Informativa sulla privacy

Ultimo aggiornamento: 27 luglio 2026

La presente informativa spiega come Simone Marrocco ("noi", il Titolare del trattamento) tratta i dati personali quando utilizzi UnlockGPT (l’"App" o il "Servizio"), un assistente per la produttività basato sull’IA che si integra con i tuoi account email, calendari, archivi di documenti e altri servizi per offrire un’automazione intelligente delle attività.

Il nostro principio guida è semplice: i tuoi dati sono tuoi. Sono cifrati, così noi non possiamo leggerli; puoi eliminarli in qualsiasi momento; e l’unica cosa che raccogliamo sul tuo utilizzo sono statistiche progettate per essere anonime (come il numero di token), che non includono mai il contenuto delle tue conversazioni. Per una spiegazione in parole semplici di questo funzionamento, consulta Come proteggiamo i tuoi dati.

1. Titolare e contatti

Trattiamo i dati personali in conformità al Regolamento generale sulla protezione dei dati dell’Unione europea (GDPR) e alle leggi nazionali applicabili.

2. Dove sono conservati i tuoi dati

Tutti i dati sono conservati esclusivamente all’interno dell’Unione europea:

• MongoDB Atlas (Europa): Account utente, metadati delle chat, informazioni sugli account collegati, contenuti dei documenti caricati (cifrati) e statistiche di utilizzo.
• Google Cloud (Europa): Server applicativi ed elaborazione temporanea dei file.

I tuoi messaggi nelle chat e i documenti caricati sono cifrati con AES-256-GCM mediante una chiave di cifratura personale derivata dalla password del tuo account (PBKDF2, 600.000 iterazioni, eseguite nel tuo browser). La chiave viene derivata sul dispositivo e non è mai conservata sui nostri server: conserviamo soltanto un hash bcrypt unidirezionale della password per verificare il tuo accesso, che non può essere invertito per ricavare la password o la chiave. Questo significa che nemmeno noi possiamo leggere i tuoi messaggi o documenti. Cambiando password, i tuoi dati vengono ricifrati con la nuova chiave; reimpostando una password dimenticata, i contenuti cifrati vengono eliminati perché nessuno può decifrarli.

La cifratura con la tua chiave personale comprende: i tuoi messaggi, le risposte dell’IA, i risultati e gli argomenti di ogni strumento utilizzato dall’IA (contenuti delle email, contenuti dei file, dati del calendario recuperati), le tracce del ragionamento dell’IA e le anteprime delle chat. Restano non cifrati solo i metadati operativi minimi necessari al funzionamento dell’App: titoli delle chat, date e ore, numero di messaggi, nomi degli strumenti e statistiche sul numero di token.

I token OAuth dei tuoi account collegati (Google, Microsoft, Dropbox) sono anch’essi cifrati a riposo con AES-256-GCM, usando una chiave separata lato server conservata al di fuori del database. Non riceviamo né conserviamo mai le password dei tuoi account.

3. Cosa registriamo (e cosa non registriamo)

NON registriamo, conserviamo né possiamo consultare:

• Il contenuto dei tuoi messaggi nelle chat (cifrato con la tua chiave personale)
• Il testo che invii all’IA o ricevi dall’IA
• Il contenuto delle tue email, degli eventi del calendario o dei file
• Gli input e gli output degli strumenti usati dall’IA per tuo conto, né le tracce del ragionamento dell’IA (tutto cifrato con la tua chiave personale)
• La tua password o la chiave di cifratura derivata

Registriamo invece, per migliorare il Servizio e per le analisi della piattaforma:

• Statistiche sull’utilizzo dei token: Per ogni richiesta all’IA registriamo solo contatori numerici — token di input, token di output, token memorizzati nella cache — oltre al nome del modello utilizzato. Sono semplici numeri impiegati per fatturazione, pianificazione della capacità e ottimizzazione dei costi; non contengono testo.
• Utilizzo delle funzionalità: Quali funzionalità utilizzi (ad esempio, il caricamento di file) e quali strumenti l’IA ha invocato per nome (ad esempio, “ricerca email”), non ciò che dici, carichi, cerchi o trovi
• Tipi di account collegati: Quali servizi colleghi (Gmail, Outlook e così via), non il contenuto delle tue email
• Log degli errori: Errori tecnici per il debug (anonimizzati ove possibile)
• Metriche di prestazione: Tempi di risposta, tempo al primo token, latenza delle API e tassi di successo/errore per ottimizzare il Servizio

