Informativa privacy, in linguaggio chiaro

Chi è il titolare del trattamento

Giacomo Fedeli, che sviluppa ComplyAI come progetto personale aperto e non commerciale. Contatti in fondo alla pagina (LinkedIn o GitHub): rispondo io, non un ufficio.

Quali dati trattiamo

• Account (solo se ti registri): email e password. La password è gestita e cifrata da Supabase Auth: non la vediamo mai in chiaro.
• Contenuti che scegli di salvare: valutazioni AI Act, scadenze, matrici di controlli, memo di revisione contrattuale. Se non salvi, restano nel tuo browser e non li riceviamo.
• Contratti caricati: vengono letti NEL TUO BROWSER. Il testo raggiunge i nostri server solo se scegli l'analisi AI; in ogni caso salviamo il memo di revisione, mai il file originale.
• Registro audit: chi (il tuo ID), cosa (creato/modificato/eliminato) e quando, per ogni azione sui tuoi dati. È append-only: nessuno può alterarlo, garanzia di integrità.
• Dati tecnici minimi dei provider di hosting (log di erogazione del servizio). Non installiamo strumenti di analytics né pixel di tracciamento.

Cosa NON facciamo

• Niente pubblicità, niente profilazione, niente vendita o cessione di dati.
• Niente cookie di tracciamento: solo cookie/storage tecnici per tenerti collegato.
• Niente addestramento di modelli AI sui tuoi dati: il provider AI è configurato con l'opt-out dal training.
• Niente email di marketing (in beta non inviamo email del tutto).

Dove stanno i dati e chi li tratta per noi

• Supabase (database e autenticazione) — dati salvati nella regione UE, Francoforte. Responsabile del trattamento.
• Vercel (hosting dell'applicazione) — le funzioni server sono configurate nella regione di Francoforte; la CDN che serve le pagine statiche è globale. Responsabile del trattamento.
• Mistral AI (analisi AI, solo su tua richiesta esplicita) — società UE; i testi inviati non vengono usati per addestrare modelli (opt-out attivo) e sono soggetti alla retention tecnica del provider.
• Nessun altro: il codice è pubblico su GitHub e chiunque può verificarlo.

Base giuridica e conservazione

• Esecuzione del servizio che richiedi (art. 6(1)(b) GDPR) per account e contenuti salvati.
• Tua azione esplicita per l'analisi AI: il testo parte solo quando premi tu il bottone.
• Conservazione: finché tieni l'account. Se lo elimini, i dati collegati vengono cancellati subito; le copie di sicurezza tecniche dei provider decadono nei loro cicli ordinari.
• Il registro audit resta anche dopo la cancellazione, in forma pseudonima: l'identificativo non è più riconducibile a una persona.

I tuoi diritti (artt. 15–22 GDPR)

Accesso, rettifica, cancellazione, limitazione, portabilità, opposizione: valgono tutti. Due li hai già in mano senza chiedere nulla: puoi esportare i tuoi dati (PDF, CSV, JSON, .ics da ogni modulo) e puoi eliminare l'account e tutti i dati da solo, subito, dalla pagina «Le mie valutazioni». Per il resto scrivimi; hai comunque il diritto di reclamo al Garante per la protezione dei dati personali.