Informativa sul trattamento dei dati personali di Socializza

Bozza, non in vigore. Versione 0.1 del 6 ottobre 2026.

Entra in vigore il {{EFFECTIVE_DATE}}.

Questa informativa ti spiega come trattiamo i tuoi dati personali quando usi Socializza, ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR"). "Noi" indica ITALDRONI S.r.l.

1. Titolare del trattamento

Socializza è un prodotto di ITALDRONI S.r.l. ITALDRONI S.r.l. è titolare dei trattamenti descritti in questa informativa.

ITALDRONI S.r.l. ha sede in Via Camillo Benso Conte di Cavour 13, 10019 Strambino (TO), Italia, partita IVA e codice fiscale 13399080012, numero REA TO-1360305. Il capitale sociale è di 3.000,00 euro, interamente versato. La posta elettronica certificata è italdroni@ultracert.it.

Per ogni domanda sui tuoi dati e per esercitare i tuoi diritti scrivi a privacy@socializza.com.

Non abbiamo nominato un responsabile della protezione dei dati.

2. Cosa copre questa informativa

Agiamo come titolare del trattamento per:

la lista d'attesa;
gli account dei membri, l'accesso e l'autenticazione a due fattori (2FA);
la fatturazione e i pagamenti;
i log di sicurezza e di prevenzione degli abusi;
i contatori di prodotto;
i token dei dispositivi per le notifiche push;
tutto ciò che avviene in un workspace personale (sezione 10).

Per i contenuti di un workspace aziendale agiamo come responsabile del trattamento per conto del cliente. La sezione 12 spiega cosa cambia.

Al lancio Socializza collega Pagine Facebook, Instagram, Threads e X, dal sito web e dall'app per iOS e Android.

Questa informativa esiste in italiano, inglese, spagnolo, francese e tedesco. In caso di difformità prevale il testo italiano.

3. Termini usati

Un workspace è lo spazio di un cliente in Socializza, con un piano, una fatturazione, i suoi account e i suoi agenti.

Un account è un account social collegato a Socializza, come una Pagina Facebook o un profilo Instagram.

Un agente è un programma di intelligenza artificiale (IA) che scegli e fai funzionare tu, fuori da Socializza.

Un'autorizzazione collega un agente a un account con i permessi, la modalità e i limiti che scegli tu nella schermata di consenso di Socializza.

Un registro di approvazione documenta, per ogni post, come una persona lo ha esaminato e con quale esito.

Un workspace personale è un workspace usato per finalità esclusivamente personali o domestiche, fuori da ogni attività professionale o d'impresa. Ogni altro workspace è un workspace aziendale.

