Política de privacidad de Socializza
Borrador, no vigente. Versión 0.1 de 6 de octubre de 2026.
Entra en vigor el {{EFFECTIVE_DATE}}.
Esta política de privacidad te explica cómo tratamos tus datos personales cuando usas Socializza, conforme a los arts. 13 y 14 del Reglamento (UE) 2016/679 ("RGPD"). "Nosotros" designa a ITALDRONI S.r.l.
1. Responsable del tratamiento
Socializza es un producto de ITALDRONI S.r.l. ITALDRONI S.r.l. es responsable de los tratamientos descritos en esta política de privacidad.
ITALDRONI S.r.l. tiene su domicilio social en Via Camillo Benso Conte di Cavour 13, 10019 Strambino (TO), Italia, número de IVA y código fiscal 13399080012, número de inscripción en el REA (registro mercantil italiano) TO-1360305. Su capital social es de 3.000,00 euros, totalmente desembolsado. Su dirección de correo electrónico certificado (PEC) es italdroni@ultracert.it.
Para cualquier pregunta sobre tus datos y para ejercer tus derechos, escribe a privacy@socializza.com.
No hemos designado un delegado de protección de datos.
2. Qué cubre esta política de privacidad
Actuamos como responsable del tratamiento para:
- la lista de espera;
- las cuentas de los miembros, el acceso y la autenticación en dos factores (2FA);
- la facturación y los pagos;
- los logs de seguridad y de prevención de abusos;
- los contadores de producto;
- los tokens de los dispositivos para las notificaciones push;
- todo lo que ocurre en un workspace personal (sección 10).
Para los contenidos de un workspace empresarial actuamos como encargado del tratamiento por cuenta del cliente. La sección 12 explica qué cambia.
En el lanzamiento Socializza conecta Páginas de Facebook, Instagram, Threads y X, desde el sitio web y desde la app para iOS y Android.
Esta política de privacidad existe en italiano, inglés, español, francés y alemán. En caso de discrepancia prevalece el texto italiano.
3. Términos utilizados
Un workspace es el espacio de un cliente en Socializza, con un plan, una facturación, sus cuentas y sus agentes.
Una cuenta es una cuenta social conectada a Socializza, como una Página de Facebook o un perfil de Instagram.
Un agente es un programa de inteligencia artificial (IA) que eliges y haces funcionar tú, fuera de Socializza.
Una autorización conecta un agente a una cuenta con los permisos, la modalidad y los límites que eliges tú en la pantalla de consentimiento de Socializza.
Un registro de aprobación documenta, para cada post, cómo lo examinó una persona y con qué resultado.
Un workspace personal es un workspace usado con fines exclusivamente personales o domésticos, fuera de toda actividad profesional o empresarial. Cualquier otro workspace es un workspace empresarial.
4. Tratamientos, datos, bases jurídicas y conservación
| Finalidad | Datos | Base jurídica | Conservación |
|---|---|---|---|
| Lista de espera, confirmación y aviso del lanzamiento | Email; respuesta opcional a la pregunta "¿Qué agente usas?", 200 caracteres como máximo; fecha de inscripción | Art. 6, apdo. 1, letra b), RGPD, medidas precontractuales aplicadas a petición tuya | 12 meses desde el lanzamiento si no te registras. Antes, si solicitas la supresión. |
| Cuentas de los miembros, acceso y 2FA | Email, nombre, rol en el workspace, idioma, método de 2FA (email o app de autenticación), datos de la sesión y del dispositivo para los avisos de acceso | Art. 6, apdo. 1, letra b), RGPD, ejecución del contrato | Mientras exista la cuenta. Tras la eliminación del workspace, suprimidos en un plazo de 30 días. |
| Facturación y pagos | Nombre y país del workspace, número de IVA, referencia de cliente en Stripe, plan, canal de compra (Stripe, Apple, Google), estado y vencimiento de la suscripción | Art. 6, apdo. 1, letra b), RGPD, ejecución del contrato; para las facturas, art. 6, apdo. 1, letra c), RGPD, obligación legal | Facturas durante 10 años, como exige la ley italiana. Los demás datos hasta la eliminación del workspace; después, suprimidos en un plazo de 30 días. |
| Seguridad y prevención de abusos | Dirección IP, fecha y hora, solicitud y resultado en los logs de seguridad del acceso y de la prevención de abusos; recuentos para el límite de frecuencia | Art. 6, apdo. 1, letra f), RGPD, interés legítimo en proteger el servicio y a quienes lo usan | 30 días. De los logs operativos y de las métricas eliminamos los datos personales a la entrada. La IP de quien rellena el formulario de la lista de espera permanece solo en memoria, para el límite de 10 inscripciones por hora, y no entra en la base de datos. |
