Informativa sulla privacy di AdVega

1. In breve (riassunto non vincolante)

• AdVega è un software che fa da agenzia di marketing: ti intervista, prepara strategie e creatività con l'intelligenza artificiale, e — solo dopo la tua approvazione — lancia campagne pubblicitarie su Meta (Facebook/Instagram) e raccoglie i contatti interessati ("lead").
• Per i tuoi dati (account, briefing, campagne) il titolare del trattamento siamo noi.
• Per i dati dei tuoi lead (le persone che compilano i tuoi moduli) il titolare sei tu: noi li trattiamo solo per tuo conto, come responsabile del trattamento, secondo l'accordo sul trattamento dei dati allegato ai Termini.
• Interagisci con un sistema di intelligenza artificiale (l'assistente "Dario" e gli altri agenti): te lo diciamo sempre, e nessuna campagna parte e nessun euro viene speso senza la tua approvazione esplicita.
• Il titolare del trattamento è stabilito in Italia e i dati sono ospitati nell'Unione Europea (Francoforte). Alcuni fornitori hanno sede negli USA: i trasferimenti sono coperti dalle garanzie descritte alla sezione 10.
• Non vendiamo i tuoi dati. Non vendiamo i dati dei tuoi lead. Non usiamo cookie pubblicitari.

Questo riassunto aiuta a orientarsi; fa fede il testo completo qui sotto.

2. Titolare del trattamento e contatti

Il titolare del trattamento è:

Marco Cangi — impresa individuale (denominazione: "MARCO CANGI")
Via Maria Montessori 12, 22038 Tavernerio (CO), Italia
P.IVA 04291260133 — Codice fiscale e n. iscrizione al Registro delle Imprese: CNGMRC95D02B639D
REA: CO-434022 (CCIAA di Como-Lecco) — PEC: cangi@pec-mail.it
Email: privacy@advega.ai (⚖️ casella da attivare prima della pubblicazione)

AdVega è il marchio con cui il titolare offre il servizio: in questi documenti "AdVega" e "noi" indicano Marco Cangi, impresa individuale. Il titolare è stabilito in Italia (Unione Europea); l'autorità di controllo competente è il Garante per la protezione dei dati personali (sezione 12).

3. I due ruoli di AdVega: quando siamo titolari e quando responsabili

AdVega tratta due famiglie di dati molto diverse, con ruoli diversi. È il punto più importante di questa informativa.

In parole semplici: per i tuoi dati rispondiamo noi. Per i dati delle persone che compilano i tuoi moduli rispondi tu (sei tu il "titolare"): noi li custodiamo e li lavoriamo solo per tuo conto e secondo le tue istruzioni.

Se sei un lead (hai compilato un modulo in una campagna gestita tramite AdVega) e vuoi esercitare i tuoi diritti, il tuo interlocutore è l'azienda che ha pubblicato l'annuncio: è lei il titolare dei tuoi dati e la sua informativa (linkata nel modulo che hai compilato) descrive il trattamento. Se ci scrivi direttamente, inoltreremo la richiesta al titolare e lo assisteremo nel risponderti (vedi sezione 8).

4. Quali dati trattiamo come titolare

4.1 Dati di account

Email, password (conservata solo come hash con algoritmo bcrypt: non conosciamo né possiamo recuperare la password in chiaro), nome, nome dell'attività, settore di appartenenza.

4.2 Profilo dell'attività (briefing)

Ciò che racconti nell'intervista iniziale e nelle successive: descrizione dell'attività, zona servita, obiettivi, budget indicativo, concorrenti, punti di forza, offerte. Include la trascrizione delle conversazioni con l'assistente AI.

4.3 Media caricati

Foto, video, loghi e altri materiali che carichi per usarli nelle campagne.

4.4 Connessione all'account Meta (quando attivi la modalità live)

Quando colleghi il tuo account Meta riceviamo, tramite i permessi che autorizzi nel login Facebook: il token di accesso OAuth (conservato cifrato a riposo con AES-256-GCM), l'identificativo del tuo utente Meta (meta_user_id), l'elenco e l'ID dell'account pubblicitario e della Pagina che scegli di usare. Dettagli alla sezione 7.

4.5 Dati di campagna

Strategie, testi, immagini e video generati o approvati, impostazioni delle campagne (pubblici, budget, calendario), metriche di rendimento (spesa, impression, clic, costo per lead) lette dall'account pubblicitario collegato.

4.6 Log tecnici e dati d'uso

Log applicativi e di sicurezza (orari di accesso, indirizzo IP, azioni rilevanti come approvazioni e lanci), dati tecnici necessari a far funzionare e proteggere il servizio.

