Informativa Privacy · GDPR
Privacy Policy
Ultimo aggiornamento: 25 agosto 2026
La presente informativa descrive le modalità di trattamento dei dati personali degli utenti che consultano il sito e utilizzano i servizi di Social Web Automation, ai sensi dell’art. 13 del Regolamento UE 2016/679 (GDPR) e del D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018.
1. Titolare del trattamento
Il Titolare del trattamento è Social Web Automation di Marco Dibenedetto (Social Web Automation), con sede legale in Via Giuseppe Verdi 2B, 22072 Cermenate (CO), P.IVA 03786790133, C.F. DBNMRC80E04C933Q.
Email: swsdautomation@gmail.com · PEC: dibenedetto.80@pec.it · Tel: +39 347 719 6603.
Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO). Per richieste relative alla privacy è possibile contattare direttamente il Titolare all’indirizzo swsdautomation@gmail.com.
2. Quali dati trattiamo
a) Dati forniti volontariamente
- Dati di registrazione: nome, email, azienda, telefono, pacchetto scelto, password (cifrata con bcrypt).
- Dati di contatto: quando ci scrivi via email, WhatsApp o form.
- Dati di fatturazione: ragione sociale, P.IVA, indirizzo — gestiti tramite Stripe.
- Dati di recesso e disdetta: nome, email, riferimento e data del contratto, categoria della richiesta, dichiarazione trasmessa, data e ora, codice pratica e ricevuta.
- Contenuti caricati: immagini, testi, dati del brand e dei prodotti che inserisci nella piattaforma.
b) Dati raccolti automaticamente
- Dati di navigazione: indirizzo IP, tipo di browser, pagine visitate, orari (log tecnici del server).
- Cookie tecnici: necessari al funzionamento (sessione, autenticazione). Dettagli nella Cookie Policy.
3. Finalità e basi giuridiche
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Erogazione del servizio (account, generazione e pubblicazione contenuti) | Esecuzione del contratto — lett. b) |
| Fatturazione e adempimenti fiscali | Obbligo legale — lett. c) |
| Assistenza e risposta alle richieste | Esecuzione di misure precontrattuali — lett. b) |
| Sicurezza, prevenzione abusi, log tecnici | Legittimo interesse — lett. f) |
| Invio email transazionali (attivazione, notifiche) | Esecuzione del contratto — lett. b) |
| Gestione e prova delle dichiarazioni di recesso o disdetta | Obbligo legale — lett. c) ed esecuzione del contratto — lett. b) |
| Marketing e newsletter (se attivati) | Consenso — lett. a) |
| Misurazione delle campagne pubblicitarie (eventi inviati a Meta dal nostro server) | Consenso — lett. a) |
4. Uso dell’intelligenza artificiale
La piattaforma utilizza OpenRouter, che instrada modelli di AI di terze parti (Google, OpenAI, Anthropic, Meta e altri) per generare testi e immagini. I dati che inserisci (brand, prodotti, immagini) possono essere inviati a questi fornitori esclusivamente per generare i contenuti richiesti. Non usiamo i tuoi dati per addestrare modelli AI e selezioniamo fornitori che offrono garanzie contrattuali in tal senso. Vedi anche la nota di trasparenza AI (art. 50 Regolamento UE 2024/1689).
4-bis. Misurazione delle campagne pubblicitarie
Quando è attiva una campagna e solo dopo il tuo consenso esplicito al marketing, il nostro server comunica a Meta due eventi: la richiesta di una consulenza e l’avvio di un acquisto. Serve a sapere quale annuncio ha portato un contatto reale; senza, la spesa pubblicitaria è cieca.
Che cosa viene trasmesso: indirizzo email e numero di telefono cifrati con SHA-256, quindi non leggibili da Meta in chiaro, insieme all’indirizzo IP, al tipo di browser e all’importo dell’operazione. Non trasmettiamo il contenuto dei tuoi messaggi, i materiali caricati o i dati dell’account.
La comunicazione parte dal nostro server: sul sito non viene caricato alcuno script di Metae non vengono impostati cookie pubblicitari. Senza consenso non parte nulla, e la verifica è dentro il codice che invia l’evento, non affidata a una configurazione esterna. Revocando il consenso dal banner gli invii si interrompono.
