Informativa sulla Privacy di Clarnix

1. Titolare del Trattamento

Il titolare del trattamento responsabile dei dati personali dell'utente è:

L'autorità di controllo per la protezione dei dati in Spagna è l'Agencia Española de Protección de Datos (AEPD), accessibile all'indirizzo www.aepd.es.

2. Dati che Raccogliamo

Raccogliamo il minimo dei dati necessari per fornire il servizio Clarnix.

2.1 Dati dell'Account

Al momento della creazione di un account raccogliamo il nome, l'indirizzo e-mail e, ove applicabile, una password in formato hash. Se l'accesso avviene tramite OAuth (Google o Microsoft), riceviamo il nome, l'indirizzo e-mail e l'identificativo utente rilasciato dal provider.

2.2 Dati E-mail Accessibili tramite OAuth: Privacy by Design

Clarnix è costruito sul principio della privacy by design: il contenuto del corpo delle e-mail non viene mai archiviato nei nostri sistemi. Elaboriamo il corpo delle e-mail in modo transitorio in memoria al fine di classificare i messaggi e generare i riepiloghi, quindi lo eliminiamo immediatamente. Gli scope OAuth Google che richiediamo sono https://www.googleapis.com/auth/gmail.readonly (lettura della posta), https://www.googleapis.com/auth/gmail.modify (applicazione di etichette e archiviazione), https://www.googleapis.com/auth/gmail.labels (creazione e gestione delle etichette che applichiamo) e https://www.googleapis.com/auth/calendar.readonly (lettura degli eventi imminenti, si veda di seguito). Per gli account Microsoft richiediamo le autorizzazioni equivalenti Microsoft Graph Mail.Read e Mail.ReadWrite. I metadati che conserviamo in modo persistente sono limitati a:

• Nome e indirizzo e-mail del mittente
• Indirizzi e-mail dei destinatari (A e Cc)
• Oggetto del messaggio
• Timestamp di ricezione (received_at)
• ID del messaggio e ID del thread (identificativi rilasciati dal provider)
• Etichette di classificazione e punteggi di priorità generati dall'IA
• Riepiloghi generati dall'IA (mai contenuto verbatim del corpo del messaggio)

Dati del calendario: qualora l'utente conceda lo scope del calendario, leggiamo i suoi eventi imminenti al solo fine di aggiungere una breve agenda al suo riepilogo. L'agenda viene archiviata solo come parte di quel riepilogo: per ogni evento, titolo, ora di inizio e di fine e luogo (oppure «online» per una videochiamata). Viene eliminata insieme al riepilogo al termine del periodo di conservazione dei dati del piano dell'utente: 7 giorni con Starter, 30 giorni con Pro, 90 giorni con Team e Team Pro. Le descrizioni degli eventi vengono lette solo per individuare un link alla riunione, e né le descrizioni né gli elenchi dei partecipanti vengono archiviati. I dati del calendario non vengono mai utilizzati per addestrare alcun modello e non vengono mai condivisi con terze parti. L'utente può disattivare in qualsiasi momento la sezione calendario per qualunque account collegato.

2.3 Credenziali degli Account E-mail Collegati

Per collegare il provider di posta elettronica dell'utente, conserviamo i token di accesso OAuth e i token di aggiornamento (oppure, nel caso di IMAP, le credenziali cifrate). Tali dati sono archiviati cifrati a riposo mediante una ENCRYPTION_MASTER_KEY e utilizzati esclusivamente per accedere alla casella di posta dell'utente per suo conto.

2.4 Dati di Fatturazione

I dati delle carte di pagamento sono raccolti ed elaborati esclusivamente da Stripe. Conserviamo unicamente l'ID cliente Stripe, lo stato dell'abbonamento, le ultime 4 cifre della carta, il nome di fatturazione, l'indirizzo di fatturazione e la partita IVA ove fornita. Non vediamo né archiviamo mai i numeri completi delle carte.