4.7 Fatturazione e pagamenti (quando i piani a pagamento saranno attivi)

Dati di fatturazione (ragione sociale, partita IVA, indirizzo). I dati della carta non li vediamo e non li conserviamo: saranno raccolti direttamente dal fornitore di pagamenti (Stripe).

4.8 Dati raccolti da fonti pubbliche (analisi dei concorrenti)

Per preparare la strategia analizziamo le inserzioni pubbliche dei concorrenti che ci indichi, tramite la Libreria inserzioni di Meta (un archivio pubblico previsto dalla normativa europea sulla trasparenza pubblicitaria). Si tratta in prevalenza di dati riferiti a imprese; quando il concorrente è una ditta individuale possono costituire dati personali: li trattiamo per legittimo interesse (analisi di mercato per erogare il servizio richiesto), limitandoci a ciò che è già pubblico, e questa sezione vale come informativa ai sensi dell'art. 14 GDPR.

4.9 Dati che NON vogliamo

Il servizio è pensato per imprese e professionisti e non è destinato a raccogliere categorie particolari di dati (salute, convinzioni religiose, opinioni politiche, vita sessuale, dati biometrici o genetici) né dati di minori. Ti chiediamo di non inserirli nel briefing e di non configurare domande di qualifica che li raccolgano, salvo quanto previsto dai Termini (serve una base giuridica tua e un accordo scritto preventivo con noi).

5. Finalità e basi giuridiche

Il conferimento dei dati delle sezioni 4.1–4.2 è necessario per usare il servizio: senza, non possiamo erogarlo.

6. Intelligenza artificiale: come la usiamo e cosa significa per te

In parole semplici: parli con un'AI e te lo diciamo chiaramente; l'AI propone, ma decidi sempre tu; i contenuti generati sono marcati come tali dove tecnicamente possibile; i fornitori AI non usano i tuoi dati per addestrare i loro modelli.

6.1 Stai interagendo con un sistema di intelligenza artificiale

L'intervista di briefing (l'assistente "Dario") e gli altri agenti del servizio (stratega, copywriter, analista, ottimizzatore) sono sistemi di intelligenza artificiale, basati su modelli di Anthropic (Claude) e OpenAI. Te lo segnaliamo nell'interfaccia fin dalla prima interazione, come previsto dall'art. 50, par. 1, del Regolamento (UE) 2024/1689 ("AI Act"). Non stai parlando con una persona.

6.2 Contenuti generati dall'AI e loro marcatura

Testi, immagini e video pubblicitari proposti dal servizio sono generati da AI. Le immagini e i video generati tramite i modelli OpenAI incorporano metadati di provenienza in formato leggibile dalla macchina (standard C2PA "Content Credentials", affiancato dal watermark SynthID), che il servizio preserva e non rimuove: è la marcatura richiesta dall'art. 50, par. 2, dell'AI Act. Per i testi non esiste ancora uno standard tecnico consolidato di marcatura: applichiamo le indicazioni delle linee guida della Commissione europea man mano che si consolidano, e l'interfaccia indica sempre quali contenuti sono stati generati dall'AI. Alcune piattaforme (inclusa Meta) possono applicare proprie etichette "creato con AI" alle inserzioni.

6.3 Nessuna decisione unicamente automatizzata (art. 22 GDPR)

Il servizio è costruito attorno a punti di approvazione umana obbligatori ("gate"): nessuna campagna viene lanciata, nessun contenuto viene pubblicato e nessuna spesa viene avviata senza l'approvazione espressa di un essere umano (tu). L'AI produce proposte e raccomandazioni; la decisione è sempre tua. Non adottiamo quindi decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo analogo significativo sulle persone ai sensi dell'art. 22 GDPR. Anche le risposte dei lead alle domande di qualifica sono semplicemente mostrate a te, che decidi come e se ricontattarli.

6.4 Memoria d'account e apprendimenti aggregati di settore

• Memoria d'account (solo tua): il sistema impara dalle campagne del tuo account per migliorare le proposte successive rivolte a te. Questi apprendimenti restano nel tuo account e non sono condivisi con altri clienti.
• Apprendimenti aggregati per settore (cross-cliente): manteniamo una base di conoscenza con apprendimenti aggregati e anonimizzati per settore (ad esempio: quali angoli di comunicazione funzionano meglio per il settore dentale), derivati dall'uso del servizio da parte di più clienti dello stesso settore. Questa base di conoscenza non contiene dati personali dei lead, non contiene le tue creatività o i tuoi testi in forma riconoscibile e non contiene dati riconducibili al singolo cliente, e viene usata solo per migliorare la qualità delle proposte del servizio.

