Informativa sulla privacy

Ultimo aggiornamento: 5 novembre 2026.

Chi è responsabile

A-REX (società in costituzione) gestisce questo sito, platform.a-rex.org, e A-REX Platform, il servizio di tracciabilità che le aziende usano tramite la console, l'API e l'assistente. Finché A-REX non è costituita, i suoi fondatori agiscono per suo conto. Per qualsiasi domanda o richiesta sui tuoi dati personali, scrivi a [email protected].

Questa informativa applica la Legge generale brasiliana sulla protezione dei dati (LGPD, Legge 13.709/2018), il Regolamento generale europeo sulla protezione dei dati (GDPR) per le persone nello Spazio economico europeo e le leggi sulla privacy dei consumatori degli Stati USA che ne hanno una. Vale per tutti, ovunque si trovino.

Lo standard aperto A-REX e il suo sito, standard.a-rex.org, sono curati dalla A-REX Foundation, che ha una propria informativa sulla privacy.

Due ruoli

A-REX decide (titolare del trattamento). Per questo sito, il modulo di contatto, il tuo account utente, la sicurezza del servizio, le richieste di assistenza e la fatturazione, è A-REX a decidere perché e come vengono trattati i tuoi dati.
A-REX agisce per un'azienda (responsabile del trattamento, o operador secondo la LGPD). Le registrazioni che un'azienda tiene in A-REX Platform (i suoi lotti, le consegne, i certificati e le persone e aziende della sua anagrafica, come fornitori, agricoltori e acquirenti) appartengono a quell'azienda. È l'azienda a decidere cosa registrare e perché; A-REX tratta quelle registrazioni solo secondo le sue istruzioni. Se un'azienda ha i tuoi dati, scrivi prima a quell'azienda; noi la aiutiamo a rispondere.

Su questo sito

Il sito non imposta cookie e non usa strumenti di analisi né tracciamento pubblicitario. Il tuo browser conserva il tema di colore che hai scelto nella sua memoria locale; quel dato non lascia mai il tuo dispositivo.

Cloudflare ospita il sito. Per erogarlo e proteggerlo, Cloudflare tratta dati tecnici come il tuo indirizzo IP, il tuo browser e le pagine che richiedi.

Quando ci scrivi tramite il modulo di contatto, conserviamo il tuo nome, l'e-mail di lavoro, l'azienda, la sua attività, il paese, i prodotti, il messaggio, il piano per cui hai chiesto informazioni e la lingua della pagina. Per limitare gli abusi conserviamo per un giorno un'impronta della tua connessione, mai l'indirizzo stesso. Cloudflare Turnstile verifica che il modulo sia stato inviato da una persona; tratta dati tecnici sul tuo browser e sulla tua connessione, e noi riceviamo solo l'esito.

In A-REX Platform

Il tuo account. Il tuo nome, l'e-mail, la lingua, le aziende e i ruoli che ti sono stati assegnati, i tuoi metodi di accesso (passkey e secondo fattore, mai una password in chiaro), le sessioni e una traccia di ciò che hai fatto nella console: ogni proposta, approvazione, download e modifica conserva chi l'ha fatta. L'accesso usa cookie strettamente necessari al servizio.

Le registrazioni di un'azienda. Ciò che l'azienda registra: lotti, quantità, consegne, certificati, documenti, eventi in campo e le persone e aziende della sua anagrafica. Nomi, codici fiscali, contatti, indirizzi e coordinate degli appezzamenti sono conservati cifrati, con le chiavi custodite in un servizio di gestione delle chiavi.

L'assistente, Humboldt e gli agenti. Quando fai una domanda all'assistente, o un agente lavora per la tua azienda, la domanda e le registrazioni necessarie per rispondere vengono inviate ad Anthropic, che fornisce i modelli di IA. I codici fiscali e identificativi simili vengono sostituiti da segnaposto prima di raggiungere il modello. Anthropic tratta questi dati come nostro sub-responsabile e non li usa per addestrare i propri modelli. L'assistente prepara soltanto proposte; ogni modifica viene approvata da persone.

