Informativa sulla privacy

Ultimo aggiornamento: 17 ottobre 2026

La presente informativa spiega come Simone Marrocco ("noi", il Titolare del trattamento) tratta i dati personali quando utilizzi UnlockGPT (l’"App" o il "Servizio"), un assistente per la produttività basato sull’IA che si integra con i tuoi account email, calendari, archivi di documenti e altri servizi per offrire un’automazione intelligente delle attività.

Il nostro principio guida è semplice: i tuoi dati sono tuoi. Sono cifrati a riposo con una chiave che solo la tua password sblocca, così il nostro database e i backup da soli non possono leggerli; puoi eliminarli in qualsiasi momento; e l’unica cosa che raccogliamo sul tuo utilizzo sono statistiche progettate per essere anonime (come il numero di token), che non includono mai il contenuto delle tue conversazioni. Per una spiegazione in parole semplici di questo funzionamento, consulta Come proteggiamo i tuoi dati.

1. Titolare e contatti

Trattiamo i dati personali in conformità al Regolamento generale sulla protezione dei dati dell’Unione europea (GDPR) e alle leggi nazionali applicabili.

2. Dove sono conservati i tuoi dati

Tutti i dati sono conservati esclusivamente all’interno dell’Unione europea:

• MongoDB Atlas (Europa): Account utente, metadati delle chat, informazioni sugli account collegati, contenuti dei documenti caricati (cifrati) e statistiche di utilizzo.
• Google Cloud (Europa): Server applicativi ed elaborazione temporanea dei file.

I tuoi messaggi nelle chat e i documenti caricati sono cifrati a riposo con AES-256-GCM mediante una chiave di cifratura personale casuale. Conserviamo questa chiave solo protetta (cifrata) con una chiave derivata dalla password del tuo account (PBKDF2, 600.000 iterazioni), insieme a un hash bcrypt unidirezionale della password usato per verificare il tuo accesso; nessuno dei due può essere invertito per ricavare la password o la chiave. Quando accedi, il nostro server deriva dalla password la chiave di protezione e sblocca la tua chiave di cifratura, che il tuo browser conserva per la sessione e invia con ogni richiesta, così che il server possa trattare i tuoi dati mentre ti risponde. La chiave non viene mai scritta in chiaro nel nostro database, quindi il database e i suoi backup da soli non possono leggere i tuoi contenuti. Cambiando password, la stessa chiave viene protetta con la nuova password; reimpostando una password dimenticata, i contenuti cifrati e gli account collegati vengono eliminati, perché nessuno può sbloccare la vecchia chiave.

La cifratura con la tua chiave personale comprende: i tuoi messaggi, le risposte dell’IA, i risultati e gli argomenti di ogni strumento utilizzato dall’IA (contenuti delle email, contenuti dei file, dati del calendario recuperati), le tracce del ragionamento dell’IA, i titoli e le anteprime delle chat, i tuoi lavori, le attività e i suggerimenti, i documenti e le bozze di email generati, i nomi dei documenti caricati, il riepilogo giornaliero e il tuo profilo. Restano non cifrati solo i metadati operativi minimi necessari al funzionamento dell’App: indirizzi email, date e ore, conteggi, nomi degli strumenti e statistiche sul numero di token.

I token OAuth dei tuoi account collegati (Google, Microsoft, Dropbox, GitHub) sono anch’essi cifrati a riposo con la tua chiave personale, così possono essere usati solo durante le tue richieste. Non riceviamo né conserviamo mai le password dei tuoi account.

3. Cosa registriamo (e cosa non registriamo)

NON registriamo, conserviamo né possiamo consultare:

• Il contenuto dei tuoi messaggi nelle chat (cifrato con la tua chiave personale)
• Il testo che invii all’IA o ricevi dall’IA
• Il contenuto delle tue email, degli eventi del calendario o dei file
• Gli input e gli output degli strumenti usati dall’IA per tuo conto, né le tracce del ragionamento dell’IA (tutto cifrato con la tua chiave personale)
• La tua password, o la tua chiave di cifratura in forma sbloccata (resta in memoria solo mentre le tue richieste sono in corso)

Registriamo invece, per migliorare il Servizio e per le analisi della piattaforma:

• Statistiche sull’utilizzo dei token: Per ogni richiesta all’IA registriamo solo contatori numerici — token di input, token di output, token memorizzati nella cache — oltre al nome del modello utilizzato. Sono semplici numeri impiegati per fatturazione, pianificazione della capacità e ottimizzazione dei costi; non contengono testo.
• Utilizzo delle funzionalità: Quali funzionalità utilizzi (ad esempio, il caricamento di file) e quali strumenti l’IA ha invocato per nome (ad esempio, “ricerca email”), non ciò che dici, carichi, cerchi o trovi
• Tipi di account collegati: Quali servizi colleghi (Gmail, Outlook e così via), non il contenuto delle tue email
• Log degli errori: Errori tecnici per il debug (anonimizzati ove possibile)
• Metriche di prestazione: Tempi di risposta, tempo al primo token, latenza delle API e tassi di successo/errore per ottimizzare il Servizio

I nostri amministratori visualizzano questi dati solo in dashboard aggregate (richieste totali, volumi di token, tempi di risposta, tassi di errore). Per progettazione, nei log non viene mai scritto alcun contenuto dei messaggi, testo dei prompt o output dell’IA: né gli amministratori né chiunque altro può quindi leggere le tue conversazioni attraverso questi log.

