GDPR · AI Act

Informativa privacy

Ai sensi del Regolamento (UE) 2016/679 (GDPR) e del D.Lgs. 196/2003 e s.m.i. Ultimo aggiornamento: 30 settembre 2026.

1. Chi tratta i tuoi dati

Rex Capital S.r.l., P.IVA/C.F. 17785121009, REA RM-1741148, sede legale in Via Sambuca Pistoiese 75, 00138 Roma (RM), PEC rexcapitalsrl@pec.it, sviluppa e gestisce la piattaforma software AI-GENT e l'infrastruttura di comunicazione (incluso l'account WhatsApp Business ufficiale) utilizzata dalle agenzie immobiliari che se ne servono. Gala Group è una di queste agenzie: un'impresa indipendente, cliente pilota della piattaforma, che la usa per comunicare con i propri clienti. Se stai leggendo questa informativa perché hai scritto o chiamato Gala Group, i tuoi dati sono trattati nell'ambito del servizio che Rex Capital fornisce a Gala Group per la sua attività di intermediazione immobiliare. Contatti per l'esercizio dei diritti di cui al punto 8: tramite i canali di contatto pubblicati sui canali ufficiali dell'agenzia con cui hai comunicato.

2. Trattamento per conto delle agenzie clienti (rapporto Tech Provider)

Per fornire il servizio, Rex Capital accede e gestisce — per conto delle agenzie immobiliari clienti che usano AI-GENT (come Gala Group) — gli asset del loro Business Manager Meta necessari all'erogazione della piattaforma: in particolare l'account WhatsApp Business (registrazione dei numeri, creazione e gestione dei modelli di messaggio, invio e ricezione dei messaggi) e, dove l'agenzia lo autorizza espressamente, altri asset del proprio portfolio business collegati alla piattaforma. Questo accesso avviene tramite credenziali dedicate, nei soli limiti necessari a erogare il servizio richiesto dall'agenzia cliente, non è mai usato per scopi diversi né condiviso con altre agenzie clienti, ed è revocabile in qualsiasi momento dall'agenzia stessa rimuovendo l'autorizzazione concessa a Rex Capital nel proprio Business Manager Meta.

3. Dati trattati

Dati identificativi e di contatto (nome, telefono, email) di chi scrive o chiama; dati relativi agli immobili e alle richieste (zona, budget, tipologia, preferenze); contenuto delle comunicazioni scambiate via WhatsApp Business Cloud API e via canale vocale telefonico; log tecnici necessari al funzionamento e alla sicurezza del servizio. Non trattiamo categorie particolari di dati né dati oltre il necessario per rispondere alla richiesta.

4. Finalità e base giuridica

Rispondere a richieste su immobili, gestire trattative e appuntamenti (esecuzione di un contratto o di misure precontrattuali); sicurezza e prevenzione abusi (legittimo interesse); adempimenti di legge. Le chiamate telefoniche sono registrate e trascritte per gestire la richiesta e non perdere le informazioni che ci hai dato: la base giuridica è l'esecuzione del contratto o delle misure precontrattuali e il legittimo interesse dell'agenzia a ricostruire con esattezza quanto concordato, non il consenso — te ne diamo notizia all'inizio della chiamata. Le registrazioni non vengono usate per finalità diverse (in particolare marketing, profilazione o addestramento di sistemi di intelligenza artificiale): per quelle servirebbe il tuo consenso, che ti chiederemmo a parte. L'eventuale uso di una voce sintetica di un agente avviene solo con il consenso della persona la cui voce viene riprodotta.

5. Uso di sistemi di intelligenza artificiale

Le prime risposte su WhatsApp e al telefono sono generate da un assistente virtuale basato su intelligenza artificiale, che si presenta con un nome proprio e dichiara di essere l'assistente virtuale dell'agenzia fin dal primo scambio, sotto la supervisione di un operatore umano che approva le comunicazioni più delicate prima dell'invio. In qualsiasi momento è possibile chiedere di parlare con un operatore umano. Questa pratica è resa in conformità all'art. 50 del Regolamento (UE) 2024/1689 (AI Act) e ai principi di trasparenza e conoscibilità dei sistemi di IA della Legge 23 settembre 2025, n. 132.

