Lingue: English · Čeština · Deutsch · Español · Français · Italiano · Nederlands · Polski · Português · Română
Questo documento esiste in dieci lingue. La versione inglese è quella di riferimento.

Informativa sulla privacy di cosmetiFULL

Ultimo aggiornamento: 31 ottobre 2026 · Si applica a: la piattaforma cosmetiFULL e tutti i servizi forniti al suo interno

La versione inglese è la versione di riferimento e prevale in caso di divergenza tra le versioni. Per i consumatori, la versione nella lingua in cui hai concluso il contratto prevale a tuo favore dove le due divergano, e dove una clausola non sia chiara prevale l'interpretazione a te più favorevole.

1. Chi siamo, e in quale veste

cosmetiFULL è una piattaforma di servizi digitali per il settore cosmetico, gestita da:

Nicodemo & Signa Company Srl

Strada Lucian Blaga nr. 21, ap. 16, 310023 Arad, Romania

Numero di identificazione IVA / codice unico di registrazione: RO15617609

Numero di iscrizione al Registro del Commercio: J02/809/2003

Email: info@cosmetifull.com

In questa informativa «noi», «ci» e «nostro» indicano Nicodemo & Signa Company Srl.

Non abbiamo lo stesso ruolo per tutti i dati presenti sulla piattaforma, e la differenza è rilevante per te.

• Siamo titolari del trattamento per i dati di account, autenticazione e accesso, per i dati sui crediti prepagati e sugli acquisti, per i dati di fatturazione e contabili, per i log tecnici e di sicurezza della piattaforma e per le nostre comunicazioni con te.
• Siamo responsabili del trattamento per i contenuti che un cliente carica e per i dati personali in essi contenuti. In quel caso il titolare del trattamento è il cliente e noi agiamo sulla base delle sue istruzioni documentate, in forza di un accordo sul trattamento dei dati concluso con lui ai sensi dell'art. 28 del GDPR. L'Articolo 4 di questa informativa spiega che cosa significa in pratica e a chi devi rivolgerti. Su istruzione del cliente (Accordo sul trattamento dei dati, clausola 17) ricaviamo da quei contenuti anche conoscenza aggregata e de-identificata: vedi Articolo 19.

Manteniamo lo stesso ruolo per ogni servizio della piattaforma, presente e futuro. Oggi la piattaforma comprende LabelCheck (revisione delle etichette cosmetiche rispetto alle norme UE, attualmente in beta), ExpertDesk (consulenza professionale generata da un sistema di intelligenza artificiale) e PIFBuilder (preparazione e verifica della documentazione informativa sul prodotto prevista dal regolamento (CE) n. 1223/2009, oggi in prova e solo su invito). ExpertDesk ha una propria informativa, che trovi dentro l'applicazione e che si applica al posto di questa per il contenuto delle sue conversazioni. Anche PIFBuilder ha una propria informativa, che trovi dentro l'applicazione e che si applica al posto di questa per ciò che succede al suo interno. FormulaArchive è in costruzione e non ancora in vendita. Quando sarà disponibile, sarà coperto da questa stessa informativa, salvo che ne pubblichiamo una specifica.

2. Contatto privacy e responsabile della protezione dei dati

Non abbiamo designato un responsabile della protezione dei dati (DPO), perché i nostri trattamenti non rientrano nei casi elencati all'art. 37, paragrafo 1, del GDPR: non siamo un'autorità pubblica, le nostre attività principali non consistono nel monitoraggio regolare e sistematico su larga scala di persone, e non trattiamo categorie particolari di dati su larga scala.

Per qualsiasi domanda su questa informativa o sui tuoi dati, scrivi a info@cosmetifull.com. È il nostro unico punto di contatto pubblico per le questioni privacy.

3. A chi si applica questa informativa

Questa informativa si applica a tutte le persone i cui dati personali sono trattati da noi, e in particolare a:

• clienti professionali: imprese, professionisti e i loro utenti autorizzati;
• consumatori: persone fisiche che acquistano per finalità estranee alla propria attività commerciale, industriale, artigianale o professionale;
• persone nominate all'interno dei documenti che un cliente carica, per le quali l'Articolo 4 spiega la posizione;
• autori di cosmetiLEARN, per i quali l'Articolo 7.12 spiega che cosa trattiamo della loro pagina pubblica;
• chi segnala una pagina di cosmetiLEARN, per cui l'Articolo 7.13 spiega che cosa facciamo della segnalazione.

Dove una regola vale solo per i consumatori, lo indichiamo. L'Articolo 22 raccoglie i punti che riguardano specificamente i consumatori.

4. Dove siamo responsabili del trattamento, e non titolari

Buona parte di ciò che passa dalla piattaforma non è un nostro dato e non è trattato per finalità nostre. Quando un produttore, un consulente o un valutatore della sicurezza carica un artwork di etichetta, una formulazione o un dossier, quel materiale può contenere nomi di persone: la persona responsabile stampata su una confezione, un contatto tecnico, un valutatore della sicurezza che firma un documento.

Per quei dati:

• il titolare del trattamento è il cliente che li carica. È lui a decidere perché sono trattati e che cosa ne viene fatto.
• noi siamo responsabili del trattamento. Li trattiamo solo per eseguire le funzioni che il cliente richiede, sulla base delle sue istruzioni documentate e, oltre a quelle, solo per ricavare la conoscenza aggregata che il cliente autorizza con la clausola 17 dell'Accordo sul trattamento dei dati (Articolo 19).
• Il rapporto è regolato dall'Accordo sul trattamento dei dati allegato alle nostre Condizioni generali di contratto, che contiene quanto richiesto dall'art. 28, paragrafo 3, del GDPR, compreso l'elenco dei sub-responsabili e il preavviso che ricevi prima che uno di essi cambi.

Le persone coinvolte sono l'organizzazione cliente e i membri che autorizza nel proprio account aziendale, secondo i ruoli disponibili nella piattaforma (Condizioni generali di contratto, Articolo 6). Chi entra e con quale ruolo lo decide l'organizzazione all'interno della piattaforma.

Se sei nominato in un documento caricato da un nostro cliente, l'obbligo di informarti ai sensi degli artt. 13 e 14 del GDPR spetta a quell'organizzazione, non a noi, perché è l'organizzazione ad avere il rapporto con te e a decidere che cosa fare dei tuoi dati. Se ci scrivi per esercitare un diritto su quei dati, non decidiamo noi sulla richiesta: la trasmettiamo all'organizzazione senza indebito ritardo e la aiutiamo a risponderti, come richiede l'art. 28, paragrafo 3, lettera e), del GDPR. Indicaci a quale impresa appartiene il documento e la indirizzeremo.

Il resto di questa informativa descrive i dati per i quali noi siamo titolari del trattamento, salvo dove indicato diversamente.

5. Quali dati trattiamo

5.1 Dati di account

Nome, indirizzo email, ragione sociale dove applicabile, password conservata come hash, ruolo all'interno di un account aziendale, lingua e preferenze di interfaccia, la tua scelta sulla conoscenza ricavata (Articolo 19), data di registrazione.

Se il titolare di un account aziendale ti aggiunge al team della sua azienda, il tuo nome e il tuo indirizzo email li riceviamo dal titolare, non da te. Li usiamo per inviarti l'invito (Articolo 7.11) e, una volta che hai scelto una password, come dati di account descritti sopra.

Se inserisci un codice quando chiedi l'accesso (per esempio un codice stampato in un libro, o un codice già compilato dal link che hai seguito), il codice che hai inserito. Se sei intestatario di un codice, il codice stesso, il cui testo può essere il tuo nome.

Se chiedi l'accesso dal nostro sito, la pagina del nostro sito da cui è partita la tua richiesta; e, se il link che hai seguito contiene i dati di una campagna, per esempio quando proviene da uno dei nostri annunci pubblicitari, quei dati: la sorgente, il mezzo, la campagna e l'annuncio.

5.2 Contenuti che carichi (per questi siamo responsabili del trattamento, vedi Articolo 4)

Gli artwork di etichetta, i testi, le formulazioni e la documentazione di prodotto che carichi, le analisi e i documenti salvati nel tuo account, e i tuoi messaggi nella chat di chiarimento.

