Informativa sulla Privacy — Talaria
Ultimo aggiornamento: 11/10/2026
Talaria è due cose: il sito talariacrm.com, che presenta il prodotto e raccoglie chi vuole essere avvisato al lancio o ricontattato, e il software Talaria CRM su app.talariacrm.com, che agenzie e aziende usano per gestire i propri contatti. Trattano dati diversi, per finalità diverse e con ruoli diversi. Per questo l'informativa è divisa in due parti:
- Parte A — Sito web: se visiti
talariacrm.com, hai risposto al questionario, ti sei iscritto alla lista d'attesa o hai chiesto una chiamata. - Parte B — Software Talaria CRM: se hai un account su
app.talariacrm.com, oppure se hai scritto via WhatsApp, Messenger o Instagram a un'azienda che usa Talaria.
Le sezioni sul titolare e sui tuoi diritti valgono per entrambe.
Titolare del trattamento
Il titolare del trattamento è Dott. Ing. Luca Mercuri, P.IVA 17763171000, con sede in Via Giuseppe Perego 75, 00144 Roma, che gestisce sia il sito sia il software Talaria CRM (di seguito "Talaria", "noi").
Contatto per la privacy: info@talariacrm.com.
Parte A — Sito web talariacrm.com
Questa parte riguarda chi visita il sito, risponde al questionario o lascia il proprio contatto con «Avvisami al lancio» o «Richiedi una chiamata». Il sito non richiede registrazione e non ha aree personali per i visitatori: l'unica area riservata è quella dell'amministratore.
A.1 Quali dati raccogliamo
- Risposte al questionario. Vengono salvate man mano che rispondi, associate a un identificativo casuale di sessione generato dal tuo browser. Finché non arrivi in fondo e non lasci un recapito, la sessione non contiene dati personali: solo le risposte date e il profilo scelto (agenzia, freelance, azienda).
- Recapito lasciato in fondo al questionario: nome, cognome, email, numero di telefono e — solo per agenzie e aziende — nome dell'attività.
- Iscrizione alla lista d'attesa e richiesta di chiamata («Avvisami al lancio» e «Richiedi una chiamata»): chi sei (agenzia, freelance o azienda), nome, cognome, email, numero di telefono con il prefisso internazionale e, a seconda del profilo, il nome dell'agenzia o dell'azienda e quanti clienti gestisci, per fasce. Le iscrizioni precedenti al 07/10/2026 contengono nome, cognome, email, telefono e, se indicato, tipo di attività.
- Prenotazione della chiamata, se dopo la richiesta scegli data e ora: il giorno e l'orario scelti.
- Statistiche di traffico: pagine viste, provenienza e tipo di dispositivo, in forma aggregata e senza cookie (vedi A.5).
- Dati tecnici di funzionamento: l'infrastruttura di hosting registra nei propri log l'indirizzo IP e i dati della richiesta, per il tempo necessario a erogare e proteggere il servizio. Il sito non salva questi dati nel proprio database.
Il sito non usa cookie di profilazione e non incrocia le tue risposte con altre fonti.
A.2 Perché li trattiamo e su quale base
| Finalità | Dati | Base giuridica |
|---|---|---|
| Capire chi ha bisogno del prodotto e come disegnarlo (analisi delle risposte) | Risposte e profilo, senza recapito | Legittimo interesse (art. 6.1.f GDPR) a validare un prodotto prima di costruirlo, su dati non identificativi |
| Avvisarti al lancio e ricontattarti su ciò che hai chiesto | Recapito lasciato nel questionario, nella lista d'attesa o nella richiesta di chiamata | Misure precontrattuali adottate su tua richiesta (art. 6.1.b) |
| Fissare la chiamata che hai prenotato e mandarti l'invito con il link della videochiamata | I dati della richiesta, data e ora scelte | Misure precontrattuali adottate su tua richiesta (art. 6.1.b) |
| Leggere le tue risposte insieme al tuo recapito, per risponderti in modo pertinente | Risposte e recapito | Misure precontrattuali (art. 6.1.b) |
| Sicurezza e funzionamento del sito | Dati tecnici | Legittimo interesse (art. 6.1.f) |
| Statistiche di traffico | Dati aggregati, senza cookie | Legittimo interesse (art. 6.1.f) |
Non usiamo i dati raccolti dal sito per profilarti né per decisioni automatizzate, e non li cediamo a terzi per finalità loro.
