Innoform CRM e Appuntamenti – Privacy Policy

Informativa privacy – CRM e appuntamenti Innoform

Ultimo aggiornamento: 28 settembre 2026 · Resa ai sensi degli artt. 13 e 14 del Regolamento UE 2016/679 (GDPR) · Integra l’informativa generale di Innoform (innoform.it/privacy-policy)

Questa informativa descrive i trattamenti svolti tramite il CRM di Innoform (crm.innoform.it):

Parte A – per clienti e potenziali clienti: gestione dei contatti commerciali, appuntamenti, comunicazioni via email e WhatsApp, proposte e firma dei contratti;
Parte B – per i consulenti commerciali di Innoform: l’applicazione «Innoform Calendar», che collega il CRM al loro Google Calendar.

Quale informativa si applica. Per i trattamenti svolti tramite il CRM — contatti commerciali, appuntamenti, comunicazioni, proposte e firma dei contratti — si applica la presente informativa, specifica e più recente. In caso di difformità con l’informativa generale di Innoform, per questi trattamenti prevale quanto indicato qui.

1. Titolare del trattamento

Innoform Srl – Circonvallazione Clodia 163/167, 00195 Roma (RM) – P.IVA / C.F. 16692441005 – Tel. 328 197 2609
Contatto privacy: hello@innoform.it

PARTE A – Clienti e potenziali clienti

A0. Gestione dei contatti commerciali

Come ci arrivano i suoi dati	Fonte	Base giuridica
Ce li ha dati lei: modulo del sito, prenotazione online, annunci Meta, messaggio WhatsApp, contatto telefonico o email	Lei stesso	Risposta alla sua richiesta e misure precontrattuali (art. 6.1.b GDPR)
Li avevamo già: archivio storico di clienti ed ex clienti Innoform	Rapporti commerciali precedenti con lei o con la sua azienda	Legittimo interesse a proporre servizi a chi è già stato nostro cliente (art. 6.1.f GDPR)
Li abbiamo raccolti di persona: fiere ed eventi	Biglietti da visita e contatti scambiati con lei	Legittimo interesse al contatto professionale (art. 6.1.f GDPR)
Ce li ha segnalati qualcuno: segnalazioni di clienti, partner o conoscenti	La persona o l’azienda che l’ha segnalata	Legittimo interesse al contatto professionale (art. 6.1.f GDPR)

Dati trattati: nome e cognome; ruolo aziendale; email, telefono e altri recapiti professionali; azienda di appartenenza e relativi dati (ragione sociale, P.IVA, settore); servizi di interesse; storico delle interazioni con Innoform (chiamate, email, appuntamenti, note).
Finalità: ricontattarla per i servizi di Innoform, organizzare il lavoro dei commerciali e dare seguito alle sue richieste.
Conferimento dei dati: i dati di contatto sono necessari per rispondere alla sua richiesta; senza di essi non possiamo dare seguito. I consensi alle comunicazioni promozionali sono facoltativi: se non li presta, non ci sono conseguenze sul servizio richiesto.
Legittimo interesse: riguarda solo contatti professionali, legati al suo ruolo in azienda, e non prevale mai sui suoi diritti. Può opporsi in qualsiasi momento scrivendo a hello@innoform.it o dicendolo al commerciale: da quel momento non verrà più contattato. Su richiesta le forniamo informazioni sulla valutazione con cui abbiamo bilanciato il nostro interesse con i suoi diritti. Questa base non autorizza, di per sé, l’invio di comunicazioni promozionali: per quelle valgono le regole indicate qui sotto e in A5.
Email promozionali: le inviamo solo con il suo consenso oppure, se è già nostro cliente, per servizi analoghi a quelli acquistati, con la possibilità di rifiutarle in ogni momento (art. 130 Codice privacy).
Quando riceve questa informativa: se i dati non ci sono stati dati da lei, al primo contatto e comunque entro un mese dalla registrazione nel CRM.
Nessuna decisione automatizzata e nessuna profilazione con effetti giuridici. Il CRM attribuisce ai contatti un punteggio interno di priorità, usato per organizzare il lavoro dei commerciali e per scegliere i destinatari delle comunicazioni promozionali, che inviamo solo a chi ha dato il consenso. Può opporsi in qualsiasi momento anche a questo uso.