Le immagini che carichi per un'analisi sono trattate per produrre il risultato e non vengono conservate: quello che resta nel tuo account è l'analisi, il suo riepilogo, le versioni e i tuoi messaggi. Anche i documenti che alleghi a una dichiarazione sono trattati per produrre il risultato e oggi non vengono conservati: lo saranno solo a partire dal momento in cui la funzione di allegato è attiva nel servizio, e da allora finché non li cancelli o finché l'account non viene cancellato. I file che alleghi a un messaggio di feedback vengono conservati.

Non chiediamo categorie particolari di dati personali e non dovresti caricarne.

5.3 Dati di acquisto e fatturazione

Questa categoria esiste perché la piattaforma è a pagamento. Trattiamo:

• per i clienti professionali: ragione sociale, indirizzo di fatturazione, Paese, numero di identificazione IVA o codice identificativo fiscale;
• per i consumatori: nome e indirizzo di fatturazione;
• l'esito della verifica del numero di identificazione IVA descritta all'Articolo 15, compreso il caso in cui il sistema non abbia potuto rispondere;
• gli elementi usati per determinare il tuo Paese ai fini IVA, cioè l'indirizzo di fatturazione che ci comunichi e l'indirizzo IP dell'acquisto, come richiede l'articolo 24 ter del regolamento di esecuzione (UE) n. 282/2011;
• i dati di acquisto: data, quantità di crediti acquistati, importo, valuta, trattamento IVA applicato;
• il saldo crediti e lo storico dei consumi sui servizi della piattaforma;
• numero di fattura, data della fattura e copia della fattura;
• l'identificativo della transazione e, dove applicabile, l'identificativo del rimborso ricevuto da Stripe;
• per i consumatori: la registrazione della richiesta espressa di esecuzione immediata e della presa d'atto resa ai sensi dell'Articolo 34 delle Condizioni generali di contratto, e la registrazione di ogni dichiarazione di recesso che ci invii.

Gli elementi di fatturazione non sono facoltativi. Sono ciò che la legge fiscale impone di riportare in fattura (art. 319 della legge n. 227/2015, il Codice tributario rumeno).

5.4 Dati della carta di pagamento

Non trattiamo i dati delle carte di pagamento. Vedi Articolo 6.

5.5 Dati di utilizzo e dati tecnici

Log necessari a far funzionare e a mettere in sicurezza la piattaforma: marche temporali, indirizzo IP, user agent, metadati delle richieste, log di errore, registrazioni di utilizzo per account, eventi di sicurezza.

Se hai accettato il pixel di Meta sul nostro sito, i passi descritti all'Articolo 7.14 partono dal tuo browser verso Meta quando usi la nostra pagina d'iscrizione. Noi non ne riceviamo nessuno.

5.6 Comunicazioni

I messaggi che ci invii tramite il canale di feedback nell'applicazione e via email, compresi i file che vi alleghi, e le nostre risposte.

Questa categoria comprende anche i dati che ci fornisci quando ci chiedi di ricontattarti sul piano Enterprise: il tuo nome, il tuo indirizzo email, il nome della tua azienda, il tuo numero di telefono e, se lo aggiungi, il tuo messaggio.

6. Che fine fanno i dati della tua carta

Il pagamento avviene su una pagina di pagamento ospitata da Stripe. Il numero della carta, la data di scadenza e il codice di sicurezza sono raccolti da Stripe direttamente sui sistemi di Stripe. Non transitano mai dai nostri sistemi, non li vediamo mai e non li conserviamo mai.

Per ogni pagamento riceviamo solo l'esito (riuscito, non riuscito, rimborsato), l'identificativo della transazione e gli elementi che ci servono per emettere la fattura.

7. Perché trattiamo i tuoi dati, e su quale base giuridica

7.1 Per fornire la piattaforma ed eseguire il contratto con te

Base giuridica: art. 6, paragrafo 1, lettera b), del GDPR (esecuzione di un contratto).

Creazione e gestione del tuo account e dell'account aziendale; esecuzione dei servizi che richiedi; salvataggio di analisi e documenti nel tuo account; funzionamento della chat e delle traduzioni che richiedi; vendita e accredito dei crediti prepagati; incasso del prezzo; scalo dei crediti man mano che usi i servizi; gestione dei rimborsi dei crediti non consumati; messaggi di servizio collegati al tuo acquisto, come la conferma del contratto.

7.2 Per emettere le fatture, tenere la contabilità e trasmettere i dati all'amministrazione finanziaria

Base giuridica: art. 6, paragrafo 1, lettera c), del GDPR (adempimento di un obbligo legale), con l'obbligo indicato per nome:

• emissione della fattura e suo contenuto obbligatorio: art. 319 della legge n. 227/2015 (Codice tributario rumeno);
• tenuta delle scritture contabili e dei documenti giustificativi: artt. 23 e 25 della legge sulla contabilità n. 82/1991;
• conservazione delle copie delle fatture emesse e ricevute: art. 319, commi da (31) a (35), della legge n. 227/2015;
• trasmissione della fattura tramite il sistema nazionale RO e-Factura per le operazioni con luogo della prestazione in Romania: OUG n. 120/2021, estesa al B2B dalla legge n. 296/2023 e al B2C dall'OUG n. 69/2024;
• conservazione della prova che le informazioni precontrattuali sono state fornite e che un consumatore ha chiesto espressamente l'esecuzione immediata, che è la prova che dobbiamo essere in grado di produrre ai sensi della normativa a tutela dei consumatori.

Questo trattamento prosegue anche se chiudi il tuo account. Vedi Articolo 17.

7.3 Per determinare il tuo trattamento IVA e verificare il tuo numero di identificazione IVA

Base giuridica: art. 6, paragrafo 1, lettera c), del GDPR (adempimento di un obbligo legale).

L'obbligo consiste nel determinare il luogo della prestazione e il trattamento IVA dell'operazione e nel conservare la prova della tua qualità di soggetto passivo e del tuo Paese: articoli 44 e 59 quater della direttiva 2006/112/CE e articolo 24 ter del regolamento di esecuzione (UE) n. 282/2011, recepiti nella legge n. 227/2015 (Codice tributario rumeno). Vedi l'Articolo 15 per il funzionamento della verifica.

7.4 Per prevenire le frodi sui pagamenti e gli abusi sui crediti prepagati

Base giuridica: art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse).

Il nostro legittimo interesse, dichiarato in modo esplicito come richiede l'art. 13, paragrafo 1, lettera d), del GDPR, è prevenire i pagamenti fraudolenti, l'uso non autorizzato della carta altrui e l'abuso dei crediti prepagati, a tutela nostra e dei nostri clienti. Vi rientra il controllo automatizzato su un acquisto descritto all'Articolo 9. I controlli antifrode sulla transazione di pagamento in sé sono svolti da Stripe con strumenti propri e secondo regole proprie, come spiegato all'Articolo 12.

7.5 Per mantenere la piattaforma sicura e funzionante

Base giuridica: art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse).

Il nostro legittimo interesse è mantenere il servizio disponibile, sicuro e funzionante: log di sicurezza, prevenzione degli abusi, diagnosi degli errori e pianificazione della capacità.

7.6 Per ricavare conoscenza aggregata dall'uso della piattaforma

Base giuridica: art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse).

Il nostro legittimo interesse è rendere più precisi i controlli, far crescere la nostra base di conoscenza e, in futuro, pubblicare analisi di settore. Che cosa ricaviamo, da quali dati e con quali limiti è descritto all'Articolo 19. Puoi escluderti con un clic dalle preferenze del tuo account, e puoi anche opporti ai sensi dell'Articolo 21.

7.7 Per classificare il feedback che ci invii

Base giuridica: art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse).

Il nostro legittimo interesse è fare in modo che una reale correzione regolatoria segnalata da un utente non vada persa tra i messaggi. Come funziona, e il ruolo del nostro fornitore di intelligenza artificiale, è descritto all'Articolo 8.

7.8 Per costruire la nostra libreria di casi completi

Base giuridica: art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse).

Un estratto della documentazione informativa sul prodotto entra nella libreria solo quando un valutatore della sicurezza approva quello specifico estratto, dopo che ne sono stati tolti i nomi, i dati di contatto e tutto ciò che permette di riconoscere il prodotto, e dopo la verifica di un esperto indipendente. Il nostro legittimo interesse è una libreria di casi reali e verificati che rende i servizi più affidabili per tutti. Se in un estratto approvato resta un dato personale, lo togliamo appena ce ne accorgiamo. I contenuti riutilizzati prima del 3 ottobre 2026 si basano sui consensi scritti separati dati durante la beta, che si possono sempre revocare scrivendo a info@cosmetifull.com.

