Privacy Policy
Ultimo aggiornamento: 3 giugno 2026
La presente informativa descrive le modalità di trattamento dei dati personali degli utenti che utilizzano Voxli Broadcast (di seguito, “la Piattaforma”), accessibile all'indirizzo https://broadcast.voxli.it, ai sensi del Regolamento (UE) 2016/679 (“GDPR”) e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
1. Titolare del trattamento
AI Pulse Lab S.R.L., con sede legale in Italia, è il titolare del trattamento dei dati personali raccolti attraverso la Piattaforma.
Per qualsiasi richiesta relativa al trattamento dei dati personali è possibile contattare il Titolare all'indirizzo: privacy@voxli.it.
2. Tipologie di dati trattati
La Piattaforma tratta le seguenti categorie di dati personali:
- Dati di registrazione: nome, cognome, indirizzo email, password (in forma cifrata), eventuale codice 2FA.
- Dati aziendali dei clienti business (“tenant”): ragione sociale, partita IVA, codice fiscale, indirizzo, dati di fatturazione.
- Dati dei destinatari dei messaggi caricati dai clienti business: nome, cognome, numero di telefono in formato E.164, eventuale email, tag e attributi personalizzati. Tali dati sono cifrati at rest con algoritmo AES-256-GCM.
- Contenuto delle comunicazioni: template HSM approvati da Meta, messaggi inviati e ricevuti, esiti di consegna, stati Twilio.
- Dati di pagamento: dati fatturazione e riferimento cliente Stripe. I dati delle carte di credito sono trattati esclusivamente da Stripe e non transitano sui nostri server.
- Dati tecnici: indirizzo IP, user agent del browser, log di accesso e di sistema (conservati per 6 mesi per finalità di sicurezza).
- Dati di identità Meta: quando il cliente business collega il proprio WhatsApp Business Account attraverso il flusso di Embedded Signup, riceviamo da Meta l'identificativo del WhatsApp Business Account (WABA ID), l'ID del numero di telefono e l'ID del Business Manager. Non riceviamo né conserviamo i token di accesso Meta del cliente.
3. Finalità e base giuridica del trattamento
| Finalità | Base giuridica |
|---|---|
| Erogazione del servizio (account, invio messaggi WhatsApp, gestione wallet) | Esecuzione di un contratto (Art. 6.1.b GDPR) |
| Fatturazione e adempimenti fiscali | Obbligo legale (Art. 6.1.c GDPR) |
| Sicurezza, prevenzione frodi, log di accesso, audit trail | Legittimo interesse (Art. 6.1.f GDPR) |
| Invio comunicazioni di servizio (es. notifiche di sistema, avvisi di saldo basso) | Esecuzione del contratto (Art. 6.1.b GDPR) |
| Eventuale invio di comunicazioni commerciali (newsletter, novità prodotto) | Consenso esplicito e revocabile (Art. 6.1.a GDPR) |
4. Modalità di trattamento
I dati sono trattati con strumenti elettronici e con misure tecniche e organizzative adeguate a garantirne la sicurezza secondo l'Art. 32 GDPR. In particolare:
- I dati personali dei contatti (numero di telefono, email) sono cifrati at rest con AES-256-GCM e indicizzati tramite hash deterministici HMAC-SHA256.
- Le password sono salvate con algoritmo Argon2id.
- L'accesso amministrativo è protetto da 2FA TOTP.
- Tutti i trasferimenti tra browser e Piattaforma avvengono via HTTPS (TLS 1.3).
- I backup del database sono cifrati end-to-end con chiave age e conservati per 30 giorni.
5. Periodo di conservazione
| Categoria di dati | Durata |
|---|---|
| Dati account utente attivi | Per tutta la durata del rapporto contrattuale |
| Dati account dopo cancellazione | Eliminazione entro 30 giorni; eccezione: dati fiscali conservati 10 anni ex Art. 2220 c.c. |
| Log di sistema e di sicurezza | 6 mesi |
| Backup cifrati del database | 30 giorni |
| Fatture e documenti fiscali | 10 anni (obbligo di legge) |
| Messaggi inviati/ricevuti (log Twilio) | 13 mesi (default Twilio, modificabile su richiesta) |
6. Destinatari e responsabili esterni
I dati personali possono essere comunicati ai seguenti soggetti, nominati Responsabili del trattamento ex Art. 28 GDPR:
| Fornitore | Servizio | Sede |
|---|---|---|
| Twilio Inc. | Infrastruttura di messaggistica WhatsApp | USA — trasferimento garantito da SCC |
| Meta Platforms Ireland Ltd. | WhatsApp Business Platform | Irlanda (UE) |
| Hetzner Online GmbH | Hosting infrastruttura (VPS, object storage) | Germania (UE) |
| Stripe Payments Europe Ltd. | Pagamenti elettronici, fatturazione | Irlanda (UE) |
I dati non sono ceduti, venduti o comunicati a terzi per finalità di marketing diverse da quelle espressamente autorizzate.
7. Trasferimenti extra-UE
Il trasferimento di dati verso Twilio Inc. (USA) avviene sulla base delle Clausole Contrattuali Standard adottate dalla Commissione Europea (Decisione 2021/914/UE), integrate da misure supplementari (cifratura at rest, controllo accessi, audit). Tutti gli altri fornitori operano all'interno dello Spazio Economico Europeo.
8. Diritti dell'interessato
Ai sensi degli Artt. 15-22 GDPR, l'interessato ha diritto a:
- Accedere ai propri dati personali (Art. 15)
- Richiederne la rettifica (Art. 16)
- Richiederne la cancellazione (“diritto all'oblio”, Art. 17), fatti salvi gli obblighi di conservazione legale
- Limitare il trattamento (Art. 18)
- Ricevere i dati in formato strutturato (Art. 20)
- Opporsi al trattamento (Art. 21)
- Revocare il consenso in qualsiasi momento (Art. 7.3)
Le richieste possono essere inoltrate a privacy@voxli.it e saranno evase entro 30 giorni. È inoltre possibile proporre reclamo all'Autorità Garante per la protezione dei dati personali (garanteprivacy.it).
9. Ruolo del cliente business (titolare autonomo)
I clienti business che utilizzano la Piattaforma per inviare messaggi ai propri destinatari sono titolari autonomi del trattamento dei dati dei destinatari finali. AI Pulse Lab S.R.L. agisce in qualità di responsabile del trattamento ex Art. 28 GDPR rispetto ai dati dei destinatari caricati dai clienti business. I termini della designazione sono definiti nell'accordo di nomina (DPA) sottoscritto al momento dell'onboarding di ogni cliente.
10. Cookie e tecnologie di tracciamento
La Piattaforma utilizza esclusivamente cookie tecnici necessari per il funzionamento (autenticazione, sessione, preferenze utente). Non sono utilizzati cookie di profilazione né cookie di terze parti per finalità di marketing senza consenso esplicito. La sezione pubblica include uno script di Meta JS SDK utilizzato esclusivamente per il flusso di Embedded Signup, attivato solo dopo azione esplicita del cliente.
11. Modifiche alla presente informativa
La presente informativa può essere aggiornata in qualunque momento. Le modifiche sostanziali saranno comunicate via email agli utenti registrati con un preavviso minimo di 15 giorni. La data di ultima modifica è indicata in cima alla pagina.
12. Contatti
Titolare del trattamento: AI Pulse Lab S.R.L.
Email: privacy@voxli.it