A.3 Chi tratta i dati per nostro conto
| Fornitore | Ruolo | Dove |
|---|---|---|
| Neon | Database del sito: risposte al questionario, lista d'attesa e richieste di chiamata | Unione Europea (Francoforte) |
| Vercel | Hosting del sito e statistiche di traffico senza cookie | Rete globale; sede negli Stati Uniti |
| Resend | Ci recapita via email una copia di ogni questionario completato, di ogni iscrizione e di ogni richiesta, come riserva indipendente dal database | Stati Uniti |
| Google Calendar e Google Meet: se prenoti una chiamata, crea l'evento nel calendario di Talaria con i dati della tua richiesta e ti manda l'invito con il link della videochiamata | Irlanda / Stati Uniti |
Neon, Vercel e Resend sono responsabili del trattamento (art. 28 GDPR), vincolati da contratto. Google tratta l'evento e l'invito secondo i propri termini e la propria informativa sulla privacy.
Le richieste di chiamata e di avviso al lancio vengono registrate anche come contatto nel nostro software Talaria CRM, per poterti ricontattare: lì valgono le misure e i fornitori descritti nella Parte B. A parte questo, i dati dei moduli non vengono trasmessi a nessun altro.
A.4 Per quanto tempo
- Recapiti (questionario completato, lista d'attesa e richieste di chiamata): fino a 24 mesi dalla raccolta, o prima se ti opponi o ne chiedi la cancellazione. Se al lancio aprirai un account, i tuoi dati seguiranno da quel momento le regole della Parte B.
- Risposte senza recapito: non sono riferibili a te; le conserviamo in forma aggregata per l'analisi.
- Copia via email: ha la stessa durata del dato di origine e viene eliminata insieme a esso.
- Evento della chiamata nel calendario: ha la stessa durata del recapito e viene eliminato insieme a esso.
A.5 Cookie e statistiche
Il sito usa solo cookie tecnici e una misurazione del traffico senza cookie (Vercel Web Analytics), che non richiede consenso. Gli strumenti di analisi e marketing di terze parti partono solo dopo il tuo consenso, espresso dal banner. L'elenco completo, le durate e come cambiare idea sono nella Cookie Policy.
A.6 Trasferimenti fuori dall'Unione Europea
Il database del sito è nell'Unione Europea. Vercel, Resend e Google hanno sede negli Stati Uniti: il trasferimento è garantito dalle Clausole Contrattuali Standard approvate dalla Commissione europea e, dove applicabile, dall'EU-US Data Privacy Framework.
Parte B — Software Talaria CRM app.talariacrm.com
Questa parte riguarda chi ha un account sul software — agenzie, loro clienti, membri del team — e, nella sezione B.10, chi ha comunicato con un'azienda che usa Talaria tramite WhatsApp, Messenger o Instagram.
Talaria CRM è progettato e gestito secondo i principi del GDPR — liceità, minimizzazione, limitazione della conservazione, integrità e riservatezza, privacy by design e by default — e secondo le pratiche di sicurezza descritte in B.8.
B.1 Ruoli: quando siamo titolari e quando responsabili
Talaria CRM è un software multi-tenant: ogni agenzia e ogni cliente ha uno spazio isolato dagli altri.
- Per i dati degli utenti del servizio — chi apre e usa un account — e per i Dati della Piattaforma Meta ricevuti dall'app, Talaria è titolare del trattamento.