Assistenza. Ciò che scrivi in una richiesta di assistenza e ciò che scegli di allegare. L'assistenza non vede mai una conversazione con l'assistente, a meno che tu non la includa in una segnalazione di problema.

Fatturazione. Il nome dell'organizzazione, il contatto per la fatturazione e il piano. Stripe gestisce i pagamenti; A-REX non vede mai i numeri delle carte. Durante l'alpha la fatturazione funziona in modalità di prova di Stripe e non viene addebitato nulla.

Mappe e meteo. Per mostrare il meteo di un evento in campo, la sua posizione e la sua data, senza alcun nome, vengono inviate a OpenWeather e a Copernicus (ERA5). Quando apri una mappa con immagini satellitari di Esri, il tuo browser richiede le immagini a Esri, che vede il tuo indirizzo IP.

Messaggi. Se un'azienda collega il proprio canale e-mail o WhatsApp, i messaggi inviati a quel canale vengono trattati per conto dell'azienda, che ne è responsabile. I messaggi WhatsApp passano per Meta.

Registri pubblici: cosa resta per sempre

Le registrazioni di ogni azienda vengono scritte anche su registri pubblici, così chiunque può verificarle senza doversi fidare di A-REX: il registro proprio dell'azienda su una rete compatibile EVM e le impronte giornaliere pubblicate su Hedera e su Bitcoin (tramite OpenTimestamps). Durante l'alpha si usano solo reti di prova.

Ciò che viene scritto su un registro pubblico non può essere modificato né cancellato da nessuno, nemmeno da A-REX. Per questo il registro non contiene nomi, codici fiscali, contatti, indirizzi, coordinate o documenti: solo registrazioni di lotti senza dati personali, impronte e gli indirizzi pubblici delle chiavi che approvano. Quegli indirizzi non riportano alcun nome, ma l'azienda e A-REX possono collegare una chiave al membro che la detiene. Se ci chiedi di cancellare i tuoi dati, eliminiamo quel collegamento e tutto il resto che conserviamo; l'indirizzo in sé resta sul registro, senza il tuo nome.

Perché li usiamo e su quale base

Finalità	Base giuridica
Erogare il servizio a cui un'azienda si è iscritta: account, registrazioni, approvazioni, report	Esecuzione di un contratto (LGPD art. 7, V; GDPR art. 6, par. 1, lett. b))
Trattare le registrazioni di un'azienda secondo le sue istruzioni	La base propria dell'azienda, come suo responsabile del trattamento (LGPD art. 39; GDPR art. 28)
Mantenere sicuro il servizio, registrare chi ha fatto cosa, prevenire gli abusi	Legittimo interesse (LGPD art. 7, IX; GDPR art. 6, par. 1, lett. f))
Rispondere al modulo di contatto e alle richieste di assistenza	Misure precontrattuali da te richieste, o il contratto (LGPD art. 7, V; GDPR art. 6, par. 1, lett. b))
Fatturazione, fatture e registri fiscali	Obbligo legale e contratto (LGPD art. 7, II e V; GDPR art. 6, par. 1, lett. b) e c))
Rispettare un ordine del giudice o una richiesta legittima di un'autorità	Obbligo legale (LGPD art. 7, II; GDPR art. 6, par. 1, lett. c))

Non vendiamo dati personali, non li condividiamo per pubblicità comportamentale tra contesti diversi e non li usiamo per la pubblicità. Non prendiamo decisioni con effetti giuridici o effetti analoghi su di te in modo unicamente automatizzato: ogni modifica viene approvata da persone.