A1. Appuntamenti

Dati: nome, cognome, email, telefono, azienda, data e modalità dell’incontro, eventuali note sulla richiesta.
Finalità e base giuridica: fissare, confermare, ricordare, modificare o annullare l’appuntamento che ha richiesto o concordato (art. 6.1.b GDPR).
Comunicazioni: conferme, promemoria e aggiornamenti arrivano sul canale che ha scelto: email, WhatsApp o entrambi; se non ha indicato una scelta, via email. L’email contiene l’invito da aggiungere al suo calendario. Se un messaggio WhatsApp non può essere consegnato, o se ha chiesto di non ricevere più messaggi WhatsApp, le comunicazioni le arrivano via email. Le regole sui due canali sono in A5.
Calendario del commerciale: per organizzare l’incontro, il suo nome e il suo numero di telefono sono annotati nel calendario Google del commerciale che la segue (Parte B, §B4). La sua email, la sua azienda e le note non vengono mai scritte nel calendario.
Videochiamate: si svolgono su Google Meet, a cui lei accede direttamente tramite il link ricevuto.

A2. Proposte, contratti e firma

Dati: dati identificativi e di contatto del firmatario, dati dell’azienda rappresentata, contenuto della proposta.
Finalità e base giuridica: inviarle la proposta, raccogliere la firma e gestire il contratto (art. 6.1.b GDPR); adempimenti contabili e fiscali (art. 6.1.c GDPR).
Modalità di firma:
- tramite la piattaforma di firma elettronica Youtrust (già Yousign);
- oppure caricando il contratto firmato su una pagina riservata, raggiungibile con un link personale ricevuto via email da proposte@innoform.it. Il link vale una sola volta e scade dopo 60 giorni. Del caricamento conserviamo data, ora e indirizzo IP come prova.
Validità dell’offerta: 60 giorni dall’invio. Trascorso tale termine senza firma, l’offerta decade e la trattativa viene chiusa.
Le email relative alla proposta non contengono sistemi di tracciamento dell’apertura o dei clic.

A3. Destinatari e fornitori

I dati sono accessibili al personale Innoform autorizzato, con credenziali personali e permessi per ruolo. Alla vittoria di una trattativa, l’amministrazione di Innoform riceve i dati necessari alla fatturazione. I dati sono inoltre trattati da:

Fornitore	Servizio	Ruolo	Dove / garanzie
Serverplan S.r.l.	Server del CRM	Responsabile del trattamento	Italia
eDisplay S.r.l. (turboSMTP)	Invio delle email	Responsabile del trattamento	Unione Europea; nessun trasferimento extra-UE senza preavviso contrattuale
Youtrust (già Yousign)	Firma elettronica	Responsabile del trattamento	Francia (UE); eventuali trasferimenti extra-UE solo con Clausole Contrattuali Standard
WhatsApp Ireland Limited (gruppo Meta)	Messaggi WhatsApp, se scelti	Responsabile per il contenuto dei messaggi; titolare autonomo per alcuni dati tecnici	Irlanda (UE); trasferimenti al gruppo Meta negli USA con Clausole Contrattuali Standard (WhatsApp Business Data Transfer Addendum) e EU-US Data Privacy Framework
Meta Platforms Ireland Limited	Moduli di contatto negli annunci Meta (Lead Ads)	Responsabile del trattamento per i dati raccolti con i moduli, secondo le Condizioni di Meta per le inserzioni per acquisizione contatti	Irlanda (UE); trasferimenti al gruppo Meta negli USA con EU-US Data Privacy Framework e Clausole Contrattuali Standard
Google (Google Ireland Limited / Google LLC)	Calendari dei commerciali e videochiamate Meet	Titolare autonomo, secondo i propri termini di servizio	UE e USA; Google LLC aderisce all’EU-US Data Privacy Framework

Fornitori e trasferimenti internazionali. Per alcune funzionalità Innoform si avvale di fornitori tecnologici, fra cui Google e Meta/WhatsApp. Il trattamento può comportare trasferimenti di dati verso Paesi situati al di fuori dello Spazio Economico Europeo. Tali trasferimenti avvengono nel rispetto degli artt. 44 e seguenti del GDPR, con le garanzie applicabili: decisioni di adeguatezza, EU-US Data Privacy Framework o Clausole Contrattuali Standard. I dati non sono venduti né comunicati a terzi per finalità proprie di questi ultimi: i soli destinatari sono i fornitori necessari all’erogazione dei servizi, elencati qui sopra.