Questi log di utilizzo sono conservati in una raccolta dedicata, separata dai tuoi messaggi, e contengono il tuo indirizzo email e l’identificativo interno dell’account insieme ai dati tecnici. Sono conservati indipendentemente dai tuoi messaggi: eliminare una chat, un messaggio o il tuo account non li elimina. Vengono conservati per 36 mesi, dopodiché sono eliminati automaticamente (vedi la Sezione 8). La base giuridica per conservarli dopo l’eliminazione dell’account è il nostro legittimo interesse (art. 6, par. 1, lett. f GDPR) a dimostrare l’erogazione del Servizio in caso di contestazioni di pagamento e rimborsi. Poiché non contengono contenuti dei messaggi, non possono essere usati per ricostruire ciò che hai scritto.

Questi dati sono utilizzati esclusivamente per migliorare il Servizio, comprendere i modelli di utilizzo e garantirne il funzionamento affidabile. Non vengono mai venduti o condivisi con terzi per finalità pubblicitarie e non vengono mai utilizzati per addestrare modelli di IA.

4. Categorie di dati trattati

A seconda di come utilizzi il Servizio, possiamo trattare:

Non raccogliamo intenzionalmente categorie particolari di dati (art. 9 GDPR). Evita di inserire informazioni sensibili non necessarie.

5. Provider di IA: Fireworks AI

Per generare le risposte dell’IA, i tuoi prompt vengono inviati a Fireworks AI, il nostro provider di infrastruttura IA, che li tratta negli Stati Uniti (vedi la Sezione 10). Fireworks AI offre solide garanzie di privacy:

• Conservazione zero dei dati per impostazione predefinita: Prompt e output esistono solo nella memoria volatile per la durata della richiesta e non vengono registrati in archivi persistenti.
• Nessun addestramento dei modelli: I tuoi dati non vengono mai utilizzati per addestrare modelli di IA senza un consenso esplicito.
• Certificazioni: SOC 2 Type II, HIPAA, ISO 27001, ISO 27701 e ISO 42001; Fireworks AI allinea i propri controlli di sicurezza ai requisiti del GDPR.
• Cifratura: Dati cifrati in transito (TLS 1.2 o superiore) e a riposo (AES-256).

Per maggiori informazioni, consulta:

• Documentazione sulla sicurezza dei dati di Fireworks AI
• Trust Center di Fireworks AI
• Informativa sulla privacy di Fireworks AI

6. Certificazione di sicurezza

UnlockGPT ha ottenuto la certificazione CASA Tier 2 (Cloud Application Security Assessment), convalidata da TAC Security usando il framework ESOF AppSec ADA.

• ESOF Cyber Score: 9,4 / 10 (rischio basso)
• Data della valutazione: Ottobre 2025
• Nessuna vulnerabilità critica o ad alta gravità: individuata

CASA si basa sull’Application Security Verification Standard (ASVS) di OWASP e offre valutazioni affidabili per le applicazioni che gestiscono dati sensibili.

7. Finalità e basi giuridiche

Trattiamo i dati per:

8. Conservazione dei dati

Conserviamo i dati solo per il tempo necessario:

• Messaggi delle chat: Conservati fino a quando li elimini oppure elimini il tuo account. Cifrati e inaccessibili senza la tua password.
• Log e statistiche di utilizzo: (numero di token, nomi dei modelli, tempi di risposta, nomi degli strumenti, stato di successo/errore e indirizzo email dell’account, mai contenuti): conservati per 36 mesi, dopodiché eliminati automaticamente. Non vengono eliminati quando elimini singole chat o messaggi, né quando elimini il tuo account: restano collegati al tuo indirizzo email come prova dell’erogazione del Servizio. La base giuridica è il nostro legittimo interesse (art. 6, par. 1, lett. f GDPR) a dimostrare l’erogazione del Servizio in caso di contestazioni di pagamento e rimborsi. Non contengono contenuti dei messaggi.
• Token degli account collegati: Scollegare un account nell’App elimina immediatamente e definitivamente dal nostro database il token cifrato conservato. Per revocare anche l’autorizzazione alla fonte, usa le impostazioni di sicurezza del tuo account Google, Microsoft o Dropbox. Se un provider segnala che una connessione non funziona più (ad esempio perché l’hai revocata lato provider), la disattiviamo e il token non più valido viene rimosso quando elimini il tuo account.
• Dati dell’account: Conservati per tutta la durata dell’account e per gli eventuali periodi di conservazione previsti dalla legge.
• Registri di fatturazione: Il record dell’abbonamento (email, identificativi del cliente e dell’abbonamento presso il provider, stato, fine del periodo e date di annullamento ed eliminazione) viene conservato dopo l’eliminazione dell’account per lo stesso scopo dei log di utilizzo: dimostrare l’erogazione del Servizio in caso di contestazioni di pagamento e rimborsi. Creem, in qualità di Merchant of Record, conserva le fatture secondo quanto richiesto dalla legge fiscale italiana (in genere 10 anni).

