Privacy Policy

La presente Privacy Policy descrive come Polaris Digital (di seguito anche "noi", "Titolare") raccoglie, utilizza e protegge i dati personali degli utenti della piattaforma TRIQ, in conformità al Regolamento (UE) 2016/679 ("GDPR"), al D.lgs. 196/2003 ("Codice Privacy") e alla normativa italiana ed europea applicabile in materia di protezione dei dati personali.

TRIQ è una piattaforma SaaS multi-tenant che consente alle aziende ("Organizzazioni") di creare agenti conversazionali basati su intelligenza artificiale e di integrarli su canali come chat web, WhatsApp e Instagram. Ai fini della presente informativa:

• Utenti della piattaforma: persone fisiche che creano un account su TRIQ per conto di una Organizzazione (admin, manager, operatori).
• Utenti finali: visitatori di siti web, utenti WhatsApp o Instagram che interagiscono con gli agenti AI configurati dalle Organizzazioni.
• Organizzazione: l'azienda cliente di TRIQ che configura gli agenti e ne determina le finalità di utilizzo.

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali raccolti dalla piattaforma TRIQ è:

• Polaris Digital di Cristini Paolo (ditta individuale)
• Sede: Via Matteotti, 16 – 25054 Marone (BS), Italia
• P.IVA: 04353680988
• Codice Fiscale: CRSPLA97H12B157X
• Email: hello@polarisdigital.it

Nota: per i dati degli Utenti finali trattati tramite la piattaforma, il Titolare del trattamento è l'Organizzazione che utilizza TRIQ. Polaris Digital agisce come Responsabile del trattamento ("Processor") ai sensi dell'art. 28 GDPR, sulla base del Data Processing Agreement sottoscritto con ciascuna Organizzazione.

2. Categorie di dati trattati

A seconda della tipologia di utente, trattiamo le seguenti categorie di dati personali:

2.1 Utenti della piattaforma (admin/operatori delle Organizzazioni)

• Dati di registrazione: nome, cognome, indirizzo email, password (memorizzata in forma crittografata).
• Dati di profilo: ruolo nell'Organizzazione, avatar, preferenze di lingua.
• Dati di utilizzo: log di accesso, operazioni effettuate, configurazioni create.
• Dati di pagamento: gestiti esclusivamente da Stripe (vedi sezione 6); TRIQ conserva solo riferimenti ai customer ID e agli abbonamenti attivi.
• Dati tecnici: indirizzo IP, user agent, tipo di dispositivo, cookie.
• Accettazioni legali: timestamp, IP e user agent al momento dell'accettazione di Termini e Privacy, per finalità di audit.

2.2 Utenti finali (clienti delle Organizzazioni)

• Identificativi di canale: numero WhatsApp, ID Instagram, ID di sessione cookie (per chat web).
• Dati forniti volontariamente: nome, email, telefono, azienda e altre informazioni comunicate durante la conversazione (es. lead capture).
• Contenuto delle conversazioni: messaggi testuali, allegati, metadati (timestamp, canale, stato).
• Dati tecnici: indirizzo IP, lingua del browser, pagina di origine.

2.3 Dati tecnici generali

Raccogliamo log di sistema, metriche di performance e dati diagnostici necessari al funzionamento, alla sicurezza e al miglioramento del servizio.

3. Finalità e basi giuridiche del trattamento

I dati personali sono trattati per le seguenti finalità, ciascuna fondata su una specifica base giuridica ai sensi dell'art. 6 GDPR:

