1. Chi è responsabile
Il titolare del trattamento dei dati personali qui descritti è Daniele Zotta, persona fisica stabilita in Italia, che gestisce AI Podcast Lab.
- Email per questioni di privacy: [email protected]
- Indirizzo postale: Via Cesare Battisti 36, 38053 Castello Tesino (TN), Italia
Non abbiamo nominato un Responsabile della protezione dei dati; non siamo tenuti a farlo. Scrivi all'indirizzo qui sopra per qualunque questione relativa a questa policy.
2. Cosa raccogliamo
Dati dell'account
Il tuo nome utente, l'indirizzo email, facoltativamente nome e cognome e un hash crittografico della password. Non conserviamo mai la password in chiaro. Registriamo inoltre la data di iscrizione, l'ultimo accesso e se il tuo indirizzo email è stato confermato.
La registrazione si completa solo quando apri il link di conferma che ti inviamo via email. Fino ad allora l'account esiste ma non consente l'accesso e, se non viene mai confermato, viene eliminato automaticamente come indicato nella sezione 7.
I contenuti che crei
Tutto ciò che appartiene a un episodio: il titolo, i tuoi spunti, l'eventuale URL di origine che fornisci, il testo che incolli, il testo che estraiamo da un URL di origine, le tue richieste di revisione all'editor IA, lo script generato, il file audio generato e le impostazioni scelte (lingua, durata, voce, qualità, formato). Quando la ricerca sul web è attiva conserviamo anche i link alle fonti restituiti.
Dati di fatturazione
Il tuo piano, lo stato dell'abbonamento, le date del periodo di fatturazione, i saldi dei crediti inclusi e acquistati e lo storico degli acquisti di crediti. Se ti abboni o acquisti crediti, conserviamo gli identificativi che Stripe assegna a cliente, abbonamento, sessione di Checkout e pagamento, per abbinare i pagamenti al tuo account ed evitare doppie evasioni. Non vediamo né conserviamo mai il numero della tua carta. I dati della carta vanno direttamente a Stripe.
I messaggi che ci invii
Se ci scrivi tramite il modulo di contatto, conserviamo il nome e l'indirizzo per la risposta che indichi, l'argomento che scegli, il messaggio stesso, la lingua in cui lo hai scritto e — se avevi effettuato l'accesso — da quale account proviene. Accanto a questi teniamo le nostre note su come la richiesta è stata gestita. Non inserire in un messaggio di assistenza nulla che non vorresti veder messo per iscritto.
Dati tecnici
I nostri server conservano normali log web — indirizzo IP, marca temporale, URL richiesto, user agent, stato della risposta — e le segnalazioni di errore quando qualcosa non funziona. Servono a far funzionare e a proteggere il Servizio.
Controlli antiabuso sui moduli pubblici
I moduli di registrazione, accesso, reimpostazione della password e contatto includono un controllo Cloudflare Turnstile, affinché i bot non possano creare account in massa, indovinare password, usare il nostro sistema di posta per inondare sconosciuti o sommergere la nostra casella di assistenza. Quando una di quelle pagine viene caricata, Cloudflare riceve il tuo indirizzo IP, i dettagli del browser e segnali comportamentali dalla pagina, e restituisce un token che verifichiamo con loro. Noi non vediamo mai quei segnali: solo se il controllo è stato superato.
Statistiche — solo se le accetti
Se, e soltanto se, accetti i cookie statistici, Google Analytics 4 raccoglie le pagine che visualizzi, la posizione approssimativa ricavata da un indirizzo IP troncato, il tipo di dispositivo e browser, il sito di provenienza e l'identificativo pseudonimo conservato nel proprio cookie. Se hai effettuato l'accesso, quei dati non vengono collegati al tuo account: non inviamo a Google il tuo ID utente, il nome utente o l'indirizzo email e non carichiamo i contenuti degli episodi.
Le statistiche non sono usate per la pubblicità e Google Signals e la personalizzazione degli annunci sono disattivati. Se le rifiuti, da Google Analytics non viene caricato assolutamente nulla.