- Per i dati dei contatti e dei lead che i clienti caricano o ricevono nella piattaforma, inclusi i messaggi scambiati con loro, i clienti (agenzie e aziende) sono i titolari e Talaria è responsabile del trattamento ai sensi dell'art. 28 GDPR, sulla base di un accordo sul trattamento dei dati (DPA) che fa parte del contratto. Talaria tratta questi dati solo su istruzione del cliente e per erogare il servizio.
- I provider di intelligenza artificiale che un'agenzia collega con le proprie chiavi (vedi B.4) sono sub-responsabili scelti dall'agenzia, non da Talaria.
B.2 Categorie di dati trattati
- Dati account: nome, email, password (conservata solo in forma hashata), ruolo, azienda, preferenze, e registro delle azioni compiute nel software.
- Dati dei lead e dei contatti, inseriti dai clienti o ricevuti dalle fonti che collegano: nome, telefono, email, note, stato nella pipeline, fonte e campagna di provenienza, campi personalizzati, appuntamenti, trattative e conversioni.
- Conversazioni e integrazioni Meta: messaggi WhatsApp, Messenger e Instagram in entrata e in uscita, numeri di telefono, media (audio, immagini), trascrizione dei messaggi vocali, identificativi e token di accesso Meta, profilo WhatsApp Business.
- Knowledge Base: documenti e pagine web che l'agenzia carica o fa acquisire per istruire il proprio chatbot.
- Dati delle piattaforme pubblicitarie collegate, solo se attivate: lead ricevuti dai moduli di Meta, Google, TikTok e LinkedIn, e dati sulle campagne e sulle creatività per l'attribuzione.
- Dati calendario, solo se colleghi Google Calendar: eventi e appuntamenti.
- Dati di fatturazione: gestiti da Stripe; non conserviamo i numeri di carta.
- Dati tecnici e di utilizzo: log applicativi, indirizzo IP, dati del dispositivo e del browser, per sicurezza e funzionamento.
B.3 Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Erogare il servizio CRM e le integrazioni che attivi | Esecuzione del contratto (art. 6.1.b) |
| Messaggistica WhatsApp/Meta, promemoria e chatbot AI per conto del cliente | Esecuzione del contratto; per i dati dei lead, istruzioni del cliente titolare |
| Fatturazione e adempimenti fiscali | Obbligo legale (art. 6.1.c) |
| Sicurezza, prevenzione di abusi e frodi, protezione anti-bot | Legittimo interesse (art. 6.1.f) |
| Comunicazioni di servizio: notifiche, avvisi sull'account | Esecuzione del contratto (art. 6.1.b) |
| Comunicazioni commerciali sul prodotto | Consenso (art. 6.1.a), revocabile in ogni momento |
B.4 Intelligenza artificiale
Il software include funzioni di intelligenza artificiale: un chatbot che può rispondere ai lead su WhatsApp per conto del cliente, un assistente per gli utenti del CRM e la trascrizione dei messaggi vocali.
- L'attivazione del chatbot è una scelta del cliente, che ne informa i propri contatti. Quando è attivo, il contenuto della conversazione viene inviato al provider AI per generare la risposta.
- Per i clienti gestiti da un'agenzia, il provider è quello che l'agenzia ha configurato con le proprie chiavi (Bring Your Own Key). Negli altri casi i provider sono Anthropic e OpenAI, tramite API a uso commerciale i cui termini escludono l'utilizzo dei dati per addestrare i modelli.
- Il chatbot accede solo al contatto con cui sta parlando, non all'intera base dati.
- Punteggi e suggerimenti dell'AI sono di supporto agli operatori: nessuna decisione con effetti giuridici o comunque significativi sulle persone viene presa in modo automatizzato.
