dei riquadri che propongono una carta, come le tabelle di confronto, la barra in fondo alla pagina e l'avviso che compare quando stai per lasciare il sito, di cui vengono registrati la posizione e la carta; la variante dei test A/B mostrata nella pagina. Senza il consenso ai cookie analitici nessuno di questi eventi parte.
2.5 Notifiche push del browser
Da settembre 2026 il Sito non mostra più la richiesta di attivare le notifiche push. La funzione resta nel codice e può essere riattivata: in quel caso la richiesta compare solo con il consenso ai cookie di marketing, il browser genera un endpoint di sottoscrizione push (push subscription endpoint) che consente l'invio di notifiche, il dato viene trasmesso al nostro server (ospitato su Netlify) e memorizzato con una chiave ricavata dall'hash SHA-256 dell'endpoint. Vengono conservati l'endpoint push, le chiavi crittografiche del browser (p256dh, auth) e la data di iscrizione; la pagina di provenienza non viene più né inviata né conservata. I link contenuti in una notifica portano tre parametri di campagna (utm_source, utm_medium, utm_campaign) che servono a riconoscere in Google Analytics le visite aperte da una notifica. Le iscrizioni raccolte in passato restano valide fino alla cancellazione automatica prevista dai termini di conservazione. L'utente può revocare il permesso in qualsiasi momento tramite le impostazioni del proprio browser o scrivendo a info@cartaly.it.
2.6 Recensioni delle carte
Nelle schede delle carte l'utente può pubblicare una recensione indicando un nome, un voto e un testo, che diventano visibili a tutti: per questo è bene non scrivere nel testo dati personali. Insieme alla recensione conserviamo solo nome, voto, testo e data.
Per bloccare lo spam e gli invii automatici il modulo usa Google reCAPTCHA. Il servizio si carica quando il modulo compare sullo schermo, analizza dati tecnici del dispositivo e della navigazione e imposta il cookie tecnico _GRECAPTCHA; all'invio della recensione il nostro server trasmette a Google, per la sola verifica, anche l'indirizzo IP dell'utente. Dal 2 aprile 2026 Google tratta questi dati come responsabile del trattamento per conto del Titolare, secondo i termini di Google Cloud.
3. Finalità e base giuridica del trattamento
I dati personali sono trattati per le seguenti finalità:
| Finalità | Base giuridica (Art. GDPR) |
|---|---|
| Funzionamento tecnico del Sito e sicurezza informatica | Art. 6.1.f, legittimo interesse |
| Analisi statistica anonima/aggregata del traffico web | Art. 6.1.a, consenso dell'interessato |
| Invio newsletter con aggiornamenti e offerte | Art. 6.1.a, consenso dell'interessato |
| Risposta alle email e alle segnalazioni inviate dall'utente | Art. 6.1.b, richiesta dell'interessato |
| Visualizzazione annunci pubblicitari personalizzati (Google AdSense) | Art. 6.1.a, consenso dell'interessato |
| Remarketing e analisi conversioni (Meta Pixel, Google Ads) | Art. 6.1.a, consenso dell'interessato |
| Misurazione del banner pubblicitario Doctor Quality (Awin) | Art. 6.1.a, consenso dell'interessato |
| Invio notifiche push tramite il browser | Art. 6.1.a, consenso dell'interessato |
| Analisi dei click sui link di invito (referral) | Art. 6.1.a, consenso dell'interessato |
| Pubblicazione delle recensioni inviate dall'utente | Art. 6.1.a, consenso dell'interessato |
| Protezione dallo spam del modulo delle recensioni (Google reCAPTCHA) | Art. 6.1.f, legittimo interesse |
4. Modalità del trattamento
Il trattamento dei dati personali è effettuato mediante strumenti informatici e/o telematici, con modalità organizzative e con logiche strettamente correlate alle finalità indicate. I dati sono trattati adottando le opportune misure di sicurezza volte a prevenire l'accesso non autorizzato, la divulgazione, la modifica o la distruzione non autorizzata dei dati.