A4. Conservazione

Contatti e relazioni commerciali: i dati sono conservati per il tempo necessario alla gestione e alla documentazione del rapporto commerciale e del relativo storico. Innoform verifica periodicamente la permanenza delle condizioni che ne giustificano la conservazione; i dati non più giustificati vengono cancellati o resi anonimi.
Comunicazioni promozionali: usiamo i suoi dati per le comunicazioni promozionali per 24 mesi dalla registrazione del consenso; solo un nuovo consenso fa ripartire il termine. Alla scadenza, o se revoca il consenso, non le inviamo più comunicazioni promozionali. Conserviamo la registrazione del consenso e dell’eventuale revoca, come prova. Può prestare un nuovo consenso in qualsiasi momento.
Trattative non perfezionate: i dati raccolti specificamente per valutare una richiesta, predisporre una proposta o gestire una trattativa che non si perfeziona — proposta, importi, dati economici e informazioni non più necessarie — sono cancellati o resi anonimi entro 6 mesi dalla conclusione o dall’interruzione di quell’attività. Restano la sua scheda e la memoria essenziale del rapporto, alle condizioni indicate qui sotto.
Opposizione: se si oppone al contatto commerciale, conserviamo i dati necessari a documentare e rispettare la sua opposizione, al solo fine di evitare ulteriori contatti.
Storico commerciale: il venir meno della possibilità di contattarla per finalità promozionali non comporta automaticamente la cancellazione dell’intero storico. Innoform può conservare, sulla base del proprio legittimo interesse, uno storico ridotto ai soli dati necessari a garantire continuità e coerenza nei rapporti fra imprese, ricostruire richieste e trattative precedenti, evitare duplicazioni e ricontatti incoerenti, rispettare preferenze e opposizioni e tutelare i propri diritti. Questi dati non sono usati per comunicazioni promozionali, sono ridotti al minimo, con accessi limitati e riesame periodico della loro necessità; quando nessuna finalità ne giustifica più la conservazione, vengono cancellati o resi anonimi.
Contratti firmati e prova della firma: 10 anni (art. 2220 c.c.).

A5. Email e WhatsApp

Email di servizio: conferme, appuntamenti, proposte e altre comunicazioni legate alla sua richiesta. Le inviamo per dare seguito alla richiesta (art. 6.1.b GDPR) e non contengono comunicazioni promozionali.
Email promozionali: novità, corsi e offerte di Innoform, secondo le regole indicate in A0. Può revocare il consenso in qualsiasi momento con il link «Disiscriviti» presente in ogni email promozionale o scrivendo a hello@innoform.it. La revoca non pregiudica la liceità degli invii precedenti.
Aperture e clic: nelle email che le inviamo, escluse quelle relative alla proposta (A2), registriamo se e quando l’email viene aperta, tramite un’immagine invisibile, e i link su cui fa clic. Ci serve per sapere se le comunicazioni sono arrivate, per misurare l’efficacia di quelle promozionali e, se ha dato il consenso, per scegliere i destinatari delle comunicazioni promozionali successive. Può evitare la registrazione delle aperture disattivando il caricamento delle immagini nel suo programma di posta.
WhatsApp: lo usiamo solo per comunicazioni legate alla sua richiesta e ai suoi appuntamenti, mai per messaggi promozionali. Le scriviamo su WhatsApp solo se lo ha scelto — prenotando un appuntamento o spuntando la relativa casella nel modulo del sito o dell’annuncio Meta — oppure per rispondere a un messaggio che ci ha inviato lei. Se ci scrive per primo, riceve una risposta automatica di conferma.
STOP: può smettere di ricevere messaggi WhatsApp in qualsiasi momento rispondendo «STOP». Il CRM registra la richiesta e non le invia più messaggi WhatsApp; le comunicazioni di servizio continuano via email.