6.5 I fornitori AI non addestrano i modelli sui tuoi dati

Usiamo le API commerciali di Anthropic e OpenAI: in base ai rispettivi termini commerciali, i dati inviati via API non vengono usati per addestrare i loro modelli (impostazione predefinita delle API, che non abbiamo modificato). I dati sono trattati da questi fornitori come responsabili/sub-responsabili per erogare il servizio, con i contratti descritti alle sezioni 9 e 10.

6.6 Classificazione ai sensi dell'AI Act

Il servizio non rientra tra le pratiche vietate (art. 5) né tra i sistemi ad alto rischio (Allegato III) dell'AI Act: è soggetto agli obblighi di trasparenza dell'art. 50, che rispettiamo come descritto sopra. ⚖️ far confermare la classificazione all'avvocato e conservare l'assessment (gli obblighi dell'art. 50 si applicano dal 2 agosto 2026).

7. Dati della piattaforma Meta ("Platform Data")

Questa sezione descrive, come richiesto dai Meta Platform Terms, come trattiamo i dati ricevuti da Meta quando colleghi il tuo account.

7.1 Cosa riceviamo e perché

Con la tua autorizzazione nel login Facebook, e nei limiti dei permessi approvati da Meta per la nostra app, accediamo a:

Usiamo i Platform Data esclusivamente per tuo conto e su tua direzione, per erogare il servizio che ci chiedi (ruolo di "Tech Provider" ai sensi della sezione 5 dei Meta Platform Terms). I dati del tuo account Meta sono segregati da quelli degli altri clienti. Non vendiamo, non licenziamo e non acquistiamo Platform Data e non li usiamo per finalità nostre diverse dall'erogazione del servizio.

7.2 Cancellazione dei dati Meta

Puoi ottenere la cancellazione dei dati ricevuti da Meta in tre modi, tutti gratuiti:

1. Dall'app: scollega l'account Meta dalle impostazioni di AdVega — il token viene revocato e i dati di connessione eliminati;
2. Da Facebook: rimuovi AdVega da Impostazioni → App e siti web del tuo profilo Facebook — Meta invia alla nostra app una richiesta di deautorizzazione che elimina automaticamente la connessione;
3. Richiesta di cancellazione dati: sempre da Impostazioni → App e siti web, puoi inviare una richiesta di eliminazione dei dati: la nostra app la riceve tramite il Data Deletion Request Callback, elimina i dati Meta associati al tuo utente e ti restituisce un codice di conferma con un link per verificarne lo stato.

In ogni caso puoi scriverci a privacy@advega.ai. Cancelliamo comunque i Platform Data quando non sono più necessari per erogare il servizio, quando chiudi l'account, o quando lo richiedano Meta o la legge.

7.3 Meta come titolare autonomo

Meta Platforms Ireland Limited tratta i dati della propria piattaforma (il tuo account Meta, l'erogazione delle inserzioni, i dati degli utenti Facebook/Instagram) come titolare autonomo, secondo la sua informativa: https://www.facebook.com/privacy/policy. Il rapporto tra te e Meta (account pubblicitario, fatturazione della spesa pubblicitaria, policy pubblicitarie) è regolato direttamente dai termini di Meta che hai accettato.

8. Dati dei lead: AdVega come responsabile del trattamento

Quando le tue campagne generano lead (nome, email, telefono, risposte alle domande di qualifica), quei dati sono tuoi: tu ne sei il titolare, noi li trattiamo per tuo conto come responsabile ex art. 28 GDPR, sulla base del DPA (Allegato A dei Termini) e delle tue istruzioni impartite tramite la piattaforma.

In sintesi, come responsabile:

• trattiamo i lead solo per riceverli da Meta, conservarli, mostrarteli, notificarteli e consentirti di esportarli e gestirli;
• non li usiamo per finalità nostre, non li vendiamo, non li comunichiamo a terzi diversi dai sub-responsabili della sezione 9;
• li proteggiamo con le misure della sezione 13;
• ti assistiamo se un lead esercita i suoi diritti (accesso, cancellazione ecc.);
• alla chiusura del rapporto te li restituiamo (export) e li cancelliamo nei termini del DPA.

Responsabilità tue come titolare (dettagliate nei Termini): fornire ai lead un'informativa privacy adeguata (linkata nel modulo), avere una base giuridica per contattarli, rispettare le loro richieste. Il servizio ti aiuta con strumenti e modelli, ma la conformità verso i tuoi lead resta una tua responsabilità.

9. Destinatari e sub-responsabili

Non vendiamo dati personali. Li comunichiamo soltanto ai fornitori che ci servono per erogare il servizio (sub-responsabili o titolari autonomi, come indicato), a consulenti tenuti alla riservatezza e alle autorità quando la legge lo impone.

