La versione tedesca è legalmente vincolante.

Informativa sulla privacy

Aggiornata al 20 ottobre 2026. Fa fede esclusivamente la versione tedesca; le traduzioni servono solo alla comprensione.

Questa informativa ti dice quali dati personali trattiamo su todo.monster (di seguito «Servizio»), per quale scopo, su quale base, chi li riceve e per quanto tempo li conserviamo. «lett. a» fino a «lett. f» si riferisce all'art. 6, par. 1, GDPR.

1. Titolare del trattamento e contatti

Coozinha UG (haftungsbeschränkt), Sonnenallee 26, 12047 Berlin, Germania, rappresentata dall'amministratore Jan Kube. Registro delle imprese: Amtsgericht Charlottenburg, HRB 239912 B. E-mail: support@todo.monster.

Non abbiamo nominato un responsabile della protezione dei dati; non siamo tenuti a farlo. Le domande sulla protezione dei dati e le richieste relative ai tuoi diritti vanno inviate a support@todo.monster.

2. Ambito di applicazione e ruoli

Questa informativa si applica al sito web e alla web app su todo.monster. Il Servizio è destinato a imprenditori e non a minorenni; stipuliamo contratti solo con persone a partire dai 18 anni.

Siamo titolari del trattamento per il tuo account, l'accesso, la sicurezza del Servizio, la fatturazione, il supporto, le e-mail di sistema e il programma pilota.

Siamo responsabili del trattamento (art. 28 GDPR) per i contenuti che un cliente aziendale e i suoi membri trattano nelle aree aziendali: progetti, attività, commenti, allegati, registrazione dei tempi, caselle di posta aziendali, calendari aziendali e la conversione IA dalle caselle di posta aziendali. Il titolare è il cliente aziendale; la base è il contratto di trattamento dei dati (ADV, Auftragsverarbeitungsvertrag), che ogni cliente accetta al momento della registrazione. Se sei membro o ospite di un'azienda, rivolgiti all'azienda per le domande su questi contenuti; le richieste che ci pervengono le inoltriamo all'azienda. Per il tuo account personale restiamo noi i titolari.

Se nel Servizio tratti dati di altre persone, ad esempio i mittenti di e-mail importate o i partecipanti ad appuntamenti, ne sei tu stesso responsabile.

3. Visita del sito web

A ogni visita trattiamo dati tecnici di accesso: indirizzo IP, data e ora, indirizzo richiesto, identificativo del browser e stato della risposta. Lo scopo è la consegna delle pagine, la ricerca degli errori e la difesa dagli attacchi (lett. f; il nostro legittimo interesse è l'esercizio sicuro). Per i limitatori contro gli abusi conserviamo l'indirizzo IP solo come hash per un periodo da minuti a ore; le segnalazioni del tuo browser relative alla nostra politica di sicurezza (Content Security Policy) le registriamo in forma abbreviata e senza riferimenti a persone.

Il Servizio è ospitato presso Mittwald CM Service GmbH & Co. KG, Espelkamp, in un centro dati in Germania. I registri del server e dell'applicazione li eliminiamo dopo 30 giorni. Script, font e fogli di stile li forniamo noi stessi; le eccezioni sono indicate nella sezione 5 (protezione anti-bot) e nella sezione 12.

4. Cookie e memorizzazione sul dispositivo

I cookie todomonster_session e remember sono strettamente necessari per il servizio da te richiesto (§ 25, comma 2, n. 2, TDDDG, legge tedesca sulla protezione dei dati nelle telecomunicazioni e nei servizi digitali); non è necessario alcun consenso, perciò non c'è alcun banner dei cookie. Nella memoria del browser (localStorage, sessionStorage) salviamo impostazioni di visualizzazione come larghezze delle colonne, avvisi nascosti e l'ultimo progetto selezionato; questi valori non lasciano il tuo browser. Non utilizziamo cookie di analisi, pubblicità o tracciamento né alcun fingerprinting.

Quando pianifichi attività, memorizziamo il fuso orario usato per la pianificazione nell’attività o nella regola di ricorrenza. Questa informazione sul fuso orario è inclusa nella tua esportazione dei dati. Per determinare il fuso orario del dispositivo non è necessaria l’autorizzazione ad accedere alla posizione.

