Informativa sulla privacy

Questa informativa si applica ai visitatori del sito Cashbox (cashbox.events) e alle organizzazioni e agli utenti dell'applicazione Cashbox.

Quando usi Cashbox tramite il tuo datore di lavoro o la tua società di produzione, quell'organizzazione è titolare del trattamento dei dati di eventi, spese, ricavi e documenti inseriti dal tuo team. Cashbox agisce come responsabile del trattamento per suo conto.

Per il sito stesso e per il tuo account personale (nome, email, accesso), il titolare del trattamento è Cashbox.

Dati dell'account e di autenticazione: nome, indirizzo email, foto del profilo (se fornita), credenziali cifrate o identificativi di accesso federato (es. Google), appartenenza a organizzazioni, ruolo e lingua preferita.

Configurazione dell'organizzazione: nome dell'organizzazione, partita IVA, valuta predefinita, impostazioni locali, categorie, soglie di approvazione, catalogo delle aliquote IVA e membri invitati.

Dati finanziari inseriti dal tuo team: eventi, budget, spese (inclusi fornitore, importi, date, righe IVA, cambi bloccati), righe di ricavo, approvazioni, note e il relativo storico di audit.

File caricati: fatture e ricevute allegate, e screenshot facoltativi allegati a richieste di assistenza o segnalazioni di bug. Sono conservati in Firebase Storage all'interno della tua organizzazione. Un CSV che importi viene letto nel tuo browser e il file in sé non viene mai conservato: vengono salvate solo le righe che confermi, come spese o ricavi.

Dati di fatturazione: piano, stato dell'abbonamento, email di fatturazione, partita IVA e storico delle fatture. I dati delle carte sono gestiti da Stripe e non vengono mai conservati sui server di Cashbox.

Comunicazioni: il contenuto dei messaggi che ci invii tramite il modulo di contatto, il modulo di assistenza, le segnalazioni di bug e le email dirette.

Dati tecnici: indirizzo IP, browser, tipo di dispositivo, posizione approssimativa ricavata dall'IP, orari e normali log del server usati per sicurezza, prevenzione degli abusi e debug.

Per fornire il servizio: autenticare gli utenti, mostrare i dati della tua organizzazione, gestire le approvazioni, calcolare i totali, inviare email transazionali (inviti, approvazioni, reimpostazione della password) e mantenere un audit trail a prova di manomissione.

Per offrire assistenza: rispondere a messaggi di contatto, richieste di assistenza e segnalazioni di bug, e analizzare i problemi che segnali.

Per aiutare nelle importazioni: quando importi un CSV, le intestazioni delle colonne e un campione delle righe vengono inviati all'API Gemini di Google per proporre un'associazione delle colonne. Confermi l'associazione prima che venga salvato qualsiasi dato e, se il servizio non è disponibile, l'importazione associa le colonne per nome.

Per fatturare e gestire gli abbonamenti: applicare i limiti del piano (eventi attivi, utenti), elaborare i pagamenti tramite Stripe ed emettere ricevute.

Per mantenere sicuro il servizio: rilevare abusi, prevenire frodi, limitare gli invii e proteggere gli altri clienti.

Per migliorare il prodotto: capire l'uso aggregato e l'affidabilità. Non vendiamo dati personali e non usiamo i dati finanziari della tua organizzazione per addestrare modelli esterni.

Esecuzione di un contratto: fornire il servizio all'organizzazione e all'utente che si sono registrati.

Legittimo interesse: proteggere il servizio, prevenire abusi, rispondere alle richieste e migliorare l'affidabilità, nel bilanciamento con i tuoi diritti.

Obblighi di legge: rispettare gli obblighi contabili, fiscali e gli altri obblighi di legge (per esempio la conservazione dei dati delle fatture).

Consenso: quando scegli di inviarci informazioni facoltative, come uno screenshot allegato a una segnalazione di bug.

Condividiamo dati con un piccolo gruppo di fornitori di infrastruttura e servizi, esclusivamente per far funzionare Cashbox:

Google Cloud / Firebase: autenticazione, database Firestore e Cloud Storage (regione dei dati: UE ove disponibile).

Vercel: hosting e distribuzione dell'applicazione. Gestisce le richieste al sito e all'API e conserva i normali log del server.

Stripe: fatturazione degli abbonamenti e pagamenti; gestisce i dati della tua carta nel proprio ambiente conforme PCI.

Resend: invio delle email transazionali e di notifica generate dal prodotto.

