Privacy Policy AppuntiEasy
1. Titolare del trattamento
Francesco [Cognome] — titolare individuale (P.IVA da popolare post-apertura forfettario).
Email: supporto@appuntieasy.it
Sede legale: [da popolare post-apertura P.IVA]
2. Dati raccolti
- Account: email, password (hash bcrypt), nome visualizzato
- Contenuti caricati: file audio, PDF, immagini delle lezioni/riunioni
- Materiali generati: trascritti, riassunti, slide, flashcard, grafi concettuali
- Pagamenti: non attivi durante la prova gratuita. Quando verranno attivati: email + nome + indirizzo fatturazione (gestiti da Stripe, NON transitano sui nostri server)
- Dati tecnici: indirizzo IP troncato a /24 (audit log sicurezza), data/ora accessi, user agent browser
- Analytics: Plausible self-hosted raccoglie dati aggregati anonimi (page views, referrer, paese — NO IP completo, NO cookie)
3. Finalità del trattamento
- Erogazione servizio SaaS (trascrizione, generazione materiali AI)
- Gestione account utente e autenticazione
- Fatturazione fiscale (obbligo legale D.P.R. 633/72) — solo quando i pagamenti saranno attivi
- Email transazionali (verifica, ricevuta pagamento, notifiche quota)
- Sicurezza (anti-abuse, rate limiting, audit log)
- Statistiche aggregate per migliorare il prodotto
4. Base giuridica
- Esecuzione contratto (art. 6 §1 lett. b GDPR) per servizio + account + fatturazione
- Obbligo legale (art. 6 §1 lett. c) per conservazione fatture 10 anni
- Legittimo interesse (art. 6 §1 lett. f) per sicurezza e anti-abuse
5. Responsabili del trattamento (subprocessor)
Per fornire il servizio utilizziamo questi fornitori, ognuno nominato responsabile del trattamento ex art. 28 GDPR:
- Attivi: Groq (trascrizione audio e, se scelto, pulizia testo), Google (Gemini API), Anthropic (Claude API), Hetzner (server), Resend (email di servizio), Sentry (segnalazione errori tecnici), OVHcloud Italia (casella supporto).
- Previsti ma non ancora attivi: Stripe (pagamenti) e Fatture in Cloud (fatture). Non ricevono alcun dato finché i pagamenti non vengono attivati; la data di attivazione sarà riportata nello storico modifiche.
I testi e gli audio delle lezioni non vengono usati da nessuno di questi fornitori per addestrare i loro modelli. Non usiamo altri fornitori di AI.
Anthropic, PBC (USA)
- Servizio: API Claude per gli appunti dettagliati della lezione (e, se attivato, l'approfondimento con ricerca web)
- Dati trattati: parti del testo trascritto delle lezioni, indice degli argomenti
- Sede: 548 Market St, San Francisco, CA 94104, USA
- Trasferimento extra-UE: Clausole Contrattuali Standard UE 2021/914 + DPA firmato
- Retention: input e output cancellati automaticamente entro 30 giorni (salvo violazioni delle policy o obblighi di legge); non usati per addestrare i modelli
- DPA: incorporato nei Commercial Terms di Anthropic (accettati con l'uso dell'API)
- Testo DPA: anthropic.com/legal/data-processing-addendum
Google LLC (USA) — Gemini API
- Servizio: Gemini API (servizio a pagamento) per pulizia della trascrizione, indice degli argomenti, riassunto, concetti chiave, glossario della materia, chat della lezione e lettura delle immagini degli appunti
- Dati trattati: testo trascritto, appunti caricati, messaggi della chat della lezione
- Trasferimento extra-UE: SCC + DPA
- Retention: per i servizi a pagamento Google non usa prompt e risposte per migliorare i prodotti; li registra per un periodo limitato solo per prevenire abusi e per obblighi di legge
- DPA: Data Processing Addendum for Products Where Google is a Data Processor (richiamato dai termini Gemini API)
Groq, Inc. (USA)
- Servizio: API Whisper Large v3 Turbo per trascrizione audio (con il nome della materia e i suoi termini tecnici come contesto); in alternativa, se configurato, modelli di testo per la pulizia della trascrizione
- Dati trattati: file audio (a pezzi), eventualmente testo trascritto
- Trasferimento extra-UE: Clausole Contrattuali Standard UE (moduli 2 e 3) incluse nel DPA
- Retention: Groq non conserva né usa input e output oltre quanto serve a fornire il servizio e non li usa per addestrare modelli (Services Agreement §4.2)
- DPA: incorporato nel Groq Services Agreement (l'accettazione del contratto vale come firma del DPA): console.groq.com/docs/legal/customer-data-processing-addendum
Stripe, Inc. (USA) — NON ancora attivo
- Servizio: gestione pagamenti, abbonamenti
- Dati trattati: email, nome, indirizzo fatturazione, dati carta (gestiti SOLO da Stripe, PCI DSS Level 1, NON transitano sui nostri server)
- Trasferimento extra-UE: SCC + DPA
