Informativa sul trattamento dei dati personali
Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003.
Ultimo aggiornamento: 23 ottobre 2026
1. Titolare del trattamento
Idealize S.r.l., P.IVA 03921900241, sede legale in Via Santa Maria 27, 36057 Arcugnano (VI), legale rappresentante Mattia Gamba, email privacy info@idealize.srl, PEC idealize@pec.it ("Idealize", "noi").
Questa informativa riguarda il sito e il portale clienti del servizio Idealize MCP Gateway (il "Servizio"), che permette di collegare il CRM del cliente ad assistenti AI (ad esempio ChatGPT e Claude) tramite il protocollo MCP.
2. Due ruoli distinti
Per chiarezza, Idealize tratta dati in due ruoli diversi:
| Dati | Ruolo di Idealize | Dove è regolato |
|---|---|---|
| Dati dell'account, di fatturazione e di utilizzo del portale (sezioni 3-9) | Titolare | Questa informativa |
| Dati contenuti nel CRM del cliente che transitano dal gateway (sezione 10) | Responsabile del trattamento (art. 28 GDPR) per conto del cliente, che è il titolare | Accordo sul trattamento dei dati (DPA) |
3. Dati che raccogliamo come titolare
- Dati dell'account e di contatto: nome, email, ragione sociale, ruolo.
- Dati di fatturazione: ragione sociale, P.IVA, codice fiscale, indirizzo, codice SDI, PEC.
- Dati di pagamento: i dati della carta sono raccolti e trattati direttamente da Stripe; noi riceviamo solo identificativi del cliente/abbonamento, stato e importi. Non vediamo né conserviamo il numero della carta.
- Dati tecnici del Servizio: URL del CRM collegato, identificativo (slug) dell'installazione, stato della licenza, segreto di firma dell'installazione (conservato cifrato).
- Log di utilizzo (metadati): per ogni chiamata allo strumento MCP registriamo nome dello strumento, esito, codice di stato HTTP, durata e data/ora. Non registriamo il contenuto delle richieste né delle risposte.
- Log tecnici di sicurezza: indirizzo IP, user agent e data/ora degli accessi e delle richieste ai server.
- Link di accesso (magic link): l'accesso al portale avviene con un link monouso inviato via email; conserviamo l'indirizzo email e i dati tecnici necessari a validarlo e a scadenza.
4. Finalità e basi giuridiche
| Finalità | Base giuridica |
|---|---|
| Creare l'account, erogare il Servizio, gestire l'abbonamento e i pagamenti | Esecuzione del contratto (art. 6.1.b) |
| Fatturazione, contabilità, adempimenti fiscali | Obbligo di legge (art. 6.1.c) |
| Sicurezza, prevenzione abusi, diagnosi di malfunzionamenti, difesa in giudizio | Legittimo interesse (art. 6.1.f) |
| Comunicazioni di servizio (stato licenza, manutenzione, scadenze) | Esecuzione del contratto / legittimo interesse |
| Comunicazioni commerciali sui nostri servizi analoghi a clienti esistenti | Legittimo interesse (soft spam, art. 130.4 D.Lgs. 196/2003), con diritto di opposizione in ogni momento |
Il conferimento dei dati di cui ai punti 1-4 è necessario per attivare il Servizio; senza di essi non possiamo erogarlo.
5. Destinatari
I dati possono essere trattati da:
- IONOS SE (hosting dei server del gateway, datacenter nell'Unione Europea);
- Stripe Payments Europe Ltd. (pagamenti);
- Fatture in Cloud / TeamSystem S.p.A. (fatturazione elettronica);
- Google Ireland Ltd. (Google Workspace, invio delle email di servizio e dei link di accesso);
- consulenti (fiscali, legali, IT) vincolati da riservatezza;
- autorità, quando previsto dalla legge.
I fornitori che trattano dati per nostro conto sono nominati responsabili del trattamento o operano come titolari autonomi per le proprie finalità (ad esempio Stripe per antiriciclaggio e antifrode). L'elenco aggiornato è disponibile su richiesta.
6. Trasferimenti extra-UE
Stripe, Google e altri fornitori possono trattare dati negli Stati Uniti. In tal caso il trasferimento avviene sulla base di una decisione di adeguatezza (EU-US Data Privacy Framework) o di Clausole Contrattuali Standard.
