La presente informativa si applica ai trattamenti effettuati da Recrowd nell’ambito della registrazione e onboarding dell’investitore, della gestione dell’account e dell’area riservata investitore, della consultazione delle informazioni relative ai progetti, investimenti, flussi di pagamento, della dashboard, della rendicontazione, delle comunicazioni operative e delle preferenze su newsletter/marketing rese accessibili a seguito della registrazione.
La presente informativa disciplina altresì, nei limiti applicabili, i trattamenti connessi alla raccolta e valutazione dei dati necessari alla classificazione dell’investitore, alla verifica di conoscenze, esperienza e operatività finanziaria, alla raccolta di dichiarazioni rilevanti ai fini AML/KYC, PEP e origine dei fondi, nonché ai trattamenti necessari per l’emissione o gestione delle certificazioni fiscali relative alle trattenute operate dai proponenti.
Recrowd S.r.l., Via degli Olivetani, 10/12 20123 Milano MI, P.IVA 10183800969
privacy@recrowd.com
dpo@recrowd.com
Recrowd S.r.l., Via degli Olivetani, 10/12 20123 Milano MI
Recrowd può trattare, a seconda del servizio richiesto e del ruolo dell’interessato, le seguenti categorie di dati personali:
I dati possono essere raccolti direttamente presso l’investitore, tramite sito/portale, area riservata, moduli onboarding, questionari, autodichiarazioni, documenti caricati, comunicazioni, provider di pagamento, provider di identità, provider AML/KYC, registri pubblici, banche dati legittimamente accessibili, autorità, consulenti, proponenti, soggetti tenuti ad adempimenti fiscali o altri soggetti legittimamente coinvolti nel rapporto.
Recrowd non utilizza, nell’ambito della navigazione ordinaria del sito e delle aree riservate, dati di geolocalizzazione precisa del dispositivo, salvo diversa e specifica informativa. I dati di localizzazione trattati per finalità di sicurezza e antifrode sono, di regola, dati di localizzazione approssimativa desumibili dall’indirizzo IP o da altri dati tecnici di connessione.
Finalità. creare e gestire l’account; autenticare l’investitore; consentire l’accesso all’area riservata; gestire credenziali, preferenze, prese visione, condizioni contrattuali e sicurezza dell’account.
Categorie di dati. dati di registrazione, credenziali, contatti, log, preferenze, consensi/prese visione.
Base giuridica. art. 6, par. 1, lett. b) GDPR per erogazione del servizio richiesto; art. 6, par. 1, lett. f) GDPR per sicurezza e gestione tecnica.
Natura del conferimento. necessario per registrarsi e utilizzare l’area riservata investitore.
Conservazione. per la durata dell’account e, successivamente, per il tempo necessario a documentare il rapporto, gestire obblighi e tutelare diritti. I log tecnici, di accesso e di sicurezza dell’area riservata sono conservati, secondo l’attuale configurazione dei sistemi Recrowd, per 24 mesi e successivamente cancellati, salvo eventi di sicurezza, frodi, contestazioni, richieste dell’autorità o tutela dei diritti.
Finalità. identificare l’investitore; verificare poteri, rappresentanza, titolare effettivo, status e requisiti; svolgere controlli previsti dalla normativa crowdfunding, dalla normativa antiriciclaggio ove applicabile, da obblighi di legge, da procedure interne e da misure antifrode; raccogliere e valutare le informazioni necessarie alla classificazione dell’investitore come sofisticato o non sofisticato; svolgere verifiche, questionari, test, simulazioni, avvertenze e blocchi o passaggi procedurali richiesti; raccogliere dichiarazioni relative all’eventuale qualità di PEP, all’origine lecita dei fondi, alla provenienza delle risorse investite e all’adeguata verifica eventualmente già svolta dall’Istituto di Pagamento in sede di apertura del conto di pagamento.
