Privacy

Titolare

X20 Digital Trust Services S.r.l., Via Luigi Varanini 24, 20127 Milano, Italia. C.F. e P. IVA 12300800963. Contatti per i dati personali: info@x20digitaltrust.com; PEC x20digitaltrust@pec.x20digitaltrust.com.

Dati e finalità

HUB è la console riservata al personale autorizzato X20. Trattiamo email, identificativi e ruoli, dati di accesso, contatti, messaggi di assistenza, stato degli account e abbonamenti delle app, riferimenti delle transazioni e registri delle operazioni. I dati provengono dagli interessati, dalle app X20 e dai fornitori di autenticazione e pagamento. Non riceviamo da Paddle il numero completo della carta o il codice di sicurezza. Per dati trattati su istruzione di clienti aziendali, X20 opera come responsabile e inoltra le richieste al cliente titolare.

Basi del trattamento

Gestiamo richieste e servizi sulla base del contratto o delle misure precontrattuali richieste dall’interessato. Per referenti aziendali e personale autorizzato, gestione degli accessi, sicurezza e prevenzione degli abusi, ci basiamo sul legittimo interesse a gestire e proteggere il servizio, bilanciato con i diritti delle persone. Gli adempimenti fiscali si basano sugli obblighi di legge. Newsletter e avvisi facoltativi richiedono un consenso distinto per finalità e app, revocabile senza conseguenze sull’assistenza. Per interessi che possono rivelare convinzioni religiose o vita e orientamento sessuale, come nelle iscrizioni Taybah e Amemus, il consenso richiesto è esplicito. Un ticket non autorizza comunicazioni promozionali.

Fornitori e localizzazioni

Supabase gestisce database e autenticazione: il progetto usa la regione AWS eu-west-1, Irlanda. Questa regione non limita tutti gli accessi internazionali: Supabase Pte. Ltd. opera da Singapore e l’affiliata statunitense e il supporto globale possono intervenire per assistenza e sicurezza. Cloudflare fornisce distribuzione e protezione web con infrastruttura globale, anche fuori dallo Spazio economico europeo. Resend e Google Workspace gestiscono le email: le rispettive reti e i subfornitori comprendono gli Stati Uniti; la regione del database non si estende alle email. Paddle gestisce vendite, pagamenti e obblighi fiscali come titolare autonomo, attraverso entità in Irlanda, Regno Unito, Stati Uniti e Canada. Google gestisce il login richiesto dall’utente secondo la propria informativa; il login non attribuisce ruoli nuovi.

Assistenza automatizzata

La preparazione delle risposte può usare un motore gestito da X20 e, per le funzioni che lo prevedono, i servizi commerciali Anthropic, con possibili trattamenti negli Stati Uniti. Il solo formato di un collegamento software non identifica il fornitore: non si inviano dati a ulteriori servizi di ripiego senza verificarne destinazione e condizioni. Sono ammessi solo i dati necessari alla richiesta; non autorizziamo il riuso dei ticket per addestrare modelli generali. Le decisioni su diritti, account, reclami e rimborsi richiedono intervento umano; non adottiamo decisioni esclusivamente automatizzate con effetti giuridici.

Trasferimenti internazionali

Per i trasferimenti verso paesi senza decisione di adeguatezza si applicano le clausole contrattuali standard della Commissione europea pertinenti al rapporto, con valutazione del trasferimento e misure di minimizzazione, accesso limitato e cifratura. Una decisione di adeguatezza si applica solo entro il proprio ambito; l’adesione di un’organizzazione statunitense al Data Privacy Framework richiede la verifica dell’entità e dei dati coperti. La sola sede europea del database non esclude un trasferimento. Le garanzie contrattuali pubbliche sono consultabili nei termini Supabase, nel DPA Cloudflare, nel DPA Resend, nei termini Google Workspace e nel DPA Anthropic. Per Paddle si applica anche la sua informativa. Puoi chiedere copia delle garanzie applicabili ai tuoi dati, con oscuramento delle informazioni riservate.

Conservazione

I registri propri dell’HUB delle azioni amministrative e degli eventi sono conservati per 12 mesi dall’evento; i ticket chiusi e i messaggi collegati per 24 mesi dalla chiusura; gli identificativi tecnici contro la ripetizione delle richieste per 1 giorno; le copie operative temporanee per 30 giorni dalla creazione. Alla cessazione dell’abilitazione, l’accesso è revocato e l’account viene eliminato o anonimizzato entro 30 giorni. I contatti senza rapporto attivo vengono cancellati entro 12 mesi dall’ultima interlocuzione; le iscrizioni non confermate entro 30 giorni; newsletter e avvisi cessano alla revoca e i dati della lista sono rimossi entro 30 giorni, comunque entro 24 mesi dall’ultimo consenso valido senza rinnovo. Queste ultime cancellazioni e quelle degli account sono curate dal personale autorizzato con controllo mensile. La prova minima del consenso e della revoca è conservata per 5 anni dalla cessazione, separata dalle liste di invio; per gli interessi particolari non si conserva ulteriore dettaglio non necessario. I documenti contabili sono conservati per 10 anni secondo gli obblighi applicabili, in archivio separato dalla console. I dati necessari a una controversia sono isolati fino alla sua definizione e ai termini di tutela applicabili, con riesame almeno annuale. I backup di ripristino del fornitore seguono il piano del servizio: alla scadenza del ciclo di backup i dati cancellati non sono mantenuti in nuove copie; dopo un ripristino si riapplicano le cancellazioni prima di riaprire gli accessi.

Il registro degli accessi Auth è conservato da Supabase nella regione eu-west-1 secondo le regole del fornitore. L’HUB non può cancellare queste voci tramite SQL o API amministrativa e non garantisce per esse la cancellazione entro 12 mesi. La documentazione Supabase sui log Auth, consultata il 31/10/2026, descrive la memorizzazione esterna e quella facoltativa nel database. Questi log sono distinti dai registri propri dell’HUB sopra indicati.

Diritti

Puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità quando applicabile, revocare il consenso e opporti al legittimo interesse o in ogni momento al marketing, scrivendo a info@x20digitaltrust.com. Rispondiamo normalmente entro un mese; eventuali proroghe motivate sono comunicate entro quel termine. Puoi reclamare al Garante per la protezione dei dati personali o all’autorità competente. Il conferimento dei dati necessari all’accesso e all’assistenza è richiesto per quelle funzioni; il consenso promozionale è facoltativo.

Memoria del browser

Usiamo la memoria del browser per la sessione di accesso e le preferenze di lingua e tema. La console non usa strumenti pubblicitari o di analisi del comportamento.