5. Account, accesso e sicurezza

Registrazione e profilo. Per un account ci servono nome, cognome, indirizzo e-mail e una password, che memorizziamo solo come hash; l'indirizzo lo confermi con un codice via e-mail. Senza questi dati non possiamo concludere alcun contratto; tutti gli altri dati (messaggio di stato, foto del profilo, lingua, impostazioni di visualizzazione) sono facoltativi. La base è il contratto di utilizzo (lett. b). Il tuo nome, la tua foto e il tuo messaggio di stato sono visibili ai membri dei tuoi progetti e delle tue aziende. Gli account non confermati li eliminiamo dopo 14 giorni.

Consensi. Come prova che hai accettato le AGB e l'ADV, memorizziamo data e ora, versione e l'indirizzo IP (cifrato) (lett. f; interesse alla prova).

Accesso. Registriamo ogni tentativo di accesso con indirizzo e-mail, data e ora, indirizzo IP, identificativo del browser ed esito, per riconoscere gli attacchi; dopo 20 tentativi falliti in 15 minuti blocchiamo temporaneamente l'accesso (lett. f). Questo registro lo eliminiamo dopo 90 giorni. Gli amministratori del Servizio vedono la data e l'ora del tuo ultimo accesso riuscito.

Verifica della password. Quando imposti una password inviamo un breve frammento del suo valore hash al servizio «Have I Been Pwned» (api.pwnedpasswords.com) e verifichiamo la risposta localmente. Da questo frammento non è possibile ricavare né la tua password né la tua identità; la password stessa non lascia mai il Servizio (lett. f; sicurezza dell'account).

Protezione anti-bot. Nella pagina di registrazione il tuo browser carica uno script di verifica del servizio EU-Captcha (Myra Security GmbH). In tale occasione il fornitore riceve il tuo indirizzo IP, l'identificativo del browser e l'esito della verifica (lett. f; protezione da registrazioni automatizzate).

Accessi per client IA (MCP). Solo gli amministratori del Servizio possono generare token di accesso per client IA; i token scadono dopo 30 giorni, gli accessi li registriamo con l'indirizzo IP. Per gli altri utenti non avviene alcun trattamento in questo ambito.

6. Contenuti: attività, progetti, commenti, allegati, tempi, aziende

Tu crei progetti, moduli, attività (titolo, descrizione, appuntamenti, stato, priorità), commenti, assegnazioni, tag, allegati e registrazioni dei tempi; noi teniamo al riguardo una cronologia delle modifiche e le notifiche. La base è il contratto di utilizzo (lett. b); per i contenuti aziendali vale la sezione 2. I contenuti sono visibili solo ai membri del rispettivo progetto o della rispettiva azienda secondo il loro ruolo.

Titoli, descrizioni, commenti e credenziali di accesso delle caselle di posta e dei calendari collegati sono memorizzati cifrati lato server (AES-256); la tua password la memorizziamo solo come hash Argon2id. Nel normale esercizio non accediamo ai contenuti. Le eccezioni sono il ripristino dal cestino su tua richiesta, durante il quale gli amministratori vedono nome utente, indirizzo e-mail, titoli di progetti, moduli e attività nonché date e orari di eliminazione, e la diagnosi degli errori; entrambi vengono registrati.

I contenuti eliminati restano 30 giorni nel cestino e vengono poi rimossi definitivamente. Le notifiche le eliminiamo dopo 30 giorni. Puoi scaricare i tuoi dati di lavoro come esportazione; il download è disponibile per 24 ore.

Aziende e inviti. Per un'azienda memorizziamo nome, titolare, membri e ruoli nonché un registro delle operazioni amministrative (chi ha modificato cosa), che conserviamo per tre anni (lett. f; tracciabilità). Se vieni invitato via e-mail in un progetto o in un'azienda, abbiamo ricevuto il tuo indirizzo dalla persona che ti ha invitato (art. 14 GDPR); lo trattiamo solo per l'invito (lett. f; interesse di chi invita alla collaborazione). L'invito scade dopo 7 giorni, il record lo eliminiamo dopo 30 giorni. L'e-mail di invito contiene un link a questa informativa.