| Contadores de producto | Recuentos diarios por workspace, cuenta y autorización de posts publicados, llamadas de los agentes y búsquedas | Art. 6, apdo. 1, letra f), RGPD, interés legítimo en aplicar los límites del plan y en medir el uso del servicio | Hasta la eliminación del workspace; después, suprimidos en un plazo de 30 días. |
| Notificaciones push | Token del dispositivo; identificador opaco de la notificación | Art. 6, apdo. 1, letra b), RGPD, ejecución del contrato | Mientras exista la cuenta. Tras la eliminación del workspace, suprimidos en un plazo de 30 días. |
| Solicitudes de eliminación de datos de Meta | El identificador de Facebook, propio de la app Socializza, de la persona que conectó una Página de Facebook o una cuenta de Instagram, conservado en la cuenta conectada; el código de confirmación de la solicitud | Art. 6, apdo. 1, letra f), RGPD, interés legítimo en ejecutar las solicitudes de eliminación que Meta nos remite en https://app.socializza.com/meta/data-deletion | El identificador, mientras la cuenta siga conectada o hasta la solicitud de eliminación. El código de confirmación, 180 días, para la página de estado de la solicitud. |
| Notificaciones y decisiones sobre contenidos (Reglamento (UE) 2022/2065) | Nombre y email de quien notifica; motivos de la notificación y contenido notificado; decisión, declaración de motivos, impugnación y respuesta | Art. 6, apdo. 1, letra c), RGPD, obligación legal (arts. 16, 17 y 18 del Reglamento (UE) 2022/2065); para la impugnación, art. 6, apdo. 1, letra b), RGPD (artículo 15.10 de las condiciones generales de servicio) | 12 meses desde la decisión definitiva. Más tiempo solo hasta el final de una controversia sobre la decisión. |
| Workspace personal | Cuentas conectadas, contenidos, agentes, autorizaciones, registros (sección 10) | Art. 6, apdo. 1, letra b), RGPD, ejecución del contrato | Por categoría, en la tabla de la sección 10 |
| Datos de terceros en un workspace personal | Nombre de usuario y texto de comentarios, menciones, mensajes directos y resultados de búsqueda | Art. 6, apdo. 1, letra f), RGPD, interés legítimo en prestar el servicio solicitado por el usuario | 30 días como máximo |
5. Lista de espera
Te enviamos un email de confirmación al inscribirte y un aviso cuando Socializza abra. Cada inscripción genera también una notificación interna a ITALDRONI con tu dirección y tu respuesta.
No te enviamos boletines ni promociones. Requerirían tu consentimiento separado, conforme al art. 130 del Codice privacy (Código italiano en materia de protección de datos personales), y en el lanzamiento no enviamos ninguno.
6. Cuentas de los miembros y acceso
La 2FA es obligatoria para los propietarios y administradores del workspace y está disponible para cada miembro. Te avisamos de los accesos a tu cuenta. Te pedimos que vuelvas a autenticarte antes de modificar una autorización, usar el kill switch o cambiar la facturación.
Nuestros emails de servicio transmiten aprobaciones, avisos y enlaces de acceso. Contienen el nombre de usuario de la cuenta, el nombre del agente y un enlace a la app. Nunca contienen el texto de los posts, los archivos multimedia ni los comentarios.
7. Pagos
En la web los pagos pasan por Stripe, a través de Stripe Payments Europe, Limited. Si compras un plan en la app, el vendedor es Apple (App Store) o Google (Google Play), según sus propios términos.
Stripe trata los datos de pago en parte como responsable independiente y en parte como encargado por cuenta nuestra, según su propio acuerdo de encargo del tratamiento. Los controles antifraude, contra el blanqueo de capitales y de verificación de la identidad son tratamientos de Stripe como responsable, descritos en su política de privacidad. Apple y Google tratan los datos de compra como responsables independientes, según sus políticas de privacidad.
De Stripe, Apple y Google recibimos los datos de la suscripción, como producto, estado y vencimiento del periodo. Nunca introducimos contenidos del workspace en los campos descriptivos ni en los metadatos de Stripe.
8. Seguridad, contadores y ningún seguimiento
Las páginas públicas del sitio no instalan cookies. Ni el sitio ni la app usan herramientas de análisis, de seguimiento ni scripts de terceros.
Los contadores de producto cuentan acciones, no personas. No elaboramos perfiles.
Los logs de seguridad sirven para bloquear accesos abusivos y ataques, y para reconstruir un incidente.
