Privacy Policy

Ultimo aggiornamento: 25/08/2026. Documento fac-simile: il Titolare deve validarlo con il proprio DPO/consulente legale prima della pubblicazione definitiva.

1. Titolare del trattamento

Titolare del trattamento è L'Organizzazione, con sede legale in Italia, contattabile all'indirizzo info@lorganizzazione.it. Ove designato, il Responsabile della Protezione dei Dati (DPO) è raggiungibile al medesimo indirizzo email con oggetto "Attn. DPO".

2. Dati trattati

Nell'ambito del servizio POXT trattiamo le seguenti categorie di dati:

• Dati di registrazione e account (nome, cognome, email, ruolo, tenant di appartenenza).
• Dati di contatto dei destinatari degli invii postali/digitali caricati dai tenant clienti.
• Dati relativi agli invii: indirizzi, oggetti, tracking, esiti di consegna, ricevute.
• Dati tecnici: log di accesso, indirizzo IP, user-agent, timestamp operazioni (audit trail).
• Dati di fatturazione: ragione sociale, P.IVA, indirizzo, consumi, transazioni wallet.

3. Finalità e basi giuridiche

• Erogazione del servizio SaaS (art. 6.1.b — esecuzione del contratto).
• Adempimenti fiscali, contabili e antiriciclaggio (art. 6.1.c — obbligo di legge).
• Sicurezza informatica, prevenzione frodi, audit trail (art. 6.1.f — legittimo interesse).
• Comunicazioni commerciali su servizi analoghi (art. 6.1.f, con diritto di opposizione).
• Analytics anonimi e marketing (art. 6.1.a — solo previo consenso via banner cookie).

4. Ruolo del Titolare vs Responsabile

POXT opera come Titolare autonomo per i dati relativi ai propri utenti registrati (account, fatturazione, log di accesso) e come Responsabile del trattamento ex art. 28 GDPR per conto dei tenant clienti relativamente ai dati dei destinatari da questi caricati per l'esecuzione degli invii. Le condizioni contrattuali sono disciplinate in apposito DPA sottoscritto in fase di onboarding.

5. Destinatari e responsabili esterni

• Provider infrastruttura hosting cloud (edge/serverless in UE).
• Provider database e storage documenti (in UE con crittografia at-rest).
• Provider di posta certificata (PEC), timestamping RFC3161 e firma digitale (QTSP italiani/UE).
• Provider di stampa e recapito postale (per invii cartacei).
• Payment provider per la gestione ricariche wallet e sottoscrizioni.
• Consulenti fiscali, legali e revisori vincolati da segreto professionale.

6. Trasferimenti extra-UE

I dati sono conservati e trattati prevalentemente all'interno dello Spazio Economico Europeo. Eventuali trasferimenti extra-UE avvengono esclusivamente verso Paesi con decisione di adeguatezza o sulla base di Clausole Contrattuali Standard (SCC) approvate dalla Commissione UE, con misure supplementari ove necessarie.

7. Periodo di conservazione

• Dati account attivi: per la durata del rapporto contrattuale.
• Dati fiscali/fatture: 10 anni ex art. 2220 c.c.
• Log di audit e ricevute di invio con valore probatorio: 10 anni.
• Log tecnici di sistema: 12 mesi.
• Dati destinatari caricati dai tenant: come da retention policy configurata dal tenant, purga automatica GDPR quotidiana.

8. Diritti dell'interessato

L'interessato può esercitare in qualsiasi momento i diritti di cui agli artt. 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso e reclamo al Garante Privacy (www.garanteprivacy.it). Le richieste vanno inviate a info@lorganizzazione.it.

9. Misure di sicurezza

POXT adotta misure tecniche e organizzative adeguate ex art. 32 GDPR: crittografia in transito (TLS 1.3), crittografia at-rest, autenticazione multi-fattore ove disponibile, Row-Level Security a livello database, audit trail immutabile con catena hash SHA-256, backup regolari, gestione formale degli incidenti.

10. Cookie

Per l'utilizzo di cookie e tecnologie assimilate si rinvia alla Cookie Policy.