7.9 Per risponderti

Base giuridica: art. 6, paragrafo 1, lettere b) e f), del GDPR.

Risposte ai tuoi messaggi e ai tuoi feedback, e comunicazioni operative sul servizio.

Quando ci chiedi di ricontattarti sul piano Enterprise, usiamo quei dati solo per chiamarti o risponderti per iscritto su quella richiesta. La base giuridica è l'art. 6, paragrafo 1, lettera b), del GDPR (misure precontrattuali adottate su tua richiesta) e, quando agisci per conto di un'azienda, l'art. 6, paragrafo 1, lettera f), del GDPR (il nostro legittimo interesse a rispondere a una richiesta commerciale): a questo trattamento puoi opporti come indicato all'Articolo 21. Non usiamo quei dati per finalità di marketing.

Non usiamo il consenso come base giuridica, salvo i consensi scritti dati durante la beta per i contenuti riutilizzati prima del 3 ottobre 2026 (Articolo 7.8) e per il pixel di Meta sulla nostra pagina d'iscrizione, che parte solo se l'hai accettato sul nostro sito (Articolo 7.14). In particolare non lo usiamo per la fatturazione, la contabilità o la prevenzione delle frodi, perché quel trattamento non può interrompersi su richiesta: ci è imposto dalla legge o è necessario a proteggere il servizio.

7.10 Per applicare i codici che inserisci e sapere quali canali ci portano clienti

Base giuridica: art. 6, paragrafo 1, lettera b), del GDPR (misure precontrattuali adottate su tua richiesta ed esecuzione del contratto) per applicare la promozione legata a un codice che hai scelto di inserire (Articolo 23 delle Condizioni generali di contratto); art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse) per il resto del trattamento qui descritto.

Il nostro legittimo interesse è sapere quali autori, partner e campagne ci portano clienti, seguire la relazione con ciascuna azienda cliente, e accreditare all'intestatario di un codice i crediti pattuiti con lui. Registriamo con quale codice è entrata la tua azienda, per azienda e non per persona, e se in seguito quell'azienda ha usato o acquistato crediti. Registriamo anche la campagna e l'annuncio che hanno portato da noi la tua azienda, e la pagina del nostro sito da cui è partita la tua richiesta, così come risultano dal link che hai seguito. Esaminiamo il codice o la campagna azienda per azienda, per seguire la relazione con ciascun cliente, e nel complesso, per misurare quanto vale ogni codice e ogni campagna. Esaminiamo anche come ogni azienda usa la piattaforma (quando si è registrata, il tipo di attività che annotiamo, la sua prima analisi, quanto usa i servizi, quanto ha pagato) per seguire la relazione con ciascun cliente e capire quali canali ci portano clienti che vi trovano valore. Quando una richiesta fatta con un codice viene approvata, l'intestatario di quel codice può ricevere crediti. All'intestatario non diciamo il tuo nome, la tua azienda, il tuo indirizzo email né nulla di ciò che fai sulla piattaforma, ma l'intestatario può vedere quando arrivano quei crediti. Se sei intestatario di un codice, il suo testo può essere il tuo nome: ritiriamo il codice e ne cancelliamo il testo quando viene chiuso l'account della tua azienda, o prima se ce lo chiedi. Al trattamento basato sul nostro legittimo interesse puoi opporti come indicato all'Articolo 21, indipendentemente dall'interruttore descritto all'Articolo 19.

7.11 Per inviarti l'invito di un'azienda che ti aggiunge al suo team

Base giuridica: art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse).

Il nostro legittimo interesse, che è anche quello dell'azienda, è permettere a un cliente di dare alle persone che lavorano con lui l'accesso al servizio che usa. Solo il titolare dell'account aziendale può aggiungere qualcuno, ed è il titolare a comunicarci il nome e l'indirizzo email di quella persona. Li usiamo solo per inviare l'invito, che indica l'azienda e la persona che ti ha aggiunto. Se non scegli una password entro 30 giorni dall'ultimo invito, cancelliamo il tuo nome e il tuo indirizzo email. Una volta scelta la password, il tuo account è trattato come ogni altro account descritto in questa informativa. Puoi ignorare l'invito, perché senza la tua password nessun account viene attivato, e puoi opporti come indicato all'Articolo 21.

7.12 cosmetiLEARN, se sei un autore

Base giuridica: art. 6, paragrafo 1, lettera b), del GDPR (esecuzione di un contratto, cioè l'accordo con te come autore, e, prima che approviamo la tua conferma, misure precontrattuali adottate su tua richiesta) per pubblicare la tua pagina, per presentarti nelle altre parti di cosmetiLEARN e nei nostri canali, per le modifiche che fai a mano o con l'assistente, per le richieste di un libro nuovo, per le versioni nelle altre lingue e per registrare la tua conferma dell'accordo; art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse) per la prima versione della tua pagina e l'anteprima che vedi prima di accettare, i controlli automatici, la storia delle versioni, il riepilogo giornaliero, i post che restano online dopo la fine dell'accordo, l'impronta di una pagina cancellata, la registrazione della tua conferma dopo la fine dell'accordo o dopo un nostro rifiuto, il conteggio dei clic sui link di acquisto della tua pagina e l'invito a confermarlo.

cosmetiLEARN presenta sul nostro sito, in dieci lingue, gli autori di libri di scienza cosmetica. Se ti abbiamo invitato come autore, trattiamo i dati della tua pagina: nome, ruolo, biografia, i tuoi canali, la tua foto, i dati dei tuoi libri (descrizioni, ISBN, editore, pagine, data, link di acquisto, copertine e didascalie), le modifiche che fai e la loro storia, e le richieste di un libro nuovo. La prima versione della tua pagina la prepariamo noi, con quello che ci dai e con quello che raccogliamo dalle tue pagine pubbliche e da altre fonti accessibili online, e te la mostriamo in anteprima con l'invito a confermare l'accordo; nel primo messaggio che ti mandiamo e nell'anteprima trovi il collegamento a questa informativa. Finché non accetti l'accordo, prepariamo e ti mostriamo la pagina per il nostro legittimo interesse a proportela. Le fonti sono per esempio il tuo sito, le pagine dei tuoi editori e le pagine pubbliche dei tuoi libri; se ce lo chiedi, ti diciamo da dove viene ogni elemento. Se ci dici che non ti interessa, o se la pagina non va online, la cancelliamo dai file del nostro sito, con le immagini e i testi raccolti, entro un mese dalla tua risposta o dalla scadenza del link dell'anteprima; se a quel punto la tua conferma aspetta ancora la nostra decisione, entro un mese dalla decisione o, se non decidiamo mai, dalla scadenza della sua registrazione. Ne resta una copia nella storia del repository privato del codice del nostro sito su GitHub, che cancelliamo entro un mese da quando ce lo chiedi. Il tuo account è un normale account della piattaforma (Articolo 5.1); l'accesso alla tua pagina lo accendiamo e lo spegniamo noi.