9. Notificaciones push
Una notificación push contiene solo un identificador opaco. Cuando abres la notificación, la app descarga el contenido de nuestros servidores en la Unión Europea.
Para entregar las notificaciones, Apple Push Notification service (APNs) y Google Firebase Cloud Messaging (FCM) reciben el token de tu dispositivo y ese identificador. No reciben textos, archivos multimedia ni nombres de cuentas.
10. Workspace personal
Si usas Socializza con fines exclusivamente personales o domésticos, el RGPD no se te aplica como usuario (art. 2, apdo. 2, letra c), RGPD). Se nos aplica a nosotros, que proporcionamos los medios del tratamiento (considerando 18 RGPD). Por eso actuamos como responsable del tratamiento de todo lo que haces en el workspace personal.
Tratamos estos datos:
- las cuentas conectadas, con nombre de usuario, nombre visible, imagen de perfil y perfil público, actualizado cada día;
- los tokens de las plataformas, cifrados en nuestro vault;
- borradores, posts, respuestas y archivos multimedia;
- los agentes, las autorizaciones y su historial;
- el registro de auditoría, con una entrada por cada llamada de un agente y cada acción de un miembro;
- los registros de aprobación, uno por cada post.
| Dato | Conservación |
|---|---|
| Tokens de las plataformas | Destruidos en un plazo de un minuto desde la desconexión de la cuenta o la revocación |
| Archivos multimedia | Suprimidos a más tardar 7 días después de la publicación o la cancelación |
| Borradores y solicitudes de publicación, con el texto de los posts | 2 años; después, anonimizados |
| Comentarios, menciones, mensajes directos y resultados de búsqueda | 30 días como máximo |
| Registro de auditoría | Según el plan: Gratis 7 días, Osserva 30 días, Pubblica 90 días, Interagisce y Agenzia 365 días, Enterprise según contrato. Después, suprimido. |
| Registros de aprobación | 5 años desde la publicación, en cualquier plan, también tras la eliminación del workspace (sección 15) |
| Cuentas conectadas, agentes y autorizaciones | Hasta la eliminación del workspace; después, suprimidos en un plazo de 30 días |
10.1 Datos de terceros
Tu workspace personal recibe datos de otras personas a través de las API oficiales de las plataformas: quien comenta tus posts, quien te menciona, quien te escribe un mensaje directo, quien aparece en los resultados de una búsqueda. La fuente de estos datos es la plataforma. Los tratamos solo para mostrártelos a ti y a tus agentes, durante 30 días como máximo. Quien se encuentre en esta situación puede ejercer los derechos de la sección 16 escribiendo a privacy@socializza.com.
10.2 Edad mínima
Para abrir un workspace personal debes tener al menos 16 años, en cualquier Estado. Antes de abrirlo indicas tu edad. Si tienes 16 o 17 años no necesitas el consentimiento de un progenitor (art. 2-quinquies del d.lgs. n. 196/2003 y art. 4, apartado 4, de la Legge n. 132/2025, ley italiana sobre inteligencia artificial). Para comprar un plan de pago debes tener 18 años o el consentimiento de un progenitor o del tutor (artículo 5.5 de las condiciones generales de servicio).
Hemos redactado esta política de privacidad, y en particular la sección 11, para que también un menor pueda leerla y entenderla.
11. Los agentes de IA y tus datos
Esta sección responde al art. 4, apartado 3, de la Legge n. 132/2025. Explica con palabras sencillas qué ocurre con los datos cuando un agente de IA usa Socializza, qué riesgos existen y cómo puedes oponerte.
11.1 Quién decide
Los agentes son tuyos. Los eliges tú, los haces funcionar tú y decides tú qué pueden hacer.
Un agente nunca elige cuentas ni permisos. Actúa solo dentro de las autorizaciones que creas en la pantalla de consentimiento de Socializza.
Para cada autorización eliges una modalidad:
- ask-first, en la que apruebas cada acción antes de que se ejecute;
- autónoma, en la que el agente actúa por sí solo dentro de los límites que fijas;
- dry-run, en la que el agente prueba las acciones sin publicar nada.
11.2 Lo que no hacemos
Socializza no escribe contenidos. No procesa tus contenidos con modelos de IA.
No usamos los contenidos de las plataformas para entrenar nada, ni modelos propios ni de terceros. No usamos los contenidos de tus cuentas para fines propios.
El agente nunca recibe los tokens de las plataformas. Recibe de nosotros credenciales válidas durante una hora como máximo y utilizables solo con Socializza.
