Informativa Privacy & Cookie

Questa informativa descrive il trattamento dei dati personali effettuato tramite LeadOS, l’applicazione web disponibile all’indirizzo www.leados.it (di seguito il “Servizio”). L’uso del Servizio è inoltre regolato dai Termini di Servizio.

1. Titolare del trattamento

GrowthHackers S.R.L. (“GH”, “noi”), Viale Mario Angeloni 437, 47521 Cesena (FC), Italia.

Contatto per qualsiasi richiesta in materia di protezione dei dati: privacy@growthackers.io.

2. Cos’è LeadOS e quali ruoli assumiamo

LeadOS è una piattaforma di lead management e marketing analytics: centralizza in un’unica dashboard i contatti (“lead”) e le statistiche di campagna provenienti dalle fonti che l’utente decide di collegare — Meta Ads, Google Ads e Google Sheets — e ne consente la gestione (stati, note, assegnazioni, punteggio, reportistica).

• Per i dati dell’account utente (chi accede a LeadOS) e per i dati tecnici del Servizio, GH agisce come titolare del trattamento.
• Per i dati dei lead importati in un workspace, GH agisce come responsabile del trattamento per conto del cliente titolare di quel workspace, sulla base di un accordo ex art. 28 GDPR. Il cliente resta titolare e responsabile della liceità della raccolta di quei contatti.

3. Dati che trattiamo

Dati dell’account

Indirizzo e-mail, nome e immagine del profilo, identificativo utente, ruolo e permessi, workspace di appartenenza, data di registrazione e di ultimo accesso. Questi dati derivano dal login (magic link via e-mail oppure Google Sign-In) o dall’accettazione di un invito.

Dati dei lead e delle campagne

Dati di contatto e qualificazione dei lead (ad es. nome, e-mail, telefono, messaggio, parametri UTM, campagna/adset di provenienza, data di acquisizione, campi personalizzati), note e attività registrate dagli operatori, e metriche aggregate di campagna (spesa, impression, click, CPL, CTR). Questi dati provengono dalle fonti collegate dal cliente e sono isolati per workspace.

Dati tecnici e di utilizzo

Log applicativi e di sicurezza, indirizzo IP, user agent, esiti delle sincronizzazioni, errori applicativi ed eventi di prodotto. I dati di analytics di prodotto e le registrazioni di sessione sono raccolti solo previo consenso.

4. Dati Google — accesso, uso, conservazione e condivisione

LeadOS utilizza le API di Google e, se l’utente lo autorizza esplicitamente, accede a dati del suo account Google. Di seguito, in modo specifico, quali autorizzazioni (scope) richiediamo e a quale scopo.

Google Ads. Per Google Ads LeadOS non chiede alcuna autorizzazione sull’account Google dell’utente: l’amministratore dell’account Google Ads aggiunge l’indirizzo del service account di LeadOS come utente con accesso in sola lettura, e LeadOS legge le metriche di campagna (spesa, click, impression, CPL) per mostrarle nella dashboard e associare i lead alle campagne che li hanno generati. L’accesso si revoca rimuovendo quell’utente in Google Ads, da Amministrazione → Accesso e sicurezza.

Come usiamo i dati Google

I dati ottenuti tramite le API di Google sono usati esclusivamente per fornire all’utente le funzionalità visibili nel Servizio descritte nella tabella sopra. In particolare:

• non usiamo i dati Google per pubblicità, profilazione pubblicitaria o retargeting;
• non vendiamo, cediamo né condividiamo i dati Google con data broker, reti pubblicitarie o terzi per finalità proprie di questi ultimi;
• non usiamo i dati Google per addestrare modelli di intelligenza artificiale, né generalizzati né personalizzati;
• nessun operatore umano legge i dati Google, salvo: consenso esplicito dell’utente, necessità di sicurezza (indagine su abusi o incidenti), obbligo di legge, oppure dati aggregati e anonimizzati per finalità di funzionamento interno.