• La conferma dell'accordo. L'Accordo con gli autori di cosmetiLEARN, e le Condizioni generali che richiama, li accetti con il bottone con cui confermi la tua pagina, nella pagina in cui entri nel tuo account o ne crei uno, come ti diciamo accanto al bottone. Nell'invito possono esserci già il tuo nome e il tuo indirizzo email, per precompilare il modulo: restano nell'invito solo finché è aperto, e li cancelliamo prima se chiedi di cancellare i tuoi dati o il tuo account. Quando accetti, registriamo chi ha confermato (nome, indirizzo email, account e identificativo della pagina), quando, quale versione di ciascuno dei tre testi e, quando arrivi dal bottone dell'anteprima, l'impronta (hash) della pagina che hai visto, immagini comprese: questa registrazione è la prova del nostro accordo. Se crei un account nuovo, ti mandiamo un'email con un link che vale 72 ore: un clic conferma che sei tu, ed è in quel momento che registriamo la tua accettazione; fino ad allora teniamo il tuo nome, il tuo indirizzo email, il paese, l'azienda se l'hai scritta e ciò che serve a registrare la conferma. La password la scegli quando la tua pagina è online, dal link dell'email che te lo dice, che vale 72 ore; dopo, «Password dimenticata?» nella pagina di accesso. Ne avvisiamo i nostri amministratori con un avviso a testo fisso (Articolo 11.2) e con un'email, inviata tramite Amazon SES alla nostra casella email aziendale, che contiene il tuo nome, il tuo indirizzo email, l'identificativo della tua pagina e lo stato del tuo account e che resta nella casella finché non la cancelliamo a mano, anche su tua richiesta; uno degli amministratori approva o rifiuta poi la pubblicazione della pagina. Dopo la fine dell'accordo, o se rifiutiamo la conferma, conserviamo la registrazione per il nostro legittimo interesse all'accertamento, all'esercizio o alla difesa di un diritto in sede giudiziaria, per i tempi indicati all'Articolo 17 di questa informativa. Se chiedi di cancellare i tuoi dati o il tuo account, dalla registrazione si cancellano nome, indirizzo email, collegamento all'account e identificativo della pagina, e fino a quelle stesse scadenze vi restano solo le impronte (hash) del tuo indirizzo email, dell'identificativo della pagina e della pagina che hai visto, come consente l'art. 17, paragrafo 3, lettera e), del GDPR: un'impronta non contiene il dato, ma chi potesse leggere il nostro database e conoscesse già il dato potrebbe riconoscerla. Se rifiutiamo la conferma, nella registrazione annotiamo anche il motivo, che resta fino alle stesse scadenze e si cancella insieme al tuo nome se chiedi di cancellare i tuoi dati o il tuo account.
• L'account nato dal modulo. L'account che crei dal modulo non si può usare finché non approviamo la tua conferma. Se non ha altri usi (un servizio di cosmetiFULL chiesto a parte, un'azienda che ti ha aggiunto al suo team o un'altra conferma), lo cancelliamo insieme alla sua richiesta di accesso, se è ancora aperta: al rifiuto, subito; 13 mesi dopo la tua accettazione, se la conferma non viene mai decisa; entro 7 giorni dall'ultimo link di conferma che ti abbiamo mandato (quando invii il modulo o chiedi un link nuovo), se non confermi il tuo indirizzo email con quel link o se la conferma non si può registrare (per esempio perché nel frattempo l'invito si è chiuso o è scaduto); in quel caso non registriamo nessuna conferma e cancelliamo negli stessi 7 giorni anche i dati che hai scritto nel modulo (nome, paese, azienda), anche se l'account resta. Al rifiuto la richiesta di accesso nata con la conferma la cancelliamo anche se l'account resta. Il registro d'invio del nostro servizio email conserva l'indirizzo a cui abbiamo scritto per 12 mesi dalla data dell'invio, come per ogni email che mandiamo (Articolo 17). La registrazione della tua conferma resta per i tempi dell'Articolo 17.
• Dove ti presentiamo. Oltre che sulla tua pagina, con il tuo nome, la tua foto, la tua biografia e i tuoi libri ti presentiamo nelle altre parti di cosmetiLEARN sul nostro sito, per esempio in home page, e nei nostri canali: post, newsletter ed eventi, sempre per parlare di cosmetiLEARN. Le piattaforme su cui pubblichiamo i post trattano ciò che vi pubblichiamo come titolari autonomi del trattamento, secondo le proprie regole.
• Le modifiche, a mano o con l'assistente. Modifichi la pagina a mano, campo per campo, oppure scrivendo a un assistente, che è un sistema di intelligenza artificiale e non una persona. Se usi l'assistente, i tuoi messaggi e i valori della tua pagina arrivano al nostro fornitore di intelligenza artificiale (Anthropic) alle condizioni dell'Articolo 8; il tuo indirizzo email e i dati del tuo account no. La conversazione non la conserviamo: resta nel tuo browser finché tieni aperta la pagina. Di ogni modifica, a mano o con l'assistente, conserviamo la proposta, cioè il valore di prima e quello di dopo, da dove viene, l'esito dei controlli e il momento. Di ciascuna conserviamo anche chi l'ha proposta (l'identificativo del tuo account, non il nome né l'indirizzo email) e se è partita dall'assistente o dalla matita, cioè a mano. Le proposte non confermate si cancellano dopo 24 ore; quelle confermate restano nella storia della pagina finché la pagina esiste, e si cancellano con lei.
• Online da sola, dopo i controlli. Quando confermi una modifica, va online da sola se passa i controlli automatici: forma e lunghezza, collegamenti solo verso siti ammessi, cifra di controllo dell'ISBN, nessuna frase che presenti cosmetiFULL come garante tuo o del libro, nessuna promessa di salute o di risultato, e solo temi di cosmetica. L'ultimo controllo, anche sulle modifiche a mano, lo fa un classificatore del nostro fornitore di intelligenza artificiale, e se il classificatore non risponde la modifica non va online. Il nostro legittimo interesse è che le pagine pubbliche restino corrette, lecite e dedicate alla cosmetica.
• Un libro nuovo. Puoi chiederci di aggiungere un tuo libro, con titolo, sottotitolo, lingua, ISBN, editore, il collegamento alla pagina del libro presso l'editore e i link di acquisto. La richiesta non va online: la ricevono i nostri amministratori, che verificano il libro e la sua scheda presso l'editore e la accettano o la rifiutano. Quando decidiamo, ti mandiamo un'email all'indirizzo del tuo account con l'esito e, se la rifiutiamo, il motivo; l'esito lo vedi anche nella tua area, dove una richiesta rifiutata la puoi correggere e rimandare. Se la accettiamo, il libro per la tua pagina lo prepariamo noi: quando è online lo vedi nella tua area d'autore, e da lì lo modifichi come gli altri libri. Conserviamo la richiesta, con la nostra decisione, al più 13 mesi dalla decisione (dalla richiesta, se non è mai stata decisa); prima, se ci chiedi di cancellare la tua pagina d'autore o il tuo account.
• Le altre lingue. Le versioni nelle altre nove lingue le scrive in automatico un sistema di intelligenza artificiale, e un controllo automatico verifica i termini tecnici e di legge. Finché una lingua non passa il controllo, in quella lingua resta la versione precedente.
• La storia delle versioni. Conserviamo ogni versione di ogni campo finché la pagina esiste. Il nostro legittimo interesse è poter tornare a una versione precedente se qualcosa è sbagliato, e poter spiegare che cosa è stato pubblicato e perché.
• Il riepilogo giornaliero. Una volta al giorno gli amministratori della piattaforma ricevono per email, tramite Amazon SES, l'elenco delle modifiche pubblicate, con un breve estratto del prima e del dopo, se ciascuna è stata fatta a mano o con l'assistente, e il collegamento per rimettere la versione precedente. È un'informazione, non un'approvazione. Il nostro legittimo interesse è sapere che cosa è andato online senza che una persona lo abbia visto prima. Nello stesso riepilogo ci sono le richieste di un libro nuovo in attesa, con l'identificativo della tua pagina, il titolo e la lingua del libro come li hai scritti, il momento dell'invio e il collegamento al pannello di amministrazione: servono a darvi seguito, e non contengono i dati del tuo account, l'ISBN, i link né l'editore.
• I clic sui link di acquisto. Sulla tua pagina contiamo quante volte viene cliccato ciascun link di acquisto: per ogni giorno, libro e negozio, solo il numero. Del lettore non registriamo niente: nessun indirizzo IP, nessun cookie, nessun identificativo. I conteggi servono solo a noi e non li vedi nella tua area. Il nostro legittimo interesse è sapere se i link della tua pagina portano lettori ai negozi.
• Moderazione, motivazione e contestazione. I controlli e il classificatore sono strumenti automatici di moderazione dei contenuti ai sensi dell'art. 14, paragrafo 1, del regolamento (UE) 2022/2065 (regolamento sui servizi digitali), e i nostri amministratori li affiancano con la verifica umana: possono rimettere la versione precedente di un campo in una lingua, oppure sospendere un campo o l'intera pagina. La sospensione congela le tue modifiche: finché dura, le tue modifiche a quel campo o alla pagina non vanno online, e sul sito resta la versione di partenza, quella che abbiamo preparato noi per il sito. La sospensione non toglie la pagina dal sito: togliere una pagina dal sito è una decisione a parte, che ha effetto quando ripubblichiamo il sito senza quella pagina. Se un controllo ferma una modifica, te ne dice subito il motivo. Se limitiamo un contenuto già pubblicato, ti mandiamo una motivazione ai sensi dell'art. 17 dello stesso regolamento: che cosa abbiamo fatto, perché, su quali fatti, se abbiamo usato strumenti automatici e come contestarlo. Per contestare scrivi a info@cosmetifull.com, e la decisione la riesamina una persona. Le segnalazioni dei lettori sulla tua pagina arrivano prima a noi (Articolo 7.13), e te ne parliamo senza i dati di contatto di chi ha segnalato.
• Togliere la pagina. Puoi chiederci di togliere la tua pagina, o tutto ciò che la riguarda, scrivendo a info@cosmetifull.com. Togliamo la pagina in tutte le lingue ripubblicando il sito senza di essa e senza di te nelle altre parti di cosmetiLEARN, cancelliamo i valori, la loro storia, le proposte, le richieste di un libro nuovo, le traduzioni in attesa e le misure di funzionamento collegate alla pagina, e chiediamo ai motori di ricerca di aggiornare i risultati. Una copia della pagina, l'istantanea da cui si costruisce il sito, è conservata con la sua storia anche nel repository privato del codice del nostro sito su GitHub: lì la cancelliamo e riscriviamo quella storia entro un mese. Su richiesta, cancelliamo a mano dalle caselle degli amministratori le email del riepilogo che ti riguardano. La registrazione della rimozione, con uno pseudonimo al posto del tuo nome, si cancella entro 13 mesi. Per 13 mesi teniamo anche un'impronta (hash) dell'identificativo della tua pagina: ci impedisce di ricrearla per errore e, finché il sito non è ripubblicato senza la pagina, fa rispondere al sito, in ogni lingua, che la pagina è stata rimossa. Quando il sito ci chiede quella pagina, insieme all'impronta annotiamo soltanto la data dell'ultima richiesta del sito. Se allo scadere dei 13 mesi il sito ce l'ha chiesta negli ultimi 30 giorni, impronta e data restano finché il sito continua a chiederla, e le cancelliamo 30 giorni dopo l'ultima richiesta del sito. L'impronta non contiene il tuo nome, ma chi potesse leggere il nostro database e indovinasse l'identificativo, che nasce dal tuo cognome, capirebbe che quella pagina è stata cancellata. Teniamo impronta e data per il nostro legittimo interesse a portare a termine la tua richiesta di cancellazione e a impedire che la pagina venga pubblicata di nuovo. Le email che ti abbiamo mandato restano nel registro d'invio per 12 mesi (Articolo 17). Le copie di backup non esistono più entro 30 giorni, e nemmeno quanto conservato dal nostro fornitore di intelligenza artificiale, salvo il periodo più lungo che il fornitore applica ai casi di violazione della sua policy d'uso (Articolo 8). Dopo la rimozione, il tuo nome, la tua foto e i tuoi libri non entrano più in nuovi materiali. I post in cui ti abbiamo già presentato li togliamo se ce lo chiedi; finché restano online, il nostro legittimo interesse è non dover riscrivere ciò che abbiamo già pubblicato. Una newsletter già spedita non si può più richiamare.