7. Caselle di posta elettronica collegate

Puoi collegare una tua casella di posta (IMAP/SMTP). Memorizziamo server, nome utente e password (cifrata) e recuperiamo i messaggi ogni cinque minuti: mittente, destinatari, oggetto, testo e allegati. Oggetto e testo sono memorizzati in forma cifrata. Un filtro antispam impara dalle tue segnalazioni. La base è il contratto di utilizzo (lett. b). La controparte è il fornitore di posta elettronica che hai scelto; le caselle di posta aziendali le collega l'azienda, per esse vale la sezione 2.

I mittenti e i destinatari di questi messaggi non ricevono nulla da noi; la fonte dei loro dati (nome, indirizzo, contenuti) è la tua casella di posta, e il responsabile sei tu o la tua azienda.

I messaggi eliminati li rimuoviamo dal cestino dopo 45 giorni, una casella di posta rimossa con le relative credenziali dopo 30 giorni, i registri di recupero al più tardi dopo 7 giorni.

8. Funzione IA «da e-mail ad attività»

Solo se nella casella di posta scegli «Con IA», trasmettiamo nome del mittente, indirizzo del mittente, data e ora di ricezione, oggetto e il testo ripulito dell'e-mail selezionata (al massimo 24.000 caratteri, nessun allegato) a un modello linguistico di Mittwald AI Hosting (Mittwald CM Service GmbH & Co. KG). Il modello è eseguito in Germania; Mittwald si è impegnata a non utilizzare gli input per l'addestramento di modelli. In risposta arriva una proposta di titolo, descrizione e appuntamento, che tu verifichi e modifichi; non ha luogo alcuna decisione automatizzata.

La base è, per i tuoi dati, il contratto di utilizzo (lett. b), per i dati del mittente il nostro e il tuo legittimo interesse a un'elaborazione rapida (lett. f). Prima del primo utilizzo ti avvisiamo nella finestra di dialogo della trasmissione; per ogni conversione puoi scegliere «Senza IA» oppure disattivare la funzione in modo permanente nelle tue impostazioni.

Per ogni chiamata registriamo utente, messaggio, modello, volume, durata ed esito senza contenuti (lett. f; fatturazione e protezione dagli abusi) ed eliminiamo il registro dopo 90 giorni.

9. Calendario: Google, Microsoft e CalDAV

Google. Puoi collegare un account Google. Accedi direttamente presso Google e lì ci autorizzi a leggere e scrivere i tuoi calendari. Memorizziamo i token di accesso (cifrati) e l'indirizzo dell'account e recuperiamo dai calendari selezionati gli appuntamenti: titolo, descrizione, luogo, orari e partecipanti. Gli appuntamenti che crei o modifichi nel Servizio li trasmettiamo a Google, inclusi nomi e indirizzi dei partecipanti.

Microsoft. Puoi collegare un account Microsoft privato (Outlook.com, Hotmail, Live). Accedi direttamente presso Microsoft e lì ci autorizzi in modo permanente a leggere e scrivere i tuoi calendari. Memorizziamo i token di accesso (cifrati) e l'indirizzo dell'account e recuperiamo dai calendari selezionati gli appuntamenti: titolo, descrizione, luogo, orari, partecipanti e allegati fino a 5 MiB. Gli appuntamenti che crei o modifichi nel Servizio li trasmettiamo a Microsoft, inclusi nomi e indirizzi dei partecipanti; Microsoft può inviare loro inviti.

CalDAV. In alternativa colleghi un server di calendario di tua scelta (ad esempio Nextcloud o Fastmail) con indirizzo, nome utente e password (cifrata); la sincronizzazione funziona allo stesso modo.

La base è il contratto di utilizzo (lett. b), perché sei tu a configurare il collegamento. Google, Microsoft e il tuo fornitore CalDAV sono titolari autonomi del trattamento di tua scelta, che colleghi di tua iniziativa; Google e Microsoft trattano i dati anche negli USA (sezione 15). Se leggiamo appuntamenti dal tuo calendario, questo è la fonte dei dati (art. 14 GDPR); se scriviamo appuntamenti, il fornitore del calendario è il destinatario. Dei dati dei partecipanti agli appuntamenti sei tu il responsabile. Se scolleghi la connessione, eliminiamo le credenziali di accesso e non recuperiamo più nulla; gli appuntamenti importati restano finché non li rimuovi o il tuo account non viene eliminato.

