Informativa dell’app · Versione v1.1-2026-10-21
Informativa sul trattamento dei dati — Vigenza
Versione v1.1-2026-10-21 · 21 ottobre 2026 · Articoli 13 e 14 GDPR
Titolare e ambito
X20 Digital Trust Services S.r.l., Via Luigi Varanini 24, 20127 Milano, C.F. e P. IVA 12300800963, è titolare per account, fatturazione, sicurezza degli accessi, prova dell'accettazione dei testi contrattuali e assistenza amministrativa. Contatti: info@x20digitaltrust.com; PEC x20digitaltrust@pec.x20digitaltrust.com. X20 non ha designato un responsabile della protezione dei dati (DPO). Per ogni richiesta sulla privacy scrivi a info@x20digitaltrust.com. Per dati e documenti caricati dal Cliente, corrispondenza importata, registri e attività degli operatori sui fascicoli, X20 opera per conto del Cliente secondo il DPA. Il Cliente determina finalità e basi giuridiche e fornisce agli interessati la propria informativa. Questa informativa riguarda l'app, non il sito né la newsletter.
Dati, finalità e basi giuridiche
| Dati | Finalità | Base giuridica |
|---|---|---|
| Nome, email professionale, identificativo utente, organizzazione e ruolo, credenziali e fattori di autenticazione | Attivazione e gestione dell'account, comunicazioni di servizio | Esecuzione del contratto, art. 6.1.b, per il professionista contraente; legittimo interesse di X20 e del Cliente a gestire gli accessi professionali, art. 6.1.f, per i dipendenti e rappresentanti |
| Denominazione, sede, partita IVA, recapiti di fatturazione, piano, identificativi Paddle e stato dei pagamenti | Amministrazione dell'abbonamento e fatturazione | Contratto o legittimo interesse secondo il ruolo dell'utente; obblighi contabili e fiscali, art. 6.1.c |
| IP, user agent, eventi di accesso, richieste tecniche e anomalie | Sicurezza, prevenzione di abusi e diagnosi dei problemi | Legittimo interesse, art. 6.1.f, a proteggere sistemi e utenti |
| Utente e organizzazione, data e ora, versioni e copie dei testi accettati, dichiarazione di qualifica professionale, impronte digitali, IP e user agent | Prova del contratto e difesa dei diritti | Legittimo interesse, art. 6.1.f |
| Messaggi all'assistenza e recapiti | Rispondere alle richieste e gestire il rapporto | Contratto o legittimo interesse a fornire assistenza; gli eventuali dati dei fascicoli seguono il DPA |
Dati essenziali per account e pagamento sono necessari: senza di essi non possiamo attivare o gestire il servizio. Le integrazioni con posta e archivi sono facoltative; se autorizzate dal Cliente, importano dati di mittenti, destinatari, oggetto, corpo e documenti secondo le impostazioni e il DPA. Evita di inserire nell'assistenza dati dei fascicoli non necessari. Dati non raccolti presso di te (art. 14). Se sei un utente invitato, nome, email professionale, organizzazione e ruolo ci sono comunicati dal Cliente che ti invita; i dati di fatturazione e lo stato dei pagamenti provengono dal Cliente e da Paddle. Non provengono da fonti accessibili al pubblico. Non usiamo queste informazioni per marketing senza la distinta base giuridica richiesta. X20 non adotta decisioni esclusivamente automatizzate con effetti giuridici o analogamente significativi sulle persone. Gli output AI del servizio richiedono revisione umana. X20 non vende i dati e non li usa per addestrare modelli di intelligenza artificiale.
Destinatari, luoghi e trasferimenti
Accedono persone autorizzate e istruite da X20, fornitori incaricati come responsabili del trattamento, consulenti per amministrazione e tutela dei diritti e autorità nei casi di legge. I dati non sono diffusi né venduti. In caso di subentro nel servizio sono comunicati al successore con informazione agli interessati e con le garanzie applicabili.
| Fornitore | Trattamento e paese | Garanzie |
|---|---|---|
| Supabase Pte. Ltd., Singapore | Database, autenticazione, archivi e funzioni; progetto nella regione UE eu-west-1 (Irlanda); possibili accessi del fornitore e della capogruppo da Singapore e Stati Uniti | X20 aderisce al DPA Supabase, parte dei termini del servizio accettati da X20, con clausole contrattuali standard UE la cui sottoscrizione è sostituita dall'accettazione dei termini |
| Plus Five Five, Inc. (Resend), Stati Uniti | Inviti, promemoria e notifiche dell'app dal dominio mail.vigenza.app, con i relativi dati di consegna; trattamento negli Stati Uniti | X20 aderisce al DPA Resend, efficace con l'accettazione dei termini del servizio, con clausole standard UE (moduli 2 e 3) |
| Brevo SAS, Parigi, Francia | Email di autenticazione (conferma dell'indirizzo, accesso, recupero della password) inviate dal servizio di autenticazione; infrastruttura in UE, con propri subfornitori indicati nel suo DPA | X20 aderisce al DPA di Brevo, appendice 3 delle condizioni Brevo |
| Lovable Labs Incorporated, Stati Uniti | Pubblicazione ed esecuzione dell'app (pagine e funzioni server), erogata tramite la rete Cloudflare; Stati Uniti e paesi dei subfornitori | X20 aderisce al DPA Lovable, che prevede clausole standard UE |
| Google Cloud Italy S.r.l. (Google Workspace), Italia, salvo diversa entità prevista dal contratto Workspace di X20 | Posta dell'indirizzo info@x20digitaltrust.com e corrispondenza di assistenza; possibili trattamenti negli Stati Uniti | Accordo sul trattamento dei dati di Google Workspace, parte del contratto Workspace, con clausole standard UE |