Ai trattamenti basati sul nostro legittimo interesse puoi opporti come indicato all'Articolo 21.

7.13 Se segnali una pagina di cosmetiLEARN

Base giuridica: art. 6, paragrafo 1, lettera c), del GDPR (adempimento di un obbligo legale): l'art. 16 del regolamento (UE) 2022/2065 (regolamento sui servizi digitali) ci chiede di ricevere le segnalazioni sui contenuti delle pagine che ospitiamo e di darvi seguito; art. 6, paragrafo 1, lettera f), del GDPR (legittimo interesse) per l'impronta contro gli invii ripetuti.

Chiunque può segnalarci, con il modulo collegato da ogni pagina di cosmetiLEARN, un contenuto che ritiene illegale o non conforme alle regole della pagina. Titolare del trattamento è Nicodemo & Signa Company Srl (Articolo 1), che puoi raggiungere a info@cosmetifull.com (Articolo 2).

• Che cosa raccogliamo. La pagina, la lingua e, se ce la indichi, la parte della pagina che segnali; il motivo, con una categoria e con parole tue; la tua dichiarazione di buona fede; e, solo se scegli di darceli, il tuo nome e il tuo indirizzo email. Nome e indirizzo email sono facoltativi: puoi segnalare anche senza.
• Perché. Per valutare la segnalazione, decidere e, se ci hai dato l'indirizzo email, mandarti una conferma di ricevimento e poi la nostra decisione, con i mezzi di ricorso disponibili, come chiede l'art. 16, paragrafi 4 e 5, dello stesso regolamento.
• Chi la vede. Il nostro team, che decide sulla segnalazione. L'autore della pagina la riceve senza il tuo nome e il tuo indirizzo email, e con gli indirizzi email, i numeri di telefono e i collegamenti del tuo testo oscurati. Il testo della segnalazione non arriva mai al nostro fornitore di intelligenza artificiale. Il modulo e le segnalazioni sono ospitati da Cloudflare, e le email che ti mandiamo passano da Amazon SES (Articolo 11.1).
• Per quanto tempo. In cosmetiLEARN il tuo nome e il tuo indirizzo email si cancellano quando la segnalazione è chiusa, o appena la nostra email non risulta recapitabile, e comunque 90 giorni dopo la segnalazione, anche se non è ancora chiusa. Il registro d'invio del nostro servizio email conserva l'indirizzo a cui abbiamo scritto per 12 mesi dalla data dell'invio, come per ogni email che mandiamo (Articolo 17). Se la nostra email non risulta recapitabile, o se la segnali come indesiderata, l'indirizzo resta anche nell'elenco degli indirizzi esclusi dagli invii, per 12 mesi dall'ultimo di questi segnali: così rispettiamo quel segnale. Il resto della segnalazione si cancella 13 mesi dopo la decisione, o prima se la pagina a cui si riferisce viene tolta.
• Contro gli invii ripetuti. Quando segnali, conserviamo per un giorno un'impronta (hash) del tuo indirizzo IP, calcolata con una chiave segreta e legata alla pagina e al giorno (non l'indirizzo): serve perché un solo mittente non riempia il limite della pagina e blocchi le segnalazioni degli altri. Il giorno dopo si cancella. Senza la chiave non si risale all'indirizzo, e l'impronta non è legata alla segnalazione. Per questa sola impronta la base giuridica è il nostro legittimo interesse a tenere il modulo disponibile per tutti (art. 6, paragrafo 1, lettera f), del GDPR), e puoi opporti come indicato all'Articolo 21.
• I tuoi diritti. Valgono i diritti dell'Articolo 20. Alla segnalazione il diritto di opposizione dell'Articolo 21 non si applica, perché quel trattamento lo chiede la legge (vale invece per l'impronta della voce qui sopra); per la stessa ragione, finché dura quell'obbligo, la cancellazione della segnalazione può essere limitata (art. 17, paragrafo 3, lettera b), del GDPR).

7.14 Per misurare i nostri annunci, solo se accetti

Base giuridica: art. 6, paragrafo 1, lettera a), del GDPR (il tuo consenso), che l'art. 5, paragrafo 3, della direttiva 2002/58/CE, recepito in Romania dall'art. 4, comma 5, della legge n. 506/2004, chiede anche per archiviare informazioni sul tuo dispositivo e leggerle.

I nostri annunci su Facebook e Instagram portano alla pagina di LabelCheck del nostro sito, dove un riquadro ti chiede se accetti il pixel di Meta. I due bottoni, Accetta e Rifiuta, sono grandi uguali. La tua risposta resta nel cookie `cf_consenso` (Articolo 23) e vale anche per la nostra pagina d'iscrizione su app.cosmetifull.com: una sola risposta vale per il sito e per quella pagina.

Solo se hai accettato, la pagina d'iscrizione carica il pixel di Meta, e il tuo browser dice a Meta quando apri la pagina, che il modulo d'iscrizione è aperto e quando lo invii. Con ogni passo partono l'indirizzo della pagina e di quella da cui arrivi, il tuo indirizzo IP, i dati del tuo browser e gli identificativi dei cookie di Meta. Abbiamo spento la lettura automatica di bottoni e moduli del pixel, e il suo abbinamento automatico dei campi del modulo è spento, quindi quello che scrivi nel modulo non viene mandato a Meta; un controllo gira ogni notte e ci avvisa se quell'impostazione viene accesa. Meta può collegare questi passi al tuo account Facebook o Instagram, se ne hai uno, così vediamo quali annunci portano persone che si iscrivono e Meta può mostrare i nostri annunci a persone simili. Questi passi vanno dal tuo browser direttamente a Meta: noi non ne conserviamo nulla, e quello che leggiamo sono i resoconti di Meta su come vanno i nostri annunci.