I nostri amministratori visualizzano questi dati solo in dashboard aggregate (richieste totali, volumi di token, tempi di risposta, tassi di errore). Per progettazione, nei log non viene mai scritto alcun contenuto dei messaggi, testo dei prompt o output dell’IA: né gli amministratori né chiunque altro può quindi leggere le tue conversazioni attraverso questi log.

Questi log di utilizzo sono conservati in una raccolta dedicata, separata dai tuoi messaggi, e contengono il tuo indirizzo email e l’identificativo interno dell’account insieme ai dati tecnici. Sono conservati indipendentemente dai tuoi messaggi: eliminare una chat, un messaggio o il tuo account non li elimina. Vengono conservati per 36 mesi, dopodiché sono eliminati automaticamente (vedi la Sezione 8). La base giuridica per conservarli dopo l’eliminazione dell’account è il nostro legittimo interesse (art. 6, par. 1, lett. f GDPR) a dimostrare l’erogazione del Servizio in caso di contestazioni di pagamento e rimborsi. Poiché non contengono contenuti dei messaggi, non possono essere usati per ricostruire ciò che hai scritto.

Questi dati sono utilizzati esclusivamente per migliorare il Servizio, comprendere i modelli di utilizzo e garantirne il funzionamento affidabile. Non vengono mai venduti o condivisi con terzi per finalità pubblicitarie e non vengono mai utilizzati per addestrare modelli di IA.

4. Categorie di dati trattati

A seconda di come utilizzi il Servizio, possiamo trattare:

Non raccogliamo intenzionalmente categorie particolari di dati (art. 9 GDPR). Evita di inserire informazioni sensibili non necessarie.

5. Provider di IA: Fireworks AI

Per generare le risposte dell’IA, i tuoi prompt vengono inviati a Fireworks AI, il nostro provider di infrastruttura IA, che li tratta negli Stati Uniti (vedi la Sezione 10). Fireworks AI offre solide garanzie di privacy:

• Conservazione zero dei dati per impostazione predefinita: Prompt e output esistono solo nella memoria volatile per la durata della richiesta e non vengono registrati in archivi persistenti.
• Nessun addestramento dei modelli: I tuoi dati non vengono mai utilizzati per addestrare modelli di IA senza un consenso esplicito.
• Certificazioni: SOC 2 Type II, HIPAA, ISO 27001, ISO 27701 e ISO 42001; Fireworks AI allinea i propri controlli di sicurezza ai requisiti del GDPR.
• Cifratura: Dati cifrati in transito (TLS 1.2 o superiore) e a riposo (AES-256).

Per maggiori informazioni, consulta:

• Documentazione sulla sicurezza dei dati di Fireworks AI
• Trust Center di Fireworks AI
• Informativa sulla privacy di Fireworks AI

6. Certificazione di sicurezza

UnlockGPT ha ottenuto la certificazione CASA Tier 2 (Cloud Application Security Assessment), convalidata da TAC Security usando il framework ESOF AppSec ADA.

• ESOF Cyber Score: 9,4 / 10 (rischio basso)
• Data della valutazione: Ottobre 2025
• Nessuna vulnerabilità critica o ad alta gravità: individuata

CASA si basa sull’Application Security Verification Standard (ASVS) di OWASP e offre valutazioni affidabili per le applicazioni che gestiscono dati sensibili.