Il trattamento è effettuato dal Titolare e/o da soggetti da questi autorizzati e designati quali responsabili del trattamento.
5. Comunicazione e diffusione dei dati
I dati personali raccolti potranno essere comunicati a:
- Google LLC (Google Analytics, Google AdSense): per finalità di analisi statistica del traffico web e visualizzazione di annunci pubblicitari personalizzati. Google tratta i dati anche in qualità di titolare autonomo per i propri scopi, in conformità alla propria Privacy Policy;
- Google reCAPTCHA (servizio di Google Cloud): per la protezione dallo spam del modulo delle recensioni. Dal 2 aprile 2026 Google tratta questi dati come responsabile del trattamento per conto del Titolare, secondo i termini di Google Cloud;
- Google Ads (Google LLC): per conversion tracking e remarketing. Dati trattati: eventi di conversione, cioè il clic su un link di invito, e identificatori dei cookie. Luogo del trattamento: Stati Uniti. Privacy Policy;
- Meta Platforms, Inc.: Facebook/Meta Pixel per remarketing e analisi conversioni. Dati trattati: indirizzo IP, comportamento di navigazione, eventi di conversione. Luogo del trattamento: Stati Uniti. Privacy Policy;
- Awin AG: rete di affiliazione che gestisce il banner pubblicitario del negozio Doctor Quality mostrato in alcuni articoli del blog. Dati trattati: visualizzazioni del banner (solo con il consenso ai cookie di marketing) e click sui link sponsorizzati. Luogo del trattamento: Germania/Unione Europea. Privacy Policy;
- Netlify, Inc.: in qualità di fornitore del servizio di hosting, per il funzionamento tecnico del Sito;
- Brevo (Sendinblue SAS, Francia): per l'invio della newsletter e delle comunicazioni automatizzate, previo consenso dell'utente;
Brevo agisce in qualità di Responsabile del trattamento ai sensi dell'art. 28 del GDPR, sulla base del proprio Data Processing Agreement (DPA): i dati sono ospitati su server nell'Unione Europea, e alcuni sub-responsabili di Brevo possono trattarli negli Stati Uniti o in India sulla base delle Clausole Contrattuali Standard o dell'EU-U.S. Data Privacy Framework.
I dati personali non saranno in alcun caso diffusi a soggetti indeterminati.
6. Trasferimento dei dati extra-UE
Alcuni dei servizi terzi utilizzati dal Sito (in particolare Google, Meta, Netlify e alcuni sub-responsabili di Brevo) possono comportare il trasferimento dei dati personali verso paesi situati al di fuori dello Spazio Economico Europeo (SEE), in particolare gli Stati Uniti d'America, l'India e, per l'assistente in chat, la Cina.
Tali trasferimenti avvengono sulla base di:
- Decisioni di adeguatezza della Commissione Europea (ove disponibili);
- Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46.2.c GDPR;
- EU-U.S. Data Privacy Framework, ove applicabile;
7. Periodo di conservazione dei dati
- Dati di navigazione: conservati per il tempo strettamente necessario alla gestione tecnica del Sito e comunque non oltre 14 mesi dalla raccolta (per i dati di Google Analytics);
- Indirizzi IP per il limite di richieste: cancellati automaticamente ogni notte quando sono più vecchi di due ore;
- Indirizzo email (newsletter): conservato fino alla cancellazione dell'iscrizione da parte dell'utente o alla richiesta di cancellazione;
- Cookie: secondo le durate indicate nella Cookie Policy;
- Dati push subscription: conservati fino alla revoca del permesso da parte dell'utente o alla cancellazione dell'iscrizione. L'endpoint viene rimosso automaticamente dal server in caso di errore di consegna e comunque dopo 180 giorni senza attività;
- Registro dei consensi cookie: per dimostrare il consenso prestato (art. 7.1 GDPR) registriamo lato server la scelta effettuata, la data e la pagina di provenienza, con l'indirizzo IP in forma pseudonimizzata. Conservazione: 3 anni, poi cancellazione automatica;
- Recensioni pubblicate: conservate finché la scheda della carta resta online. Non vengono salvati email o indirizzo IP insieme alla recensione;
- Dati di interazione link referral: registrati solo con il consenso ai cookie analitici e conservati nel browser dell'utente (localStorage), che può cancellarli in qualsiasi momento; le voci più vecchie di 30 giorni vengono eliminate automaticamente.