Per la raccolta e l'invio di questi dati Meta Platforms Ireland Limited e la nostra società sono contitolari del trattamento (art. 26 del GDPR). Meta pubblica il contenuto essenziale del nostro accordo, il suo Controller Addendum, su facebook.com/legal/controller_addendum, e puoi esercitare i tuoi diritti su questa parte con l'una o con l'altra: con noi a info@cosmetifull.com, o con Meta tramite i contatti della sua Informativa sulla privacy. Quando misura i nostri annunci per noi, Meta agisce come nostro responsabile del trattamento secondo i suoi Data Processing Terms (art. 28 del GDPR); quello che fa dopo con i dati per scopi propri lo decide da titolare autonomo, secondo quella stessa Informativa.

Se non hai risposto al riquadro, o hai rifiutato, la pagina d'iscrizione non carica nulla da Meta e funziona esattamente allo stesso modo. Puoi revocare il consenso in qualsiasi momento da Impostazioni cookie, in fondo a ogni pagina del nostro sito: il pixel allora si ferma, sul sito e sulla pagina d'iscrizione, e i cookie di Meta sul nostro dominio si cancellano. La revoca vale da quel momento in poi, quindi quello che è partito prima resta lecito.

8. Trattamenti con intelligenza artificiale e trasparenza

Le analisi, le bozze e le risposte prodotte dalla piattaforma sono generate da un sistema di intelligenza artificiale. Quando usi la chat o una qualsiasi funzione assistita, stai interagendo con un sistema di intelligenza artificiale e non con un operatore umano. Lo dichiariamo anche nell'interfaccia, in linea con l'obbligo di trasparenza dell'articolo 50 del regolamento (UE) 2024/1689, che si applica dal 2 agosto 2026.

I contenuti che carichi sono trattati attraverso l'API del nostro fornitore di intelligenza artificiale (Anthropic) per produrre i tuoi risultati. In forza delle condizioni commerciali che regolano il nostro uso di quell'API, i contenuti caricati non sono usati per addestrare i modelli del fornitore.

Usiamo lo stesso fornitore anche per classificare il feedback che ci invii, in modo che una reale correzione regolatoria non vada persa tra i messaggi. Il messaggio, un breve estratto dell'analisi a cui si riferisce e la classificazione vengono conservati, la proposta che ne deriva è sempre rivista da una persona prima che qualcosa cambi, e vale la stessa esclusione contrattuale dall'addestramento.

Il nostro fornitore di intelligenza artificiale conserva i contenuti trasmessi e i risultati non oltre 30 giorni dalla ricezione o dalla generazione, salvo il periodo più lungo che il fornitore applica ai casi di violazione della sua policy d'uso, ai fini del monitoraggio degli abusi, e per nessun'altra finalità. Non autorizziamo alcun ulteriore utilizzo.

I risultati hanno natura informativa e possono contenere errori. Assistono la revisione professionale, non sostituiscono il giudizio di un professionista qualificato e non certificano la conformità. La responsabilità della conformità di un prodotto cosmetico resta in capo all'operatore economico e alla persona responsabile ai sensi del regolamento (CE) n. 1223/2009.

9. Controlli automatizzati su acquisti e account

Non facciamo profilazione noi. Se accetti il pixel di Meta, Meta può usare per i suoi servizi pubblicitari i passi che raccoglie sulla nostra pagina d'iscrizione, come descritto all'Articolo 7.14.

Esiste un controllo automatizzato sull'acquisto, limitato a una cosa sola: un acquisto con dati anomali, per esempio una quantità di crediti insolitamente elevata o un account che non riusciamo ad abbinare, viene messo in attesa automaticamente e rivisto da una persona prima che i crediti siano accreditati. La decisione di sospendere un account o di rifiutare un acquisto è sempre presa da una persona, mai dal sistema. Puoi chiederci di riesaminare l'esito scrivendo a info@cosmetifull.com.

Anche il pagamento in sé può essere rifiutato o bloccato automaticamente dai sistemi antifrode di Stripe, secondo criteri propri di Stripe. Quella valutazione è fatta da Stripe, non da noi. Se un tuo pagamento viene rifiutato puoi scriverci e puoi anche contattare direttamente Stripe.

10. Che cosa succede se non fornisci i tuoi dati

Alcuni dati sono richiesti dalla legge, altri dal contratto:

• Richiesti dalla legge fiscale: ragione sociale o nome, indirizzo di fatturazione e, per i soggetti passivi, il numero di identificazione IVA. Senza questi non possiamo emettere una fattura e quindi non possiamo venderti crediti.
• Richiesti dal contratto: indirizzo email e password, senza i quali non possiamo creare né mettere in sicurezza un account.
• Facoltativi: tutto il resto, per esempio un contatto amministrativo aggiuntivo. Non fornirlo non ha altra conseguenza che la perdita di quella comodità.

11. Chi riceve i tuoi dati

Teniamo corta la catena dei fornitori. I destinatari si dividono in quattro gruppi diversi, e la differenza conta, perché non hanno gli stessi doveri nei tuoi confronti.

11.1 Gruppo A: responsabili del trattamento che agiscono su nostra istruzione (art. 28 del GDPR)

Non ci avvaliamo di un responsabile del trattamento senza un accordo sul trattamento dei dati conforme all'art. 28 del GDPR. Ciascuno dei destinatari sopra elencati tratta i dati solo sulla base delle nostre istruzioni documentate e non può usarli per finalità proprie.

11.2 Telegram: un canale interno, dichiarato per quello che è

Usiamo un canale Telegram, strettamente interno al nostro team, per essere avvisati immediatamente quando arriva una richiesta di accesso alla piattaforma, inviata dalla pagina di presentazione di un servizio oppure dalla pagina di accesso alla piattaforma, un feedback, una risposta a un feedback, una richiesta di essere ricontattati sul piano Enterprise o la conferma dell'accordo da parte di un autore di cosmetiLEARN. Dal 16 settembre 2026 ciascuno di questi avvisi contiene solo un testo fisso, uguale per tutti, senza il tuo nome, il tuo indirizzo email, la tua ragione sociale o il testo del tuo messaggio. I dettagli restano nel nostro pannello di amministrazione e, per le richieste di accesso e per quelle sul piano Enterprise, nella nostra casella email aziendale. Lo stesso vale per la conferma dell'accordo da parte di un autore di cosmetiLEARN (Articolo 7.12). Gli altri avvisi che riceviamo su questo canale riguardano il funzionamento della piattaforma e non contengono dati personali.

Telegram non mette a disposizione un accordo sul trattamento dei dati per i bot. Lo diciamo apertamente invece di dichiarare una garanzia che non abbiamo, ed è la ragione per cui limitiamo questo canale agli avvisi interni e ne teniamo fuori il contenuto dei tuoi documenti. Telegram è stabilita fuori dallo Spazio economico europeo.

11.3 Gruppo B: destinatari che decidono autonomamente come trattare i dati

Questi destinatari decidono autonomamente come trattare i dati che ricevono. Agiscono come titolari autonomi del trattamento, ciascuno secondo la propria informativa e i propri obblighi di legge:

11.4 Stripe: un ruolo misto

Stripe è trattata a parte perché il suo ruolo è misto. Vedi Articolo 12.

11.5 Meta: contitolare del trattamento, solo se accetti

Se hai accettato il pixel di Meta sul nostro sito, Meta Platforms Ireland Limited (Irlanda) riceve dal tuo browser i passi descritti all'Articolo 7.14. Per la loro raccolta e il loro invio, Meta e la nostra società sono contitolari del trattamento (art. 26 del GDPR); per la misurazione dei nostri annunci, Meta agisce come nostro responsabile del trattamento secondo i suoi Data Processing Terms (art. 28 del GDPR); per quello che Meta ne fa dopo per scopi propri, Meta è titolare autonomo, secondo la propria Informativa sulla privacy. Se non hai accettato, Meta non riceve nulla dalla nostra pagina d'iscrizione.

12. Perché Stripe ha un ruolo misto

Stripe ha un ruolo misto, e preferiamo dirlo apertamente invece di semplificarlo:

• Stripe è nostro responsabile del trattamento per la parte in cui incassa il pagamento su nostra istruzione e ce ne comunica l'esito.
• Stripe è titolare autonomo del trattamento per la parte in cui decide, o la legge decide per lei, che cosa fare dei tuoi dati. Stripe è un prestatore di servizi di pagamento vigilato, soggetto in proprio alle norme antiriciclaggio, di identificazione della clientela e sui servizi di pagamento. Quelle finalità sono determinate dalla legge e da Stripe, non da noi. Non possiamo dare istruzioni a Stripe su quali dati raccogliere, per quanto tempo conservarli o a chi comunicarli.