L’eliminazione è disponibile autonomamente. Puoi eliminare qualsiasi chat singola (rimuovendo immediatamente dal nostro database di produzione la chat, tutti i suoi messaggi e le relative liste di attività) oppure eliminare l’intero account. L’eliminazione dell’account rimuove, con un’unica operazione a cascata: chat e messaggi, attività e suggerimenti, documenti caricati e relative pagine, token degli account collegati, record delle analisi proattive, segnalazioni di bug, artefatti, iscrizioni alla lista d’attesa e inviti e il profilo. Vengono conservati due record: i log di utilizzo (collegati alla tua email) e il record dell’abbonamento, entrambi descritti sopra. Devi annullare l’abbonamento prima di poter eliminare l’account. Copie residue possono rimanere temporaneamente nei backup automatici dei nostri provider di infrastruttura prima della scadenza secondo i loro normali cicli di rotazione; in ogni caso, completiamo l’eliminazione entro 30 giorni, salvo i record conservati sopra descritti e i casi in cui la legge imponga la conservazione. Le conversazioni eliminate restano cifrate con la tua chiave personale anche nelle eventuali copie residue, quindi rimangono illeggibili prima della scadenza del backup.

9. Destinatari e comunicazioni

Possiamo condividere i dati con le seguenti categorie di destinatari:

Non vendiamo i tuoi dati personali. Richiediamo ai destinatari che agiscono come responsabili del trattamento di seguire le nostre istruzioni documentate e adottare garanzie adeguate (art. 28 GDPR).

10. Trasferimenti internazionali di dati

Tutti i dati principali sono conservati all’interno dell’UE/SEE (MongoDB Atlas Europe, Google Cloud Europe). Fireworks AI può trattare i dati negli Stati Uniti; i trasferimenti sono coperti dalle Clausole contrattuali standard dell’UE e da misure tecniche supplementari. Le informazioni sui singoli trasferimenti sono disponibili su richiesta.

11. I tuoi diritti

Ai sensi del GDPR, hai il diritto di:

• Accesso: Chiedere una copia dei tuoi dati personali.
• Rettifica: Correggere i dati inesatti.
• Cancellazione: Chiedere l’eliminazione dei tuoi dati (il “diritto all’oblio”). Puoi farlo autonomamente in qualsiasi momento eliminando singole chat o l’intero account dall’App. Dopo l’eliminazione vengono conservati due record — i log di utilizzo collegati alla tua email e il record dell’abbonamento — in base al nostro legittimo interesse a dimostrare l’erogazione del Servizio in caso di contestazioni di pagamento (per ciò che viene eliminato e conservato, vedi la Sezione 8).
• Limitazione: Limitare il modo in cui trattiamo i tuoi dati.
• Portabilità: Ricevere i tuoi dati in un formato strutturato e leggibile da un dispositivo automatico.
• Opposizione: Opporti al trattamento basato su legittimi interessi.
• Revoca del consenso: Quando il trattamento si basa sul consenso.

Per esercitare i tuoi diritti, contatta: [email protected]

Hai inoltre il diritto di presentare un reclamo al Garante per la protezione dei dati personali all’indirizzo www.garanteprivacy.it.

12. Minori

Il Servizio non è destinato a minori di 14 anni (secondo la legge italiana). Se ritieni che un minore abbia fornito dati personali senza un consenso valido, contattaci per chiederne la rimozione.

13. Processo decisionale automatizzato

Non effettuiamo decisioni basate esclusivamente su trattamenti automatizzati che producano effetti giuridici o effetti analogamente significativi. Gli output generati dall’IA sono strumenti di supporto, non decisioni automatizzate su di te.

14. Modifiche alla presente informativa

Potremmo aggiornare la presente informativa per riflettere cambiamenti normativi o tecnici. Gli aggiornamenti saranno pubblicati su questa pagina con la nuova data di entrata in vigore. L’utilizzo continuato dopo l’entrata in vigore delle modifiche costituisce accettazione dell’informativa aggiornata.

Contatti

Per domande o richieste sulla privacy: [email protected]
Simone Marrocco — Partita IVA IT02799690223 — Italia