• Erogazione del servizio (art. 6.1.b — esecuzione del contratto): creazione account, configurazione agenti, gestione conversazioni, integrazione canali, elaborazione pagamenti.
• Autenticazione e sicurezza (art. 6.1.f — interesse legittimo): prevenzione frodi, protezione da accessi non autorizzati, rate limiting, audit log.
• Generazione risposte AI (art. 6.1.b — esecuzione del contratto): i contenuti delle conversazioni sono trasmessi in forma crittografata a fornitori di modelli linguistici (es. Anthropic Claude) esclusivamente per generare la risposta richiesta. I contenuti non vengono utilizzati per addestrare modelli AI.
• Indicizzazione Knowledge Base (art. 6.1.b): i documenti caricati dalle Organizzazioni sono processati con modelli di embedding (es. Voyage AI, OpenAI) per abilitare la ricerca semantica.
• Fatturazione e adempimenti fiscali(art. 6.1.c — obbligo legale): emissione fatture, tenuta registri contabili, comunicazioni all'Agenzia delle Entrate.
• Comunicazioni transazionali(art. 6.1.b): email di conferma, notifiche relative all'account, avvisi di sicurezza, aggiornamenti contrattuali.
• Comunicazioni marketing (art. 6.1.a — consenso): invio newsletter, annunci di nuove funzionalità. Sempre revocabile con link di disiscrizione.
• Analytics e miglioramento prodotto (art. 6.1.f — interesse legittimo): analisi aggregata di utilizzo, diagnostica, identificazione bug.
• Adempimenti normativi e tutela in giudizio (art. 6.1.c e 6.1.f): risposta a richieste di autorità competenti, esercizio o difesa di diritti in sede giudiziaria.

4. Decisioni automatizzate e intelligenza artificiale

TRIQ utilizza modelli di intelligenza artificiale per generare risposte automatiche agli Utenti finali. Ai sensi dell'art. 22 GDPR:

• Le risposte generate hanno natura informativa e di customer care: non costituiscono decisioni giuridicamente rilevanti né incidono in modo significativo sulle persone.
• È sempre disponibile la possibilità di handoff a un operatore umanosu richiesta dell'utente o in caso di escalation.
• La piattaforma dichiara sempre, in modo non rimuovibile, che l'interazione avviene con un assistente AI, in conformità al Regolamento (UE) 2024/1689 ("AI Act").
• Non effettuiamo profilazione commerciale automatizzata degli Utenti finali se non su espressa configurazione dell'Organizzazione (es. lead scoring).

5. Fonti dei dati

I dati sono raccolti:

• Direttamente dall'interessato: registrazione, configurazione dell'account, interazione con gli agenti.
• Da piattaforme terze: identificatori forniti da Meta Platforms (WhatsApp Business API, Instagram Graph API) quando un utente invia un messaggio a un canale collegato a TRIQ.
• Automaticamente: cookie, log tecnici, metadati dei messaggi.

6. Sub-responsabili del trattamento

Per erogare il servizio ci avvaliamo dei seguenti fornitori, che agiscono come Responsabili del trattamento ex art. 28 GDPR e con cui abbiamo sottoscritto idonei Data Processing Agreement:

L'elenco aggiornato dei sub-responsabili è disponibile su richiesta scrivendo a hello@polarisdigital.it.

7. Trasferimenti di dati extra-UE

Alcuni dei nostri sub-responsabili hanno sede negli Stati Uniti d'America. I trasferimenti sono effettuati in conformità al Capo V GDPR, sulla base di:

• Clausole Contrattuali Tipo (SCC) approvate dalla Commissione UE (Decisione 2021/914);
• EU-US Data Privacy Framework, laddove il fornitore sia certificato;
• Misure supplementari tecniche e organizzative (cifratura in transito e a riposo).

8. Conservazione dei dati

• Dati account: per la durata del contratto e per 12 mesi dopo la cancellazione dell'account, salvo obblighi legali superiori.
• Dati di fatturazione: 10 anni (obbligo fiscale italiano — art. 2220 c.c.).
• Log tecnici e di sicurezza: fino a 12 mesi.
• Conversazioni e contenuti operativi: secondo la politica di conservazione configurata dall'Organizzazione (default: 24 mesi).
• Backup: fino a 30 giorni dopo la scadenza del ciclo di rotazione.
• Accettazioni legali: per l'intera durata del rapporto e 10 anni successivi, a scopo di prova.

9. Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate, tra cui:

• Cifratura in transito (TLS 1.2+) e a riposo (AES-256) per tutti i dati sensibili;
• Isolamento multi-tenant a livello di database tramite Row-Level Security (RLS);
• Autenticazione tramite password crittografate (bcrypt) e supporto a OAuth;
• Controllo degli accessi basato su ruoli (RBAC) e principio del minor privilegio;
• Audit log delle operazioni critiche;
• Backup automatici giornalieri con retention 30 giorni;
• Monitoraggio continuo e risposta agli incidenti entro 72 ore (art. 33 GDPR).