Stripe riceve il tuo nome, il tuo indirizzo email, la tua ragione sociale, il tuo indirizzo di fatturazione, il tuo numero di identificazione IVA dove applicabile, e l'importo e l'identificativo della transazione. Per la parte in cui Stripe è titolare, l'invio dei tuoi dati a Stripe è una comunicazione tra due titolari distinti. Non siamo contitolari del trattamento con Stripe.

13. Perché SmartBill è responsabile del trattamento

SmartBill è il caso opposto, e vale la pena spiegarne il motivo.

SmartBill è il software che noi usiamo per emettere la nostra fattura. Riceve la tua ragione sociale, il tuo indirizzo e il tuo numero di identificazione IVA perché glieli trasmettiamo noi, li tratta secondo le nostre istruzioni e non ha un obbligo professionale proprio riguardo al contenuto della fattura. È quindi un responsabile del trattamento ai sensi dell'art. 28 del GDPR, vincolato da un accordo sul trattamento dei dati.

Il nostro commercialista o revisore esterno, che riceve gli stessi documenti, è invece un titolare autonomo del trattamento, perché quel ruolo è regolato dalla legge ed è il professionista a decidere di che cosa ha bisogno e per quanto tempo.

14. ANAF ed e-Factura

Per i clienti la cui operazione ha luogo della prestazione in Romania, la fattura è trasmessa all'amministrazione finanziaria rumena attraverso il sistema nazionale RO e-Factura.

L'ANAF non è un nostro fornitore e non agisce per nostro conto. È un'autorità che riceve i dati in forza di un obbligo di legge e li tratta come titolare autonomo. Questa trasmissione non richiede il tuo consenso e non può essere disattivata. Lo stesso vale per la nota di credito emessa dopo un rimborso.

15. Verifica del numero di identificazione IVA (VIES)

Prima di applicare o non applicare l'inversione contabile, verifichiamo il numero di identificazione IVA che ci comunichi in VIES, il sistema della Commissione europea, per i numeri rilasciati nell'Unione europea. VIES è un sistema di un'istituzione dell'UE e l'interrogazione non comporta alcun trasferimento fuori dallo Spazio economico europeo.

In risposta riceviamo se il numero è valido, oppure che il sistema non ha potuto rispondere, esito che viene registrato a parte, e, dove il sistema li fornisce, il nome e l'indirizzo associati a quel numero. Conserviamo la prova della verifica, con la data e l'esito, come documento giustificativo del trattamento IVA applicato al tuo acquisto.

Per una ditta individuale il numero di identificazione IVA è un dato personale, ed è per questo che dichiariamo questa verifica anche se sembra un'informazione riferita a un'impresa.

16. Trasferimenti fuori dallo Spazio economico europeo

Alcuni dei nostri fornitori sono stabiliti fuori dallo Spazio economico europeo, o appartengono a gruppi che lo sono. Per ciascuno indichiamo il Paese e la garanzia effettivamente applicata:

Puoi chiederci copia delle garanzie che deteniamo scrivendo a info@cosmetifull.com.

17. Per quanto tempo conserviamo i tuoi dati

Dati diversi hanno periodi di conservazione diversi. Non usiamo una formula unica e generica.

17.1 Il periodo contabile, spiegato

La legge rumena (artt. 23 e 25 della legge sulla contabilità n. 82/1991, come modificata dalla legge n. 36/2023 in vigore dal 15 gennaio 2023) impone di conservare le scritture contabili obbligatorie e i documenti giustificativi che le supportano, fatture comprese, per cinque anni calcolati dal 1° luglio dell'anno successivo all'esercizio in cui sono stati redatti. In pratica, per una fattura emessa nel 2026 il periodo decorre dal 1° luglio 2027 e termina il 30 giugno 2032.

Quel periodo coincide con il termine di prescrizione tributaria: ai sensi dell'art. 110 della legge n. 207/2015 (Codice di procedura tributaria) il diritto dell'amministrazione finanziaria di accertare i crediti tributari si prescrive in cinque anni, che decorrono dal 1° luglio dell'anno successivo a quello cui l'obbligazione tributaria si riferisce. Il numero è preso dalla legge, non è una nostra stima.

17.2 Chiudere l'account non cancella le tue fatture

È il punto che sorprende più spesso i clienti, quindi lo diciamo in anticipo. La chiusura del tuo account cancella l'account, le tue analisi e i contenuti che hai caricato, secondo i tempi della tabella qui sopra. Non cancella la fattura e i dati di fatturazione che vi stanno dietro, che dobbiamo conservare fino alla scadenza del periodo di legge indicato sopra. Una richiesta di cancellazione non può accorciare quel periodo (art. 17, paragrafo 3, lettera b), del GDPR).

Una cancellazione rimuove i dati dai sistemi attivi secondo i tempi indicati sopra. Le copie di backup che li contengono ancora sono ruotate entro 30 giorni, dopo di che la copia stessa non esiste più.

18. Sicurezza

Il traffico viaggia su HTTPS e i dati sono cifrati in transito. Le password non sono mai conservate in chiaro: sono conservate come derivazione PBKDF2-SHA256 con un salt per utente e 100.000 iterazioni. Ogni account vede solo le proprie analisi, e gli account aziendali condividono solo tra i propri membri approvati. L'accesso amministrativo è limitato alle persone che ne hanno bisogno. I dati delle carte non arrivano mai ai nostri sistemi, come spiegato all'Articolo 6.

19. Conoscenza ricavata: registrazioni e aggregati

Mentre usi i servizi conserviamo registrazioni di metadati dei controlli, mai di contenuto: per esempio il tipo e la gravità delle criticità rilevate, la disposizione di legge da cui nascono, i mercati, le lingue e il punteggio di un'analisi, oppure, per la documentazione informativa sul prodotto, quali obblighi restano aperti, sotto forma di codici chiusi. Ogni registrazione è collegata a un codice unidirezionale derivato dal tuo indirizzo email, non al tuo nome, e resta pseudonimizzata: non è un dato anonimo, quindi la trattiamo come dato personale e tu mantieni i tuoi diritti su di essa.

Da quelle registrazioni ricaviamo conoscenza aggregata, che usiamo per migliorare i servizi e la nostra base di conoscenza, anche dopo la fine del contratto, e, in futuro, per pubblicare analisi di settore. Un aggregato viene usato o diffuso solo se copre almeno 20 eventi e almeno 5 account distinti. Lo condividiamo solo in una forma che non identifica te, la tua impresa o i tuoi prodotti.

Dalla conoscenza ricavata restano fuori i documenti originali, le formule, le composizioni da cui si possa riconoscere un prodotto, i nomi dei prodotti e i nomi di imprese e persone. ExpertDesk descrive nella sua informativa che cosa ricava dall'uso della sua chat.

Puoi escluderti con un clic. Nelle preferenze del tuo account l'interruttore «Contribuisci alla conoscenza di cosmetiFULL» è acceso in partenza. Se lo spegni, o se ci scrivi a info@cosmetifull.com, da quel momento non ricaviamo più nulla dalla tua attività, senza costi e senza effetti sul servizio. Ciò che fa già parte di un aggregato non è più separabile; le registrazioni esistenti si scollegano dal tuo account quando l'account viene cancellato, e puoi chiederci di scollegarle prima.

La conoscenza ricavata si applica ai dati generati dal 3 ottobre 2026. Ciò che è stato fatto prima si basa sulla descrizione in vigore in quel momento e, per il riutilizzo dei contenuti, sui consensi scritti dati durante la beta.

20. I tuoi diritti

Hai il diritto di:

• accedere ai tuoi dati personali e ottenerne copia;
• rettificare i dati inesatti o incompleti;
• cancellare i tuoi dati, nei limiti dell'Articolo 17.2;
• limitare il trattamento nei casi previsti dalla legge;
• ottenere la portabilità dei dati che ci hai fornito e che trattiamo con mezzi automatizzati sulla base del contratto o del tuo consenso;
• opporti al trattamento fondato sul nostro legittimo interesse, come indicato all'Articolo 21;
• revocare il consenso in qualsiasi momento dato durante la beta per il riutilizzo dei contenuti descritto all'Articolo 7.8, e il consenso al pixel di Meta descritto all'Articolo 7.14, da Impostazioni cookie in fondo a ogni pagina del nostro sito, senza pregiudicare il trattamento svolto prima della revoca;
• proporre reclamo a un'autorità di controllo.