Google Gemini: associazione delle colonne nelle importazioni CSV. Quando importi un file, le intestazioni delle colonne, le prime 15 righe e i diversi valori di categoria o fonte di ricavo che contiene vengono inviati all'API Gemini perché proponga quale colonna corrisponde a cosa. La proposta è un suggerimento che confermi tu, e l'importazione funziona anche se la chiamata non va a buon fine.

Google Analytics: statistiche web sulle nostre pagine pubbliche, caricate solo con il tuo consenso; gli indirizzi IP sono anonimizzati.

Abbiamo accordi scritti sul trattamento dei dati con ogni sub-responsabile e condividiamo solo i dati minimi necessari per quel servizio. I trasferimenti internazionali sono coperti da clausole contrattuali standard, ove applicabile.

I dati inseriti in un'organizzazione (eventi, spese, ricavi, allegati, voci di audit) sono visibili agli altri membri di quell'organizzazione in base al ruolo assegnato.

I titolari e gli amministratori di un'organizzazione vedono i membri, gli inviti, le modifiche dei ruoli e l'intero registro finanziario. I titolari possono esportare o eliminare i dati della propria organizzazione in qualsiasi momento.

Non vendiamo dati personali e non li condividiamo con terzi per la loro pubblicità.

Possiamo comunicare informazioni se richiesto dalla legge, in risposta a un provvedimento legale valido o quando ragionevolmente necessario per proteggere il servizio, i nostri utenti o i nostri diritti.

I dati dell'account e dell'organizzazione sono conservati finché l'organizzazione è attiva. Se un abbonamento viene annullato, i dati sono conservati per un breve periodo di tolleranza per consentirne l'esportazione, dopodiché vengono eliminati o anonimizzati su richiesta.

I dati di fatturazione, fiscali e contabili possono essere conservati più a lungo quando lo richiedono la legge estone e quella dell'UE (in genere fino a 7 anni per le scritture contabili).

I log del server e i dati di sicurezza sono conservati per un periodo limitato, adeguato alla loro finalità.

I dati sono trasmessi tramite TLS e conservati su un'infrastruttura gestita con cifratura a riposo. Gli accessi sono basati sui ruoli e applicati sia nell'applicazione sia a livello di database tramite regole di sicurezza.

Ogni scrittura sui dati finanziari viene registrata in un log di audit con autore, orario e modifica. Nessun sistema è perfettamente sicuro: se pensi che il tuo account sia stato compromesso, contattaci subito.

In base al GDPR e a leggi analoghe, puoi chiedere l'accesso ai tuoi dati personali, la loro rettifica o cancellazione; opporti a determinati trattamenti o chiederne la limitazione; e richiedere una copia portabile dei tuoi dati.

I titolari possono esportare i dati finanziari della propria organizzazione direttamente dal prodotto. Per richieste relative a un account personale, scrivi a hello@cashbox.events con dettagli sufficienti per identificare il record.

Se ritieni che non abbiamo gestito correttamente la tua richiesta, puoi presentare un reclamo all'autorità estone per la protezione dei dati (Andmekaitse Inspektsioon) o all'autorità di controllo dello Stato membro dell'UE in cui risiedi.

Cashbox usa un piccolo numero di cookie strettamente necessari per mantenerti connesso, proteggerti dalla falsificazione delle richieste tra siti e ricordare la tua lingua. Sono indispensabili al funzionamento del servizio e non sono facoltativi.

Con il tuo consenso usiamo anche Google Analytics 4 per capire come i visitatori trovano e usano il nostro sito pubblico. Viene caricato solo dopo che hai accettato nel banner dei cookie: se rifiuti o ignori il banner, non viene caricato alcuno script di statistica né impostato alcun cookie di statistica.

Se accetti, conserviamo anche i parametri di campagna (come utm_source o gclid) del link che ti ha portato per la prima volta sul sito, per capire quale attività di marketing ha generato una registrazione. Se rifiuti, vengono scartati e non lasciano mai il tuo browser.

Puoi cambiare la tua scelta in qualsiasi momento cancellando i dati di questo sito nel browser: il banner ricomparirà. In ogni caso te lo chiediamo di nuovo almeno ogni sei mesi.

Cashbox è un prodotto per aziende e non è rivolto ai minori di 16 anni. Se ritieni che un minore abbia creato un account, contattaci e lo rimuoveremo.

Possiamo aggiornare questa informativa man mano che il prodotto evolve. Le modifiche rilevanti saranno evidenziate nella pagina e, se opportuno, comunicate via email ai titolari delle organizzazioni.

La data di "ultimo aggiornamento" in cima a questa pagina indica sempre la versione in vigore.

Per domande sulla privacy, richieste degli interessati o informazioni sui sub-responsabili, scrivi a hello@cashbox.events.