Privacy Policy STRAXA.

A chi si applica questa informativa

La presente Privacy Policy si applica ai trattamenti effettuati nell’ambito di STRAXA, dell’applicazione web, delle relative pagine pubbliche, dei workspace, delle funzioni STRAXA Web, delle integrazioni autorizzate, delle attività di supporto e delle comunicazioni riferibili al servizio. È redatta in coerenza con il Regolamento (UE) 2016/679 (“GDPR”), con il D.lgs. 196/2003 come modificato dal D.lgs. 101/2018, con le regole ePrivacy applicabili e con le altre norme pertinenti.

Questa informativa descrive i trattamenti per i quali STRAXA determina finalità e mezzi essenziali. Quando STRAXA tratta dati per conto di un cliente, si applicano anche il DPA e le istruzioni documentate del cliente.

Identità e contatti

Il titolare del trattamento, per i trattamenti descritti come propri di STRAXA, è Russo Giovanni Battista, ditta individuale, P.IVA 04232450611, con sede legale in Via Monte Carso 8, 81025 Marcianise (CE), Italia. Per richieste privacy: info@straxa.it.

Alla data di questa versione non è indicato un Responsabile della Protezione dei Dati (DPO) dedicato. Qualora ne ricorrano i presupposti o venga nominato, i relativi contatti saranno pubblicati in questa pagina.

Titolare, responsabile e titolari autonomi

• STRAXA come titolare: account, sicurezza, fatturazione, amministrazione del servizio, assistenza, prevenzione abusi, gestione contrattuale, comunicazioni operative e altri trattamenti determinati direttamente da STRAXA.
• STRAXA come responsabile ex art. 28 GDPR: dati di clienti, lead, dipendenti, visitatori e altri interessati trattati all’interno del workspace secondo finalità stabilite dal cliente.
• Provider terzi come titolari autonomi: alcuni servizi collegati possono trattare dati secondo proprie finalità e policy, ad esempio provider di pagamento, piattaforme pubblicitarie o servizi autorizzati direttamente dall’utente.

Come otteniamo le informazioni

• Direttamente dall’interessato, tramite registrazione, form, supporto, chat, upload, impostazioni e utilizzo del servizio.
• Dal cliente o dall’amministratore del workspace, quando crea utenti, carica dati aziendali o abilita processi.
• Dalle integrazioni autorizzate, come Meta, Google, Shopify, CRM, email, calendari o altri strumenti collegati.
• Da fonti professionali o aziendali legittimamente consultabili, quando utilizzate per attività commerciali consentite dalla normativa applicabile.
• Automaticamente, tramite log tecnici, eventi di sicurezza, sessioni, device e telemetria strettamente necessaria al funzionamento.

Dati che possono essere trattati

• Identificativi e account: nome, cognome, email, organizzazione, ruolo, preferenze, lingua e dati di autenticazione gestiti dai sistemi dedicati.
• Contrattuali e fiscali: piano, abbonamento, dati di fatturazione, P.IVA, indirizzo, transazioni e documenti amministrativi quando applicabili.
• Workspace e Business Memory: informazioni aziendali, prodotti, clienti, obiettivi, KPI, processi, pubblico, canali, note, documenti e contesto operativo.
• Master Memory: procedure, regole, criteri, playbook, policy interne e know-how inseriti o approvati nel workspace.
• Conversazioni e contenuti: prompt, risposte, allegati, file, immagini, documenti e metadati necessari a generare o contestualizzare gli output.
• Marketing e advertising: campagne, budget, creatività, performance, eventi, audience, asset, pixel/dataset e altri dati ottenuti da integrazioni autorizzate.
• Commerciali: lead, contatti, intent score, briefing, priorità, appuntamenti, note e next best action.
• STRAXA Web: messaggi del visitatore, dati di contatto eventualmente forniti, segnali di navigazione funzionali alla conversazione, sessioni, intent e handoff.
• Tecnici e di sicurezza: IP quando disponibile, timestamp, browser/device, sessioni, log di autenticazione, errori, audit, rate limit e attività amministrative.