PARTE B – Consulenti commerciali: Innoform Calendar

Innoform Calendar (client OAuth Google del progetto innoform-fad) è l’integrazione con Google Calendar del CRM. La usano solo i consulenti commerciali di Innoform per gestire gli appuntamenti con i clienti.

B1. Autorizzazioni Google e uso effettivo

Autorizzazione	Cosa consente tecnicamente	Cosa fa davvero Innoform Calendar
`openid`, `email`	Conoscere email e identificativo dell’account Google	Mostra al consulente quale account è collegato e rileva se una riconnessione usa un account diverso
`calendar.calendarlist.readonly`	Vedere l’elenco dei calendari dell’account	Legge nomi e identificativi dei calendari, per scegliere dove creare gli appuntamenti e quali calendari rendono «occupato»
`calendar.events.freebusy`	Vedere la disponibilità (libero/occupato) dei calendari	Legge solo gli intervalli occupati dei calendari scelti — non titoli, descrizioni, luoghi o partecipanti — per proporre ai clienti gli orari liberi
`calendar.events.owned`	Vedere, creare, modificare ed eliminare gli eventi nei calendari di cui l’utente è proprietario	Per progettazione, usa questo accesso solo sugli eventi che ha creato per gli appuntamenti del CRM, che riconosce da un marcatore proprio: li crea (con eventuale link Google Meet), li aggiorna, li cancella, rileva se il consulente li sposta o li cancella su Google, e li cancella quando il collegamento termina (§B6). Le richieste a Google sono filtrate su quel marcatore, quindi non legge, modifica né cancella gli altri eventi del consulente

L’app non accede a Gmail, Drive, Contatti o altri servizi Google.

B2. Come usiamo i dati Google

I dati Google servono solo alle funzioni descritte sopra: mostrare gli orari disponibili e tenere allineati gli appuntamenti del CRM e il calendario del consulente. Nessun altro uso.

B3. Base giuridica

Esecuzione del rapporto di collaborazione con Innoform e legittimo interesse all’organizzazione degli appuntamenti (art. 6.1.b e 6.1.f GDPR). L’autorizzazione concessa su Google abilita l’accesso tecnico; il collegamento si può revocare in ogni momento (§B7).

B4. Cosa scrive l’app negli eventi

10:00–10:30  Appuntamento Innoform — Mario Rossi (telefonata)
             Telefono: 333 1234567
             Apri nel CRM: https://crm.innoform.it/app?appuntamento=123

Scritti: orario, modalità, nome e cognome del cliente, telefono del cliente se presente, link alla scheda dell’appuntamento nel CRM, eventuale link Google Meet.
Mai scritti: email del cliente, azienda, servizio di interesse, importi, note interne, documenti, consensi.
Nessun invitato: il cliente non viene aggiunto come partecipante, quindi Google non gli invia nulla dall’account del consulente.
Il link al CRM contiene solo un numero: chi non ha le credenziali del CRM vede la pagina di accesso e nient’altro.

B5. Condivisione e trasferimento

I dati Google non vengono venduti, né condivisi, trasferiti o comunicati a terzi.
Non vengono usati per pubblicità, profilazione, ricerche di mercato o valutazioni del credito.
Non vengono usati per sviluppare, migliorare o addestrare modelli di intelligenza artificiale o di apprendimento automatico.
Il personale Innoform non li consulta, salvo consenso esplicito dell’utente, motivi di sicurezza, obblighi di legge o in forma aggregata e anonima per esigenze interne.
Nel CRM i dati sono conservati da Serverplan S.r.l. (server in Italia), responsabile del trattamento per conto di Innoform.
Gli eventi scritti nel calendario (§B4) risiedono nell’account Google del consulente e sono trattati da Google secondo i propri termini, anche fuori dall’Unione Europea (§A3).

L’uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google da parte di Innoform Calendar rispettano le Google API Services User Data Policy, inclusi i requisiti di Limited Use.