Le ragioni sociali esatte e i riferimenti dei singoli DPA vanno riscontrati sui contratti in essere al momento della pubblicazione. L'elenco aggiornato è sempre disponibile in questa pagina; i cambi di sub-responsabili per i dati dei lead seguono la procedura di notifica prevista dal DPA (Allegato A dei Termini).

10. Trasferimenti fuori da UE/SEE

• Dove stanno i dati: il titolare del trattamento è stabilito in Italia e l'applicazione e il database sono ospitati nell'UE (Francoforte, Germania); anche l'analisi della Libreria inserzioni avviene nell'UE (Apify, Repubblica Ceca). Questi trattamenti non comportano alcun trasferimento extra-UE.
• Stati Uniti: alcuni fornitori (Anthropic, OpenAI, Resend, Stripe e, per gli eventuali accessi all'infrastruttura UE, Render — tabella sopra) trattano dati dagli USA. I trasferimenti si basano sulla certificazione EU-US Data Privacy Framework (DPF) dove il fornitore è certificato e, in ogni caso, sulle Clausole Contrattuali Standard (SCC) della Commissione europea incorporate nei rispettivi DPA, con misure supplementari ove necessario (cifratura in transito e a riposo).
• Nota di trasparenza: il DPF è oggi valido (il Tribunale UE ha respinto il primo ricorso il 3 settembre 2025), ma pende un'impugnazione e il contesto istituzionale USA è in evoluzione. Per questo manteniamo le SCC come base di riserva con tutti i fornitori USA. ⚖️ far monitorare all'avvocato l'esito dell'impugnazione; se il DPF cadesse, la tabella in sezione 9 va aggiornata (le SCC restano). Puoi chiederci copia delle garanzie scrivendo a privacy@advega.ai.

11. Per quanto tempo conserviamo i dati

12. I tuoi diritti

In qualunque momento puoi esercitare i diritti previsti dagli artt. 15–22 GDPR:

• accesso ai tuoi dati e copia degli stessi;
• rettifica dei dati inesatti;
• cancellazione ("diritto all'oblio");
• limitazione del trattamento;
• portabilità (ricevere i dati in formato strutturato e leggibile da macchina — dall'app puoi esportare direttamente i tuoi lead e i dati di campagna);
• opposizione ai trattamenti basati sul legittimo interesse, per motivi connessi alla tua situazione particolare (e sempre, senza motivazione, per l'eventuale marketing diretto);
• revoca del consenso, ove il trattamento si basi sul consenso, senza pregiudicare i trattamenti già effettuati.

Scrivi a privacy@advega.ai: rispondiamo entro un mese (prorogabile di due per richieste complesse, avvisandoti). L'esercizio dei diritti è gratuito.

Reclamo all'autorità di controllo. Se ritieni che il trattamento violi la normativa puoi rivolgerti al Garante per la protezione dei dati personali (www.garanteprivacy.it), autorità di controllo del Paese in cui ha sede il titolare, oppure all'autorità di controllo del tuo Paese di residenza o di lavoro nell'UE.

13. Come proteggiamo i dati

Misure principali, riviste periodicamente:

• cifratura TLS in transito; token Meta cifrati a riposo con AES-256-GCM e chiave dedicata;
• password conservate solo come hash bcrypt; sessioni con token opachi conservati come hash (SHA-256) e cookie httpOnly;
• hosting e database in UE (Francoforte) presso fornitore certificato ISO 27001, con backup cifrati;
• segregazione per cliente dei dati (architettura multi-tenant con isolamento per workspace) e dei Platform Data di Meta;
• principio del minimo privilegio negli accessi interni; log di sicurezza;
• approvazione umana obbligatoria prima di ogni pubblicazione o spesa (che è anche una misura di controllo del rischio);
• verifica delle firme (signed_request HMAC-SHA256) sulle chiamate server-to-server di Meta.

In caso di violazione dei dati personali che presenti un rischio per i tuoi diritti, notificheremo l'autorità di controllo competente (il Garante) entro 72 ore e, nei casi previsti dall'art. 34 GDPR, anche te.

14. Minori

Il servizio è riservato a imprese e professionisti maggiorenni. Non è destinato a minori di 18 anni e non raccogliamo consapevolmente loro dati.

15. Modifiche a questa informativa

Possiamo aggiornare questa informativa (ad esempio per nuove funzioni o nuovi fornitori). Le modifiche sostanziali saranno comunicate via email o nell'app con ragionevole anticipo. La versione vigente è sempre pubblicata su questa pagina con la data di ultimo aggiornamento.

16. Contatti

Marco Cangi — impresa individuale — Via Maria Montessori 12, 22038 Tavernerio (CO), Italia
P.IVA 04291260133 — PEC: cangi@pec-mail.it
Privacy: privacy@advega.ai · Supporto: support@advega.ai