10. Piani a pagamento, fatture, contratti

Se sottoscrivi un piano a pagamento, memorizziamo nome e indirizzo di fatturazione, e-mail di fatturazione, eventualmente partita IVA e numero di registro delle imprese, il contratto, le fatture, i pagamenti e i mandati di addebito diretto (lett. b). Fatture e documenti contabili li conserviamo per dieci anni (lett. c; § 147 AO, codice tributario tedesco, § 14b UStG, legge tedesca sull'IVA). La tua partita IVA la verifichiamo tramite la procedura di conferma della Commissione europea (VIES); la risposta la oscuriamo dopo 400 giorni. Al momento della sottoscrizione registriamo data e ora, versione e indirizzo IP (cifrato) dei tuoi consensi ed eliminiamo l'indirizzo IP tre anni dopo la cessazione del contratto. In un'azienda il titolare vede quali membri vengono fatturati. Se utilizzi un codice di segnalazione, memorizziamo il collegamento tra l'account segnalante e quello segnalato ai fini dell'accredito (lett. b).

I pagamenti vengono elaborati da Mollie B.V., Amsterdam, Paesi Bassi. Mollie riceve nome e indirizzo e-mail dell'account di fatturazione, importo, causale e metodo di pagamento e ci comunica lo stato del pagamento. Mollie è titolare autonomo del trattamento; la sua informativa sulla privacy: mollie.com/de/privacy.

11. E-mail di sistema e supporto

Ti inviamo le e-mail di cui il Servizio ha bisogno: codice di conferma, link di accesso, inviti, fatture, notifiche, conferme relative al contratto e all'eliminazione (lett. b). L'invio avviene tramite il server di posta di Mittwald in Germania; il registro di invio non contiene né l'indirizzo né l'oggetto.

Se scrivi a support@todo.monster, trattiamo il tuo indirizzo e il contenuto per l'evasione della richiesta (lett. b, altrimenti lett. f). Le richieste di supporto le conserviamo, dopo la chiusura, per altri 12 mesi per eventuali chiarimenti.

12. Integrazioni opzionali: segnalazione errori e video

Segnalazione errori. Una volta connesso puoi segnalarci un errore. Solo quando avvii la segnalazione, trasmettiamo una schermata della pagina corrente (può mostrare contenuti di altre persone), titolo e descrizione, facoltativamente il tuo recapito, l'indirizzo della pagina, browser, dispositivo, dimensione dello schermo e data e ora al nostro server di segnalazione presso Strato (Germania) (lett. f; correzione degli errori). La finestra di segnalazione carica il proprio script da questo server e non deposita alcun identificativo nel tuo browser. Le segnalazioni e le schermate le eliminiamo dopo 90 giorni.

Video. I video introduttivi li incorporiamo tramite YouTube solo dopo il tuo clic (soluzione a due clic); prima il tuo browser non ha alcun contatto con Google. Con il clic acconsenti che Google riceva il tuo indirizzo IP e i dati di utilizzo del video (lett. a; § 25, comma 1, TDDDG). «Carica sempre» salva questo consenso nel tuo account; puoi revocarlo in qualsiasi momento con effetto per il futuro. Google tratta i dati anche negli USA (sezione 15).

13. Programma pilota e onboarding

Se la tua azienda partecipa al programma pilota, accompagniamo l'introduzione: teniamo per ogni azienda un fascicolo con cronologia, liste di controllo e registro dei contatti, invitiamo a sessioni dal vivo, chiediamo la tua soddisfazione (sondaggi, NPS, testi liberi) e salviamo i tuoi progressi nei video introduttivi. La base sono l'accordo pilota (lett. b) e il nostro interesse a migliorare il prodotto (lett. f). Se un potenziale cliente ci indica una persona di contatto, riceviamo da lui nome, indirizzo e-mail e numero di telefono di tale persona (art. 14 GDPR) e li utilizziamo solo per l'invito.