8. Diritti dell'interessato
Ai sensi degli artt. 15-22 del GDPR, l'utente ha diritto di:
- Accesso (art. 15): ottenere conferma dell'esistenza di un trattamento e accedere ai propri dati;
- Rettifica (art. 16): ottenere la correzione di dati inesatti o l'integrazione di dati incompleti;
- Cancellazione (art. 17): ottenere la cancellazione dei propri dati, nei casi previsti dalla legge;
- Limitazione del trattamento (art. 18): ottenere la limitazione del trattamento nei casi previsti;
- Portabilità (art. 20): ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico;
- Opposizione (art. 21): opporsi in qualsiasi momento al trattamento basato sul legittimo interesse;
- Revoca del consenso (art. 7.3): revocare in qualsiasi momento il consenso precedentemente prestato, senza pregiudicare la liceità del trattamento basata sul consenso prima della revoca.
Per esercitare i propri diritti, l'utente può scrivere a info@cartaly.it. Rispondiamo senza ingiustificato ritardo e comunque entro un mese dalla ricezione della richiesta, come prevede l'art. 12 del GDPR; se la richiesta è complessa o se ne arrivano molte, il termine può essere prorogato di due mesi, e in quel caso lo comunichiamo entro il primo mese spiegando il motivo.
L'utente ha inoltre il diritto di proporre reclamo all'Autorità di controllo competente:
- Garante per la protezione dei dati personali
- Sito web: www.garanteprivacy.it
- Email: protocollo@gpdp.it
- PEC: protocollo@pec.gpdp.it
9. Conferimento dei dati
Il conferimento dei dati di navigazione è necessario per il funzionamento tecnico del Sito. Il conferimento dell'indirizzo email per la newsletter è facoltativo: il mancato conferimento comporta unicamente l'impossibilità di ricevere aggiornamenti via email. Il consenso all'installazione di cookie analitici e di profilazione è facoltativo: il rifiuto non pregiudica la navigazione del Sito.
10. Processo decisionale automatizzato
Il Sito non effettua alcun processo decisionale automatizzato, inclusa la profilazione, ai sensi dell'art. 22 del GDPR, che produca effetti giuridici o incida significativamente sull'interessato.
Il quiz "Quale carta è giusta per te?" presente sul Sito utilizza un algoritmo di raccomandazione basato sulle risposte fornite volontariamente dall'utente. Le risposte al quiz vengono elaborate localmente nel browser per determinare la carta più adatta. Se l'utente si iscrive alla newsletter dopo il quiz, il risultato (carta consigliata) viene memorizzato nel nostro sistema di email marketing (Brevo) per personalizzare le comunicazioni successive. L'utente può richiedere la cancellazione di questi dati in qualsiasi momento scrivendo a info@cartaly.it. Il risultato del quiz ha natura solo informativa e non vincolante.
11. Modifiche alla presente informativa
Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento. Le modifiche e gli aggiornamenti saranno pubblicati su questa pagina con indicazione della data di ultimo aggiornamento. Si invita l'utente a consultare periodicamente questa pagina.
12. Riferimenti normativi
- Regolamento (UE) 2016/679 (GDPR)
- D.Lgs. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali)
- D.Lgs. 10 agosto 2018, n. 101 (Disposizioni per l'adeguamento al GDPR)
- Provvedimento del Garante Privacy del 10 giugno 2021, "Linee guida cookie e altri strumenti di tracciamento"