4. Trattamenti, dati, basi giuridiche e conservazione

Finalità	Dati	Base giuridica	Conservazione
Lista d'attesa, conferma e avviso del lancio	Email; risposta facoltativa alla domanda "Quale agente usi?", massimo 200 caratteri; data di iscrizione	Art. 6, par. 1, lett. b) GDPR, misure precontrattuali adottate su tua richiesta	12 mesi dal lancio se non ti registri. Prima, se chiedi la cancellazione.
Account dei membri, accesso e 2FA	Email, nome, ruolo nel workspace, lingua, metodo 2FA (email o app di autenticazione), dati della sessione e del dispositivo per gli avvisi di accesso	Art. 6, par. 1, lett. b) GDPR, esecuzione del contratto	Per la durata dell'account. Dopo la cancellazione del workspace, cancellati entro 30 giorni.
Fatturazione e pagamenti	Nome e paese del workspace, partita IVA, riferimento cliente presso Stripe, piano, canale d'acquisto (Stripe, Apple, Google), stato e scadenza dell'abbonamento	Art. 6, par. 1, lett. b) GDPR, esecuzione del contratto; per le fatture, art. 6, par. 1, lett. c) GDPR, obbligo legale	Fatture per 10 anni, come impone la legge italiana. Gli altri dati fino alla cancellazione del workspace, poi cancellati entro 30 giorni.
Sicurezza e prevenzione degli abusi	Indirizzo IP, data e ora, richiesta ed esito nei log di sicurezza degli accessi e della prevenzione degli abusi; conteggi per il limite di frequenza	Art. 6, par. 1, lett. f) GDPR, legittimo interesse a proteggere il servizio e chi lo usa	30 giorni. Dai log operativi e dalle metriche rimuoviamo i dati personali all'ingresso. L'IP di chi compila il modulo della lista d'attesa resta solo in memoria, per il limite di 10 iscrizioni all'ora, e non entra nel database.
Contatori di prodotto	Conteggi giornalieri per workspace, account e autorizzazione di post pubblicati, chiamate degli agenti e ricerche	Art. 6, par. 1, lett. f) GDPR, legittimo interesse ad applicare i limiti del piano e a misurare l'uso del servizio	Fino alla cancellazione del workspace, poi cancellati entro 30 giorni.
Notifiche push	Token del dispositivo; identificativo opaco della notifica	Art. 6, par. 1, lett. b) GDPR, esecuzione del contratto	Per la durata dell'account. Dopo la cancellazione del workspace, cancellati entro 30 giorni.
Richieste di cancellazione dei dati da Meta	L'identificativo Facebook della persona che ha collegato una Pagina Facebook o un account Instagram, specifico per l'app Socializza, conservato sull'account collegato; il codice di conferma della richiesta	Art. 6, par. 1, lett. f) GDPR, legittimo interesse a eseguire le richieste di cancellazione che Meta ci inoltra all'indirizzo https://app.socializza.com/meta/data-deletion	L'identificativo, finché l'account resta collegato o fino alla richiesta di cancellazione. Il codice di conferma, 180 giorni, per la pagina di stato della richiesta.
Segnalazioni e decisioni sui contenuti (Regolamento (UE) 2022/2065)	Nome ed email di chi segnala; motivi della segnalazione e contenuto segnalato; decisione, motivazione, contestazione e risposta	Art. 6, par. 1, lett. c) GDPR, obbligo legale (artt. 16, 17 e 18 del Regolamento (UE) 2022/2065); per la contestazione, art. 6, par. 1, lett. b) GDPR (articolo 15.10 delle condizioni generali di servizio)	12 mesi dalla decisione definitiva. Più a lungo solo fino alla fine di una controversia sulla decisione.
Workspace personale	Account collegati, contenuti, agenti, autorizzazioni, registri (sezione 10)	Art. 6, par. 1, lett. b) GDPR, esecuzione del contratto	Per voce, nella tabella della sezione 10
Dati di terzi in un workspace personale	Nome utente e testo di commenti, menzioni, messaggi diretti e risultati di ricerca	Art. 6, par. 1, lett. f) GDPR, legittimo interesse a fornire il servizio richiesto dall'utente	30 giorni al massimo

5. Lista d'attesa

Ti inviamo una email di conferma all'iscrizione e un avviso quando Socializza apre. Ogni iscrizione genera anche una notifica interna a ITALDRONI con il tuo indirizzo e la tua risposta.

Non ti inviamo newsletter né promozioni. Richiederebbero un tuo consenso separato, ai sensi dell'art. 130 del Codice privacy, e al lancio non ne inviamo.

6. Account dei membri e accesso

La 2FA è obbligatoria per proprietari e amministratori del workspace e disponibile per ogni membro. Ti avvisiamo degli accessi al tuo account. Ti chiediamo di autenticarti di nuovo prima di modificare un'autorizzazione, usare il kill switch o cambiare la fatturazione.

Le nostre email di servizio portano approvazioni, avvisi e link di accesso. Contengono il nome utente dell'account, il nome dell'agente e un link all'app. Non contengono mai il testo dei post, i media o i commenti.

7. Pagamenti

Sul web i pagamenti passano da Stripe, tramite Stripe Payments Europe, Limited. Se acquisti un piano nell'app, il venditore è Apple (App Store) o Google (Google Play), secondo i propri termini.

Stripe tratta i dati di pagamento in parte come titolare autonomo e in parte come responsabile per nostro conto, secondo il proprio accordo sul trattamento. I controlli antifrode, antiriciclaggio e di verifica dell'identità sono trattamenti di Stripe come titolare, descritti nella sua informativa. Apple e Google trattano i dati di acquisto come titolari autonomi, secondo le loro informative.

Da Stripe, Apple e Google riceviamo i dati dell'abbonamento, come prodotto, stato e scadenza del periodo. Non inseriamo mai contenuti del workspace nei campi descrittivi o nei metadati di Stripe.

8. Sicurezza, contatori e nessun tracciamento

Le pagine pubbliche del sito non impostano cookie. Né il sito né l'app usano strumenti di analisi, di tracciamento o script di terze parti.

I contatori di prodotto contano azioni, non persone. Non costruiamo profili.

I log di sicurezza servono a bloccare accessi abusivi e attacchi, e a ricostruire un incidente.

9. Notifiche push

Una notifica push contiene solo un identificativo opaco. Quando apri la notifica, l'app scarica il contenuto dai nostri server nell'Unione europea.

