Informativa sul trattamento dei dati personali
Resa ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
Ultimo aggiornamento: 26 settembre 2026
Versione documento: 1.0 (es. 2026-09-17-v1)
1. Titolare del trattamento
INSR IDENTITY S.R.L.
Sede legale: Galleria Giuseppe Garibaldi 32, 00053 Civitavecchia (RM), Italia
Partita IVA / Codice Fiscale: 06162870874
Email per le richieste sui dati personali: [email protected]
INSR IDENTITY S.R.L. non ha nominato un Data Protection Officer (DPO) in quanto non ricorrono i presupposti obbligatori di cui all'art. 37 GDPR. Per ogni richiesta relativa ai dati personali è possibile contattare direttamente il Titolare agli indirizzi sopra indicati.
2. Le due piattaforme
Questa informativa si applica ai servizi accessibili tramite:
- INSPIRAR Trading: sito web
inspirartrading.com— piattaforma educativa per operatori del mercato finanziario (trading journal, segnali educativi, academy, community). - INSPIRAR Network: sito web
inspirarnetwork.com— piattaforma di supporto operativo per distributori indipendenti del network NOA (CRM contatti, obiettivi, formazione, organizzazione team).
I trattamenti specifici di ciascuna piattaforma sono indicati al §5.
3. Categorie di dati personali trattati
3.1 Dati forniti direttamente dall'utente
- Dati anagrafici e di contatto: nome, cognome, città, numero di telefono, indirizzo email.
- Credenziali di accesso: email + password (la password è memorizzata esclusivamente come hash bcrypt tramite il servizio Supabase Auth; il Titolare non può risalire alla password in chiaro).
- Contenuti caricati: avatar, banner personale, note sui trade, tag personalizzati, vision board, obiettivi mensili, foto profilo.
- Consensi: registrazione di ogni consenso rilasciato (privacy, termini di servizio, disclaimer, marketing) con data, ora, indirizzo IP, user-agent, versione documento accettata.
3.2 Dati di trading — su richiesta dell'Utente (solo INSPIRAR Trading)
Se l'Utente decide di collegare il proprio account presso un broker terzo per popolare automaticamente il journal, INSR riceve tramite API read-only:
- Identificativo pubblico dell'account (nessuna credenziale);
- Storico operazioni (data, strumento, direzione, volume, prezzi, P&L, commissioni);
- Saldo, equity dell'account.
INSR NON riceve, memorizza o trasmette credenziali (username, password) del conto broker. Il rapporto tra Utente e broker è regolato direttamente tra le due parti (vedi ToS §7); INSR non è responsabile del broker.
In alternativa l'Utente può inserire i dati di trading manualmente (account manuale) senza collegare alcun broker.
3.3 Dati di terzi caricati dall'utente (solo INSPIRAR Network)
Quando un utente della piattaforma Network importa la propria rubrica contatti (via file vCard, CSV o Contact Picker del dispositivo), il Titolare tratta i seguenti dati di terze persone: nome, cognome, telefono, email, città, note. Rispetto a questi dati:
- Titolare autonomo del trattamento è l'utente stesso che ha caricato i contatti (art. 4.7 GDPR);
- INSR IDENTITY S.R.L. agisce come Responsabile del trattamento (art. 28 GDPR) nei limiti tecnici del servizio, secondo la nomina implicita contenuta nei Termini di Servizio;
- L'utente garantisce di avere base giuridica per trattare tali dati (relazione preesistente, consenso, ecc.) e si assume la responsabilità di dare seguito a eventuali richieste di esercizio dei diritti (accesso, cancellazione) provenienti dai contatti stessi;
- I contatti sono strettamente privati e visibili unicamente all'utente proprietario; non vengono condivisi con altri utenti, con team, sponsor o amministratori.
3.4 Dati raccolti automaticamente
- Dati di navigazione: indirizzo IP (troncato/hashato dove possibile), user-agent, referer, timestamp delle richieste, percorso URL visitato, codice di risposta HTTP. Utilizzati per finalità di sicurezza, prevenzione abusi e diagnostica.
- Cookie tecnici: vedi Cookie Policy dedicata.
- Dati comportamentali interni (rewards e gamification): giorni di login consecutivi, XP totali, badge sbloccati, rank raggiunto, tab Journal più utilizzati. Non profilazione pubblicitaria, unicamente interazione con le meccaniche di gamification interne.