B6. Conservazione, protezione e cancellazione

Conservati nel CRM: email dell’account collegato; identificativi dei calendari scelti; identificativi degli eventi creati dall’app; stato del collegamento; un refresh token OAuth salvato cifrato nel database.
Non conservati: le informazioni libero/occupato si leggono al momento e non vengono salvate.
Tutte le comunicazioni con Google e con il CRM avvengono in HTTPS/TLS. I token non vengono mai mostrati né esportati.
Obblighi del consulente: ogni consulente che collega il proprio calendario riceve e sottoscrive istruzioni scritte: calendario usato solo per lavoro e non condiviso con altri; verifica in due passaggi attiva sull’account Google; dispositivo protetto da blocco; segnalazione a Innoform entro 24 ore di smarrimento del dispositivo o accesso sospetto all’account.
Refresh token: resta solo finché il collegamento è attivo.
Fine della collaborazione: la procedura di uscita prevede che, finché il collegamento è attivo, il CRM cancelli dal calendario del consulente tutti gli eventi che aveva creato, poi revochi il token presso Google e lo cancelli. Se il consulente ha già revocato l’accesso, il CRM non può più intervenire sul suo calendario: per questo l’obbligo di cancellazione è previsto anche nelle istruzioni al consulente.
Accesso revocato durante la collaborazione: se il collegamento viene interrotto da Google mentre il consulente è ancora attivo, l’amministratore del CRM riceve un avviso, per ripristinarlo.
Richieste dei clienti: se un cliente chiede la cancellazione dei suoi dati, il CRM cancella anche i suoi eventi dai calendari collegati.
Gli identificativi degli eventi e l’email dell’account restano nello storico degli appuntamenti solo finché si conservano i relativi dati commerciali (§A4), e vengono cancellati con essi.

B7. Revoca dell’accesso

Dal CRM: Profilo → Google Calendar → Scollega. Il CRM revoca il token presso Google e lo cancella subito; i calendari scelti vengono azzerati.
Da Google: myaccount.google.com/permissions → Innoform Calendar → Rimuovi accesso.

Diritti

Ai sensi degli artt. 15-22 GDPR può chiedere l’accesso ai dati, la rettifica, la cancellazione, la limitazione del trattamento e, ove applicabile, la portabilità; può inoltre opporsi, ove applicabile, al trattamento basato sul legittimo interesse, e in ogni caso al contatto commerciale e alla profilazione a esso connessa. Può revocare in qualsiasi momento i consensi prestati, senza pregiudicare la liceità del trattamento basato sul consenso prima della revoca (art. 7.3 GDPR). Scriva a hello@innoform.it: rispondiamo entro un mese, prorogabile nei casi previsti dall’art. 12.3 GDPR, dandogliene notizia. Può proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

Modifiche

Se i trattamenti cambiano, questa informativa viene aggiornata (vedi data in alto). Quando servono nuove autorizzazioni Google, ai consulenti viene richiesto un nuovo consenso tramite Google.

Privacy Policy – Innoform CRM and appointments

Last updated: 28 September 2026 · Provided under Articles 13 and 14 of Regulation (EU) 2016/679 (GDPR) · Supplements Innoform’s general privacy policy (innoform.it/privacy-policy)

This policy describes the processing carried out through Innoform’s CRM (crm.innoform.it):

Part A – for customers and prospects: management of business contacts, appointments, email and WhatsApp communications, proposals and contract signature;
Part B – for Innoform’s sales consultants: the “Innoform Calendar” application, which connects the CRM to their Google Calendar.

Which notice applies. For the processing carried out through the CRM — business contacts, appointments, communications, proposals and contract signature — this notice applies, being specific and more recent. In case of any discrepancy with Innoform’s general privacy policy, what is stated here prevails for such processing.

1. Data controller

Innoform Srl – Circonvallazione Clodia 163/167, 00195 Roma (RM), Italy – VAT / Tax code 16692441005 – Phone +39 328 197 2609
Privacy contact: hello@innoform.it

PART A – Customers and prospects

A0. Management of business contacts

How we obtain your data	Source	Legal basis
You gave it to us: website form, online booking, Meta ads, WhatsApp message, phone or email contact	You	Replying to your request and pre-contractual measures (Art. 6(1)(b) GDPR)
We already had it: Innoform’s historical archive of customers and former customers	Previous business relationships with you or your company	Legitimate interest in offering services to past customers (Art. 6(1)(f) GDPR)
We collected it in person: trade fairs and events	Business cards and contacts exchanged with you	Legitimate interest in professional contact (Art. 6(1)(f) GDPR)
Someone referred you: referrals from customers, partners or acquaintances	The person or company who referred you	Legitimate interest in professional contact (Art. 6(1)(f) GDPR)