Per consegnare le notifiche, Apple Push Notification service (APNs) e Google Firebase Cloud Messaging (FCM) ricevono il token del tuo dispositivo e quell'identificativo. Non ricevono testi, media o nomi di account.

10. Workspace personale

Se usi Socializza per finalità esclusivamente personali o domestiche, il GDPR non si applica a te come utente (art. 2, par. 2, lett. c), GDPR). Si applica a noi, che forniamo i mezzi del trattamento (considerando 18 GDPR). Per questo agiamo come titolare del trattamento per tutto ciò che fai nel workspace personale.

Trattiamo questi dati:

gli account collegati, con nome utente, nome visualizzato, immagine del profilo e profilo pubblico, aggiornato ogni giorno;
i token delle piattaforme, cifrati nel nostro vault;
bozze, post, risposte e media;
gli agenti, le autorizzazioni e la loro storia;
il registro di audit, con una voce per ogni chiamata di un agente e ogni azione di un membro;
i registri di approvazione, uno per ogni post.

Dato	Conservazione
Token delle piattaforme	Distrutti entro un minuto dalla disconnessione dell'account o dalla revoca
Media	Cancellati al più tardi 7 giorni dopo la pubblicazione o l'annullamento
Bozze e richieste di pubblicazione, con il testo dei post	2 anni, poi anonimizzate
Commenti, menzioni, messaggi diretti e risultati di ricerca	30 giorni al massimo
Registro di audit	Secondo il piano: Gratis 7 giorni, Osserva 30 giorni, Pubblica 90 giorni, Interagisce e Agenzia 365 giorni, Enterprise secondo contratto. Poi cancellato.
Registri di approvazione	5 anni dalla pubblicazione, su ogni piano, anche dopo la cancellazione del workspace (sezione 15)
Account collegati, agenti e autorizzazioni	Fino alla cancellazione del workspace, poi cancellati entro 30 giorni

10.1 Dati di terzi

Il tuo workspace personale riceve dati di altre persone attraverso le API ufficiali delle piattaforme: chi commenta i tuoi post, chi ti menziona, chi ti scrive un messaggio diretto, chi compare nei risultati di una ricerca. La fonte di questi dati è la piattaforma. Li trattiamo solo per mostrarli a te e ai tuoi agenti, per 30 giorni al massimo. Chi si trova in questa situazione può esercitare i diritti della sezione 16 scrivendo a privacy@socializza.com.

10.2 Età minima

Per aprire un workspace personale devi avere almeno 16 anni, in ogni Stato. Prima di aprirlo indichi la tua età. Se hai 16 o 17 anni non ti serve il consenso di un genitore (art. 2-quinquies del d.lgs. n. 196/2003 e art. 4, comma 4, Legge n. 132/2025). Per acquistare un piano a pagamento servono 18 anni, oppure il consenso di un genitore o del tutore (articolo 5.5 delle condizioni generali di servizio).

Abbiamo scritto questa informativa, e in particolare la sezione 11, perché anche un minore possa leggerla e capirla.

11. Gli agenti di IA e i tuoi dati

Questa sezione risponde all'art. 4, comma 3, della Legge n. 132/2025. Spiega in parole semplici cosa succede ai dati quando un agente di IA usa Socializza, quali rischi esistono e come puoi opporti.

11.1 Chi decide

Gli agenti sono tuoi. Li scegli tu, li fai funzionare tu e decidi tu cosa possono fare.

Un agente non sceglie mai account o permessi. Agisce solo entro le autorizzazioni che crei nella schermata di consenso di Socializza.

Per ogni autorizzazione scegli una modalità:

ask-first, dove approvi ogni azione prima che parta;
autonoma, dove l'agente agisce da solo entro i limiti che fissi;
dry-run, dove l'agente prova le azioni senza pubblicare nulla.

11.2 Cosa non facciamo

Socializza non scrive contenuti. Non elabora i tuoi contenuti con modelli di IA.

Non usiamo i contenuti delle piattaforme per addestrare nulla, né modelli nostri né di altri. Non usiamo i contenuti dei tuoi account per finalità nostre.

L'agente non riceve mai i token delle piattaforme. Riceve da noi credenziali valide un'ora al massimo e utilizzabili solo con Socializza.

11.3 I rischi

Ciò che l'agente riceve esce da Socializza. L'agente lo tratta dove funziona, secondo i termini di chi lo fornisce. Su quel trattamento non abbiamo controllo.