7. Finalità e basi giuridiche

Trattiamo i dati per:

8. Conservazione dei dati

Conserviamo i dati solo per il tempo necessario:

• Messaggi delle chat: Conservati fino a quando li elimini oppure elimini il tuo account. Cifrati e inaccessibili senza la tua password.
• Log e statistiche di utilizzo: (numero di token, nomi dei modelli, tempi di risposta, nomi degli strumenti, stato di successo/errore e indirizzo email dell’account, mai contenuti): conservati per 36 mesi, dopodiché eliminati automaticamente. Non vengono eliminati quando elimini singole chat o messaggi, né quando elimini il tuo account: restano collegati al tuo indirizzo email come prova dell’erogazione del Servizio. La base giuridica è il nostro legittimo interesse (art. 6, par. 1, lett. f GDPR) a dimostrare l’erogazione del Servizio in caso di contestazioni di pagamento e rimborsi. Non contengono contenuti dei messaggi.
• Token degli account collegati: Scollegare un account nell’App elimina immediatamente e definitivamente dal nostro database il token cifrato conservato. Per revocare anche l’autorizzazione alla fonte, usa le impostazioni di sicurezza del tuo account Google, Microsoft o Dropbox. Se un provider segnala che una connessione non funziona più (ad esempio perché l’hai revocata lato provider), la disattiviamo e il token non più valido viene rimosso quando elimini il tuo account.
• Dati dell’account: Conservati per tutta la durata dell’account e per gli eventuali periodi di conservazione previsti dalla legge.
• Registri di fatturazione: Il record dell’abbonamento (email, identificativi del cliente e dell’abbonamento presso il provider, stato, fine del periodo e date di annullamento ed eliminazione) viene conservato dopo l’eliminazione dell’account per lo stesso scopo dei log di utilizzo: dimostrare l’erogazione del Servizio in caso di contestazioni di pagamento e rimborsi. Creem, in qualità di Merchant of Record, conserva le fatture secondo quanto richiesto dalla legge fiscale italiana (in genere 10 anni).

L’eliminazione è disponibile autonomamente. Puoi eliminare qualsiasi chat singola (rimuovendo immediatamente dal nostro database di produzione la chat, tutti i suoi messaggi e le relative liste di attività) oppure eliminare l’intero account. L’eliminazione dell’account rimuove, con un’unica operazione a cascata: chat e messaggi, attività e suggerimenti, documenti caricati e relative pagine, token degli account collegati, record delle analisi proattive, segnalazioni di bug, artefatti, iscrizioni alla lista d’attesa e inviti e il profilo. Vengono conservati tre record: i log di utilizzo (collegati alla tua email) e il record dell’abbonamento, entrambi descritti sopra, e il record dell’esecuzione di Instant Scan che conserva l’indirizzo collegato e impedisce più di una scansione gratuita per indirizzo. Devi annullare l’abbonamento prima di poter eliminare l’account. Copie residue possono rimanere temporaneamente nei backup automatici dei nostri provider di infrastruttura prima della scadenza secondo i loro normali cicli di rotazione; in ogni caso, completiamo l’eliminazione entro 30 giorni, salvo i record conservati sopra descritti e i casi in cui la legge imponga la conservazione. Le conversazioni eliminate restano cifrate con la tua chiave personale anche nelle eventuali copie residue, quindi rimangono illeggibili prima della scadenza del backup.

9. Destinatari e comunicazioni

Possiamo condividere i dati con le seguenti categorie di destinatari:

Non vendiamo i tuoi dati personali. Richiediamo ai destinatari che agiscono come responsabili del trattamento di seguire le nostre istruzioni documentate e adottare garanzie adeguate (art. 28 GDPR).

10. Trasferimenti internazionali di dati

Tutti i dati principali sono conservati all’interno dell’UE/SEE (MongoDB Atlas Europe, Google Cloud Europe). Fireworks AI può trattare i dati negli Stati Uniti; i trasferimenti sono coperti dalle Clausole contrattuali standard dell’UE e da misure tecniche supplementari. Le informazioni sui singoli trasferimenti sono disponibili su richiesta.