- Errori applicativi: quando il software rileva un errore
(eccezione JavaScript client-side o server-side) invia al servizio
Sentry (vedi §7) un evento contenente stack trace, URL della pagina,
eventuale ID utente in forma hashata. Se attivo Session Replay
registra le ultime interazioni prima dell'errore, con testo mascherato
e media bloccati; il replay parte solo in caso di errore
(
replaysOnErrorSampleRate=1.0,replaysSessionSampleRate=0).
4. Origine dei dati
I dati provengono:
- Direttamente dall'utente (registrazione, form, upload);
- Da API broker autorizzate dall'utente stesso (dati trading);
- Dall'API di verifica membership NOA per accertare l'attività dell'abbonamento premium;
- Da terze parti (rubrica caricata) — vedi §3.3.
5. Finalità e base giuridica del trattamento
| # | Finalità | Base giuridica (art. 6 GDPR) | Piattaforma |
|---|---|---|---|
| A | Registrazione, autenticazione, gestione account | Esecuzione del contratto (6.1.b) | Entrambe |
| B | Erogazione funzioni premium (Journal, Scanner, ecc.) | Esecuzione del contratto (6.1.b) | Trading |
| C | Import trading da broker collegato dall'Utente | Esecuzione del contratto (6.1.b) su mandato Utente | Trading |
| D | CRM contatti privato | Esecuzione del contratto (6.1.b) | Network |
| E | Comunicazioni transazionali (verifica email, reset password, notifiche di servizio) | Esecuzione del contratto (6.1.b) | Entrambe |
| F | Rewards / XP / badge (analisi interna della piattaforma) | Esecuzione del contratto (6.1.b) | Entrambe |
| G | Sicurezza, prevenzione abusi, rate limiting, anti-bot | Legittimo interesse (6.1.f) | Entrambe |
| H | Error tracking (Sentry) per stabilità del servizio | Legittimo interesse (6.1.f) — dati minimizzati | Entrambe |
| I | Marketing (newsletter, aggiornamenti prodotto) | Consenso (6.1.a), revocabile | Entrambe |
| J | Session Replay (Sentry) in caso di errore | Consenso (6.1.a) esplicito nel cookie banner | Entrambe |
| K | Adempimento obblighi legali (fatturazione, richieste autorità) | Obbligo legale (6.1.c) | Entrambe |
Il conferimento dei dati per le finalità A-H, K è necessario per usufruire dei servizi: il mancato conferimento rende impossibile l'erogazione della piattaforma.
Il conferimento per la finalità I (marketing) e J (Session Replay) è facoltativo: il rifiuto o la revoca non pregiudicano l'accesso agli altri servizi.
6. Periodi di conservazione
| Categoria di dati | Conservazione |
|---|---|
| Account attivo | Per tutta la durata del rapporto contrattuale |
| Account cancellato dall'utente | Cancellazione entro 30 giorni (soft-delete) + backup ciclici max 30 giorni |
| Registro consensi (art. 7 GDPR) | 10 anni dalla cessazione del rapporto (onere della prova) |
| Log accessi e sicurezza | 12 mesi |
| Dati di trading importati (trade history) | Durata dell'account + 90 giorni |
| Contatti CRM Network | Durata dell'account + cancellazione su richiesta |
| Errori Sentry | 30 giorni (piano Sentry Developer) |
| Backup database (Supabase PITR) | 7 giorni con piano Supabase Pro, altrimenti 24 ore |
| Documenti fiscali (fatture) | 10 anni ex art. 2220 c.c. |
| Comunicazioni marketing dopo revoca | Cessazione immediata dell'invio + blacklist permanente per evitare re-invio accidentale |
7. Destinatari dei dati (responsabili del trattamento)
I dati sono trattati da soggetti terzi che agiscono in qualità di responsabili del trattamento ex art. 28 GDPR, con i quali INSR IDENTITY S.R.L. ha sottoscritto (o sottoscriverà prima del deploy in produzione) un accordo scritto (Data Processing Agreement).