Termini: i sondaggi perdono il riferimento alla persona dopo 12 mesi; i testi liberi e i fascicoli li eliminiamo dopo 24 mesi, le registrazioni delle sessioni dal vivo dopo 30 giorni, gli inviti pilota conclusi dopo 12 mesi. Le informazioni fornite su questi dati le registriamo senza contenuti per tre anni.

14. Destinatari

Con i nostri responsabili del trattamento esistono contratti ai sensi dell'art. 28 GDPR; l'elenco completo con gli indirizzi è riportato nell'Allegato C dell'ADV. Le autorità ricevono dati solo se vi siamo obbligati per legge (lett. c).

15. Trasferimento verso paesi terzi

Tutto ciò che incarichiamo noi stessi (hosting, backup, invio e-mail, modello IA, segnalazione errori, pagamento) avviene nell'UE. Al di fuori dell'UE viene trattato solo ciò che disponi tu: se colleghi un account Google o Microsoft, Google o Microsoft tratta i tuoi dati di calendario anche negli USA; se carichi un video di YouTube, Google riceve dati negli USA. La base è la decisione di adeguatezza della Commissione europea relativa all'EU-US Data Privacy Framework, nella misura in cui il destinatario vi è certificato, altrimenti sono le clausole contrattuali standard della Commissione europea. Una casella di posta o un server di calendario al di fuori dell'UE li scegli tu. Il frammento di hash della verifica della password (sezione 5) va a un servizio al di fuori dell'UE, ma non contiene dati personali.

16. Periodo di conservazione

Dopo l'eliminazione dell'account resta un record senza riferimento alla persona («Utente eliminato»), perché i contributi in progetti condivisi, le fatture e i contratti vi fanno riferimento; i tuoi contributi restano a disposizione degli altri membri senza il tuo nome. I registri degli accessi conservano, fino alla scadenza del loro termine, un indirizzo IP abbreviato senza identificativo del browser.

17. I tuoi diritti

Hai il diritto di accesso (art. 15 GDPR), rettifica (art. 16), cancellazione (art. 17), limitazione del trattamento (art. 18) e portabilità dei dati (art. 20). Nome, indirizzo e impostazioni li modifichi nel profilo; i tuoi dati di lavoro li esporti lì come file; il tuo account lo elimini lì autonomamente. Un consenso (video, sezione 12) puoi revocarlo in qualsiasi momento con effetto per il futuro; il trattamento fino alla revoca resta lecito. Per tutto il resto basta un'e-mail informale a support@todo.monster. Se la tua richiesta riguarda contenuti di un'azienda, la inoltriamo all'azienda (sezione 2).

Diritto di opposizione (art. 21 GDPR). Puoi opporti in qualsiasi momento a un trattamento che fondiamo su un legittimo interesse (lett. f), per motivi connessi alla tua situazione particolare. In tal caso non trattiamo più i dati, salvo che possiamo dimostrare motivi legittimi cogenti che prevalgono sui tuoi interessi, diritti e libertà, oppure che il trattamento serve all'accertamento, all'esercizio o alla difesa di un diritto in sede giudiziaria. Non svolgiamo attività di marketing diretto.

Puoi proporre reclamo a un'autorità di controllo per la protezione dei dati (art. 77 GDPR). Per noi è competente la Berliner Beauftragte für Datenschutz und Informationsfreiheit (autorità di Berlino per la protezione dei dati e la libertà d'informazione), Alt-Moabit 59–61, 10555 Berlin, datenschutz-berlin.de.

18. Decisioni automatizzate

Non prendiamo decisioni basate esclusivamente su un trattamento automatizzato e non creiamo profili. La funzione IA (sezione 8) fornisce solo proposte, che tu verifichi.

19. Modifiche

Adeguiamo questa informativa quando cambiano il Servizio o la situazione giuridica. Se intendiamo trattare dati per uno scopo diverso da quello qui indicato, ti informiamo preventivamente. Si applica la versione pubblicata su questa pagina con la data di aggiornamento riportata in testa.