Categorie di dati. dati identificativi, documenti, contatti, dati professionali e societari, professione, titolo di studio, livello di istruzione, esperienza professionale, reddito annuo o fascia reddituale ove richiesta, conoscenze ed esperienze in materia di investimenti, frequenza, quantità, qualità e tipologia delle operazioni finanziarie o di investimento, obiettivi, abitudini e comportamenti finanziari rilevanti ai fini della classificazione, risposte a questionari, esiti di test, simulazioni, classificazione come investitore sofisticato o non sofisticato, dichiarazioni AML/KYC, PEP e origine dei fondi, esiti di controlli, log e documentazione.
Base giuridica. art. 6, par. 1, lett. b) GDPR per misure precontrattuali/contrattuali; art. 6, par. 1, lett. c) GDPR per obblighi legali/regolamentari; art. 6, par. 1, lett. f) GDPR per prevenzione frodi e risk management; artt. 9 e 10 GDPR solo ove e nei limiti consentiti.
Natura del conferimento. necessario per accedere ai servizi che richiedono verifica o classificazione.
Conservazione. per la durata del rapporto e per i termini previsti da normativa contabile, fiscale, regolamentare, antiriciclaggio ove applicabile e di prescrizione; ove non si instauri il rapporto, di regola non oltre 24 mesi salvo obblighi o tutela.
Finalità. consentire la consultazione dei progetti, la manifestazione di interesse, la sottoscrizione dell’ordine, la gestione della quota/posizione, la dashboard, i contratti, le comunicazioni operative, la rendicontazione, i rimborsi e la gestione di ritardi, default o eventi di progetto, nonché la gestione degli adempimenti contabili, fiscali e documentali connessi all’investimento, incluse le informazioni necessarie all’emissione o gestione delle certificazioni fiscali relative alle trattenute operate dai proponenti.
Categorie di dati. dati account, profilo investitore, progetto, importo, quota, ordine, contratto, stato operazione, scadenze, rendimenti, interessi o proventi, trattenute fiscali ove applicabili, pagamenti, comunicazioni, dati necessari per rendicontazioni e certificazioni fiscali, log.
Base giuridica. art. 6, par. 1, lett. b) GDPR per esecuzione del rapporto; art. 6, par. 1, lett. c) GDPR per obblighi legali/regolamentari, contabili e fiscali; art. 6, par. 1, lett. f) GDPR per tutela dei diritti e gestione del rischio.
Natura del conferimento. necessario per utilizzare i servizi di investimento/crowdfunding.
Conservazione. per la durata del rapporto e, successivamente, di regola per 10 anni dalla chiusura del rapporto o dall’evento contabile/contrattuale rilevante, salvo termini più lunghi o più brevi imposti dalla normativa applicabile.
Finalità. eseguire pagamenti, versamenti, accrediti, rimborsi, disinvestimenti ove previsti, riconciliazioni, verifiche di esito, gestione di errori, chargeback, blocchi, frodi, obblighi contabili e rendicontazione.
Categorie di dati. dati di pagamento, IBAN ove necessario, importo, progetto, quota, ordine, identificativo operazione, stato/esito pagamento, dati restituiti da TPP Pay, Lemonway o altri PSP, log di checkout.
Base giuridica. art. 6, par. 1, lett. b) GDPR per esecuzione dell’operazione; art. 6, par. 1, lett. c) GDPR per obblighi legali/contabili/regolamentari; art. 6, par. 1, lett. f) GDPR per sicurezza, antifrode e tutela diritti.
Natura del conferimento. necessario per eseguire e rendicontare le operazioni di pagamento/investimento.
Conservazione. per la durata del rapporto e per i termini contabili, fiscali, regolamentari e di prescrizione applicabili. I provider di pagamento applicano proprie retention secondo le rispettive informative.