Cookie
Un numero ridotto di cookie strettamente necessari, sempre attivi, più i cookie di Google Analytics impostati solo con il tuo consenso. Tutti i dettagli, compreso come revocare quel consenso, sono nella Cookie Policy.
3. Perché e su quale base giuridica
| Finalità | Dati | Base giuridica (art. 6 GDPR) |
|---|---|---|
| Creazione e gestione del tuo account | Dati dell'account | Esecuzione di un contratto, art. 6(1)(b) |
| Scrittura degli script e generazione dell'audio per te | I contenuti che crei | Esecuzione di un contratto, art. 6(1)(b) |
| Incasso dei pagamenti, evasione degli acquisti di crediti e gestione degli abbonamenti | Dati di fatturazione | Esecuzione di un contratto, art. 6(1)(b) |
| Conservazione di fatture e scritture contabili | Dati di fatturazione | Obbligo legale, art. 6(1)(c) |
| Email di servizio (conferma dell'indirizzo, reimpostazione della password, avvisi di fatturazione) | Dati dell'account | Esecuzione di un contratto, art. 6(1)(b) |
| Verifica che l'indirizzo email di un account sia reale e ti appartenga | Dati dell'account | Legittimo interesse, art. 6(1)(f) — impedire registrazioni false o sottratte e assicurare che le email dell'account ti raggiungano |
| Rispondere a un messaggio che ci invii tramite il modulo di contatto | I messaggi che ci invii | Esecuzione di un contratto, art. 6(1)(b) quando riguarda il tuo account — altrimenti legittimo interesse, art. 6(1)(f): rispondere a chi ci ha posto una domanda |
| Blocco dei bot sui moduli pubblici (Cloudflare Turnstile) | Indirizzo IP, segnali del browser e comportamentali | Legittimo interesse, art. 6(1)(f) — evitare abusi di account, accessi e del nostro sistema di posta |
| Sicurezza, prevenzione di frodi e abusi, debug | Dati tecnici | Legittimo interesse, art. 6(1)(f) — mantenere il Servizio disponibile e non abusato |
| Statistiche d'uso aggregate e non identificative dai nostri log | Dati tecnici | Legittimo interesse, art. 6(1)(f) — comprendere carico e tassi di errore |
| Statistiche del sito (Google Analytics) | Pagine viste, dispositivo e browser, posizione approssimativa, identificativo statistico | Consenso, art. 6(1)(a) — rifiutato per impostazione predefinita, revocabile in qualsiasi momento |
Le statistiche sono l'unico trattamento qui basato sul consenso. Revocarlo è facile quanto prestarlo — il pulsante nella Cookie Policy riapre la scelta — e la revoca non pregiudica la liceità di quanto raccolto in precedenza. Rifiutare le statistiche non cambia nulla di ciò che il Servizio fa per te.
Non vendiamo dati personali, non li usiamo per la pubblicità e non inviamo email di marketing. Non esiste alcun processo decisionale automatizzato che produca effetti giuridici nei tuoi confronti, né alcuna profilazione.
4. Cosa succede ai tuoi contenuti
Questa è la parte più importante, quindi la diciamo chiaramente. Non eseguiamo modelli di IA in proprio. Per scrivere o rivedere uno script, le parti rilevanti del tuo episodio — titolo, spunti, testo di origine incollato o estratto, script attuale e la tua richiesta di revisione — vengono trasmesse a un fornitore di IA terzo. Per generare l'audio, lo script viene trasmesso a un fornitore di sintesi vocale. Quando attivi la ricerca sul web, il tuo argomento viene inoltre inviato a un fornitore di ricerca gestita.
Quale azienda lo riceve dipende da come è configurato il Servizio e dalla qualità audio scelta; l'elenco attuale è nella sezione 5.
Non incollare dati personali sensibili — informazioni sulla salute, dati finanziari, identificativi rilasciati dallo Stato o informazioni private di altre persone — in un episodio. Il Servizio non è progettato per categorie particolari di dati ai sensi dell'art. 9 GDPR e, una volta che i contenuti vengono inviati a un fornitore di IA, sono soggetti al trattamento di quel fornitore.