| Anthropic Ireland, Limited, Irlanda | Funzioni AI richieste dagli utenti (estrazioni, classificazioni, bozze); trattamento anche negli Stati Uniti | DPA Anthropic, incorporato nei Commercial Terms, con clausole standard UE (moduli 2 e 3); i Commercial Terms escludono l'addestramento dei modelli sui contenuti inviati |
Resend e Lovable trattano inoltre, come titolari autonomi secondo i loro contratti, alcuni dati di account, tecnici e d'uso del servizio (sicurezza, antiabuso, gestione del rapporto e, per Lovable, analisi e sviluppo del prodotto), secondo le proprie informative. Paddle opera come titolare autonomo per vendita, pagamento, imposte e prevenzione delle frodi: le entità comprendono Paddle.com Market Limited, Regno Unito, e altre società del gruppo secondo il territorio di acquisto. L'entità effettiva è indicata nel checkout. Per paesi, garanzie e diritti vale la privacy Paddle. X20 riceve identificativi e stato delle transazioni, non richiede nell'app i dati completi della carta. Le funzioni AI trattano i dati che l'utente sceglie di inviare, come responsabile per conto del Cliente secondo il DPA. La trascrizione audio non è attiva; sarà attivata solo con un fornitore indicato in anticipo. Non inviare dati di fascicoli in campi destinati alla sola gestione dell'account. Per i trasferimenti extra-SEE si utilizzano decisioni di adeguatezza applicabili, compreso il quadro UE-USA per la protezione dei dati solo per le entità che vi risultano certificate, oppure clausole standard UE della decisione 2021/914, con valutazione del trasferimento e misure supplementari necessarie. L'ubicazione in Irlanda o in UE non esclude accessi extra-SEE. Copia delle garanzie può essere richiesta ai contatti X20.
Conservazione
| Dati | Durata | Motivo |
|---|---|---|
| Account | Per la durata del contratto; poi cancellati entro 90 giorni dalla cessazione, insieme ai dati del Cliente, salvo quanto sotto | Servono solo a erogare il servizio e a consentire la restituzione dei dati |
| Documenti fiscali e contabili | 10 anni dalla data del documento | Obbligo dell'art. 2220 c.c. e delle norme fiscali |
| Prove del contratto e delle approvazioni, con i soli dati minimi | 10 anni dalla cessazione del contratto | Prescrizione ordinaria, per provare il contratto e difendere i diritti |
| Log di accesso e sicurezza | 12 mesi | Tempo necessario a rilevare e ricostruire abusi e incidenti |
| Richieste di assistenza | 24 mesi dalla chiusura | Gestire richieste collegate e contestazioni sull'assistenza |
| Email di servizio e di autenticazione | Presso Resend, per la durata dell'account X20 e al più 90 giorni dalla sua cessazione, salvo cancellazione anticipata; presso Brevo, per la durata del contratto X20-Brevo secondo il suo DPA | Dati tecnici di invio e consegna necessari alla consegna, alla prova dell'invio e all'antiabuso |
In caso di controversia o richiesta dell'autorità si conservano separatamente i soli dati necessari fino alla definizione. I dati dei fascicoli seguono il DPA: cancellazione dai sistemi attivi entro 30 giorni dalla richiesta, oppure disponibilità per la restituzione per 90 giorni dalla cessazione e cancellazione entro la stessa scadenza. Le copie di sicurezza non eliminabili in modo selettivo sono isolate e sovrascritte nel ciclo del fornitore; le copie residue presso i fornitori sono eliminate nei tempi dei loro accordi: per Anthropic, input e output sono cancellati di norma entro 30 giorni; per Google, fino a 180 giorni dall'istruzione di cancellazione; per Supabase, alla scadenza del periodo di 30 giorni successivo alla cessazione del suo accordo.
Cookie e memoria del dispositivo
L'app usa solo strumenti tecnici, senza consenso: localStorage per la sessione Supabase (token di accesso valido un'ora, rinnovato automaticamente con token di aggiornamento a rotazione finché non esci), tema vigenza-tema, preferenze del catalogo e delle impostazioni; sessionStorage per limitare i tentativi di accesso, fino alla chiusura della sessione del browser; cookie sidebar_state, durata sette giorni, per lo stato del menu laterale quando utilizzato. La rete Cloudflare che serve l'app imposta il cookie tecnico __cf_bm, durata 30 minuti, per distinguere il traffico automatizzato.
Le preferenze persistono finché le cambi o cancelli la memoria del sito; cancellare i dati di autenticazione richiede un nuovo accesso. Bloccare questi strumenti può impedire l'accesso o il funzionamento delle preferenze. Non sono previsti strumenti dell'app per pubblicità, statistiche o profilazione. Il checkout Paddle ha propri strumenti tecnici e relativa informativa.
Diritti
Puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità quando applicabili, scrivendo a X20. Puoi opporti ai trattamenti basati sul legittimo interesse per motivi legati alla tua situazione. Se un trattamento si basa sul consenso, puoi revocarlo senza pregiudicare quanto già svolto lecitamente. Rispondiamo entro un mese, con le eventuali proroghe motivate previste dal GDPR. Per i dati trattati per conto del Cliente inoltriamo la richiesta al Cliente senza ritardo e lo assistiamo. Puoi presentare reclamo al Garante per la protezione dei dati personali o all'autorità competente del tuo Stato UE di residenza, lavoro o presunta violazione, e ricorrere al giudice. Comunichiamo gli aggiornamenti rilevanti; nuove finalità sono rese note prima del trattamento.