Come conserviamo i dati Google

I token OAuth (access token e refresh token) sono conservati cifrati nel nostro database gestito da Supabase (infrastruttura nell’Unione Europea), accessibili solo alle funzioni server del Servizio e protetti da Row-Level Security. I contenuti letti dai Google Sheets e i dati di Google Ads sono memorizzati unicamente nella misura necessaria a popolare il workspace dell’utente (lead e metriche di campagna); non creiamo copie integrali dei documenti né archivi paralleli.

Con chi condividiamo i dati Google

Con nessun terzo, ad eccezione dei fornitori di infrastruttura che li ospitano per nostro conto in qualità di responsabili del trattamento (elencati al § 6), di Marky nei soli limiti descritti qui sotto e dei casi in cui la comunicazione sia imposta dalla legge o da un’autorità competente.

Marky. Se il proprietario o un manager di un progetto lo apre a Marky (in Configurazione → Marky o nella schermata di collegamento), e una persona che lavora su quel progetto collega il proprio account LeadOS a Marky (marky.gh.company, il tutor ADS di GrowthHackers, gestito da GH) confermando in LeadOS, LeadOS trasmette a Marky statistiche aggregate del progetto: numero di lead per stato, fonte, etichetta, campagna e settimana; spesa, impressioni, clic e costo per lead. Queste statistiche possono derivare anche da dati di Google Sheets e Google Ads. A chi può vedere le creatività del progetto, LeadOS trasmette anche nome, formato, testi e risultati delle inserzioni Meta lette in LeadOS (non le immagini). LeadOS non trasmette mai dati che identificano le singole lead (nomi, email, telefoni, aziende, città). Marky usa le statistiche solo per rispondere alle domande di quella persona, non le usa per addestrare modelli di intelligenza artificiale e le elabora solo con fornitori di modelli che non le usano per addestrare i propri modelli. Il trasferimento si interrompe in ogni momento chiudendo il progetto a Marky o scollegando Marky, da Marky o da LeadOS → Impostazioni.

Revoca dell’autorizzazione e cancellazione

L’utente può revocare in qualsiasi momento l’accesso di LeadOS al proprio account Google da myaccount.google.com/permissions, oppure disconnettendo l’integrazione dalla pagina Connessioni del proprio workspace. Alla revoca interrompiamo ogni chiamata alle API di Google ed eliminiamo i token entro 30 giorni. Per la cancellazione dei dati già importati è sufficiente scrivere a privacy@growthackers.io: provvediamo entro 30 giorni.

Limited Use — Google API Services User Data Policy

L’uso e il trasferimento da parte di LeadOS delle informazioni ricevute dalle API di Google verso qualsiasi altra applicazione rispettano la Google API Services User Data Policy, inclusi i requisiti di Limited Use.

English — Limited Use disclosureLeadOS’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.Marky. If a project owner or manager opens it to Marky (in Configurazione → Marky or on the connection screen), and a person working on that project links their LeadOS account to Marky (GrowthHackers’ advertising tutor, operated by GH) by confirming in LeadOS, LeadOS sends Marky aggregated statistics about the project (lead counts by status, source, label, campaign and week; spend, impressions, clicks and cost per lead), which may be derived from Google Sheets and Google Ads data, and, for people who can see the project’s creatives, the name, format, copy and results of the Meta ads read in LeadOS (not their images). LeadOS never sends data that identifies individual leads. Marky uses these statistics only to answer that person’s questions, never to train AI models, and processes them only with model providers that do not use them to train their models.

5. Finalità e basi giuridiche

• Erogazione del Servizio e autenticazione — esecuzione del contratto o di misure precontrattuali (art. 6.1.b GDPR).
• Integrazioni Google e Meta — esecuzione del contratto; l’attivazione della singola integrazione avviene su autorizzazione esplicita dell’utente.
• Sicurezza, prevenzione degli abusi, diagnostica — legittimo interesse a mantenere il Servizio sicuro e stabile (art. 6.1.f GDPR).
• Analytics di prodotto e registrazioni di sessione — consenso (art. 6.1.a GDPR), revocabile in ogni momento.
• Adempimenti di legge — obbligo legale (art. 6.1.c GDPR).