11.3 Los riesgos
Lo que recibe el agente sale de Socializza. El agente lo trata donde funciona, según los términos de quien lo proporciona. No tenemos control sobre ese tratamiento.
Los comentarios, las menciones y los mensajes directos los escriben otras personas. Un texto puede contener instrucciones escritas para engañar al agente. Lo entregamos al agente como dato no fiable, con un marcador de procedencia y un límite de longitud, nunca como instrucción. Cómo reacciona el agente depende del agente.
En modalidad autónoma el agente publica y responde sin tu aprobación, dentro de los límites. Lo que se publica sin revisión humana recibe automáticamente una etiqueta, por ejemplo "Texto generado con inteligencia artificial".
11.4 Cómo detener un agente y oponerte
Puedes suspender o revocar un agente en cualquier momento. El kill switch detiene en un solo gesto un agente, una marca o el workspace entero. La revocación invalida las credenciales del agente en un plazo de un minuto.
El registro de auditoría muestra cada llamada de cada agente.
Puedes oponerte a los tratamientos basados en nuestro interés legítimo escribiendo a privacy@socializza.com (sección 16).
12. Workspace empresarial
En un workspace empresarial el cliente es responsable del tratamiento de los contenidos del workspace. Nosotros actuamos como encargado del tratamiento, conforme al art. 28 RGPD, en cualquier plan, Gratis incluido.
Son contenidos del workspace las cuentas conectadas, los borradores, los posts publicados, los comentarios y los datos de la audiencia recibidos de las plataformas, las credenciales y los logs de los agentes y los registros de aprobación. La lista completa está en el Anexo II del acuerdo de encargo del tratamiento de datos personales.
Tratamos estos datos solo según las instrucciones del cliente, es decir, la configuración que establece en la app, y según el acuerdo de encargo.
Por instrucción del cliente conservamos los registros de aprobación durante 5 años desde la publicación, también después de la terminación del contrato. A la terminación del contrato el cliente recibe la exportación firmada de los registros y puede ordenar su supresión anticipada (artículo 11 del acuerdo de encargo).
Para ejercer tus derechos sobre estos datos, dirígete al cliente. Nosotros le ayudamos a responderte.
Los datos de tu cuenta de miembro, del acceso y de la facturación siguen siendo tratados por nosotros como responsable, según esta política de privacidad.
13. Destinatarios
Comunicamos los datos solo a estos destinatarios:
- los proveedores que tratan datos por cuenta nuestra como encargados del tratamiento, es decir, Amazon Web Services EMEA SARL para el alojamiento y los archivos multimedia (Amazon Lightsail), para el envío de los emails (Amazon SES) y para las copias de seguridad cifradas (Amazon S3), y Google LLC para la entrega de las notificaciones push a la app de Android mediante Firebase Cloud Messaging (FCM);
- Stripe, como responsable independiente y como encargado para los pagos en la web, y Apple y Google, como responsables independientes para las compras en la app (sección 7);
- Apple, que entrega las notificaciones push a la app de iOS mediante su servicio APNs (sección 9);
- las plataformas que conectas, es decir, X y Meta para Páginas de Facebook, Instagram y Threads, que reciben lo que publicas tú o tus agentes y actúan como responsables independientes según sus términos contigo;
- tus agentes, para los datos que permiten tus autorizaciones;
- las autoridades públicas, cuando la ley nos lo impone.
La denominación, el domicilio, la función y las garantías de Amazon Web Services EMEA SARL están en la lista de subencargados. Para Google LLC, los mismos datos están en la declaración de residencia de los datos.
14. Dónde están los datos y transferencias fuera de la UE
Conservamos en la Unión Europea la base de datos, los archivos multimedia, las copias de seguridad y los logs.
Algunos flujos implican a sociedades con sede en los Estados Unidos o a grupos estadounidenses:
- Stripe, LLC participa en los pagos en la web. El Data Transfer Addendum de Stripe aplica en primer lugar la decisión de adecuación sobre el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), en el que Stripe, LLC está certificada, y subsidiariamente las cláusulas contractuales tipo. Stripe no ofrece una opción que mantenga los datos de pago solo en la UE.
- Google LLC recibe en Estados Unidos los datos de las notificaciones push enviadas mediante FCM y de las compras en Google Play. Google LLC está certificada en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), por lo que la transferencia se basa en la decisión de adecuación, la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023. Para FCM, Google LLC actúa como nuestro encargado del tratamiento conforme a los Firebase Data Processing and Security Terms, y subsidiariamente se aplican las cláusulas contractuales tipo de esos términos.
