Privacy Policy

Il titolare del trattamento dei dati personali raccolti tramite questa applicazione web (di seguito "Dashboard") è Matteo Landi, contattabile all'indirizzo matteoolandi@gmail.com.

La Dashboard è uno strumento di analisi delle performance pubblicitarie Meta (Facebook e Instagram Ads) utilizzato dal titolare come consulente marketing per fornire report ai propri clienti (agenzie e inserzionisti). I dati raccolti sono trattati esclusivamente per:

• Autenticare l'accesso degli utenti autorizzati (login Google)
• Recuperare e visualizzare metriche pubblicitarie aggregate degli account Meta gestiti dai clienti
• Generare report read-only condivisibili tramite link privato con i clienti finali
• Diagnosticare errori tecnici e mantenere la sicurezza del servizio

3.1 Dati di autenticazione

Quando accedi tramite Google OAuth, riceviamo dal provider:

• Indirizzo email
• Nome e cognome pubblici
• Immagine del profilo (URL pubblico)

L'accesso è consentito solo agli indirizzi email presenti in una allowlist configurata dal titolare (attualmente: matteoolandi@gmail.com ed eventuali collaboratori esplicitamente autorizzati).

3.2 Dati business (Meta Ads)

La Dashboard si connette all'API pubblicitaria di Meta (Marketing API) usando un token di accesso configurato dal titolare. I dati sincronizzati sono aggregati (nessun dato personale degli utenti finali degli ads viene trattato):

• Metriche di performance: spesa, impressioni, click, ROAS, CTR
• Metadata delle creatività: nome ad, copy, thumbnail, URL destinazione
• Conversioni aggregate (numero e valore)

3.3 Dati tecnici

Log di sistema minimali (timestamp, endpoint chiamati, errori) sono generati automaticamente dall'infrastruttura di hosting (Railway) per finalità di sicurezza e debugging. Non tracciamo comportamento utente né usiamo cookie di analytics o profilazione.

• Auth Google: consenso esplicito dell'utente al momento del login (art. 6 par. 1 lett. a GDPR)
• Sync Meta Ads: legittimo interesse del titolare nell'analisi delle performance pubblicitarie per il servizio di consulenza offerto ai clienti (art. 6 par. 1 lett. f GDPR)
• Log tecnici: legittimo interesse alla sicurezza del servizio (art. 6 par. 1 lett. f GDPR)

Per erogare il servizio ci avvaliamo dei seguenti fornitori, tutti legati da contratti conformi al GDPR:

Alcuni dei fornitori sopra elencati hanno server negli Stati Uniti. I trasferimenti sono coperti dalle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea e/o dal Data Privacy Framework (DPF) per i fornitori certificati. Nessun dato viene trasferito a paesi terzi privi di garanzie adeguate.

• Metriche giornaliere (insights): 18 mesi dalla generazione. Dopo tale periodo vengono cancellate automaticamente tramite job schedulato (pg_cron)
• Metadata delle creatività: conservati per il tempo necessario al servizio di analisi storica (tipicamente per la durata del rapporto commerciale col cliente)
• Dati di autenticazione: conservati per la durata della sessione (session cookie Supabase, default 7 giorni)
• Log tecnici: rotazione a 30 giorni gestita dall'infrastruttura di hosting

Applichiamo misure tecniche e organizzative appropriate per proteggere i dati:

• Connessione cifrata HTTPS (HSTS) su tutti gli endpoint
• Autenticazione via OAuth 2.0 (Google) + allowlist di indirizzi email autorizzati
• Chiamate API Meta firmate con App Secret Proof (HMAC-SHA256)
• Row Level Security (RLS) sul database Supabase
• Endpoint pubblici protetti da CSRF check (Origin/Referer whitelist)
• Link di condivisione read-only per i clienti generati con token opachi random 256-bit (non enumerabili)
• Nessun dato sensibile loggato (mascheratura credenziali)

In quanto interessato al trattamento, hai diritto di:

• Accedere ai tuoi dati (art. 15 GDPR)
• Rettificare dati inesatti (art. 16 GDPR)
• Cancellare i tuoi dati - diritto all'oblio (art. 17 GDPR)
• Limitare il trattamento (art. 18 GDPR)
• Ricevere i dati in formato portabile (art. 20 GDPR)
• Opporti al trattamento basato su legittimo interesse (art. 21 GDPR)
• Revocare il consenso in qualsiasi momento (per i trattamenti basati su consenso)

Per esercitare uno o più di questi diritti, scrivi a matteoolandi@gmail.com. Rispondiamo entro 30 giorni dalla richiesta.

Se ritieni che il trattamento dei tuoi dati violi il GDPR, hai diritto di proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it) o all'autorità di controllo del tuo paese di residenza abituale.

Potremmo aggiornare periodicamente questa policy per riflettere cambiamenti nel servizio o nella normativa. La data dell'ultimo aggiornamento è indicata in cima a questa pagina. Ti incoraggiamo a rileggerla periodicamente.