Commenti, menzioni e messaggi diretti sono scritti da altre persone. Un testo può contenere istruzioni scritte per ingannare l'agente. Lo consegniamo all'agente come dato non attendibile, con un marcatore di provenienza e un limite di lunghezza, mai come istruzione. Come reagisce l'agente dipende dall'agente.

In modalità autonoma l'agente pubblica e risponde senza la tua approvazione, entro i limiti. Ciò che esce senza revisione umana riceve in automatico un'etichetta, per esempio "Testo generato con l'intelligenza artificiale".

11.4 Come fermare un agente e opporti

Puoi sospendere o revocare un agente in ogni momento. Il kill switch ferma in un solo gesto un agente, un brand o l'intero workspace. La revoca invalida le credenziali dell'agente entro un minuto.

Il registro di audit mostra ogni chiamata di ogni agente.

Puoi opporti ai trattamenti basati sul nostro legittimo interesse scrivendo a privacy@socializza.com (sezione 16).

12. Workspace aziendale

In un workspace aziendale il cliente è titolare del trattamento dei contenuti del workspace. Noi agiamo come responsabile del trattamento, ai sensi dell'art. 28 GDPR, su ogni piano, Gratis compreso.

Sono contenuti del workspace gli account collegati, le bozze, i post pubblicati, i commenti e i dati del pubblico ricevuti dalle piattaforme, le credenziali e i log degli agenti e i registri di approvazione. L'elenco completo è nell'Allegato II dell'accordo sul trattamento dei dati personali.

Trattiamo questi dati solo secondo le istruzioni del cliente, cioè la configurazione che imposta nell'app, e secondo l'accordo sul trattamento.

Su istruzione del cliente conserviamo i registri di approvazione per 5 anni dalla pubblicazione, anche dopo la fine del contratto. Alla fine del contratto il cliente riceve l'esportazione firmata dei registri e può ordinarne la cancellazione anticipata (articolo 11 dell'accordo sul trattamento).

Per esercitare i tuoi diritti su questi dati rivolgiti al cliente. Noi lo aiutiamo a risponderti.

I dati del tuo account di membro, dell'accesso e della fatturazione restano trattati da noi come titolare, secondo questa informativa.

13. Destinatari

Comunichiamo i dati solo a questi destinatari:

i fornitori che trattano dati per nostro conto come responsabili del trattamento, cioè Amazon Web Services EMEA SARL per l'hosting e i media (Amazon Lightsail), per l'invio delle email (Amazon SES) e per i backup cifrati (Amazon S3), e Google LLC per il recapito delle notifiche push all'app Android con Firebase Cloud Messaging (FCM);
Stripe, come titolare autonomo e come responsabile per i pagamenti sul web, e Apple e Google, come titolari autonomi per gli acquisti in app (sezione 7);
Apple, che consegna le notifiche push all'app iOS con il servizio APNs (sezione 9);
le piattaforme che colleghi, cioè X e Meta per Pagine Facebook, Instagram e Threads, che ricevono ciò che pubblichi tu o i tuoi agenti e agiscono come titolari autonomi secondo i loro termini con te;
i tuoi agenti, per i dati che le tue autorizzazioni permettono;
le autorità pubbliche, quando la legge ce lo impone.

Denominazione, sede, funzione e garanzie di Amazon Web Services EMEA SARL sono nell'elenco dei sub-responsabili. Per Google LLC gli stessi dati sono nella dichiarazione di residenza dei dati.

14. Dove sono i dati e trasferimenti fuori dall'UE

Conserviamo nell'Unione europea il database, i media, i backup e i log.

Alcuni flussi coinvolgono società con sede negli Stati Uniti o gruppi statunitensi:

Stripe, LLC partecipa ai pagamenti sul web. Il Data Transfer Addendum di Stripe applica in primo luogo la decisione di adeguatezza sul quadro UE-USA per la protezione dei dati personali (Data Privacy Framework), in cui Stripe, LLC è certificata, e in subordine le clausole contrattuali tipo. Stripe non offre un'opzione che tenga i dati di pagamento solo nell'UE.
Google LLC riceve negli Stati Uniti i dati delle notifiche push inviate con FCM e degli acquisti su Google Play. Google LLC è certificata nell'ambito del quadro UE-USA per la protezione dei dati personali (Data Privacy Framework), quindi il trasferimento si basa sulla decisione di adeguatezza, la decisione di esecuzione (UE) 2023/1795 della Commissione, del 10 luglio 2023. Per FCM Google LLC agisce come nostro responsabile del trattamento secondo i Firebase Data Processing and Security Terms, e in subordine si applicano le clausole contrattuali tipo di quei termini.
Apple Inc. riceve negli Stati Uniti i dati delle notifiche push inviate con APNs e degli acquisti sull'App Store. Apple Inc. non è certificata nell'ambito del Data Privacy Framework. Il trasferimento si basa sulle clausole contrattuali tipo, come indica l'informativa privacy di Apple.
Amazon Web Services EMEA SARL fa parte di un gruppo statunitense. Usiamo i suoi servizi per l'hosting, i media, le email e i backup nella regione eu-central-1, Francoforte, Germania. Per i backup riceve solo dati cifrati, con chiavi che AWS non possiede.