B.5 Sub-responsabili
Per erogare il servizio ci avvaliamo di fornitori che trattano i dati per nostro conto, ciascuno vincolato da un contratto conforme all'art. 28 GDPR:
| Fornitore | Finalità | Dove |
|---|---|---|
| Supabase | Database, autenticazione, archiviazione dei media | Unione Europea (Irlanda) |
| Vercel | Hosting dell'applicazione e domini | Rete globale; sede negli Stati Uniti |
| Upstash | Code tecniche per invii programmati e webhook; limitazione delle richieste | Unione Europea |
| Resend | Email transazionali e notifiche | Stati Uniti |
| Stripe | Pagamenti e abbonamenti | Irlanda / Stati Uniti |
| Meta | WhatsApp Cloud API, Messenger, Instagram, Lead Ads, Conversions API | Irlanda / Stati Uniti |
| Anthropic | Assistente AI e chatbot, dove non configurato dall'agenzia | Stati Uniti |
| OpenAI | Trascrizione dei messaggi vocali; chatbot, dove non configurato dall'agenzia | Stati Uniti |
| Firecrawl | Acquisizione delle pagine web indicate dall'agenzia per la Knowledge Base | Stati Uniti |
| Google Calendar e Google Ads, se collegati; completamento automatico degli indirizzi | Irlanda / Stati Uniti |
L'elenco aggiornato è disponibile su richiesta a info@talariacrm.com. Le modifiche rilevanti vengono comunicate ai clienti come previsto dal DPA.
B.6 Integrazioni che attivi tu
Alcune connessioni esistono solo se le attivi dal tuo account. In quel caso i dati passano tra Talaria e il servizio collegato nei limiti della funzione scelta, e puoi scollegarle in ogni momento dalle Impostazioni.
- Piattaforme pubblicitarie — Meta (Facebook e Instagram), Google Ads, TikTok, LinkedIn: ricezione automatica dei lead dai moduli e lettura dei dati di campagna. Quando i risultati vengono restituiti alle piattaforme per attribuire le conversioni, i dati di contatto sono inviati solo in forma hashata (SHA-256), come richiesto dalle piattaforme stesse.
- Google Calendar: sincronizzazione degli appuntamenti; l'accesso è limitato al calendario e revocabile anche dal tuo account Google.
- Email marketing (Klaviyo, Mailchimp) e automazioni (n8n, Zapier): usano account e credenziali tuoi; Talaria invia loro solo i dati che configuri.
- Assistenti AI esterni tramite il server MCP di Talaria: se colleghi un assistente al tuo account, accede ai dati del CRM con i permessi del tuo ruolo, su tua autorizzazione, e puoi revocare l'accesso in ogni momento.
B.7 Trasferimenti fuori dall'Unione Europea
Database, autenticazione e media sono conservati nell'Unione Europea (Supabase, Irlanda). Alcuni fornitori trattano dati negli Stati Uniti: in tali casi il trasferimento è garantito dalle Clausole Contrattuali Standard approvate dalla Commissione europea e, dove applicabile, dall'EU-US Data Privacy Framework.
B.8 Sicurezza
Le misure qui elencate sono attive in produzione.
- Isolamento tra clienti: ogni tabella con dati utente è protetta da regole di accesso per riga (Row Level Security) applicate dal database, non solo dall'applicazione. Nessun accesso incrociato tra account.
- Cifratura: i dati sono cifrati a riposo dal database; i token di accesso alle integrazioni (Meta, Google) sono cifrati a livello applicativo con chiave separata; tutto il traffico viaggia su TLS/HTTPS con HSTS e intestazioni di sicurezza (CSP, protezione dal framing).
- Credenziali: password conservate solo in forma hashata, con blocco delle password risultate compromesse in violazioni note; chiavi API conservate solo come hash SHA-256.
- Sessioni: token di accesso a durata limitata con rotazione del token di rinnovo; cambio password che chiude tutte le sessioni aperte.
- Protezione da abusi: limiti al numero di richieste su accesso, registrazione e API; protezione anti-bot e firewall applicativo sugli endpoint sensibili.