Se durante la chiamata chiedi (o l'assistente ritiene necessario) di passare a una persona dell'agenzia, la conversazione prosegue con un operatore umano. Anche quella parte della telefonata può essere trascritta, per la stessa finalità di continuità del servizio: te lo diciamo qui perché l'avviso iniziale riguarda l'intera chiamata, non solo il tratto con l'assistente. La trascrizione della voce dell'operatore avviene solo dove l'agenzia ha completato gli adempimenti previsti per i propri dipendenti dall'art. 4 della Legge 300/1970; in mancanza, viene trascritto solo quanto dici tu.

6. Fornitori e trasferimenti fuori dall'Unione europea

Per far funzionare il servizio ci appoggiamo a fornitori specializzati, che trattano i dati per nostro conto e solo per le funzioni indicate. Alcuni hanno sede o server negliStati Uniti: quando i dati arrivano a loro si tratta di un trasferimento fuori dallo Spazio economico europeo, fondato sulle garanzie del capo V del GDPR previste nei contratti con ciascuno (clausole contrattuali tipo della Commissione europea o adesione al Data Privacy Framework UE-USA).

Modelli di intelligenza artificiale (Anthropic, OpenAI — Stati Uniti): ricevono il testo delle conversazioni per generare le risposte e i riassunti. Non lo usano per addestrare i loro modelli.
Agente nel browser (punto 11): oltre a OpenAI, ricevono il contenuto delle pagine su cui lavora l'agente TypeSafe (Stati Uniti), il modello che decide i passi più semplici, e OpenRouter (Stati Uniti), la via di riserva verso lo stesso modello di OpenAI quando OpenAI non risponde.
Messaggistica e telefonia: Meta (WhatsApp Business Cloud API) per i messaggi; per le telefonate, trasporto della chiamata, sintesi vocale e trascrizione sono affidati a fornitori specializzati (LiveKit, ElevenLabs, Deepgram) e la numerazione a un operatore telefonico (DIDWW, Irlanda).
Posta, calendario e app collegate: Google, per le caselle e i calendari che l'agenzia collega; un intermediario tecnico (Composio, Stati Uniti) per le altre applicazioni che ogni persona decide di collegare al proprio account.
Infrastruttura: i server della piattaforma sono in Germania; banca dati e archivio dei file sono su Supabase, pagamenti su Stripe, invio delle email di servizio su Resend.
Immagini: la generazione e il miglioramento delle fotografie degli immobili passano da fornitori specializzati (fal.ai, Magnific, Photoroom). Riguardano immagini di immobili, non di persone.

L'elenco può cambiare quando cambia un fornitore: questa pagina viene aggiornata e la data in alto lo dice. Ogni fornitore riceve solo ciò che serve alla sua funzione, e nessuno di essi usa i dati per finalità proprie.

7. Conservazione

I dati sono conservati per la durata del rapporto e per i termini di legge, poi cancellati o anonimizzati. I messaggi scambiati tramite WhatsApp Business Cloud API sono soggetti anche ai limiti di conservazione del fornitore (Meta), che li mantiene per un massimo di 30 giorni ai soli fini tecnici del servizio.

Telefonate. Dell'audio non resta copia: la registrazione serve solo a produrre la trascrizione e viene cancellata entro 24 ore, termine tecnico che copre l'eventuale ripetizione della trascrizione se fallisce al primo tentativo. Resta la trascrizione scritta, conservata nella scheda del cliente insieme al resto della corrispondenza, per la durata del rapporto; puoi chiederne la cancellazione come per ogni altro dato (punto 8). L'accesso è riservato al personale dell'agenzia con cui hai comunicato.

8. I tuoi diritti

Puoi accedere, rettificare, esportare o richiedere la cancellazione dei tuoi dati e opporti al trattamento, scrivendo ai contatti dell'agenzia con cui hai comunicato. Per la cancellazione dei dati scambiati su WhatsApp vedi anche la pagina dedicata. La cancellazione avviene a cascata sui dati collegati.