6. Fornitori e strumenti di terze parti

• Supabase — autenticazione e database (Postgres) del prodotto. Cookie tecnici necessari alla sessione.
• Vercel — hosting e distribuzione dell’applicazione, oltre a metriche di traffico aggregate e non identificative.
• Google — Google Sign-In, Google Sheets API e Google Ads API, attivate solo su autorizzazione o invito esplicito dell’utente (§ 4).
• Marky (GH) — riceve statistiche aggregate e testi delle creatività dei soli progetti aperti a Marky, quando una persona collega il proprio account (§ 4).
• Meta — Marketing API per l’import di lead e statistiche da Facebook/Instagram Ads, su collegamento esplicito del workspace.
• Sentry — monitoraggio errori e performance, su base di legittimo interesse. Non raccoglie dati per finalità di marketing.
• PostHog — analytics di prodotto e registrazioni di sessione con input sempre mascherati. Attivato solo previo consenso: nessun evento viene raccolto finché il consenso non è prestato.

7. Cookie

Utilizziamo cookie tecnici necessari per la sessione di autenticazione e la sicurezza: sono indispensabili al funzionamento del Servizio e non richiedono consenso. I cookie e gli identificativi analitici (PostHog) sono attivati solo dopo il consenso espresso tramite il banner e possono essere revocati in ogni momento.

Gestisci le preferenze cookie

8. Conservazione dei dati

• Dati account — per tutta la durata del rapporto e fino a 12 mesi dalla chiusura dell’account.
• Dati dei lead — secondo le istruzioni del cliente titolare del workspace; alla cessazione del servizio sono cancellati o restituiti entro 30 giorni.
• Token OAuth — fino alla revoca dell’autorizzazione, poi cancellati entro 30 giorni.
• Log tecnici e di sincronizzazione — fino a 90 giorni, salvo esigenze di sicurezza o accertamento di illeciti.
• Dati di analytics — in forma aggregata, secondo le impostazioni di conservazione di PostHog.

9. Trasferimenti extra-UE

L’infrastruttura principale (database e hosting) è localizzata nell’Unione Europea. Alcuni fornitori (ad es. Google, Meta, Sentry, PostHog) possono trattare dati anche al di fuori dello Spazio Economico Europeo: in tal caso il trasferimento avviene sulla base di decisioni di adeguatezza o di Clausole Contrattuali Standard approvate dalla Commissione Europea, con misure supplementari ove necessarie.

10. Sicurezza

Adottiamo misure tecniche e organizzative adeguate: cifratura in transito (TLS) e a riposo, isolamento dei dati per workspace tramite Row-Level Security, controllo degli accessi basato sui ruoli, registrazione delle azioni amministrative, principio del privilegio minimo per il personale e header di sicurezza sul perimetro applicativo.

11. I tuoi diritti

Puoi esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione (artt. 15-22 GDPR), nonché revocare in ogni momento i consensi prestati, scrivendo a privacy@growthackers.io. Rispondiamo entro 30 giorni. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali.

Se i tuoi dati sono presenti in LeadOS come lead di un cliente GH, indirizza la richiesta al cliente titolare: su segnalazione a privacy@growthackers.io ti metteremo in contatto con il riferimento corretto e assisteremo il titolare nel dar seguito alla richiesta.

12. Minori

Il Servizio è destinato esclusivamente a un uso professionale e non è rivolto a minori di 16 anni. Non raccogliamo consapevolmente dati di minori.

13. Modifiche all’informativa

Possiamo aggiornare questa informativa per adeguarla a modifiche normative o funzionali. La data di ultimo aggiornamento è indicata in cima alla pagina; in caso di modifiche sostanziali ne daremo avviso agli utenti registrati.

14. Contatti

GrowthHackers S.R.L. — Viale Mario Angeloni 437, 47521 Cesena (FC), Italia — privacy@growthackers.io