Perché trattiamo i dati

Regole specifiche per email commerciali

STRAXA distingue le comunicazioni necessarie al servizio dalle comunicazioni promozionali. Le email commerciali non vengono giustificate automaticamente dalla sola presenza pubblica di un indirizzo email. L’invio avviene nel rispetto delle regole applicabili al canale e al destinatario, incluso l’art. 130 del Codice Privacy. Quando la legge richiede consenso, il consenso deve essere documentabile e revocabile. Le eccezioni, come le comunicazioni a propri clienti per prodotti o servizi analoghi nei limiti di legge, vengono applicate soltanto quando ne ricorrono effettivamente i presupposti.

Ogni comunicazione commerciale deve identificare chiaramente il mittente e offrire un mezzo semplice per opporsi o non ricevere ulteriori comunicazioni. STRAXA mantiene una lista di soppressione per evitare nuovi invii verso indirizzi che abbiano esercitato l’opt-out dal relativo flusso.

Misurazione dell’interesse nelle comunicazioni outbound. Quando il flusso commerciale è giuridicamente consentito, STRAXA può utilizzare strumenti first-party per rilevare segnali come apertura dell’email, click sul collegamento alla Business Experience, visita o ritorno alla pagina, sezioni visualizzate, profondità di navigazione e interazioni con le CTA. L’apertura email è trattata come indicatore approssimativo, perché sistemi di protezione della posta e proxy immagini possono generare aperture tecniche non riconducibili con certezza a una lettura umana. I segnali di navigazione vengono usati per valutare la pertinenza del contatto e ordinare le priorità commerciali; STRAXA non utilizza, per questo scoring, fingerprinting del dispositivo né memorizza l’indirizzo IP come identificatore commerciale. Il destinatario può opporsi in ogni momento alle ulteriori comunicazioni tramite il meccanismo di disiscrizione presente nella mail.

Come vengono usati i dati nelle funzioni AI

Quando una funzione richiede elaborazione AI, STRAXA trasmette al provider del modello soltanto il contenuto e il contesto tecnicamente necessari alla richiesta. La quantità di dati deve essere ridotta al minimo coerente con la funzione. Credenziali, password e segreti non devono essere inseriti nei prompt.

STRAXA utilizza servizi API/business e non configura volontariamente l’uso dei dati del cliente per addestramento generalizzato dei modelli. Le condizioni del provider, i tempi di retention tecnica e gli eventuali controlli disponibili sono valutati nella gestione dei sub-responsabili.

Accesso ai servizi collegati

Le integrazioni vengono abilitate dall’utente o dall’amministratore autorizzato tramite i meccanismi messi a disposizione dai provider. STRAXA richiede gli scope necessari alla funzione e adotta un approccio di minimo privilegio. Token e segreti devono essere gestiti lato server e non vengono richieste password dei provider quando è disponibile OAuth.

La revoca dell’autorizzazione presso il provider può impedire a STRAXA di continuare a sincronizzare o eseguire azioni. Il cliente resta responsabile di concedere soltanto accessi che è legittimato a concedere.

Chi può ricevere i dati

• personale e collaboratori autorizzati, nei limiti delle mansioni e degli obblighi di riservatezza;
• fornitori infrastrutturali, hosting, database, AI, email e altri sub-responsabili necessari al servizio;
• provider collegati dal cliente per eseguire le funzioni richieste;
• consulenti professionali, assicuratori o autorità quando necessario per obblighi legali o tutela di diritti;
• soggetti coinvolti in operazioni straordinarie, nel rispetto delle garanzie applicabili.

STRAXA non vende dati personali a inserzionisti.

Dati fuori dallo SEE

Alcuni fornitori possono trattare dati al di fuori dello Spazio Economico Europeo. In tali casi STRAXA valuta il ruolo del provider, la localizzazione del trattamento e il meccanismo previsto dal Capo V GDPR. Quando non esiste una decisione di adeguatezza applicabile, possono essere utilizzate le Clausole Contrattuali Standard della Commissione europea e, quando necessario, misure supplementari e valutazioni del trasferimento.