- Apple Inc. recibe en Estados Unidos los datos de las notificaciones push enviadas mediante APNs y de las compras en la App Store. Apple Inc. no está certificada en el Data Privacy Framework. La transferencia se basa en cláusulas contractuales tipo, como indica la política de privacidad de Apple.
- Amazon Web Services EMEA SARL forma parte de un grupo estadounidense. Usamos sus servicios para el alojamiento, los archivos multimedia, los emails y las copias de seguridad en la región eu-central-1, Fráncfort, Alemania. Para las copias de seguridad recibe solo datos cifrados, con claves que AWS no posee.
Lo que publicas en una plataforma lo trata esa plataforma, según sus términos, también fuera de la UE.
Las garantías de cada transferencia, conforme al capítulo V RGPD, están en la declaración de residencia de los datos y en la lista de subencargados.
15. Supresión y copias de seguridad
Cuando desconectas una cuenta, destruimos sus tokens en un plazo de un minuto.
Cuando eliminas el workspace, suprimimos sus datos en un plazo de 30 días. Se exceptúan las facturas, conservadas 10 años, y los registros de aprobación, conservados 5 años desde la publicación de cada post, en cualquier plan. En ese momento recibes la exportación firmada de los registros de aprobación y puedes solicitar su supresión anticipada.
Al final destruimos la clave de cifrado del workspace. Lo que estaba cifrado con esa clave pasa a ser ilegible, también en las copias. Son una excepción las copias de seguridad hechas antes de la supresión, que conservan los datos cifrados hasta su caducidad, como máximo 13 meses después.
Hacemos copias de seguridad cifradas. Mantenemos 30 días de copias de seguridad rotativas y una copia mensual conservada 12 meses. Por tanto, un dato suprimido puede permanecer en una copia de seguridad, solo en forma cifrada, hasta 13 meses. No podemos retirarlo de una copia de seguridad concreta. Caduca por sí solo con la copia de seguridad que lo contiene.
16. Tus derechos
Tienes derecho a:
- acceder a tus datos y recibir una copia (art. 15 RGPD);
- obtener su rectificación (art. 16 RGPD);
- obtener su supresión (art. 17 RGPD);
- obtener la limitación del tratamiento (art. 18 RGPD);
- recibirlos en un formato estructurado, de uso común y de lectura mecánica y transmitirlos a otro responsable, si los tratamos sobre la base de un contrato o de tu consentimiento (art. 20 RGPD);
- oponerte a los tratamientos basados en nuestro interés legítimo, es decir, seguridad, contadores de producto y datos de terceros (art. 21 RGPD);
- no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ti o te afecte significativamente de modo similar (art. 22 RGPD);
- retirar en cualquier momento un consentimiento que nos hayas dado, sin que ello afecte al tratamiento realizado antes de la retirada (art. 7, apdo. 3, RGPD).
No tomamos decisiones basadas únicamente en el tratamiento automatizado que produzcan efectos jurídicos en ti.
Comunicamos las rectificaciones, supresiones y limitaciones a los destinatarios de los datos, salvo que sea imposible o exija un esfuerzo desproporcionado (art. 19 RGPD).
Para ejercer un derecho, escribe a privacy@socializza.com. Si no podemos identificarte a partir de la solicitud, te pedimos un dato para verificar tu identidad. La solicitud es gratuita. Respondemos en el plazo de un mes desde su recepción. Para solicitudes complejas o numerosas el plazo puede prorrogarse dos meses, y en ese caso te lo comunicamos dentro del primer mes.
Algunas cosas puedes hacerlas tú mismo en la app, como revocar un agente o desconectar una cuenta.
17. Datos obligatorios
Para la lista de espera se necesita el email; la respuesta sobre el agente es opcional. Para crear una cuenta se necesita el email. Para comprar un plan se necesitan los datos de facturación. Sin estos datos no podemos prestarte el servicio solicitado.
18. Reclamación
Si consideras que tratamos tus datos infringiendo el RGPD, puedes presentar una reclamación ante el Garante per la protezione dei dati personali (autoridad italiana de protección de datos), Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it. También puedes dirigirte a la autoridad de control del Estado miembro en el que tengas tu residencia habitual o tu lugar de trabajo o en el que se haya producido la supuesta infracción (art. 77 RGPD).
19. Modificaciones
Cuando cambiamos esta política de privacidad, publicamos la nueva versión con su fecha. Un servicio nuevo entra en esta política de privacidad con una nueva versión, y te avisamos 30 días antes de que se aplique. No usamos tus datos para una finalidad nueva sin informarte antes (art. 13, apdo. 3, RGPD).