Finalità. Inviare comunicazioni necessarie e non promozionali relative ad account, sicurezza, onboarding, investimenti, pagamenti, contratti, documenti, progetti sottoscritti o consultati, reclami, rendicontazione, ritardi, rimborsi, aggiornamenti operativi e obblighi informativi. Gestire, solo ove attivate e su base distinta, newsletter e comunicazioni promozionali di Recrowd. Utilizzare, nei soli limiti dell’art. 130, comma 4, del Codice Privacy, l’indirizzo e-mail fornito dall’investitore nel contesto di un precedente rapporto, investimento o servizio per inviare comunicazioni relative a servizi o progetti Recrowd analoghi a quelli già utilizzati, sottoscritti o acquistati. Gestire eventuali preferenze, consensi, opposizioni, disiscrizioni, suppression list e log di invio.
Categorie di dati. Dati identificativi e di contatto, account, posizione investitore, dati relativi a investimenti o progetti già utilizzati, sottoscritti o acquistati, preferenze, consensi, opposizioni, revoche, unsubscribe, log di invio e ricezione, dati minimi necessari a valutare l’analogia delle comunicazioni soft spam, eventuali interazioni con e-mail nei limiti descritti nell’informativa newsletter/marketing e nella Cookie Policy/CMP.
Base giuridica. Art. 6, par. 1, lett. b) e c) GDPR per comunicazioni operative, contrattuali, regolamentari e di servizio; art. 6, par. 1, lett. f) GDPR per comunicazioni organizzative, sicurezza, documentazione dell’adempimento e gestione della suppression list; consenso dell’interessato per newsletter, marketing e comunicazioni promozionali ove richiesto; art. 6, par. 1, lett. f) GDPR e art. 130, comma 4, Codice Privacy per soft spam via e-mail, nei soli limiti applicabili.
Natura del conferimento. Necessario per comunicazioni operative e di servizio; facoltativo per newsletter, marketing, profilazione commerciale e comunicazioni promozionali. Il servizio di investimento non è subordinato al consenso marketing.
Conservazione. Per la durata del rapporto e per il tempo necessario a documentare l’invio e l’adempimento degli obblighi; per newsletter e marketing fino a revoca del consenso o disiscrizione, salvo conservazione dei dati minimi necessari a documentare la revoca; per soft spam fino a opposizione, con riesame periodico della persistenza del rapporto e dell’analogia delle comunicazioni. Le opposizioni, revoche e disiscrizioni sono conservate in una suppression list centralizzata per evitare ulteriori invii non autorizzati.
Finalità. Comunicare al proponente, alla società veicolo, ai garanti, ai referenti di progetto o agli altri soggetti coinvolti nel rapporto di crowdfunding i soli dati dell’investitore necessari alla conclusione, esecuzione, gestione, rendicontazione e documentazione dell’investimento o del prestito, alla gestione dei rapporti contrattuali, dei pagamenti, dei rimborsi, dei ritardi, degli eventuali default, delle contestazioni, dei reclami, degli obblighi regolamentari, contabili e fiscali, inclusa l’emissione delle certificazioni fiscali relative alle trattenute operate dai proponenti, nonché alla tutela dei diritti.
Categorie di dati comunicabili. A seconda del caso concreto e nei limiti di necessità, Recrowd può comunicare: dati identificativi e di contatto dell’investitore o del relativo referente/delegato; dati relativi all’ordine o investimento, inclusi progetto, importo, quota, stato della sottoscrizione, documentazione contrattuale, rendicontazione, scadenze, rimborsi, interessi, ritardi, contestazioni e comunicazioni operative; eventuali dati necessari a verificare poteri di rappresentanza, titolarità effettiva, esecuzione del rapporto, adempimenti contabili, fiscali, regolamentari o difesa dei diritti. Non sono comunicati al proponente dati eccedenti, dati di pagamento completi non necessari, credenziali, dati di autenticazione, dati di profilazione marketing, dati relativi ad altri investimenti dell’interessato, risposte ai questionari di classificazione non pertinenti, dati AML/KYC eccedenti o informazioni non pertinenti rispetto al progetto interessato, salvo obbligo di legge, richiesta dell’autorità o specifica necessità documentata.