Non usiamo i tuoi contenuti né l'output generato per addestrare alcun nostro modello. I fornitori di IA possono conservare i contenuti inviati per un periodo limitato ai fini del monitoraggio degli abusi, secondo le proprie policy; non controlliamo quei periodi di conservazione e non possiamo cancellare dati dai loro sistemi per tuo conto se non chiedendolo.
5. Chi altro riceve i dati
Condividiamo dati personali solo con i fornitori necessari a far funzionare il Servizio, ciascuno con un accordo sul trattamento dei dati ove il GDPR lo richieda:
| Fornitore | Cosa fa | Cosa riceve |
|---|---|---|
| Stripe Payments Europe, Ltd. (Ireland), Stripe, Inc. (USA) | Pagamenti una tantum e fatturazione degli abbonamenti | Email, nome, dati della carta inseriti direttamente su Stripe, indirizzo di fatturazione, registrazioni delle transazioni |
| OpenRouter, Inc. (USA) | Gateway verso i modelli di testo e di sintesi vocale | Contenuti dell'episodio inviati per la scrittura dello script e la narrazione |
| I fornitori di modelli raggiunti tramite quel gateway — attualmente OpenAI, xAI e Google, a seconda della qualità scelta | Generazione del testo dello script e della voce sintetica | Gli stessi contenuti dell'episodio, inoltrati dal gateway |
| Il fornitore di ricerca web gestita usato dal gateway (attualmente Parallel) | Ricerca sul web, solo quando la attivi | Query di ricerca derivate dal tuo argomento |
| OpenAI Ireland Ltd. / OpenAI, L.L.C. (USA) | Fornitore di IA diretto alternativo, quando il Servizio è configurato per usarlo al posto del gateway | Contenuti dell'episodio inviati per la scrittura dello script e la narrazione |
| Cloudflare, Inc. (USA) — R2 | Archiviazione privata dei file audio generati | File audio e relativi metadati |
| Oracle Corporation (USA) — Oracle Cloud Infrastructure, server nella regione Italy Central (Milano) | Esecuzione dell'applicazione e del database | Tutti i dati archiviati, in quanto infrastruttura |
| Google Ireland Ltd. / Google LLC (USA) — Gmail | Consegna delle email di conferma dell'indirizzo, di reimpostazione password e di servizio | Indirizzo email e contenuto del messaggio |
| Google Ireland Ltd. / Google LLC (USA) — Google Fonts | Distribuzione dei due caratteri web usati dal sito | Il tuo indirizzo IP e i dettagli del browser, quando il browser scarica un carattere |
| Google Ireland Ltd. / Google LLC (USA) — Google Analytics 4 | Conteggio di visite e pagine viste, solo se accetti i cookie statistici | Pagine viste, posizione approssimativa da un indirizzo IP troncato, dispositivo e browser, referrer e identificativo del cookie statistico. Mai l'identità del tuo account né i contenuti degli episodi. |
| Cloudflare, Inc. (USA) — Turnstile | Blocco degli abusi automatizzati sui moduli di registrazione, accesso e reimpostazione della password | Il tuo indirizzo IP, i dettagli del browser e segnali comportamentali da quelle tre pagine |
Possiamo inoltre divulgare i dati ove la legge lo imponga, o per accertare o difendere un diritto in sede giudiziaria.
6. Trasferimenti fuori dall'UE
Diversi fornitori sopra elencati sono stabiliti negli Stati Uniti, quindi i tuoi dati vengono trasferiti fuori dallo Spazio economico europeo. Tali trasferimenti si basano sulle Clausole contrattuali tipo della Commissione europea, sulla certificazione del fornitore ai sensi del Data Privacy Framework UE-USA ove ne disponga, o su entrambe, insieme alle misure supplementari documentate da ciascun fornitore. Puoi chiederci i dettagli del meccanismo applicabile a un fornitore specifico.
7. Per quanto tempo li conserviamo
- Dati dell'account — finché non ci chiedi di eliminare il tuo account, poi rimossi entro 30 giorni.