9. Sicurezza

Credenziali cifrate, accesso per ruoli, tracciamento delle azioni sensibili, nessun dato personale nei log in chiaro.

10. Dati degli account Google

Gli agenti e il personale delle agenzie possono collegare ad AI-GENT il proprio account Google. Questi dati riguardano l'utente della piattaforma che fa il collegamento, non i clienti dell'agenzia, e si trattano solo per le funzioni che l'utente attiva:

Accesso con Google: indirizzo email e dati di profilo di base (nome, immagine), per riconoscere l'utente al login.
Google Calendar: AI-GENT crea, conferma, sposta ed elimina sul calendario dell'agente gli eventi delle visite fissate tramite la piattaforma, e legge soltanto gli intervalli di tempo occupati (libero/occupato) per non proporre una visita quando l'agente ha già un impegno. Titoli, descrizioni e partecipanti degli impegni personali non vengono letti.
Gmail, se l'agente lo collega: AI-GENT legge le email in arrivo per riconoscere le richieste dei clienti e prepararne la risposta, e ai clienti invia soltanto le email che l'utente ha approvato.
Google Drive / Documenti, se collegato: solo i file creati o aperti tramite AI-GENT.

I dati ricevuti dalle API di Google sono usati esclusivamente per fornire queste funzioni all'utente che li ha collegati: non sono venduti, non sono usati per pubblicità o profilazione, non sono usati per addestrare modelli di intelligenza artificiale e non sono trasferiti a terzi, salvo i fornitori tecnici strettamente necessari a erogare la funzione (per esempio l'elaborazione del testo di un'email per prepararne la risposta), vincolati agli stessi limiti, o quando lo impone la legge. Il personale non legge questi dati, salvo richiesta esplicita dell'utente, per motivi di sicurezza o per obbligo di legge. I token di accesso sono conservati cifrati. Il collegamento si revoca in qualsiasi momento dalla pagina Connessioni di AI-GENT oppure da myaccount.google.com/permissions; alla revoca il token viene eliminato.

AI-GENT's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.

11. Agente nel browser (estensione Chrome)

Le agenzie possono installare l'estensione Chrome «AI-GENT · Agente nel browser», che esegue nel Chrome di chi la usa, con i suoi account, i compiti che la persona scrive in AI-GENT (per esempio pubblicare un annuncio o leggere le richieste arrivate su un portale). Questi dati riguardano l'utente della piattaforma e le pagine su cui lavora; l'uso sui siti di terzi avviene su comando e sotto la responsabilità dell'agenzia, che la accetta all'attivazione.