- Webhook: ogni webhook in entrata è verificato tramite firma HMAC-SHA256 prima di essere elaborato.
- Segreti: chiavi e credenziali vivono solo in variabili d'ambiente, mai nel codice.
- Backup: copie di sicurezza giornaliere del database.
- Registro delle azioni: le operazioni critiche sono tracciate con utente, data e indirizzo IP.
- Incidenti: procedura di risposta con classificazione per gravità; in caso di violazione dei dati personali, notifica al Garante entro 72 ore (art. 33 GDPR) e comunicazione agli interessati quando richiesto (art. 34).
B.9 Conservazione
| Dato | Durata |
|---|---|
| Dati account, lead, contatti, conversazioni, appuntamenti, Knowledge Base | Per tutta la durata del rapporto contrattuale, salvo cancellazione anticipata da parte del cliente |
| Lead archiviati dal cliente | Eliminati definitivamente dopo 90 giorni dall'archiviazione |
| Account con abbonamento scaduto o sospeso | Dati conservati per 60 giorni dal blocco, per consentire la riattivazione; poi l'account viene chiuso |
| Registro delle azioni e log dell'AI | 90 giorni, poi eliminati automaticamente |
| Log di consegna dei webhook | 30 giorni, poi eliminati automaticamente |
| Sessioni scadute | 7 giorni dopo la scadenza |
| Dati della Piattaforma Meta | Eliminati alla disconnessione dell'integrazione o alla cancellazione dell'account |
| Documenti fiscali (fatture, pagamenti) | Per il periodo previsto dalla normativa fiscale, anche dopo la cancellazione dell'account |
B.10 Cancellazione dell'account e dei dati
- Dal software: da «Il mio profilo» puoi chiedere l'eliminazione del tuo account e dei dati che gestisci. L'account viene disattivato subito e i dati personali eliminati definitivamente dopo un periodo di grazia di 30 giorni, che permette di annullare una richiesta fatta per errore. Restano solo i documenti fiscali, per obbligo di legge.
- Su richiesta: scrivi a info@talariacrm.com dall'indirizzo associato all'account. Evadiamo la richiesta entro 30 giorni.
- Esportazione: prima della cancellazione puoi esportare i tuoi dati dalle Impostazioni (portabilità).
- Utenti finali di WhatsApp, Messenger e Instagram: se hai scritto a un'azienda che usa Talaria, il titolare dei tuoi dati è quell'azienda. Rivolgiti a lei per esercitare i tuoi diritti; puoi anche scrivere a noi, e inoltreremo la richiesta. Se hai collegato l'app a Meta e la rimuovi dalle tue impostazioni Facebook, i Dati della Piattaforma Meta legati alla tua identità vengono eliminati automaticamente tramite il Data Deletion Callback, con un codice di conferma verificabile su
https://app.talariacrm.com/data-deletion-status.
Le istruzioni complete sono nei Termini e Condizioni.
I tuoi diritti
Hai diritto di ottenere l'accesso ai tuoi dati, la rettifica, la cancellazione, la limitazione del trattamento, la portabilità, di opporti al trattamento fondato sul legittimo interesse e di revocare il consenso in ogni momento, senza pregiudicare la liceità del trattamento già avvenuto. Puoi esercitarli scrivendo a info@talariacrm.com: rispondiamo entro 30 giorni.
Hai inoltre il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).
Minori
Né il sito né il software sono destinati a minori di 16 anni. Non raccogliamo consapevolmente dati di minori; se ne veniamo a conoscenza, li eliminiamo.
Modifiche
Potremo aggiornare questa informativa quando cambiano il servizio, i fornitori o la normativa. Le modifiche rilevanti vengono comunicate tramite il software o via email agli utenti registrati. La data in cima indica l'ultima revisione.
Contatti
Per qualsiasi richiesta sui dati personali: info@talariacrm.com — Dott. Ing. Luca Mercuri, Via Giuseppe Perego 75, 00144 Roma.