Quando avviene la comunicazione. La comunicazione può avvenire in fase di sottoscrizione dell’investimento/prestito, perfezionamento dell’ordine, gestione contrattuale, rendicontazione, rimborso, aggiornamento sullo stato del progetto, gestione di ritardi o default, reclami, contestazioni, controlli, audit, richieste dell’autorità o tutela dei diritti.
Base giuridica. Art. 6, par. 1, lett. b) GDPR quando la comunicazione è necessaria all’esecuzione del rapporto richiesto dall’investitore o alla conclusione/esecuzione del contratto di investimento o finanziamento; art. 6, par. 1, lett. c) GDPR quando la comunicazione è necessaria per adempiere obblighi legali, contabili, fiscali, regolamentari o richieste di autorità; art. 6, par. 1, lett. f) GDPR per sicurezza, prevenzione frodi, gestione reclami, rendicontazione, audit, accertamento, esercizio o difesa di diritti.
Ruolo del proponente. Salvo diversa qualificazione documentata nei rapporti contrattuali, il proponente, la società veicolo, i garanti o gli altri soggetti che ricevono i dati per proprie finalità di gestione del rapporto, rendicontazione, adempimento di obblighi o tutela dei diritti operano quali autonomi titolari del trattamento per i trattamenti da essi svolti. Recrowd rimane titolare per i trattamenti effettuati nell’ambito del portale e dei propri servizi.
Diritti, rettifiche, errori, data breach e contestazioni. L’investitore può esercitare i diritti privacy nei confronti di Recrowd scrivendo a privacy@recrowd.com o al DPO/RPD a dpo@recrowd.com. Quando la richiesta riguarda anche dati trattati dal proponente quale autonomo titolare, Recrowd, nei limiti del proprio ruolo e del protocollo operativo applicabile, può trasmettere la richiesta al proponente o indicare all’investitore i recapiti utili per rivolgersi direttamente al proponente. Recrowd e il proponente dovrebbero cooperare, ciascuno per quanto di competenza, nella gestione di richieste di rettifica, errori nei dati, contestazioni, reclami, incidenti di sicurezza o violazioni di dati personali, in modo da assicurare riscontri coerenti, tempestivi e documentabili.
Finalità. proteggere account e area riservata; rilevare accessi anomali, frodi, abusi, uso improprio, manipolazioni, violazioni di sicurezza; gestire log, incidenti, controlli e audit.
Categorie di dati. log, IP, dati di localizzazione approssimativa desumibili dall’indirizzo IP o da altri dati tecnici di connessione, dispositivo, browser, eventi di accesso, anomalie, dati account, dati transazionali, ticket, dati di verifica.
Base giuridica. art. 6, par. 1, lett. f) GDPR; art. 6, par. 1, lett. c) GDPR ove applicabile.
Natura del conferimento. necessario per sicurezza e tutela del servizio.
Conservazione. I log tecnici, di accesso, antifrode e di sicurezza sono conservati, secondo l’attuale configurazione dei sistemi Recrowd, per 24 mesi e successivamente cancellati, salvo eventi di sicurezza, frodi, contestazioni, audit, richieste dell’autorità, obblighi di legge o esigenze di tutela dei diritti che richiedano una conservazione ulteriore.
Finalità. gestire reclami, contestazioni, richieste di autorità, audit, ispezioni, contenziosi, recuperi, ritardi/default e accertamento, esercizio o difesa di diritti.
Categorie di dati. dati del rapporto, investimenti, pagamenti, documenti, comunicazioni, reclami, note istruttorie, dati di terzi pertinenti.
Base giuridica. art. 6, par. 1, lett. c) e f) GDPR; art. 9, par. 2, lett. f) GDPR ove necessario.
Natura del conferimento. necessario o funzionale alla tutela dei diritti e obblighi.
Conservazione. fino alla definizione dell’evento e al decorso dei termini di prescrizione, decadenza o conservazione applicabili.