- Registrazioni mai confermate — un account il cui indirizzo email non viene mai confermato è eliminato automaticamente circa una settimana dopo l'iscrizione, una volta scaduto il link di conferma.
- Dati statistici — conservati da Google per 14 mesi dalla tua ultima visita, il periodo di conservazione a livello utente più breve offerto da Google Analytics 4, dopodiché vengono eliminati automaticamente. I report aggregati possono persistere oltre tale termine.
- Episodi, script e audio — finché tu o noi non li eliminiamo, o finché il tuo account non viene eliminato. Non c'è alcun limite di archiviazione né scadenza automatica, quindi i vecchi episodi restano finché non vengono rimossi.
- Fatture e scritture contabili — 10 anni, come richiede la legge italiana. È un obbligo legale e sopravvive all'eliminazione del tuo account.
- Registrazioni dei pagamenti detenute da Stripe — secondo la policy di conservazione di Stripe.
- Messaggi di contatto — conservati finché la richiesta è aperta e per due anni dopo che è stata risolta, così che una conversazione che torna possa essere ripresa, poi eliminati automaticamente. I messaggi segnati come spam vengono eliminati entro un mese.
- Log del server — di norma non più di 90 giorni, salvo che uno specifico incidente di sicurezza ne imponga una conservazione più lunga.
8. I tuoi diritti
In base al GDPR hai il diritto di accedere ai tuoi dati, di farli rettificare, di ottenerne la cancellazione, di limitare il trattamento od opporti ad esso, di riceverli in un formato portabile e di revocare qualsiasi consenso prestato.
Revocare il consenso alle statistiche non richiede alcuna email: il pulsante nella Cookie Policy riapre la scelta e il rifiuto ha effetto immediato. Puoi inoltre opporti in qualsiasi momento ai trattamenti che basiamo sul legittimo interesse — i controlli antiabuso e la registrazione dei log di sicurezza della sezione 3 — scrivendoci, sebbene possa essere necessario proseguirli laddove i nostri motivi prevalgano sulla tua opposizione.
Come esercitarli. Scrivi a [email protected] dall'indirizzo del tuo account. Rispondiamo entro 30 giorni. Al momento nell'applicazione non esiste un pulsante di eliminazione self-service: la cancellazione dell'account e degli episodi è gestita manualmente su richiesta e ne diamo conferma scritta al termine. La cancellazione rimuove il tuo account, i tuoi episodi, i tuoi script e i tuoi file audio; non rimuove le scritture contabili che dobbiamo conservare e non può richiamare contenuti già trattati da un fornitore di IA.
Se ritieni che abbiamo trattato i tuoi dati in modo illecito puoi presentare reclamo all'autorità di controllo italiana, il Garante per la protezione dei dati personali (garanteprivacy.it), oppure all'autorità del tuo paese UE.
9. Sicurezza
Le password sono conservate solo come hash con salt. I nuovi account restano inattivi finché l'indirizzo email non viene confermato e i moduli pubblici sono protetti da abusi automatizzati, così un indirizzo non può essere registrato o forzato da chi non lo controlla. Il traffico è servito su HTTPS con HSTS. I cookie di sessione e CSRF sono contrassegnati come sicuri e HTTP-only. I file audio sono conservati in un bucket privato non leggibile pubblicamente; la riproduzione e i download passano da link firmati di breve durata, validi circa quindici minuti, e solo dopo che abbiamo verificato che l'episodio ti appartiene.
Nessun sistema è perfettamente sicuro. Se si verifica una violazione che rischia di mettere a repentaglio i tuoi diritti, lo comunicheremo a te e all'autorità di controllo come richiede il GDPR.
10. Minori
Il Servizio è destinato agli adulti. Non raccogliamo consapevolmente dati da persone di età inferiore a 18 anni. Se ritieni che un minore abbia creato un account, scrivici e lo elimineremo.
11. Modifiche
Potremmo aggiornare questa policy. Se una modifica incide in modo sostanziale sul trattamento dei tuoi dati, te lo comunicheremo via email prima che entri in vigore. La data in cima a questa pagina indica sempre la versione corrente.