Per esercitare questi diritti scrivi a info@cosmetifull.com. Rispondiamo nei termini previsti dal GDPR, di regola entro un mese. La nostra autorità di controllo capofila è l'ANSPDCP rumena (Bd. G-ral Gheorghe Magheru nr. 28-30, settore 1, Bucarest, dataprotection.ro). Puoi rivolgerti anche all'autorità di controllo del Paese in cui vivi o lavori.

Se la tua richiesta riguarda dati contenuti in un documento caricato da un nostro cliente, l'Articolo 4 spiega che cosa ne facciamo.

21. Il tuo diritto di opposizione

Questo diritto è indicato a parte, perché merita la tua attenzione.

Dove trattiamo i tuoi dati sulla base del nostro legittimo interesse (Articoli 7.4, 7.5, 7.6, 7.7, 7.8, 7.9, 7.10, 7.11, 7.12 e, per la sola impronta contro gli invii ripetuti, 7.13), hai il diritto di opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare. Scrivi a info@cosmetifull.com, indicaci a quale trattamento ti opponi e perché. Interrompiamo quel trattamento salvo che possiamo dimostrare motivi legittimi cogenti che prevalgono sui tuoi interessi, diritti e libertà, oppure salvo che i dati ci servano per accertare, esercitare o difendere un diritto in sede giudiziaria.

Due precisazioni oneste:

• un'opposizione non può eliminare dati che siamo tenuti a conservare in forza degli obblighi contabili e fiscali descritti agli Articoli 7.2 e 17;
• la prevenzione delle frodi sul pagamento in sé è svolta da Stripe come titolare autonomo, quindi un'opposizione rivolta a noi non può disattivare i controlli di Stripe. Su quel punto puoi rivolgerti direttamente a Stripe.

22. Se sei un consumatore

Questo articolo si applica solo alle persone fisiche che acquistano per finalità estranee alla propria attività commerciale, industriale, artigianale o professionale. Si aggiunge al resto di questa informativa e, dove è in contrasto, prevale.

• Ti chiediamo meno dati di fatturazione. Per un acquisto da parte di un consumatore ci servono il tuo nome e il tuo indirizzo di fatturazione. Non chiediamo un numero di identificazione IVA.
• Non chiediamo e non conserviamo il tuo codice numerico personale rumeno (CNP). La fattura è emessa con il tuo nome e il tuo indirizzo. Quando il sistema e-Factura richiede un codice del beneficiario e tu non ti identifichi con un codice fiscale, si usa il codice generico previsto dalle specifiche tecniche dell'ANAF. È una scelta deliberata, per ridurre al minimo la raccolta di dati.
• Conserviamo la registrazione dei tuoi diritti di recesso. Conserviamo la registrazione della richiesta espressa di esecuzione immediata e della presa d'atto che hai reso in fase di acquisto, e la registrazione di ogni dichiarazione di recesso che ci invii, perché la legge ci impone di poter dimostrare che l'informazione è stata data. Quella registrazione segue il periodo di conservazione contabile.
• Rimborsi. Se recedi entro 14 giorni dall'acquisto, gestiamo il rimborso dei crediti non consumati. I dati personali usati per quell'operazione (dati di acquisto, identificativo della transazione, identificativo del rimborso) sono trattati per eseguire il contratto, art. 6, paragrafo 1, lettera b), del GDPR, e la nota di credito che ne consegue rientra negli obblighi contabili dell'Articolo 7.2.
• Reclami. Puoi proporre reclamo all'ANSPDCP rumena o all'autorità di controllo del Paese in cui vivi.

23. Cookie e archiviazione locale

La piattaforma usa sul tuo dispositivo solo archiviazione tecnica strettamente necessaria: il token di sessione che ti tiene collegato, il tuo indirizzo email e la tua ragione sociale perché l'interfaccia possa mostrarli senza una richiesta ulteriore, la registrazione del fatto che hai visto le informative legali, e preferenze come la lingua, il tema e la modalità di visualizzazione del tuo archivio. L'unica eccezione dipende da te: se hai accettato il pixel di Meta sul nostro sito, la nostra pagina d'iscrizione legge quella risposta e carica il pixel, che archivia allora sul tuo dispositivo quanto descritto qui sotto (Articolo 7.14).

Cinque di questi elementi sono cookie, e li impostiamo noi:

PIFBuilder elenca il suo cookie, e ciò che tiene nell'archiviazione locale del browser, anche nella propria informativa.

Altri tre cookie riguardano il pixel di Meta (Articolo 7.14). Il primo lo scrive il nostro sito quando rispondi al suo riquadro, e lo legge la nostra pagina d'iscrizione; gli altri due li scrive il pixel di Meta, sul nostro dominio, solo se hai accettato:

Con ogni passo il tuo browser può mandare a Meta anche i cookie che Meta tiene su facebook.com, ed è così che Meta riconosce il tuo account. Il pixel di Meta può anche scrivere alcune voci nell'archiviazione locale del browser sul nostro dominio, per esempio `lastExternalReferrer`, che annota se sei arrivato da Facebook, da Instagram o da un altro sito. Se revochi il consenso, il pixel si ferma e `_fbp` e `_fbc` si cancellano; quelle voci dell'archiviazione locale non vengono più lette né mandate, e spariscono quando svuoti i dati del sito.

Il nostro fornitore di infrastruttura oggi non ne imposta nessuno, e non lo diamo per scontato: lo abbiamo misurato. Il 23 agosto 2026 abbiamo aperto con un browser vero le quattro superfici pubbliche (l'applicazione LabelCheck, la sua pagina di presentazione, ExpertDesk e il sito) e contato i cookie presenti: zero, su tutte e quattro. Se un giorno attiveremo una funzione di Cloudflare che ne imposta (per esempio il rilevamento dei bot), questa tabella lo dirà prima che accada.

Nell'archiviazione locale del browser, che non è un cookie e non viaggia con le richieste, teniamo il token di sessione che ti tiene collegato all'applicazione, il tuo indirizzo email, la tua ragione sociale, la lingua e il tema. Sparisce svuotando i dati del sito. In cosmetiLEARN l'archiviazione locale contiene solo la lingua, il tema e dove preferisci l'assistente, accanto alla pagina o in un pannello: mai nulla di ciò che hai scritto, né la conversazione.

A parte il pixel di Meta, che parte solo con il tuo consenso come descritto qui sopra, non usiamo cookie pubblicitari, né analytics di terze parti, né tracciamento da un sito all'altro; la campagna indicata in un link che segui viene registrata solo come descritto all'Articolo 5.1. I cookie della piattaforma sono strettamente necessari ed esenti dal consenso ai sensi dell'art. 4, comma 6, della legge rumena n. 506/2004, ed è per questo che la piattaforma non mostra un proprio banner cookie: l'unica scelta da fare riguarda il pixel di Meta, e la fai sul nostro sito, dove puoi cambiarla quando vuoi da Impostazioni cookie, in fondo a ogni pagina. Questa conclusione vale solo finché la prima tabella qui sopra non contiene nulla che vada oltre lo strettamente necessario.

La pagina di pagamento è ospitata da Stripe sul dominio di Stripe. Qualsiasi archiviazione o lettura di informazioni sul tuo dispositivo che avvenga su quella pagina è effettuata da Stripe secondo la propria informativa, ed è fuori dalle nostre pagine.

24. Modifiche a questa informativa

Se modifichiamo questa informativa aggiorniamo la data in alto e, per le modifiche sostanziali, te ne diamo comunicazione all'interno della piattaforma. Quando una modifica riguarda una nuova finalità o un nuovo destinatario, ti informiamo prima che quel trattamento inizi, non dopo. La conoscenza ricavata (Articolo 19) si applica solo ai dati generati dal 3 ottobre 2026.

Questa informativa, nella versione in vigore al momento, si applica a ogni acquisto effettuato sulla piattaforma.

Nicodemo & Signa Company Srl · Strada Lucian Blaga nr. 21, ap. 16, 310023 Arad, Romania · CUI RO15617609 · Reg. J02/809/2003 · info@cosmetifull.com

Condizioni generali

Accordo sul trattamento dei dati di cosmetiFULL