Per consentire pagamenti, versamenti, accrediti, rimborsi, riconciliazioni e servizi connessi alle operazioni di investimento, Recrowd può comunicare i dati strettamente necessari a TPP Pay, Lemonway, banche, istituti di pagamento, istituti di moneta elettronica o altri PSP. Recrowd determina la finalità di investimento e i parametri dell’operazione sul portale; i provider di pagamento trattano i dati necessari all’erogazione dei rispettivi servizi di pagamento, sicurezza, antifrode, obblighi normativi e gestione delle operazioni quali autonomi titolari del trattamento (verificare con cliente se non è responsabile del trattamento).
L’investitore è invitato a consultare anche le informative privacy e condizioni dei provider di pagamento applicabili. Nei soli casi in cui un provider svolga attività meramente tecniche per conto di Recrowd, il relativo ruolo dovrà essere disciplinato con accordo ex art. 28 GDPR e il testo dovrà essere adeguato prima della pubblicazione.
La newsletter risulta attivata successivamente alla registrazione dell’investitore nell’area riservata. Il relativo consenso deve essere specifico, libero, separato, non preselezionato e revocabile, distinto dalla presa visione della presente informativa e non condizionante l’accesso ai servizi di investimento. L’informativa newsletter/marketing deve essere sempre accessibile nella sezione preferenze dell’area riservata e in ciascuna comunicazione inviata, insieme a un meccanismo agevole di disiscrizione/opposizione.
Ove Recrowd intenda avvalersi del soft spam, potrà utilizzare l’indirizzo e-mail raccolto nell’ambito del rapporto con l’investitore per inviare comunicazioni relative a servizi o progetti Recrowd analoghi a quelli già utilizzati o sottoscritti, nei limiti dell’art. 130, comma 4, Codice Privacy, garantendo opposizione agevole fin dalla raccolta dell’e-mail e in ogni successiva comunicazione.
Il trattamento è effettuato con strumenti cartacei, elettronici e telematici, secondo logiche strettamente correlate alle finalità indicate e nel rispetto dei principi di liceità, correttezza, trasparenza, minimizzazione, limitazione della conservazione, riservatezza, integrità e need to know. Recrowd adotta misure tecniche e organizzative adeguate ai sensi dell’art. 32 GDPR, proporzionate alla natura dei dati trattati, al contesto fintech/crowdfunding, ai rischi per gli interessati e alla necessità di proteggere account, area riservata, documentazione, comunicazioni, flussi di pagamento e sistemi aziendali.
Recrowd può avvalersi, ove appropriato e sotto supervisione umana, di strumenti digitali avanzati, sistemi automatizzati e soluzioni di intelligenza artificiale per supportare attività tecniche, organizzative, di sicurezza, classificazione e instradamento delle richieste, analisi documentale, sintesi di ticket o reclami, controlli di coerenza, prevenzione di abusi, supporto operativo e miglioramento del servizio. L’uso di tali strumenti deve avvenire secondo regole interne, misure di minimizzazione, controllo degli accessi, valutazione dei fornitori e divieto di inserire dati personali in strumenti pubblici o non autorizzati.
Salvo diversa informativa specifica, tali strumenti non sono utilizzati per assumere decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativamente sull’interessato ai sensi dell’art. 22 GDPR. Qualora Recrowd intendesse introdurre trattamenti di questo tipo, fornirà informazioni specifiche sulla logica utilizzata, sull’importanza e sulle conseguenze previste, nonché sulle garanzie applicabili, inclusi intervento umano, possibilità di esprimere la propria opinione e contestazione della decisione.
Ove strumenti di intelligenza artificiale siano forniti da terzi, Recrowd verifica il ruolo privacy del fornitore, le misure contrattuali, le impostazioni di conservazione, l’eventuale uso dei dati per addestramento o miglioramento del modello e l’eventuale trasferimento extra SEE. In difetto di adeguate garanzie, dati personali, dati finanziari, dati di pagamento, dati di identità, documenti, dati relativi a reclami, dati HR o dati di terzi non devono essere immessi in tali strumenti.
