Informativa sulla privacy

8OOST è uno strumento che permette a un’agenzia di gestire i profili Instagram dei propri clienti con l’aiuto di agenti automatici: prepara i contenuti, li fa approvare a una persona e li pubblica. Questa pagina dice quali dati passano da qui, perché, a chi vengono dati e come si fanno cancellare.

Chi tratta i dati

Il titolare del trattamento è ONEBIT Digital Design. Sede: Strada Mulattiera 21 int. 4, 43044 Collecchio (PR). Partita IVA 02919710349. Per qualunque richiesta sui dati si scrive a mr.belletz@gmail.com.

Quali dati passano da 8OOST

Tre gruppi, con origini diverse.

1. I dati di chi usa 8OOST.

• Indirizzo email e nome, per entrare e per sapere chi ha fatto cosa.
• Il ruolo e i clienti a cui si è assegnati.
• Un registro delle azioni importanti: chi ha approvato un contenuto, chi ha collegato o scollegato un account, chi ha cambiato i limiti di spesa. Serve a rispondere alla domanda «chi ha pubblicato questa cosa», che prima o poi si fa sempre.

2. I dati degli account Instagram collegati.

• Il token di accesso rilasciato da Meta quando si collega un account. È conservato cifrato e non è mai visibile in nessuna schermata.
• Il nome utente e l’identificativo dell’account.
• I contenuti pubblicati o programmati attraverso 8OOST, con le immagini che li accompagnano.
• I numeri di rendimento che Instagram restituisce: copertura, «mi piace», commenti, salvataggi.
• I commenti e i messaggi diretti ricevuti da quegli account, quando le funzioni di risposta sono attive. Contengono parole scritte da altre persone, ed è la parte più delicata di tutte: servono solo a preparare una risposta, che nessun automatismo invia da solo.
• Il materiale che carichi tu per far capire l’account all’agente: le didascalie dei post e le schermate del profilo.

3. I dati dei clienti dell’agenzia. Nome, sito, descrizione dell’attività, loghi e materiale di marca caricato o letto dal sito pubblico del cliente.

Perché vengono trattati

• Per far funzionare il servizio: senza il token non si pubblica, senza i contenuti non c’è niente da approvare. Base giuridica: esecuzione del contratto.
• Per sicurezza e ricostruzione dei fatti: il registro delle azioni e i limiti di spesa. Base giuridica: legittimo interesse a non pubblicare per sbaglio e a non spendere senza controllo.
• Per preparare i contenuti con un modello linguistico. Nessun contenuto esce da solo: fra la proposta e la pubblicazione c’è sempre una persona che approva.

I dati non vengono venduti, non vengono usati per profilare nessuno a fini pubblicitari e non vengono usati per addestrare modelli di intelligenza artificiale.

A chi vengono dati

Solo a chi serve per far funzionare lo strumento, e ognuno per la sua parte:

• Anthropic (Stati Uniti) — riceve il materiale necessario a scrivere le proposte: le didascalie dei post, le schermate del profilo che carichi, la scheda dell’account e del cliente, i commenti o i messaggi a cui si sta preparando una risposta. Anthropic non usa questi dati per addestrare i propri modelli. Le ricerche in rete che l’agente compie passano da lì.
• Supabase — il database e l’archivio dei file (immagini e loghi).
• Vercel — l’infrastruttura su cui gira l’applicazione.
• Meta Platforms — riceve i contenuti nel momento in cui vengono pubblicati su Instagram, che è lo scopo dell’operazione.

Alcuni di questi fornitori si trovano fuori dall’Unione Europea. Il trasferimento avviene sulla base delle clausole contrattuali tipo approvate dalla Commissione europea, previste dai rispettivi contratti di servizio.

Le immagini e il loro indirizzo

Le immagini dei contenuti stanno in un archivio raggiungibile pubblicamente, e non è una svista: per pubblicare su Instagram bisogna passare a Meta un indirizzo da cui scaricare il file, e un archivio chiuso renderebbe la pubblicazione impossibile. Chi indovina l’indirizzo esatto di un file lo vede. Sono immagini destinate a finire su un profilo pubblico, quindi il rischio è vederle qualche giorno prima; il nome contiene una parte casuale proprio per rendere l’indovinello impraticabile.

Per quanto tempo

• I token di accesso: finché l’account resta collegato. Scollegandolo vengono cancellati subito.
• I contenuti, le metriche e il materiale caricato: finché dura il rapporto, e comunque fino a quando ne chiedi la cancellazione.
• Il registro delle azioni: conservato più a lungo, perché è ciò che permette di ricostruire cosa è successo. Non contiene il testo dei messaggi.

Come sono protetti

• I token di Instagram sono cifrati prima di essere scritti nel database.
• Ogni cliente è separato dagli altri a livello di database: non è una regola scritta nel codice dell’applicazione, è il database stesso che rifiuta le letture fuori dal proprio perimetro.
• L’accesso è nominativo, e ogni azione che conta lascia traccia di chi l’ha fatta.

I tuoi diritti

Puoi chiedere di sapere quali dati ci sono, di correggerli, di cancellarli, di riceverne una copia o di opporti al trattamento. Si scrive a mr.belletz@gmail.com e si riceve risposta entro trenta giorni. Se la risposta non ti soddisfa, puoi rivolgerti al Garante per la protezione dei dati personali.

Per la cancellazione c’è una pagina apposta, con i passaggi: come far cancellare i propri dati.

Minori

8OOST è uno strumento di lavoro e non è destinato a chi ha meno di sedici anni.

Se questa pagina cambia

La data in fondo dice quando è stata toccata l’ultima volta. Se cambia qualcosa di sostanziale — un fornitore nuovo, un dato nuovo — viene scritto qui prima che la modifica entri in funzione, non dopo.