| Responsabile | Ruolo | Sede legale | Data residency | Trasferimento extra-UE |
|---|---|---|---|---|
| Supabase Inc. | Database, autenticazione, storage file | Delaware, USA | Frankfurt/Ireland (EU) | Non applicabile (dati in UE) |
| Hostinger International Ltd. | Hosting VPS | Cipro (UE) | Amsterdam (UE) | No |
| Cloudflare Inc. | CDN, protezione DDoS, TLS edge | Delaware, USA | Rete edge globale | SCC + Data Privacy Framework |
| Resend Inc. | Invio email transazionali | Delaware, USA | EU region | SCC + DPF |
| Functional Software Inc. (Sentry) | Error tracking | California, USA | Frankfurt (.de.sentry.io) | Non applicabile (dati in UE) |
| UptimeRobot (İto Yazılım) | Monitoring URL pubblici (nessun dato utente) | Cipro (UE) | UE/US | No dati personali |
Nessuna comunicazione a terzi per finalità di marketing autonome. I dati non sono ceduti, venduti né condivisi con soggetti che li tratterebbero per finalità proprie di marketing o profilazione pubblicitaria.
8. Diritti dell'interessato
L'utente può in ogni momento esercitare i seguenti diritti:
- Accesso ai propri dati (art. 15 GDPR);
- Rettifica di dati inesatti o incompleti (art. 16);
- Cancellazione ("diritto all'oblio", art. 17) — vedi anche la funzione "Cancella account" nel proprio profilo;
- Limitazione del trattamento (art. 18);
- Portabilità dei dati in formato strutturato JSON (art. 20) — vedi anche la funzione "Esporta i miei dati" nel proprio profilo;
- Opposizione al trattamento fondato su legittimo interesse (art. 21);
- Revoca del consenso in qualsiasi momento (art. 7.3), senza pregiudicare la liceità dei trattamenti effettuati fino alla revoca;
- Reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — www.garanteprivacy.it) o all'autorità di controllo dello Stato UE di residenza abituale (art. 77 GDPR).
Come esercitare i diritti:
- Via interfaccia: accedendo al proprio profilo, sezione "Privacy e Dati", sono disponibili le funzioni di export, cancellazione e revoca marketing self-service;
- Via email: scrivendo a
[email protected]con oggetto "Esercizio diritti GDPR" e specificando il diritto richiesto.
Il Titolare risponde entro 30 giorni dalla richiesta (prorogabili di altri 60 in casi complessi ex art. 12.3 GDPR).
9. Sicurezza dei dati
Il Titolare adotta misure tecniche e organizzative adeguate a proteggere i dati personali contro accessi non autorizzati, perdita, distruzione o alterazione:
- Crittografia in transito (TLS 1.2+ con certificati Cloudflare Origin CA);
- Crittografia at-rest per i database Supabase (AES-256);
- Hash bcrypt per le password (mai memorizzate in chiaro);
- Autenticazione a due fattori disponibile per gli account amministrativi;
- Row-Level Security (RLS) sul database: ogni utente accede esclusivamente ai propri dati; l'accesso amministrativo è tracciato;
- Backup automatici con Point-in-Time Recovery Supabase (7 giorni);
- Web Application Firewall e protezione DDoS Cloudflare;
- Rate limiting su endpoint pubblici (
/api/*) — in implementazione; - Monitoraggio uptime con alert automatici (UptimeRobot);
- Error tracking con Sentry per rilevare tempestivamente incidenti di sicurezza;
- Password root VPS disabilitata; accesso SSH solo con chiave crittografica.
Data breach: in caso di violazione dei dati personali, il Titolare provvederà a notificare l'incidente al Garante entro 72 ore ex art. 33 GDPR e, se rilevante rischio per gli utenti, comunicherà l'evento tramite email a tutti gli interessati coinvolti ex art. 34 GDPR.
10. Modifiche a questa informativa
Il Titolare si riserva il diritto di aggiornare la presente informativa per riflettere modifiche normative, nuovi servizi o cambiamenti dei fornitori tecnici. In caso di modifiche sostanziali:
- Sarà pubblicata una nuova versione con data di aggiornamento e numero versione;
- Gli utenti registrati riceveranno una notifica via email e/o un banner in-app;
- Se le modifiche riguardano trattamenti basati su consenso, verrà richiesto un nuovo consenso esplicito prima di continuare a utilizzare i servizi.
Le versioni precedenti dell'informativa restano disponibili su
richiesta all'indirizzo [email protected].