Data processed: first and last name; job role; business email, phone number and other professional contact details; company and its data (company name, VAT number, sector); services of interest; history of interactions with Innoform (calls, emails, appointments, notes).
Purposes: contacting you about Innoform’s services, organising the sales team’s work and following up on your requests.
Provision of data: contact details are necessary to reply to your request; without them we cannot follow up. Consent to promotional communications is optional: if you do not give it, there are no consequences for the service you requested.
Legitimate interest: it covers only professional contacts related to your role in your company, and never overrides your rights. You can object at any time by writing to hello@innoform.it or telling the consultant: from then on you will not be contacted again. On request we provide information on the assessment by which we balanced our interest against your rights. This basis does not, in itself, authorise promotional communications: those follow the rules set out below and in A5.
Promotional emails: we send them only with your consent or, if you are already our customer, about services similar to those you purchased, with the option to refuse them at any time (Art. 130 of the Italian Privacy Code).
When you receive this notice: if the data was not provided by you, at the first contact and in any case within one month of its registration in the CRM.
No automated decision-making and no profiling with legal effects. The CRM gives contacts an internal priority score, used to organise the sales team’s work and to choose the recipients of promotional communications, which we send only to those who have given consent. You can also object to this use at any time.

A1. Appointments

Data: first and last name, email, phone number, company, date and type of meeting, any notes on the request.
Purpose and legal basis: scheduling, confirming, reminding, changing or cancelling the appointment you requested or agreed to (Art. 6(1)(b) GDPR).
Communications: confirmations, reminders and updates are sent on the channel you chose: email, WhatsApp or both; if you made no choice, by email. The email includes an invitation to add to your calendar. If a WhatsApp message cannot be delivered, or if you asked to stop receiving WhatsApp messages, communications reach you by email. The rules for both channels are set out in A5.
Consultant’s calendar: to organise the meeting, your name and phone number are noted in the Google calendar of the consultant following you (Part B, §B4). Your email, company and notes are never written in the calendar.
Video calls: they take place on Google Meet, which you join directly through the link you receive.

A2. Proposals, contracts and signature

Data: identification and contact data of the signatory, data of the represented company, content of the proposal.
Purpose and legal basis: sending you the proposal, collecting the signature and managing the contract (Art. 6(1)(b) GDPR); accounting and tax obligations (Art. 6(1)(c) GDPR).
Signature methods:
- through the electronic signature platform Youtrust (formerly Yousign);
- or by uploading the signed contract on a private page, reached through a personal link received by email from proposte@innoform.it. The link works only once and expires after 60 days. For the upload we keep date, time and IP address as evidence.
Offer validity: 60 days from sending. If not signed within this period, the offer lapses and the negotiation is closed.
Emails about the proposal contain no open or click tracking.

A3. Recipients and providers

Data is accessible to authorized Innoform personnel, with personal credentials and role-based permissions. When a negotiation is won, Innoform’s administration receives the data needed for invoicing. Data is also processed by:

Provider	Service	Role	Where / safeguards
Serverplan S.r.l.	CRM servers	Processor	Italy
eDisplay S.r.l. (turboSMTP)	Email delivery	Processor	European Union; no transfer outside the EU without contractual prior notice
Youtrust (formerly Yousign)	Electronic signature	Processor	France (EU); any transfer outside the EU only under Standard Contractual Clauses
WhatsApp Ireland Limited (Meta group)	WhatsApp messages, if chosen	Processor for message content; independent controller for some technical data	Ireland (EU); transfers to the Meta group in the USA under Standard Contractual Clauses (WhatsApp Business Data Transfer Addendum) and the EU-US Data Privacy Framework
Meta Platforms Ireland Limited	Contact forms in Meta ads (Lead Ads)	Processor for the data collected through the forms, under Meta’s Lead Ads Terms	Ireland (EU); transfers to the Meta group in the USA under the EU-US Data Privacy Framework and Standard Contractual Clauses
Google (Google Ireland Limited / Google LLC)	Consultants’ calendars and Meet video calls	Independent controller, under its own terms of service	EU and USA; Google LLC participates in the EU-US Data Privacy Framework

Suppliers and international transfers. For some features Innoform relies on technology providers, including Google and Meta/WhatsApp. Processing may involve transfers of data to countries outside the European Economic Area. Such transfers take place under Articles 44 et seq. GDPR, with the applicable safeguards: adequacy decisions, the EU-US Data Privacy Framework or Standard Contractual Clauses. Data is never sold, nor disclosed to third parties for their own purposes: the only recipients are the providers listed above, which are necessary to deliver the services.