- Retention: 10 anni (obbligo legale fiscale italiano D.P.R. 633/72 + KYC)
- DPA: stripe.com/legal/dpa
Resend, Inc. (USA)
- Servizio: invio email transazionali
- Dati trattati: email destinatario, contenuto email
- Trasferimento extra-UE: SCC + DPA
- Retention: 90 giorni per deliverability analytics
- DPA: resend.com/legal/dpa
- Cancellazione su richiesta: API contacts/{id} chiamata in caso di account deletion (art. 17 GDPR)
Hetzner Online GmbH (Germania)
- Servizio: hosting server applicativo + database SQLite + file caricati
- Dati trattati: tutti i dati applicativi
- Localizzazione: datacenter Falkenstein, Germania — NESSUN trasferimento extra-UE
- DPA: contratto di trattamento dati Hetzner (modello pubblico)
Functional Software, Inc. — Sentry (USA)
- Servizio: segnalazione degli errori tecnici dell'applicazione
- Dati trattati: dati tecnici dell'errore (pagina, messaggio di errore, identificativo numerico dell'utente); non i contenuti delle lezioni
- Trasferimento extra-UE: SCC + DPA
- DPA: sentry.io/legal/dpa
OVHcloud Italia S.r.l. (Italia) — sub-fornitore Microsoft Corporation
- Sede legale: Via Carlo Imbonati 18, 20159 Milano, Italia
- C.F./P.IVA: 06157670966
- Servizio: mailbox supporto
supporto@appuntieasy.it (Email Pro / Microsoft Exchange)
- Dati trattati: email scambiate con utenti che contattano il supporto
- Localizzazione: datacenter UE — NESSUN trasferimento extra-UE per i dati
- DPA: versione 17/10/2025 (PDF DPA OVH)
- Sub-fornitori OVH: lista aggiornata
- Sub-fornitore notevole: Microsoft Corporation (USA, sub-EULA SPLA2013) per backend Microsoft Exchange — Microsoft sottostà a US export jurisdiction
Fatture in Cloud S.r.l. (Italia) — NON ancora attivo
- Servizio: emissione fatture elettroniche SDI
- Dati trattati: dati fatturazione (nome, P.IVA, indirizzo, importo)
- Localizzazione: Italia — NESSUN trasferimento extra-UE
- Retention: 10 anni (obbligo legale fiscale D.P.R. 633/72)
- DPA: fattureincloud.it/legale
Plausible Insights OÜ (Estonia) — SOFTWARE self-hosted
- Servizio: software analytics (deployed self-hosted su Hetzner Frankfurt, sub-dominio
analytics.appuntieasy.it)
- Dati trattati: dati visite anonimi (NO cookie, NO IP completo) — restano nel nostro server Hetzner
- Localizzazione: nostra infrastruttura (Hetzner DE)
- Note: Plausible Insights NON vede mai i nostri dati — siamo titolari dell'istanza self-hosted
6. Trasferimenti extra-UE
I subprocessor con sede USA (Anthropic, Google, Groq, Resend, Sentry; Stripe quando sarà attivo) operano con Clausole Contrattuali Standard (SCC) ex Decisione UE 2021/914 + DPA firmato. Microsoft Corporation è sub-fornitore di OVH per Microsoft Exchange e sottostà a US export jurisdiction (EULA art. 12).
7. Retention dei dati
- Audio originale: conservato finché l'utente non lo cancella o cancella l'account. La cancellazione automatica (Free 24 ore — Paid 1 anno dall'upload) non è ancora attiva: verrà annunciata qui prima di attivarla
- Glossario della materia: termini tecnici ricavati dalle lezioni per trascrivere meglio le successive, conservati con la materia e cancellati con essa
- Materiali generati (trascritti, slide, flashcard, mindmap): conservati per la durata dell'account
- Account: fino a richiesta cancellazione (art. 17 GDPR — vedi sezione 8)
- Fatture: 10 anni (obbligo legale D.P.R. 633/72 — escluso dal diritto cancellazione art. 17 §3 lett. b GDPR)
- Audit log: 24 mesi (sicurezza)
- Backup database: 14 giorni (recovery operativo)
8. Diritti dell'interessato
- Accesso (art. 15 GDPR): richiesta esportazione dati in formato leggibile (JSON, Markdown, CSV) via pagina esportazione
- Cancellazione (art. 17 GDPR): due opzioni — standard (grace 14 giorni con possibilità di ripensarci) o immediata (irreversibile, con codice di conferma)
- Portabilità (art. 20): coperta dall'esportazione (ZIP multi-format)
- Revoca consenso (art. 7): per community opt-in (funzionalità future)
- Rettifica: via pagina settings o email a supporto@appuntieasy.it
- Reclamo Garante Privacy: garanteprivacy.it
9. Cookie
Utilizziamo SOLO cookie tecnici necessari (sessione sid per autenticazione). Nessun cookie di tracciamento o profilazione. Dettagli completi in Cookie Policy.
10. Storico modifiche
| Versione | Data | Modifiche |
|---|
| 1.0 | 2026-06-01 | Prima pubblicazione |
| 1.1 | 2026-11-01 | Fornitori attivi e non ancora attivi (Stripe, Fatture in Cloud); usi di Gemini, Claude e Groq aggiornati alla nuova pipeline; conservazione Anthropic, Google e Groq corretta secondo i termini in vigore; aggiunto Sentry; glossario della materia; cancellazione automatica degli audio non ancora attiva |