Informativa sul Trattamento dei Dati Personali

1. Titolare del Trattamento

Ai sensi dell'art. 4 n. 7 e dell'art. 24 del Regolamento (UE) 2016/679 (GDPR), il Titolare del Trattamento per i dati di navigazione, i dati degli utenti registrati alla piattaforma e le comunicazioni commerciali è:

2. Categorie di Dati Trattati, Origine e Conferimento

A seconda delle modalità di interazione con Kaiross, raccogliamo e trattiamo le seguenti categorie di dati:

A. Dati di navigazione e log tecnici

I sistemi informatici preposti al funzionamento del sito e dell'applicazione acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet: indirizzo IP, identificativi di richiesta HTTP, timestamp, tipologia di browser (User-Agent) e parametri del sistema operativo. Tali dati vengono utilizzati esclusivamente per garantire la sicurezza dell'infrastruttura, prevenire tentativi di intrusione e monitorare la stabilità operativa.

B. Dati degli utenti della piattaforma (B2B)

In sede di creazione dell'account e durante l'uso del SaaS, vengono trattati:

• Nome e cognome del referente o operatore;
• Indirizzo email aziendale / professionale;
• Credenziali crittografate (hash sicuro della password gestito tramite Better Auth);
• Ruoli e autorizzazioni nel workspace dell'Organizzazione;
• Tracciamento cronologico delle operazioni sensibili (audit log).

C. Dati di contatto per richieste demo e commerciali

Dati forniti volontariamente dall'utente tramite posta elettronica o moduli di contatto (nome, cognome, azienda di appartenenza, indirizzo email, recapito telefonico ed esigenze operative).

D. Origine dei dati e natura del conferimento

I dati provengono direttamente dall'interessato o dal Cliente che gestisce il workspace e, quando viene attivato un connettore, dai provider collegati su istruzione del Cliente (ad esempio Meta). Il conferimento dei dati identificativi e di autenticazione è necessario per creare e proteggere l'account; gli altri dati sono facoltativi, ma la loro mancata disponibilità può impedire l'uso della funzione richiesta.

E. Dati acquisiti tramite Meta e TikTok

Quando il Cliente attiva volontariamente l'integrazione Meta, Kaiross tratta gli identificativi tecnici dell'utente autorizzante, delle Pagine Facebook, degli account Instagram professionali e degli account pubblicitari selezionati. In base alle funzioni abilitate possono inoltre essere acquisiti contenuti pubblicati, metriche e insight, conversazioni e identificativi degli interlocutori, nonché campagne e risultati pubblicitari. I token di accesso sono conservati cifrati lato server e non vengono mostrati agli utenti della piattaforma.

Quando il Cliente collega TikTok, Kaiross tratta l'identificativo tecnico del profilo autorizzato, nome visualizzato, username, immagine profilo, scope concessi, token cifrati, contenuti e metriche resi disponibili dalla Display API. Per la pubblicazione, Kaiross trasmette a TikTok il file approvato, la caption, la visibilità e le opzioni scelte esplicitamente dall'utente, incluse le dichiarazioni commerciali e l'eventuale indicazione di contenuto generato o modificato con IA. Se l'utente sceglie invece l'invio come bozza, viene trasferito il file approvato alla Inbox TikTok; editing, caption, impostazioni e pubblicazione finale vengono completati dall'utente nell'app TikTok.

3. Finalità del Trattamento e Basi Giuridiche

4. Dati Trattati per Conto del Cliente (Ruolo di Responsabile ex Art. 28 GDPR)

Nell'ambito dell'utilizzo dei moduli operativi della piattaforma, il Cliente carica o sincronizza dati personali di terzi (es. dati dei propri lead, clienti o interlocutori commerciali, messaggi diretti e commenti social sincronizzati via Meta API).

In relazione a tali trattamenti:

• Il Cliente opera in qualità di Titolare del Trattamento ed è responsabile della legittimità dei dati raccolti, della presenza di idonea base giuridica e delle informative ai propri interessati.
• T.I.F. S.r.l. Semplificata opera in qualità di Responsabile del Trattamento soltanto sulla base di un DPA conforme all'art. 28 GDPR, da sottoscrivere prima dell'onboarding di dati reali. Il DPA definisce istruzioni, durata, categorie di dati, misure di sicurezza, assistenza e sub-responsabili.