A4. Retention

Contacts and business relationships: data is kept for as long as necessary to manage and document the business relationship and its history. Innoform periodically verifies that the conditions justifying retention still apply; data no longer justified is deleted or anonymised.
Promotional communications: we use your data for promotional communications for 24 months from the registration of your consent; only a new consent restarts this period. When it expires, or if you withdraw your consent, we no longer send you promotional communications. We keep the record of your consent and of any withdrawal, as evidence. You may give a new consent at any time.
Unsuccessful negotiations: data collected specifically to assess a request, prepare a proposal or manage a negotiation that is not completed — proposal, amounts, financial data and information no longer needed — is deleted or anonymised within 6 months of the conclusion or interruption of that activity. Your record and the essential memory of the relationship are kept, under the conditions set out below.
Objection: if you object to business contact, we keep the data needed to document and respect your objection, solely to avoid further contact.
Business history: the fact that we may no longer contact you for promotional purposes does not automatically entail deletion of your entire history. On the basis of its legitimate interest, Innoform may keep a reduced history, limited to the data needed to ensure continuity and consistency in business-to-business relationships, reconstruct previous requests and negotiations, avoid duplicates and inconsistent contacts, respect preferences and objections and defend its rights. This data is not used for promotional communications, is kept to a minimum, with restricted access and periodic review of its necessity; when no purpose justifies retention any longer, it is deleted or anonymised.
Signed contracts and signature evidence: 10 years (Art. 2220 of the Italian Civil Code).

A5. Email and WhatsApp

Service emails: confirmations, appointments, proposals and other communications related to your request. We send them to follow up on your request (Art. 6(1)(b) GDPR) and they contain no promotional content.
Promotional emails: news, courses and offers from Innoform, under the rules set out in A0. You can withdraw your consent at any time through the “Unsubscribe” link in every promotional email or by writing to hello@innoform.it. Withdrawal does not affect the lawfulness of earlier sending.
Opens and clicks: in the emails we send you, except those about the proposal (A2), we record whether and when the email is opened, through an invisible image, and which links you click. We use this to know whether our communications have arrived, to measure the effectiveness of promotional ones and, if you have given consent, to choose the recipients of later promotional communications. You can prevent opens from being recorded by disabling image loading in your email program.
WhatsApp: we use it only for communications related to your request and your appointments, never for promotional messages. We write to you on WhatsApp only if you chose it — when booking an appointment or by ticking the relevant box in the website form or in the Meta ad form — or to reply to a message you sent us. If you write to us first, you receive an automatic acknowledgement.
STOP: you can stop receiving WhatsApp messages at any time by replying “STOP”. The CRM records your request and sends you no further WhatsApp messages; service communications continue by email.

PART B – Sales consultants: Innoform Calendar

Innoform Calendar (Google OAuth client of project innoform-fad) is the Google Calendar integration of the CRM. It is used only by Innoform’s sales consultants to manage appointments with customers.

B1. Google permissions and actual use

Scope	What it technically allows	What Innoform Calendar actually does
`openid`, `email`	Know the email address and ID of the Google account	Shows the consultant which account is connected and detects if a reconnection uses a different account
`https://www.googleapis.com/auth/calendar.calendarlist.readonly`	See the list of the account’s calendars	Reads calendar names and IDs, to choose where appointments are created and which calendars count as “busy”
`https://www.googleapis.com/auth/calendar.events.freebusy`	See the availability (free/busy) of calendars	Reads busy time ranges only of the selected calendars — no titles, descriptions, locations or attendees — to offer customers free time slots
`https://www.googleapis.com/auth/calendar.events.owned`	See, create, change and delete events on the calendars the user owns	By design, uses this access only on the events it created for CRM appointments, which it recognises by its own marker: it creates them (including an optional Google Meet link), updates and deletes them, detects when the consultant moves or deletes them in Google Calendar, and deletes them when the connection ends (§B6). Requests to Google are filtered on that marker, so it does not read, change or delete any other event of the consultant

The app does not access Gmail, Drive, Contacts or any other Google service.