7. Conservazione
| Dato | Periodo |
|---|---|
| Account e dati contrattuali | Durata del contratto + 24 mesi |
| Dati fiscali e di fatturazione | 10 anni (obbligo di legge) |
| Log di utilizzo (metadati) | 12 mesi |
| Log tecnici di sicurezza (IP, accessi) | 90 giorni |
| Backup | 30 giorni |
| Token e segreti tecnici | Fino a revoca/cancellazione dell'installazione, poi eliminati |
Alla scadenza dei periodi i dati sono cancellati automaticamente.
8. I tuoi diritti
Puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opporti al trattamento (artt. 15-22 GDPR) scrivendo a info@idealize.srl. Hai diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
9. Cookie
Il portale usa solo cookie tecnici necessari (sessione, protezione CSRF). Vedi la Cookie Policy.
10. Dati del CRM che transitano dal gateway
Quando un assistente AI chiama uno strumento MCP, la richiesta passa dal nostro gateway (server IONOS) e viene inoltrata al CRM del cliente; la risposta del CRM torna, sempre attraverso il gateway, all'assistente AI.
- Il titolare di questi dati è il cliente, non Idealize. Idealize agisce come responsabile del trattamento, solo su istruzione documentata del cliente, secondo il DPA.
- Il gateway non salva il contenuto delle richieste e delle risposte: i dati restano in memoria il tempo necessario all'inoltro. Salviamo solo i metadati descritti al punto 3.5.
- Il contenuto in transito è tecnicamente accessibile al personale con accesso ai server del gateway. L'accesso è limitato a personale autorizzato, per finalità di manutenzione e sicurezza.
- Per consentire l'accesso ai dati con i permessi del singolo utente, il gateway conserva cifrati i token di accesso che il CRM emette per l'utente. Vengono revocati/eliminati alla scadenza, alla revoca o alla disattivazione del Servizio.
- Le comunicazioni sono protette con TLS. Le richieste al CRM sono firmate con un segreto dell'installazione.
Cosa non facciamo
Per chiarezza, ecco ciò che il gateway non fa con i dati del CRM:
- Non salviamo e non registriamo il contenuto delle richieste e delle risposte scambiate tra l'assistente AI e il CRM, né i valori dei parametri delle richieste (ad esempio i testi cercati) né i risultati restituiti: non finiscono nei log applicativi, nel database né nei backup.
- Non associamo le chiamate a un utente: i metadati di utilizzo (punto 3.5) non contengono l'identità dell'utente del CRM che ha effettuato la richiesta.
- Non vediamo né conserviamo la password inserita nel CRM: l'accesso avviene sulla pagina di login del CRM stesso; il gateway riceve soltanto i token che il CRM emette.
- Non accediamo direttamente al database del CRM: i dati si leggono solo tramite le API del CRM, con i permessi dell'utente che ha effettuato l'accesso.
- Non ispezioniamo né classifichiamo il contenuto in transito e non lo usiamo per addestrare modelli, profilare, fare marketing o analisi; non lo vendiamo né lo comunichiamo a terzi, diversi dall'assistente AI scelto dal cliente.
- Non registriamo il corpo delle richieste nei log dei server: questi riportano solo indirizzo IP, data/ora, percorso richiesto ed esito, con la conservazione indicata alla sezione 7.
Il Servizio non è pensato per categorie particolari di dati (ad esempio dati sanitari), ma poiché non controlliamo il contenuto dei campi liberi del CRM, questi dati potrebbero transitare se il cliente li inserisce. Il cliente ne è responsabile e il gateway applica in ogni caso le stesse misure di sicurezza.
Assistenti AI di terze parti
Ciò che l'assistente AI scelto dal cliente (ad esempio OpenAI/ChatGPT, Anthropic/Claude) fa con i dati ricevuti è fuori dal controllo di Idealize. Tali fornitori non sono nostri sub-responsabili: il cliente li sceglie, li configura e ne è l'unico responsabile, inclusa la verifica delle condizioni d'uso, dell'eventuale addestramento sui dati e dei trasferimenti extra-UE.
11. Modifiche
Possiamo aggiornare questa informativa; la versione in vigore è sempre pubblicata sul sito con la data di ultimo aggiornamento. In caso di modifiche sostanziali avviseremo i clienti via email.
Versione del documento: d115de1f7bc6