Per il perseguimento delle finalità indicate, i dati possono essere comunicati o comunque resi conoscibili, nei limiti di stretta necessità, alle seguenti categorie di soggetti:
Tali soggetti operano, a seconda dei casi, quali responsabili del trattamento, persone autorizzate al trattamento, autonomi titolari del trattamento o, solo ove ne ricorrano effettivamente i presupposti, contitolari del trattamento. I fornitori che trattano dati personali per conto di Recrowd devono essere vincolati da accordi ex art. 28 GDPR e da istruzioni documentate.
I dati personali dell’investitore non sono oggetto di diffusione generalizzata. Restano ferme le comunicazioni a destinatari determinati, quali proponenti, società veicolo, garanti, provider, consulenti, autorità o altri soggetti legittimati, nei soli limiti indicati nella presente informativa e nell’esecuzione di adempimenti di origine contrattuale. Eventuali informazioni rese pubbliche nelle pagine progetto o nei materiali informativi relativi alle campagne riguardano, di regola, dati del proponente, del progetto, dei referenti o dei garanti, e sono pubblicate nei limiti di trasparenza, correttezza informativa, minimizzazione, pertinenza e obblighi applicabili.
I dati personali sono trattati prevalentemente all’interno dello Spazio Economico Europeo. Qualora, per esigenze connesse all’operatività del sito, del portale, dei fornitori tecnologici, dei servizi cloud, dei sistemi di ticketing/CRM, degli strumenti di sicurezza, dei provider di pagamento, dei provider AML/KYC o di altri servizi, si rendesse necessario trasferire dati verso Paesi terzi o organizzazioni internazionali, Recrowd assicura che il trasferimento avvenga nel rispetto degli artt. 44 e ss. GDPR, sulla base di una decisione di adeguatezza, di clausole contrattuali standard, di misure supplementari ove necessarie o di altro presupposto legittimante previsto dalla normativa applicabile.
Informazioni ulteriori o copia delle garanzie applicabili possono essere richieste ai contatti indicati nella presente informativa, nei limiti consentiti dalla legge e dalla tutela dei diritti di terzi.
In qualità di interessato, l’interessato può esercitare, nei casi e nei limiti previsti dal GDPR, i seguenti diritti:
Le richieste relative all’esercizio dei diritti privacy possono essere inviate al Titolare all’indirizzo privacy@recrowd.com al Responsabile della protezione dei dati / Data Protection Officer (RPD/DPO) all’indirizzo dpo@recrowd.com oppure agli ulteriori recapiti indicati nell’informativa. Recrowd riscontra le richieste senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento. Tale termine può essere prorogato di due mesi nei casi di particolare complessità o numerosità delle richieste, dandone comunicazione all’interessato entro un mese dal ricevimento della richiesta.
L’esercizio dei diritti è gratuito. Recrowd può chiedere un contributo spese ragionevole o rifiutare di dare seguito alla richiesta solo nei casi previsti dal GDPR, ad esempio in caso di richieste manifestamente infondate o eccessive, anche per il loro carattere ripetitivo. In caso di mancato accoglimento, totale o parziale, Recrowd fornisce un riscontro motivato e indica la possibilità di proporre reclamo all’autorità di controllo e di adire l’autorità giudiziaria.
Quando la richiesta è presentata con mezzi elettronici, Recrowd fornisce il riscontro, ove possibile, con mezzi elettronici, salvo diversa indicazione dell’interessato. Recrowd può richiedere informazioni aggiuntive per confermare l’identità del richiedente quando abbia ragionevoli dubbi sulla sua identità o quando la richiesta riguardi dati particolarmente delicati o rapporti contrattuali/finanziari.
Ultimo aggiornamento: 26 luglio 2026.