5. Intelligenza Artificiale, Provider Terzi e Trasparenza

Kaiross integra funzionalità avanzate di market intelligence, sintesi e supporto editoriale:

• Assenza di addestramento diretto da parte del Titolare: T.I.F. S.r.l. Semplificatanon utilizza i dati, i prompt o i contenuti caricati dagli utenti per addestrare autonomamente propri modelli di intelligenza artificiale generali.
• Elaborazione tramite provider IA configurati: Le richieste vengono trasmesse via API soltanto al provider attivato per la specifica funzione. Provider, regione, retention e condizioni di utilizzo dei dati sono determinati dalla configurazione e dagli accordi applicabili; l'elenco aggiornato è disponibile su richiesta.
• Acquisizione web tramite Firecrawl: Quando l'amministratore abilita Firecrawl,Kaiross può trasmettere al servizio esclusivamente URL di pagine pubbliche da cercare o acquisire. Il contenuto restituito viene sottoposto agli stessi controlli di pertinenza e verifica delle fonti; credenziali social, messaggi diretti, commenti e dati di contatto del workspace non fanno parte di questo flusso.
• Minimizzazione nei flussi predefiniti: Le funzioni operative inviano, quando possibile, metriche aziendali aggregate e contesto strettamente necessario. Email, messaggi diretti, dati di contatto e dati sanitari non vengono inoltrati automaticamente ai provider IA.
• Separazione dei dati social personali dai provider IA: Testi dei messaggi diretti e dei commenti, nomi, username, identificativi dei profili e token acquisiti tramite le integrazioni social non vengono inseriti nei prompt né trasmessi ai provider IA. Le funzioni IA possono utilizzare esclusivamente metriche aggregate, contenuti aziendali approvati, memoria del brand, richieste dell'utente e fonti pubbliche confermate. Questi dati non vengono usati daKaiross per addestrare modelli e gli output restano bozze soggette a verifica umana.
• Minimizzazione e raccomandazioni per l'utente: Si invitano espressamente gli utenti e i clienti a limitare le informazioni immesse nei prompt a dati strettamente necessari per le attività di marketing, astenendosi dall'inserire manualmente testi o dati personali copiati dai social, segreti industriali, informazioni aziendali confidenziali o dati personali non indispensabili. Non devono essere trasmesse categorie particolari di dati personali ai sensi dell'art. 9 GDPR né dati relativi a condanne penali e reati ai sensi dell'art. 10 GDPR.
• Isolamento della memoria aziendale locale: Le configurazioni, le linee guida di tono di voce e i benchmark del brand salvati sulla Piattaforma restano isolati nel database del tenant dell'Organizzazione Cliente.
• Nessuna decisione esclusivamente automatizzata: Gli output IA hanno funzione di supporto e sono sottoposti a revisione umana; la Piattaforma non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analogamente significativi sull'interessato.

6. Destinatari dei Dati e Sub-responsabili

I dati personali potranno essere comunicati ai soli soggetti necessari per la funzione attivata. Il ruolo privacy di ciascun soggetto e, quando applicabile, la nomina a responsabile o sub-responsabile ex art. 28 GDPR devono essere documentati prima dell'uso con dati reali. L'elenco aggiornato, con servizio e localizzazione, è disponibile su richiesta:

• Fornitori di hosting, cloud server e infrastruttura di database;
• Provider di posta elettronica e invio comunicazioni transazionali SMTP;
• Piattaforme di elaborazione linguistica e discovery configurate per il servizio (OpenAI, Google, DeepSeek, SambaNova, Cloudflare o OpenRouter), secondo i ruoli e le condizioni applicabili;
• Piattaforme social integrate su richiesta e consenso del Cliente (es. Meta for Developers via Graph API OAuth);
• Consulenti contabili, legali e fiscali nei limiti dei rispettivi mandati professionali.

7. Trasferimenti di Dati verso Paesi Terzi (Extra-SEE)

La localizzazione dell'hosting e dei provider effettivamente configurati è indicata nel registro dei fornitori e, per i trattamenti svolti per conto del Cliente, nel DPA. Ove un servizio comporti un trasferimento di dati verso paesi extra-SEE, esso viene attivato solo dopo aver individuato un meccanismo valido ai sensi del Capo V GDPR, quale:

• Verso paesi garantiti da una Decisione di Adeguatezza della Commissione Europea (es. EU-US Data Privacy Framework);
• Ovvero previa adozione di Clausole Contrattuali Tipo (Standard Contractual Clauses - SCC) congiuntamente a misure tecniche supplementari (cifratura crittografica in transito e a riposo).

