Informativa privacy

Titolare e ambito

X20 Digital Trust Services S.r.l., Via Luigi Varanini 24, 20127 Milano, P. IVA 12300800963, è titolare del trattamento relativo a taybah.app e alla newsletter/lista d'attesa di Taybah. Contatti: info@x20digitaltrust.com; PEC x20digitaltrust@pec.x20digitaltrust.com.

L'informativa riguarda esclusivamente il sito di presentazione, non il futuro utilizzo del prodotto.

Dati, finalità e basi giuridiche

Trattiamo indirizzo email, iscrizioni selezionate, dichiarazione di avere almeno 18 anni, data della richiesta e della conferma, versione dell'informativa e del consenso, nonché dati tecnici necessari a documentare l'iscrizione e gestire la consegna dei messaggi.

Con il tuo consenso, espresso separatamente per ciascuna finalità, ti inviamo l'avviso di disponibilità (lista d'attesa) e la newsletter di Taybah, che può contenere comunicazioni promozionali. La newsletter non condiziona la lista d'attesa e viceversa. L'iscrizione non attribuisce prenotazioni o priorità di accesso. La base giuridica è il consenso, ai sensi dell'articolo 6, paragrafo 1, lettera a), GDPR e dell'articolo 130 del Codice privacy.

Per funzionamento e sicurezza del sito trattiamo indirizzo IP, informazioni sul browser, richieste e registrazioni degli eventi tecnici. La base giuridica è il legittimo interesse a garantire disponibilità, prevenire abusi e proteggere sistemi e utenti, articolo 6, paragrafo 1, lettera f), GDPR.

Trattiamo eventuali messaggi spontanei per rispondere alle richieste, sulla base del legittimo interesse a gestire i contatti; conserviamo le prove necessarie del consenso e gestiamo i diritti per adempiere agli obblighi GDPR, articolo 6, paragrafo 1, lettera c). L'eventuale difesa di diritti si fonda sul legittimo interesse.

Il modulo non richiede dichiarazioni sull'appartenenza o sulle convinzioni religiose. Non raccoglie scelte alimentari, fotografie o scansioni e non utilizziamo l'iscrizione per desumere convinzioni religiose. L'iscrizione indica un interesse per l'alimentazione halal, non una dichiarazione di religione. Poiché questa associazione può rivelare indirettamente convinzioni religiose, chiediamo il consenso esplicito ai sensi dell'articolo 9, paragrafo 2, lettera a), GDPR, separatamente per ciascuna iscrizione selezionata (lista d'attesa, newsletter): il testo di ogni casella contiene quel consenso. Usiamo questa associazione soltanto per gestire l'iscrizione scelta e inviare le comunicazioni richieste: non deduciamo convinzioni religiose, non arricchiamo il dato, non creiamo profili, non addestriamo sistemi di intelligenza artificiale e non prendiamo decisioni automatizzate significative. Ogni iscrizione, con il relativo consenso esplicito, può essere interrotta separatamente.

Non effettuiamo profilazione né decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi.

Conferimento e doppia conferma

L'iscrizione è facoltativa e non condiziona la consultazione del sito. Email, consenso e conferma sono necessari soltanto per ricevere le comunicazioni richieste. Dopo l'invio del modulo ricevi un'email con un collegamento valido sette giorni: l'iscrizione si attiva solo dopo la conferma. Senza conferma, non inviamo alcun messaggio e cancelliamo la richiesta dai sistemi attivi l'ottavo giorno. Per iscriverti servono l'email, il consenso relativo e la dichiarazione di avere almeno 18 anni.