5. Destinatari e responsabili esterni
I dati possono essere trattati, per nostro conto, dai seguenti fornitori nominati Responsabili del trattamento (art. 28 GDPR):
| Fornitore | Attività | Trasferimento extra-UE |
|---|---|---|
| Neon (database Postgres) | Hosting database e dati account | Possibile (USA) — SCC/Data Privacy Framework |
| Render | Hosting applicazione | Possibile (USA) — SCC |
| OpenRouter (instrada modelli di Google, OpenAI, Anthropic, Meta, ecc.) | Generazione contenuti con AI | Sì (USA) — SCC/DPF |
| Blotato | Pubblicazione programmata sui social | Possibile — SCC |
| Stripe | Pagamenti e fatturazione abbonamenti | Possibile (USA) — SCC/DPF, PCI-DSS |
| Cloudflare R2 / Backblaze B2 | Archiviazione immagini | Possibile — SCC |
| Meta (Instagram/Facebook Graph API) | Statistiche e pubblicazione (se collegato) | Sì (USA) — SCC/DPF |
| Meta (Conversions API) | Misurazione delle campagne: solo con consenso, inviata dal nostro server | Sì (USA) — SCC/DPF |
| Resend | Invio email transazionali (se attivo) | Possibile (USA) — SCC |
Alcuni fornitori hanno sede negli USA: i trasferimenti avvengono sulla base di Clausole Contrattuali Standard (SCC) e/o adesione al Data Privacy Framework, come previsto dagli artt. 44-49 GDPR.
6. Periodo di conservazione
- Dati account: per tutta la durata del rapporto e fino a 24 mesi dopo la cessazione.
- Dati di fatturazione: 10 anni (obbligo civilistico/fiscale).
- Dichiarazioni di recesso e disdetta: fino a 10 anni per documentare la richiesta e gestire eventuali contestazioni, salvo diverso obbligo di legge.
- Contenuti caricati (immagini, testi, dati di brand e prodotti): per tutta la durata del rapporto e fino a 24 mesi dopo la cessazione, insieme ai dati account. La cancellazione anticipata si può chiedere in qualsiasi momento.
- Log tecnici: massimo 12 mesi.
- Dati marketing: fino a revoca del consenso.
7. I tuoi diritti
Ai sensi degli artt. 15-22 GDPR hai diritto di: accesso, rettifica, cancellazione («diritto all’oblio»), limitazione, portabilità, opposizione, e di revocare il consenso in qualsiasi momento. Per esercitarli scrivi a swsdautomation@gmail.com. Rispondiamo entro 30 giorni, prorogabili di altri 60 nei casi previsti dall’art. 12.3 GDPR, dandotene comunicazione.
Per il diritto alla portabilità (art. 20) consegniamo i dati che ci hai fornito in un archivioJSON, formato strutturato e leggibile da dispositivo automatico: dati account, contenuti caricati, storico delle pubblicazioni e registro delle richieste. Le immagini e i file vengono consegnati nel formato originale. Hai inoltre diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it).
8. Sicurezza
Adottiamo misure tecniche e organizzative adeguate: password cifrate (bcrypt), connessioni HTTPS con HSTS, Content-Security-Policy restrittiva, controllo accessi multi-tenant, rate limiting e isolamento dei dati per cliente. Nessun sistema è sicuro al 100%: per questo la procedura in caso di violazione è scritta prima che serva, qui sotto.
9. Che cosa succede in caso di violazione dei dati
Una violazione è qualsiasi evento che comporti distruzione, perdita, modifica, divulgazione o accesso non autorizzato ai dati personali. La procedura è questa, nell’ordine:
- Rilevazione e contenimento: chiusura dell’accesso, revoca delle credenziali coinvolte e conservazione dei log utili a ricostruire l’accaduto.
- Valutazione del rischio: entro poche ore, a cura del Titolare, per stabilire natura, categorie e numero approssimativo di interessati e di dati coinvolti.
- Notifica al Garante entro 72 ore dal momento in cui il Titolare ne viene a conoscenza, ai sensi dell’art. 33 GDPR, salvo che la violazione sia improbabile che presenti un rischio per i diritti e le libertà delle persone. Se le 72 ore non bastano, la notifica indica il motivo del ritardo.
- Comunicazione agli interessati senza ingiustificato ritardo, ai sensi dell’art. 34 GDPR, quando la violazione presenta un rischio elevato: che cosa è successo, quali dati, quali conseguenze probabili, che cosa abbiamo fatto e che cosa conviene fare a te.
- Registro delle violazioni: ogni evento viene annotato con effetti e misure adottate, ai sensi dell’art. 33.5 GDPR, anche quando la notifica non è dovuta.
Se la violazione riguarda un fornitore che tratta dati per nostro conto, il contratto ex art. 28 GDPR gli impone di avvisarci senza ingiustificato ritardo, così che i termini di cui sopra decorrano correttamente.
10. Modifiche
Ci riserviamo di aggiornare questa informativa. Le modifiche sostanziali saranno comunicate via email o tramite avviso sul sito.