10. Diritti dell'interessato

Ai sensi degli articoli 15-22 GDPR, l'interessato ha diritto di:

• Accedere ai propri dati personali (art. 15);
• Rettificare dati inesatti o incompleti (art. 16);
• Ottenere la cancellazione ("diritto all'oblio", art. 17);
• Limitare il trattamento (art. 18);
• Ricevere i dati in formato strutturato (portabilità, art. 20);
• Opporsi al trattamento (art. 21);
• Revocare il consenso prestato, senza pregiudicare la liceità del trattamento basata sul consenso precedente la revoca;
• Non essere sottoposto a decisioni unicamente automatizzate (art. 22).

Le richieste possono essere inviate a hello@polarisdigital.it. Risponderemo entro 30 giorni ai sensi dell'art. 12 GDPR.

L'interessato ha inoltre diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (art. 77 GDPR) tramite il sito www.garanteprivacy.it.

11. Cookie

La piattaforma TRIQ utilizza le seguenti categorie di cookie:

• Cookie tecnici necessari: gestione sessione, autenticazione, preferenze interfaccia. Non richiedono consenso.
• Cookie di sicurezza: protezione da CSRF, rate limiting. Non richiedono consenso.
• Cookie analitici anonimi: misurazione utilizzo aggregato, diagnostica. Utilizzati con configurazione anonimizzante (interesse legittimo).

La piattaforma non utilizza cookie di profilazione o pubblicitari di terze parti senza consenso esplicito.

12. Minori

Il servizio non è destinato ai minori di 16 anni. Non raccogliamo consapevolmente dati personali di minori. Se riteniamo di aver raccolto dati di un minore, provvederemo alla loro cancellazione. Per segnalazioni: hello@polarisdigital.it.

13. Rapporto con le Organizzazioni clienti

Quando un Utente finale interagisce con un agente TRIQ configurato da una Organizzazione, quest'ultima è il Titolare del trattamento dei dati raccolti durante la conversazione. Polaris Digital agisce come Responsabile del trattamentosulla base del Data Processing Agreement (DPA) sottoscritto al momento dell'attivazione del servizio.

Per informazioni sulle finalità specifiche del trattamento da parte dell'Organizzazione, consultare la privacy policy pubblicata sul sito web dell'Organizzazione stessa.

14. Dati provenienti da Meta Platforms (WhatsApp e Instagram)

Quando una Organizzazione collega un canale WhatsApp Business o Instagram tramite Graph API di Meta:

• Riceviamo i messaggi inoltrati dagli utenti e i relativi identificatori di piattaforma (es. phone number ID WhatsApp, Instagram user ID), esclusivamente per consegnare la risposta dell'agente AI all'Organizzazione;
• I dati ricevuti da Meta sono trattati in conformità alle Meta Platform Terms e alla Meta Developer Policy;
• Non utilizziamo i dati ricevuti da Meta per scopi diversi da quelli di erogazione del servizio, e non li condividiamo con terzi al di fuori dei sub-responsabili indicati in sezione 6;
• Su richiesta dell'Organizzazione o dell'utente finale, cancelliamo i dati della conversazione entro 30 giorni.

15. Modifiche alla presente informativa

Ci riserviamo il diritto di modificare la presente Privacy Policy per riflettere aggiornamenti normativi o evoluzioni del servizio. Le modifiche saranno pubblicate in questa pagina con indicazione della data di aggiornamento. In caso di modifiche sostanziali notificheremo gli utenti via email o tramite avviso in piattaforma.

16. Contatti

Per qualsiasi domanda o richiesta relativa alla presente Privacy Policy:

Polaris Digital di Cristini Paolo
Via Matteotti, 16 – 25054 Marone (BS), Italia
P.IVA 04353680988 · C.F. CRSPLA97H12B157X
Email: hello@polarisdigital.it