Chi ci aiuta (sub-responsabili)

Cloudflare: hosting di questo sito, database del modulo di contatto, Turnstile.
Anthropic: i modelli di IA dietro l'assistente, Humboldt e gli agenti.
Stripe: fatturazione e pagamenti.
Resend: invio delle e-mail.
Esri: immagini satellitari per le mappe.
OpenWeather e Copernicus (ERA5): meteo per gli eventi in campo.
Meta: messaggi WhatsApp, solo per le aziende che collegano quel canale.
Hedera, Bitcoin (OpenTimestamps) e reti compatibili EVM: i registri pubblici descritti sopra.

Prima dell'avvio del servizio di produzione, questo elenco indicherà anche dove sono ospitati la console, il suo database e le sue chiavi. Aggiorniamo questo elenco prima di aggiungere un sub-responsabile.

Trasferimenti fuori dal tuo paese

Alcuni di questi fornitori trattano dati fuori dal Brasile e dallo Spazio economico europeo, anche negli Stati Uniti. Dove la legge lo richiede, ci basiamo su clausole contrattuali tipo (quelle della Commissione europea e quelle approvate dall'ANPD brasiliana nella Risoluzione CD/ANPD 19/2024) o su un altro meccanismo di trasferimento consentito dalla legge.

Per quanto tempo li conserviamo

Modulo di contatto: dodici mesi dopo il nostro ultimo messaggio, a meno che la tua azienda non diventi cliente.
Account: finché l'account esiste. Quando lasci un'azienda, il tuo accesso termina; il tuo nome resta nella cronologia delle approvazioni che hai fatto, perché quella cronologia è la prova dell'azienda.
Le registrazioni di un'azienda: finché l'azienda le conserva e il suo contratto è in vigore; poi vengono cancellate, dopo che l'azienda ha avuto la possibilità di esportarle, salvo ciò che la legge ci impone di conservare.
Richieste di assistenza: tre anni dopo la chiusura, salvo un obbligo di conservazione per motivi legali.
Registri di fatturazione: per il tempo richiesto dalla normativa fiscale.
Registri pubblici: per sempre, come spiegato sopra, senza dati personali.

I tuoi diritti

Puoi chiederci di confermare se trattiamo i tuoi dati, di darti accesso ad essi o una copia, di rettificarli, di cancellarli, di anonimizzarli, di limitarne l'uso o di opporti ad esso, di trasferirli a un altro fornitore e di sapere con chi li abbiamo condivisi. Puoi revocare il consenso in qualsiasi momento quando ci basiamo su di esso. Scrivi a [email protected]; rispondiamo entro 15 giorni e possiamo chiederti di confermare la tua identità.

Se i tuoi dati si trovano nelle registrazioni di un'azienda, inoltriamo la tua richiesta a quell'azienda e la aiutiamo a rispondere.

Negli Stati Uniti, in base alle leggi sulla privacy dei consumatori di Stati come California, Virginia, Colorado, Connecticut e Texas, puoi chiedere di conoscere, accedere, rettificare e cancellare le tue informazioni personali e di opporti alla loro vendita, condivisione o uso per pubblicità mirata (non facciamo nessuna di queste cose). Puoi farti rappresentare da un agente autorizzato, e verificheremo la richiesta. Non ti trattiamo mai in modo diverso perché eserciti questi diritti. Se rifiutiamo una richiesta, puoi presentare ricorso rispondendo alla nostra risposta.

Puoi anche presentare reclamo a un'autorità per la protezione dei dati: in Brasile, l'ANPD (Autoridade Nacional de Proteção de Dados); nello Spazio economico europeo, l'autorità del tuo paese; negli Stati Uniti, il procuratore generale del tuo Stato o, in California, la California Privacy Protection Agency.

Sicurezza

Ogni modifica è una proposta che una persona approva con un secondo fattore. Le registrazioni di ogni azienda sono tenute separate da quelle di tutte le altre. I campi sensibili sono cifrati, e l'accesso da parte del nostro personale è limitato e registrato. La pagina sulla sicurezza spiega come.