1. Ruoli
Tu (cliente) sei il Titolare del trattamento dei dati personali che inserisci nella piattaforma (es. nomi dei tuoi clienti, contatti, eventuali dati personali nei contenuti generati).
appost.io è il Responsabile del trattamento (Processor) ai sensi dell'art. 28 GDPR. Tratta i tuoi dati solo per fornirti il servizio, con istruzioni documentate (questi termini + DPA).
2. Oggetto del trattamento
- Categorie di interessati: tu stesso, i tuoi membri di team, i tuoi clienti (se sei un'agenzia), i destinatari dei tuoi post pubblicati.
- Tipi di dati personali: account, contatti professionali, contenuti editoriali, audit log.
- Operazioni di trattamento: hosting, processing AI, scheduling, pubblicazione, audit, backup.
- Durata: finché il contratto è attivo + 30 giorni per export, poi cancellazione (vedi sezione 8).
3. Luoghi di trattamento
La region predefinita è UE: data center primario a Francoforte (DE), backup a Milano (IT). Possiamo offrire region aggiuntive: la region applicabile al tuo workspace è indicata nel contratto / pannello e i tuoi dati vi risiedono. I servizi di terze parti che usiamo (vedi sezione 5) sono o in UE o coperti da Standard Contractual Clauses (SCC) UE 2021/914 per eventuali trasferimenti.
L'inferenza AI può essere eseguita da provider LLM situati fuori dall'UE, su base Zero Data Retention (nessuna conservazione di prompt o output), instradata tramite OpenRouter (UK, paese coperto da decisione di adeguatezza UE). Dettaglio provider in sezione 5.
Self-host on-premise disponibile su Enterprise: in quel caso i dati non escono mai dalla tua infrastruttura.
4. Misure di sicurezza tecniche e organizzative
Cifratura
- TLS 1.3 in transito.
- AES-256 a riposo (database, storage, backup).
- Token OAuth cifrati separatamente con KMS UE.
- Password con bcrypt cost 12.
Accesso
- Row-Level Security (RLS) forzato a livello database per ogni tenant.
- Audit log immutabile di ogni accesso e modifica.
- 2FA obbligatoria per il nostro staff.
- Principio del minimo privilegio: accesso ai dati cliente solo per supporto, con consenso esplicito e log.
Resilienza
- Backup quotidiani, retention 90 giorni.
- Disaster recovery testato trimestralmente (RPO 1h, RTO 4h).
- Pentest annuale esterno.
- ISO 27001 certification in corso (target Q4 2026).
5. Sub-processor autorizzati
Lista pubblica, aggiornata. Notifica preventiva di 30 giorni per aggiunte. Diritto di obiezione e disdetta in caso di sub-processor non gradito.
- Hetzner (DE) — infrastruttura cloud primaria.
- OVH (IT) — disaster recovery.
- Stripe (IE) — pagamenti. SCC + DPA.
- OpenRouter (UK) — proxy LLM. Clausola "no training" + "no retention" applicata.
- Anthropic / OpenAI / Google — LLM provider via OpenRouter, su Zero Data Retention API.
- Jina AI (DE) — rendering pagine web pubbliche in fase di analisi del brand.
- Tavily (US) — ricerca web per arricchimento del profilo brand. SCC + DPA.
- Perplexity (US) — deep research web. SCC + DPA.
- Cloudflare (UE edge) — DDoS protection.
- Sentry (IE) — error tracking con PII scrubbing.
- Postmark (IE) — email transactional.
Iscriviti agli aggiornamenti sub-processor →
6. Data breach
In caso di data breach con rischio per i tuoi dati, ti notifichiamo entro 72 ore dalla scoperta (art. 33 GDPR). La notifica include: natura del breach, dati interessati, misure prese, contatto DPO.
Manteniamo un Incident Response Playbook (revisione semestrale) e drilliamo lo scenario di breach trimestralmente.
7. Audit & ispezione
Diritto di audit annuale (art. 28.3.h GDPR), su appuntamento, da svolgere in modo da non disturbare l'operatività. Per i piani Enterprise possiamo concordare audit più frequenti su base contrattuale.
In alternativa, accettiamo audit indipendenti basati su standard riconosciuti (ISO 27001 quando disponibile, SOC 2 in roadmap).
8. Cancellazione dei dati a fine contratto
- 30 giorni per export completo dopo chiusura account.
- Hard-delete dei dati cliente entro 30 giorni dalla chiusura.
- Backup cancellati entro 90 giorni successivi.
- Audit log fiscalmente rilevanti mantenuti 7 anni (obbligo civilistico italiano).
9. Documento completo
Questa è la sintesi. Il DPA completo, firmabile via DocuSign o disponibile in PDF per firma manuale, è disponibile su richiesta. Lo trovi anche pre-firmato nel tuo pannello → Account → Compliance.