Il registro Sub-responsabili indica la filiera tecnologica conosciuta e viene aggiornato in caso di modifiche rilevanti.

Per quanto tempo conserviamo i dati

STRAXA applica periodi di conservazione determinati dalla finalità, dal contratto, dal piano, dalle esigenze di sicurezza e dagli obblighi di legge. In particolare:

• account e configurazioni: per la durata del rapporto e per il periodo strettamente necessario alla chiusura, esportazione, contestazioni o obblighi legali;
• dati fiscali e amministrativi: per il periodo previsto dalla normativa applicabile;
• chat e storico operativo: secondo il piano o la configurazione del servizio, salvo esportazione/cancellazione anticipata ove consentita;
• log di sicurezza e audit: per un periodo proporzionato alla finalità di sicurezza, accountability e prevenzione abusi;
• supporto: per il tempo necessario a chiudere la richiesta e gestire eventuali contestazioni;
• liste di soppressione marketing: il dato minimo necessario può essere conservato per documentare l’opposizione ed evitare nuovi invii;
• backup: fino al completamento dei normali cicli tecnici di sovrascrittura/cancellazione.

Trattamenti non previsti come uso ordinario

STRAXA non è progettata come archivio di categorie particolari di dati ex art. 9 GDPR, dati giudiziari ex art. 10 o credenziali riservate. Tali dati non devono essere inseriti salvo che il caso d’uso sia stato specificamente valutato, sia giuridicamente consentito e siano state predisposte misure adeguate. STRAXA non è un servizio destinato direttamente a minori.

Lead score e intelligence non equivalgono a decisioni giuridiche automatiche

STRAXA può produrre punteggi, classificazioni, priorità e raccomandazioni operative. Salvo configurazioni espressamente valutate, tali output sono destinati al supporto decisionale umano e non a produrre, da soli, effetti giuridici o analogamente significativi sull’interessato. Il cliente deve evitare utilizzi incompatibili con l’art. 22 GDPR o altri obblighi applicabili.

Accesso, rettifica, cancellazione e altri diritti

Quando ricorrono i presupposti, l’interessato può esercitare i diritti previsti dagli artt. 15–22 GDPR, inclusi accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e diritti relativi a decisioni automatizzate. Il consenso può essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.

Le richieste possono essere inviate a info@straxa.it. Se il dato è trattato esclusivamente per conto di un cliente, STRAXA può indirizzare o assistere la richiesta verso il titolare competente.

Autorità di controllo

L’interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali o all’autorità di controllo competente, fatti salvi gli altri rimedi amministrativi e giurisdizionali previsti dalla legge.

Misure tecniche e organizzative

STRAXA adotta misure proporzionate al rischio, incluse segregazione logica dei workspace, controlli di autorizzazione, gestione server-side dei segreti, audit, rate limiting, procedure di incident response e altre misure descritte nella pagina Security & Data Governance. Nessun sistema può essere garantito come privo di rischio; le misure vengono riesaminate in funzione dell’evoluzione tecnica e del servizio.

Versioni e modifiche sostanziali

Questa informativa è versionata. Modifiche rilevanti a finalità, basi giuridiche, categorie di dati, provider o modalità di trattamento comportano una revisione del documento e, quando richiesto, una comunicazione o una nuova raccolta del consenso/accettazione applicabile. Lo storico delle versioni accettate dagli account viene mantenuto senza attribuire retroattivamente accettazioni mai rese.

Dati identificativi

Russo Giovanni Battista · Ditta individuale

• Sede legale: Via Monte Carso 8, 81025 Marcianise (CE), Italia
• Sede operativa: Via Misericordia 32, 81025 Marcianise (CE), Italia
• Partita IVA: 04232450611
• Email e contatto privacy: info@straxa.it

Accesso, rettifica, cancellazione e chiarimenti

Per esercitare i diritti privacy o chiedere informazioni sul trattamento scrivere a info@straxa.it. Per proteggere l’account, STRAXA può richiedere le sole informazioni necessarie a verificare l’identità del richiedente.