B2. How we use Google user data

Google user data is used only to provide the user-facing features described above: showing available time slots and keeping CRM appointments and the consultant’s calendar in sync. It is not used for any other purpose.

B3. Legal basis

Performance of the working relationship with Innoform and legitimate interest in organising appointments (Art. 6(1)(b) and 6(1)(f) GDPR). The authorization granted on Google enables technical access; the connection can be revoked at any time (§B7).

B4. What the app writes in events

10:00–10:30  Appuntamento Innoform — Mario Rossi (telefonata)
             Telefono: 333 1234567
             Apri nel CRM: https://crm.innoform.it/app?appuntamento=123

Written: time, type of meeting, customer’s first and last name, customer’s phone number if available, link to the appointment in the CRM, optional Google Meet link.
Never written: customer’s email, company, service of interest, amounts, internal notes, documents, consents.
No attendees: the customer is not added as a guest, so Google sends nothing to the customer from the consultant’s account.
The CRM link only contains a number: without CRM credentials it shows the login page and nothing else.

B5. Sharing, transfer and disclosure

Google user data is not sold, and is not shared with, transferred to or disclosed to third parties.
It is not used for advertising, profiling, market research or credit assessment.
It is not used to develop, improve or train generalized or non-personalized AI or machine-learning models.
Innoform staff do not read this data except with the user’s explicit consent, for security purposes (e.g. investigating abuse), to comply with applicable law, or when aggregated and anonymized for internal operations.
In the CRM, data is stored by Serverplan S.r.l. (servers in Italy), acting as processor on Innoform’s behalf.
Events written in the calendar (§B4) reside in the consultant’s Google account and are processed by Google under its own terms, also outside the European Union (§A3).

Innoform Calendar’s use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

B6. Storage, protection and deletion

Stored in the CRM: connected account email; IDs of the selected calendars; IDs of the events created by the app; connection status; an OAuth refresh token, stored encrypted in the database.
Not stored: free/busy information is requested when needed and is not saved.
All traffic to Google and to the CRM uses HTTPS/TLS. Tokens are never displayed to users or exported.
Consultant obligations: every consultant who connects a calendar receives and signs written instructions: calendar used for work only and not shared with others; two-step verification enabled on the Google account; device protected by a lock; reporting to Innoform within 24 hours any loss of the device or suspicious access to the account.
Refresh token: kept only while the connection is active.
End of collaboration: the offboarding procedure provides that, while the connection is active, the CRM deletes from the consultant’s calendar all the events it created, then revokes the token with Google and deletes it. If the consultant has already revoked access, the CRM can no longer act on their calendar: for this reason the deletion obligation is also part of the consultant’s instructions.
Access revoked during the collaboration: if the connection is interrupted from Google while the consultant is still active, the CRM administrator is notified, so it can be restored.
Customer requests: if a customer asks for their data to be erased, the CRM also deletes their events from the connected calendars.
Event IDs and the connected account email remain in the appointment history only for as long as the related commercial records are kept (§A4), and are deleted with them.

B7. Revoking access

From the CRM: Profile → Google Calendar → Disconnect. The CRM revokes the token with Google and deletes it immediately; the selected calendars are cleared.
From Google: myaccount.google.com/permissions → Innoform Calendar → Remove access.

Your rights

Under Articles 15-22 GDPR you may request access to your data, rectification, erasure, restriction of processing and, where applicable, portability; you may also object, where applicable, to processing based on legitimate interest, and in any case to business contact and to the related profiling. You may withdraw any consent you have given at any time, without affecting the lawfulness of processing based on consent before its withdrawal (Art. 7(3) GDPR). Write to hello@innoform.it: we reply within one month, which may be extended in the cases provided for by Art. 12(3) GDPR, in which case we will inform you. You may lodge a complaint with the Italian Data Protection Authority (garanteprivacy.it).

Changes

If the processing changes, this policy will be updated (see the date above). When new Google permissions are needed, consultants will be asked for new consent through Google.