11. I tuoi diritti

Ai sensi del GDPR, hai il diritto di:

• Accesso: Chiedere una copia dei tuoi dati personali.
• Rettifica: Correggere i dati inesatti.
• Cancellazione: Chiedere l’eliminazione dei tuoi dati (il “diritto all’oblio”). Puoi farlo autonomamente in qualsiasi momento eliminando singole chat o l’intero account dall’App. Dopo l’eliminazione vengono conservati due record — i log di utilizzo collegati alla tua email e il record dell’abbonamento — in base al nostro legittimo interesse a dimostrare l’erogazione del Servizio in caso di contestazioni di pagamento (per ciò che viene eliminato e conservato, vedi la Sezione 8).
• Limitazione: Limitare il modo in cui trattiamo i tuoi dati.
• Portabilità: Ricevere i tuoi dati in un formato strutturato e leggibile da un dispositivo automatico.
• Opposizione: Opporti al trattamento basato su legittimi interessi.
• Revoca del consenso: Quando il trattamento si basa sul consenso.

Per esercitare i tuoi diritti, contatta: [email protected]

Hai inoltre il diritto di presentare un reclamo al Garante per la protezione dei dati personali all’indirizzo www.garanteprivacy.it.

12. Minori

Il Servizio non è destinato a minori di 14 anni (secondo la legge italiana). Se ritieni che un minore abbia fornito dati personali senza un consenso valido, contattaci per chiederne la rimozione.

13. Processo decisionale automatizzato

Non effettuiamo decisioni basate esclusivamente su trattamenti automatizzati che producano effetti giuridici o effetti analogamente significativi. Gli output generati dall’IA sono strumenti di supporto, non decisioni automatizzate su di te.

14. Instant Scan (la demo gratuita)

Instant Scan ti permette di collegare uno o più account Gmail o Outlook dalla nostra homepage e ricevere, senza creare un account, un riepilogo una tantum di ciò che richiede la tua attenzione. È opzionale e separato dal Servizio descritto sopra.

Cosa chiediamo. Accesso in sola lettura alla posta e al calendario e il tuo indirizzo email. Non chiediamo il permesso di inviare, eliminare o modificare alcunché e non chiediamo l’accesso offline: l’autorizzazione ricevuta scade entro circa un’ora e non possiamo rinnovarla.

Dove vive l’autorizzazione. Il token di accesso resta solo nella scheda del browser che stai usando, per la durata della visita. Non lo scriviamo mai nel nostro database. Quando la scansione termina, chiudiamo l’autorizzazione; chiudendo la scheda, il token viene eliminato.

Cosa viene trattato. Per scrivere il tuo riepilogo, il contenuto dei messaggi recenti e degli eventi del calendario viene inviato al nostro provider di IA (Fireworks AI, vedi la Sezione 5) e ai nostri server durante il transito. Né noi né Fireworks conserviamo tali contenuti dopo la scansione e non li usiamo per addestrare alcun modello.

Cosa conserviamo. Solo l’indirizzo email di ciascun account collegato — così la scansione gratuita resta una per indirizzo — insieme a dati tecnici sull’esecuzione: quando è avvenuta, quanto è durata, quanti messaggi sono stati esaminati, quanti suggerimenti sono stati prodotti e quanto ci è costata in termini di utilizzo dell’IA. Non conserviamo i tuoi messaggi, i relativi mittenti o oggetti, né il riepilogo, salvo che tu prema il pulsante che offre di inviarlo al nostro team.

Base giuridica. Il tuo consenso (art. 6, par. 1, lett. a GDPR), prestato quando autorizzi la connessione. Puoi revocarlo in qualsiasi momento chiudendo la scheda e puoi chiederci di eliminare il tuo indirizzo usando i recapiti indicati sotto.

15. Modifiche alla presente informativa

Potremmo aggiornare la presente informativa per riflettere cambiamenti normativi o tecnici. Gli aggiornamenti saranno pubblicati su questa pagina con la nuova data di entrata in vigore. L’utilizzo continuato dopo l’entrata in vigore delle modifiche costituisce accettazione dell’informativa aggiornata.

Contatti

Per domande o richieste sulla privacy: [email protected]
Simone Marrocco — Partita IVA IT02799690223 — Italia