Cosa legge: solo le pagine su cui lavora, e solo durante un compito avviato da una persona dell'agenzia (anche dal telefono, o con una routine a orario che l'agenzia ha programmato e può spegnere), nella scheda di lavoro di quel compito: la struttura della pagina (titoli, bottoni, campi con le loro etichette), il testo visibile e l'indirizzo. Se la persona allega dei file al compito, l'agente ne legge anche il contenuto. Fuori dai compiti non legge le pagine né la cronologia di navigazione, e non registra i clic o i tasti della persona.
Immagini della pagina («finestra dal vivo»): mentre una persona dell'agenzia guarda in AI-GENT la finestra che mostra il lavoro dell'agente, l'estensione fotografa la pagina del compito e la manda ai nostri server per mostrarla lì. Le immagini possono contenere dati di persone o aziende visibili su quella pagina. Si scatta solo mentre qualcuno guarda quella finestra (quando nessuno guarda, non si scatta nulla), solo la scheda del compito e solo se è la scheda in primo piano — se davanti c'è un'altra pagina dell'utente non viene scattato niente — e mai sui siti che l'agenzia ha escluso. Di regola al fornitore del modello di intelligenza artificiale va la struttura testuale della pagina, come sopra. L'immagine gli viene inviata in un solo caso: quando un passo non riesce e un'immagine di quella pagina esiste già perché qualcuno stava guardando. Allora l'ultima immagine va a OpenAI, per aiutarlo a capire che cosa blocca il passo.
Cosa non legge: i campi password non vengono mai letti né compilati (l'accesso ai siti lo fa la persona); il contenuto dei campi per codici OTP, dati della carta di pagamento, IBAN e PIN, e dei campi nascosti, viene tolto nell'estensione prima dell'invio e di nuovo sui nostri server. Il testo che un sito mostra apertamente nella pagina, invece, fa parte della pagina letta.
Dove vanno i dati: ai server di AI-GENT e, per decidere il passo successivo, ai fornitori dei modelli di intelligenza artificiale usati dall'agente, tutti con sede negli Stati Uniti (punto 6): OpenAI, il modello principale, che riceve la pagina per decidere i passi e l'immagine solo nel caso descritto sopra; TypeSafe, che decide i passi più semplici (per esempio quale elemento cliccare fra quelli della pagina) e riceve la struttura testuale della pagina, compresi i dati di persone o aziende che vi compaiono; OpenRouter, solo quando OpenAI non risponde: porta la pagina allo stesso modello di OpenAI, senza immagini. L'esito del compito (il riassunto e i dati letti) lo rilegge poi l'Assistente di AI-GENT, con i modelli indicati al punto 6. Le foto e i dati dell'immobile che il compito chiede di usare passano da AI-GENT al sito indicato dalla persona.
Quanto restano: la memoria di lavoro del compito (il testo delle pagine lette, i dati dell'agenzia usati, i file) si svuota quando il compito finisce. Nel registro delle attività restano solo i passi: che cosa ha fatto l'agente, l'indirizzo (senza parametri) e il titolo della pagina, l'esito; mai il testo della pagina né quello scritto nei campi. Nella cronologia dei compiti restano l'obiettivo scritto dalla persona, il riassunto finale e i dati che l'agente ha letto, con la frase della pagina da cui li ha presi, per la durata del rapporto con l'agenzia.
Quanto restano le immagini: l'immagine «di adesso» viene sovrascritta a ogni scatto e sparisce quando il compito finisce; delle immagini dei passi si conservano solo le ultime di ogni compito, e si cancellano automaticamente dopo 7 giorni. Chi le può vedere: solo le persone di quella stessa agenzia che possono usare l'agente browser, dentro AI-GENT. L'indirizzo con cui l'immagine viene mostrata scade dopo pochi minuti e non viene conservato.
Come si scollega: in AI-GENT da Connessioni → Agente browser → Scollega (per ogni PC), oppure dal pannello dell'estensione, oppure rimuovendo l'estensione da Chrome. Da quel momento il PC non riceve più compiti e non scatta più nessuna immagine.

12. Conversazioni condivise con un link pubblico

Chi usa AI-GENT può creare, per una conversazione con l'Assistente, un link pubblico: un indirizzo lungo e casuale che apre una pagina di sola lettura, accessibile a chiunque lo riceva, senza account e senza registrazione. È una scelta esplicita di chi la fa, mai automatica.

Che cosa viene pubblicato: solo il testo della conversazione e il suo titolo. Se la conversazione contiene dati di una persona (nome, recapiti, indirizzo, importi), quei dati vengono pubblicati: è responsabilità di chi crea il link verificarlo prima, e la schermata lo dice espressamente.
Che cosa non esce mai: gli allegati e i nomi dei file, le immagini delle pagine visitate dall'agente nel browser (punto 11) e il dettaglio tecnico delle azioni svolte. Al loro posto la pagina pubblica segnala che sono stati lasciati fuori.
È un'istantanea: la pagina mostra la conversazione com'era nel momento della condivisione. Se la conversazione prosegue, la pagina pubblica non cambia, e da lì non si può rispondere né continuare la chat.
Indicizzazione: la pagina chiede ai motori di ricerca di non indicizzarla e di non conservarne copia.
Revoca: chi ha creato il link può revocarlo in qualsiasi momento dall'Assistente; da quel momento l'indirizzo non mostra più nulla. Creazione e revoca restano nel registro delle attività dell'agenzia (chi, quando).

13. Cookie

Questo sito usa cookie tecnici necessari al funzionamento e, solo con il tuo consenso, cookie funzionali/analitici/marketing. Puoi rivedere o cambiare la tua scelta in qualsiasi momento.