1. Titolare del trattamento
Il Titolare del trattamento dei dati personali (di seguito, "Titolare") è Joy ADV s.n.c., con sede legale in Via Vincenzo Monti, 32 — 20123 Milano (MI), P.IVA 08195480960, contattabile all'indirizzo email privacy@aiseolight.com.
Il servizio aiseolight.com (di seguito, "AI SEO Light" o "il Servizio") è una piattaforma SaaS per il monitoraggio della presenza di brand all'interno delle risposte generate dai motori di intelligenza artificiale (ChatGPT, Perplexity, Claude, Gemini).
2. Categorie di dati trattati
Il Titolare tratta le seguenti categorie di dati personali dell'utente:
2.1 Dati forniti volontariamente dall'utente
- Dati di registrazione: indirizzo email, nome e cognome (opzionale), password (memorizzata in formato hash con algoritmo
bcrypt). - Dati dell'organizzazione: nome dell'organizzazione, ruolo dei membri, dati dei progetti (domini, lingua, paese di targeting).
- Contenuti utente: prompt strategici tracciati, configurazioni di monitoring, competitor inseriti, note e commenti.
- Dati di fatturazione: gestiti integralmente da Stripe (vedi sezione 5). AI SEO Light non memorizza né tratta dati di carte di pagamento.
2.2 Dati raccolti automaticamente
- Dati di navigazione tecnici: indirizzo IP, user agent del browser, timestamp di accesso. Utilizzati a fini di sicurezza, anti-abuse e diagnostica.
- Log applicativi: storico delle operazioni eseguite (creazione progetti, lancio polling, modifiche prompt) per audit interno e supporto.
- Dati di utilizzo del servizio: crediti consumati, frequenza di accesso, statistiche aggregate.
- Dati di attribuzione marketing: parametri UTM (
utm_source,utm_medium,utm_campaign,utm_term,utm_content), identificativi click delle piattaforme pubblicitarie (gclid,fbclid,msclkid), URL della pagina di atterraggio e dominio del referrer. Questi dati vengono raccolti esclusivamente alla prima visita al sito (politica first-touch) e associati all'account solo al momento della registrazione. Servono al Titolare per misurare l'efficacia dei propri canali di acquisizione e ottimizzare gli investimenti pubblicitari. Non vengono utilizzati per profilazione né condivisi con piattaforme pubblicitarie di terzi.
3. Finalità e base giuridica del trattamento
I dati personali sono trattati per le seguenti finalità:
| Finalità | Base giuridica |
|---|---|
| Erogazione del Servizio (registrazione, autenticazione, esecuzione delle funzionalità SaaS) | Esecuzione di un contratto (art. 6.1.b GDPR) |
| Comunicazioni transazionali (verifica email, reset password, notifiche di sistema) | Esecuzione di un contratto (art. 6.1.b GDPR) |
| Fatturazione e adempimenti contabili / fiscali | Obbligo legale (art. 6.1.c GDPR) |
| Sicurezza, anti-frode, diagnostica tecnica | Legittimo interesse del Titolare (art. 6.1.f GDPR) |
| Misurazione dell'efficacia dei canali di marketing (attribuzione UTM e click IDs) | Legittimo interesse del Titolare (art. 6.1.f GDPR) |
| Risposta a richieste di supporto | Esecuzione di misure precontrattuali / Contratto (art. 6.1.b GDPR) |
I dati non vengono utilizzati per profilazione, marketing diretto o cessione a terze parti per finalità commerciali.
4. Periodo di conservazione
- Dati account: per tutta la durata del rapporto contrattuale e fino a 30 giorni dopo la richiesta di cancellazione (per consentire eventuali ripristini).
- Dati di fatturazione: 10 anni dall'emissione del documento fiscale, in conformità all'art. 2220 del Codice Civile.
- Log applicativi e di sicurezza: 90 giorni.
- Backup del database: 30 giorni con rotazione automatica.
- Comunicazioni di supporto: 2 anni dall'ultimo contatto.
5. Destinatari e responsabili esterni
Per l'erogazione del Servizio, il Titolare si avvale dei seguenti Responsabili del trattamento ai sensi dell'art. 28 GDPR:
| Fornitore | Ruolo | Sede / DPA |
|---|---|---|
| Aruba S.p.A. | Hosting infrastruttura (Cloud Server) | Italia · DPA disponibile |
| Stripe Payments Europe Ltd. | Elaborazione pagamenti, gestione abbonamenti | Irlanda · GDPR-compliant |
| Brevo (ex Sendinblue) | Invio email transazionali (verifica account, reset password, notifiche) | Francia · GDPR-compliant |
| Anthropic PBC | API di intelligenza artificiale per l'analisi delle risposte AI | USA · Standard Contractual Clauses + DPA |
| Perplexity AI Inc. | API per query sui motori AI di ricerca | USA · Standard Contractual Clauses |
Alcuni fornitori (Anthropic, Perplexity) possono comportare trasferimenti di dati al di fuori dello Spazio Economico Europeo. Tali trasferimenti avvengono sulla base di Standard Contractual Clauses approvate dalla Commissione Europea, che garantiscono un livello di protezione equivalente al GDPR. AI SEO Light non invia ai fornitori AI dati personali identificativi dell'utente (email, nome): vengono inviati solo i prompt strategici e i testi delle risposte AI da analizzare.
6. Diritti dell'interessato
Ai sensi degli artt. 15-22 GDPR, l'utente ha diritto in qualsiasi momento di:
- Accesso ai propri dati personali (art. 15)
- Rettifica di dati inesatti o incompleti (art. 16)
- Cancellazione dei dati ("diritto all'oblio", art. 17)
- Limitazione del trattamento (art. 18)
- Portabilità dei dati in formato strutturato e leggibile da macchina (art. 20)
- Opposizione al trattamento basato sul legittimo interesse (art. 21)
- Revoca del consenso, ove applicabile, in qualsiasi momento
- Reclamo al Garante per la protezione dei dati personali (garanteprivacy.it)
Per esercitare tali diritti è sufficiente scrivere a privacy@aiseolight.com. Il Titolare risponderà entro 30 giorni dalla ricezione della richiesta.
7. Cookie
AI SEO Light utilizza esclusivamente cookie tecnici essenziali. Per maggiori informazioni consulta la nostra Cookie Policy.
8. Misure di sicurezza
Il Titolare adotta misure tecniche e organizzative adeguate per proteggere i dati personali contro accessi non autorizzati, perdita accidentale, distruzione o divulgazione. Tra le misure adottate:
- Connessione HTTPS / TLS 1.3 su tutto il sito
- Password utenti memorizzate solo in forma hash con algoritmo
bcrypt(cost factor 12) - Token JWT firmati con chiave a 256 bit, rotazione automatica dei refresh token
- Accesso al server limitato tramite chiavi SSH (no password authentication)
- Firewall (UFW) e protezione anti-brute-force (fail2ban)
- Backup giornalieri criptati del database
9. Modifiche alla Privacy Policy
Il Titolare si riserva il diritto di modificare la presente informativa in qualsiasi momento. Eventuali modifiche sostanziali saranno comunicate via email agli utenti registrati e saranno visibili in questa pagina con aggiornamento della data riportata in apertura.