Destinatari e trasferimenti

Accedono ai dati persone autorizzate da X20 e fornitori incaricati: Supabase per il CRM e per la ricezione del modulo, con database in Irlanda; Google Workspace (Google Ireland Limited) per l'invio delle email di conferma e delle successive comunicazioni relative alle iscrizioni selezionate; Lovable per l'hosting delle sole pagine del sito, che non riceve i dati del modulo. Il modulo trasmette direttamente i dati a Supabase; Google Workspace tratta l'indirizzo email e il contenuto dei messaggi necessari alle iscrizioni selezionate. Operano come responsabili, ai sensi dell'articolo 28 GDPR, per i trattamenti svolti su nostre istruzioni. L'elenco aggiornato dei responsabili e subresponsabili è disponibile su richiesta.

Eventuali trattamenti dei fornitori per finalità proprie sono distinti dagli incarichi svolti per X20 e sono descritti nelle rispettive informative. I dati possono essere comunicati a consulenti per esigenze di tutela e alle autorità quando previsto dalla legge. Non sono diffusi né venduti.

La localizzazione irlandese non esclude trasferimenti extra-SEE: Google può trattare i dati anche negli Stati Uniti (Google LLC aderisce al Data Privacy Framework UE-USA); Supabase ha una controparte contrattuale a Singapore. I servizi di hosting e assistenza possono comportare ulteriori accessi extra-SEE. Anche l'elaborazione dei moduli può avvenire fuori dal SEE. Per i trasferimenti senza decisione di adeguatezza si applicano le clausole contrattuali standard della Commissione europea, con le eventuali misure supplementari necessarie. Puoi richiedere copia delle garanzie ai nostri contatti. Per i trasferimenti soggetti al UK GDPR si applicano, ove pertinenti, la UK Extension al Data Privacy Framework UE-USA oppure le garanzie contrattuali richieste dalla normativa britannica.

Conservazione

Conserviamo le iscrizioni confermate per 24 mesi dalla conferma, salvo revoca anticipata o cessazione del progetto; un ulteriore periodo richiede un nuovo consenso. Le richieste non confermate sono cancellate dai sistemi attivi l'ottavo giorno; la cancellazione comprende le copie dei messaggi di conferma inviati e gli altri dati della richiesta presenti nei sistemi attivi gestiti da X20; i log tecnici e di consegna dopo 30 giorni; la corrispondenza dopo 12 mesi dalla chiusura della richiesta.

Dopo la cessazione conserviamo separatamente, per cinque anni, soltanto le informazioni minime necessarie a documentare consenso e revoca e impedire invii indesiderati, senza utilizzarle per marketing. In presenza di incidenti o controversie conserviamo i soli dati necessari fino alla loro definizione. Le copie di sicurezza sono sovrascritte entro 90 giorni, senza reintrodurre nelle liste i contatti cancellati. Per Google, la cancellazione delle copie residue dai sistemi del fornitore può richiedere fino a 180 giorni dall'istruzione di cancellazione definitiva, secondo il DPA.

Diritti e reclami

Puoi revocare il consenso mediante il collegamento presente in ogni newsletter o scrivendo ai contatti indicati, senza pregiudicare la liceità del trattamento precedente. Puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità, quando applicabili; puoi opporti ai trattamenti fondati sul legittimo interesse per motivi legati alla tua situazione e, in ogni momento, al marketing.

Rispondiamo entro un mese, prorogabile di ulteriori due nei casi previsti dal GDPR, dandone comunicazione entro il primo mese. Puoi proporre reclamo al Garante per la protezione dei dati personali, garanteprivacy.it, oppure all'autorità competente dello Stato UE di residenza abituale, lavoro o presunta violazione, e ricorrere all'autorità giudiziaria.

Minori e aggiornamenti

In questa fase, l'iscrizione è riservata alle persone che hanno compiuto 18 anni. Non chiediamo documenti d'identità nel modulo. Se accertiamo un'iscrizione di un minorenne, interrompiamo le comunicazioni e cancelliamo i relativi dati, salvo quelli strettamente necessari a documentare la gestione della segnalazione.

L'informativa sarà aggiornata quando necessario. Eventuali nuove finalità saranno comunicate prima del trattamento e, quando richiesto, subordinate a un nuovo consenso. Ultimo aggiornamento: 18 settembre 2026.