Ciò che pubblichi su una piattaforma lo tratta quella piattaforma, secondo i suoi termini, anche fuori dall'UE.

Le garanzie di ogni trasferimento, ai sensi del capo V GDPR, sono nella dichiarazione di residenza dei dati e nell'elenco dei sub-responsabili.

15. Cancellazione e backup

Quando scolleghi un account, distruggiamo i suoi token entro un minuto.

Quando cancelli il workspace, cancelliamo i suoi dati entro 30 giorni. Fanno eccezione le fatture, conservate 10 anni, e i registri di approvazione, conservati 5 anni dalla pubblicazione di ogni post, su ogni piano. In quel momento ricevi l'esportazione firmata dei registri di approvazione e puoi chiederne la cancellazione anticipata.

Alla fine distruggiamo la chiave di cifratura del workspace. Ciò che era cifrato con quella chiave diventa illeggibile, anche nelle copie. Fanno eccezione i backup fatti prima della cancellazione, che conservano i dati cifrati fino alla loro scadenza, al massimo 13 mesi dopo.

Facciamo backup cifrati. Teniamo 30 giorni di backup a rotazione e una copia mensile conservata 12 mesi. Un dato cancellato può quindi restare in un backup, solo in forma cifrata, fino a 13 mesi. Non possiamo toglierlo da un singolo backup. Scade da solo con il backup che lo contiene.

16. I tuoi diritti

Hai diritto di:

accedere ai tuoi dati e riceverne una copia (art. 15 GDPR);
ottenerne la rettifica (art. 16 GDPR);
ottenerne la cancellazione (art. 17 GDPR);
ottenere la limitazione del trattamento (art. 18 GDPR);
riceverli in un formato strutturato, di uso comune e leggibile da dispositivo automatico e trasmetterli a un altro titolare, se li trattiamo sulla base di un contratto o del tuo consenso (art. 20 GDPR);
opporti ai trattamenti basati sul nostro legittimo interesse, cioè sicurezza, contatori di prodotto e dati di terzi (art. 21 GDPR);
non essere sottoposto a una decisione basata unicamente sul trattamento automatizzato, compresa la profilazione, che produca effetti giuridici che ti riguardano o che incida in modo analogo significativamente sulla tua persona (art. 22 GDPR);
revocare in ogni momento un consenso che ci hai dato, senza effetti sul trattamento svolto prima della revoca (art. 7, par. 3, GDPR).

Non prendiamo decisioni basate unicamente sul trattamento automatizzato che producano effetti giuridici su di te.

Comunichiamo rettifiche, cancellazioni e limitazioni ai destinatari dei dati, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato (art. 19 GDPR).

Per esercitare un diritto scrivi a privacy@socializza.com. Se non possiamo riconoscerti dalla richiesta, ti chiediamo un dato per verificare la tua identità. La richiesta è gratuita. Rispondiamo entro un mese dal ricevimento. Per richieste complesse o numerose il termine può essere prorogato di due mesi, e in quel caso te lo comunichiamo entro il primo mese.

Alcune cose puoi farle da solo nell'app, come revocare un agente o scollegare un account.

17. Dati obbligatori

Per la lista d'attesa serve l'email; la risposta sull'agente è facoltativa. Per creare un account serve l'email. Per acquistare un piano servono i dati di fatturazione. Senza questi dati non possiamo fornirti il servizio richiesto.

18. Reclamo

Se ritieni che trattiamo i tuoi dati in violazione del GDPR, puoi presentare reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it. Puoi rivolgerti anche all'autorità di controllo dello Stato membro in cui risiedi abitualmente, lavori o si è verificata la presunta violazione (art. 77 GDPR).

19. Modifiche

Quando cambiamo questa informativa, pubblichiamo la nuova versione con la sua data. Un servizio nuovo entra in questa informativa con una nuova versione, e ti avvisiamo 30 giorni prima che si applichi. Non usiamo i tuoi dati per una finalità nuova senza informarti prima (art. 13, par. 3, GDPR).