8. Misure Tecniche e Organizzative di Sicurezza

Ai sensi dell'art. 32 GDPR, il Fornitore adotta misure tecniche e organizzative proporzionate al rischio, tra cui:

• Cifratura dei segreti: Credenziali di accesso a provider terzi, chiavi API e token di sessione Meta OAuth sono cifrati lato server tramite algoritmi crittografici avanzati;
• Separazione logica dei tenant: Ogni Organizzazione Cliente dispone di confini di isolamento dei dati verificati lato server, impedendo accessi non autorizzati cross-tenant;
• Protezione dei trasporti: Comunicazioni interamente protette mediante protocollo cifrato HTTPS / TLS;
• Audit trail: Registrazione delle operazioni amministrative e critiche rilevanti a tutela dell'integrità dei dati.

9. Tempi di Conservazione dei Dati (Data Retention)

I dati vengono conservati per il tempo strettamente necessario al perseguimento delle finalità per cui sono stati raccolti:

• Dati di navigazione e log tecnici: conservati per il periodo necessario a sicurezza, diagnosi e gestione degli incidenti, secondo la retention configurata sui componenti infrastrutturali e salvo obblighi o richieste dell'Autorità;
• Dati degli account utenti: per la durata del rapporto e, dopo la cessazione, per il tempo necessario a gestire richieste, contestazioni e obblighi applicabili; cancellazione o anonimizzazione seguono il flusso documentato di dismissione;
• Dati amministrativi e contabili: conservati per 10 anni in ottemperanza agli obblighi di legge (art. 2220 c.c.);
• Dati caricati nei workspace clienti: soggetti alla retention configurabile dell'Organizzazione (da 1 a 120 mesi), all'esportazione e al flusso controllato di archiviazione e cancellazione previsto dal DPA;
• Copie di backup: protette e accessibili solo per ripristino, fino alla rotazione prevista dalla configurazione tecnica e dagli accordi applicabili.
• Dati dell'integrazione Meta: conservati finché la connessione è attiva o per la retention del workspace; una richiesta di cancellazione validamente firmata da Meta rimuove token, collegamenti e dati acquisiti dal provider, fatti salvi i dati creati direttamente in Kaiross e gli obblighi legali applicabili.
• Dati dell'integrazione TikTok: conservati finché la connessione è attiva o per la retention del workspace; la disconnessione revoca il token presso TikTok quando possibile e rimuove localmente token e collegamento. I dati sincronizzati seguono export, retention e cancellazione del workspace.

10. Diritti degli Interessati

In ogni momento, ai sensi degli artt. 15-22 del GDPR, l'interessato può esercitare i seguenti diritti:

1. Diritto di accesso: ottenere la conferma che sia o meno in corso un trattamento di dati personali e riceverne copia;
2. Diritto di rettifica: ottenere l'aggiornamento o la correzione di dati inesatti o incompleti;
3. Diritto alla cancellazione (“diritto all'oblio”): richiedere la cancellazione dei dati quando non più necessari alle finalità contrattuali o legali;
4. Diritto di limitazione: ottenere il contrassegno dei dati con limitazione del loro futuro trattamento;
5. Diritto alla portabilità: ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico;
6. Diritto di opposizione: opporsi in qualsiasi momento al trattamento basato sul legittimo interesse.

Per l'esercizio dei diritti è possibile inviare una comunicazione scritta a mezzo email a info@kaiross.eu o a mezzo raccomandata alla sede legale di T.I.F. S.r.l. Semplificata.

L'autorizzazione Meta può inoltre essere rimossa dalla sezione Performance del workspace o dalle impostazioni del proprio account Meta. Le richieste automatiche di cancellazione inviate da Meta vengono verificate tramite firma crittografica e restituiscono un codice e una pagina pubblica di conferma, senza esporre dati personali.

11. Diritto di Reclamo all'Autorità di Controllo

L'interessato che ritenga che il trattamento dei propri dati personali avvenga in violazione del Regolamento (UE) 2016/679 ha il diritto di proporre reclamo all'Autorità Garante per la Protezione dei Dati Personali italiana (Piazza Venezia 11, 00187 Roma, sito web: www.garanteprivacy.it) ovvero all'autorità di controllo del paese dell'Unione Europea in cui risiede o lavora.