2.5 Dati di Utilizzo

Raccogliamo dati di utilizzo aggregati e anonimizzati, quali le funzionalità a cui si accede, il numero di regole create, il conteggio dei riepiloghi e gli eventi di consegna. Raccogliamo inoltre dati tecnici quali l'indirizzo IP (per il rate-limiting di sicurezza), il tipo di browser e i log degli errori.

3. Come Utilizziamo i Vostri Dati

Utilizziamo i dati raccolti per le seguenti finalità:

• Fornitura, gestione e manutenzione del servizio Clarnix
• Classificazione delle e-mail in arrivo mediante IA e applicazione delle regole configurate dall'utente
• Generazione di riepiloghi sintetizzati dall'IA e recapito al canale prescelto dall'utente (e-mail, WhatsApp, Telegram, Slack, Teams)
• Elaborazione dei pagamenti e gestione dell'abbonamento tramite Stripe
• Invio di e-mail transazionali (conferma dell'account, ricevute, consegna dei riepiloghi)
• Analisi di prodotto aggregate e anonimizzate per comprendere l'utilizzo delle funzionalità e migliorare il servizio
• Monitoraggio della sicurezza, prevenzione delle frodi e rilevamento degli abusi
• Adempimento degli obblighi di legge

Non utilizziamo i dati dell'utente per pubblicità comportamentale, non li vendiamo a terzi e non utilizziamo il contenuto delle e-mail per alcuna finalità diversa dall'elaborazione di triage in memoria.

5. Base Giuridica del Trattamento (Art. 6 GDPR)

Ci fondiamo sulle seguenti basi giuridiche:

• Esecuzione di un contratto (Art. 6(1)(b)): Il trattamento dei metadati e-mail e dei dati dell'account è necessario per erogare le funzionalità di triage, classificazione e riepilogo a cui l'utente ha sottoscritto.
• Legittimo interesse (Art. 6(1)(f)): Trattiamo dati tecnici e di utilizzo per mantenere la sicurezza del servizio, prevenire abusi, rilevare errori e migliorare l'affidabilità della piattaforma. I nostri interessi sono bilanciati rispetto ai diritti dell'utente e non prevalgono su di essi.
• Consenso (Art. 6(1)(a)): Per i cookie non essenziali e le comunicazioni di marketing, ci fondiamo sul consenso dell'utente. Il consenso può essere revocato in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.
• Obbligo legale (Art. 6(1)(c)): Ove richiesto, trattiamo i dati per adempiere alla normativa applicabile (ad esempio, conservazione dei documenti di fatturazione ai sensi della normativa fiscale spagnola).

7. Trasferimenti Internazionali di Dati

Alcuni dei nostri sub-responsabili del trattamento operano al di fuori dello Spazio Economico Europeo (EEA). In tali casi assicuriamo che sia in essere una garanzia adeguata (in tutti i casi attuali, le Clausole Contrattuali Standard dell'UE), affinché i dati dell'utente ricevano un livello di protezione equivalente a quello garantito all'interno dell'EEA.

10. I Vostri Diritti ai sensi del GDPR

In qualità di interessato ai sensi del GDPR, l'utente dispone dei seguenti diritti:

• Diritto di accesso (Art. 15): Buona parte puoi vederla direttamente nell'app: la schermata Attività email di Clarnix elenca ogni azione che abbiamo compiuto sulle tue email, con mittente, oggetto, casella, data e la regola all'origine. La profondità storica di quella schermata dipende dal tuo piano, in linea con la Sezione 8. Per una copia di ciò che la schermata non mostra, scrivi a legal@clarnix.app e la prepareremo e te la invieremo.
• Diritto di rettifica (Art. 16): L'utente può chiederci di correggere dati inesatti o incompleti.
• Diritto alla cancellazione (Art. 17): L'utente può richiedere la cancellazione dei propri dati personali, fatti salvi gli obblighi legali di conservazione (ad esempio, i documenti di fatturazione).
• Diritto alla portabilità dei dati (Art. 20): Puoi chiederci i dati personali che ci hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico. Clarnix non ha alcun pulsante di esportazione o download self-service, quindi prepariamo quella copia a mano quando la richiedi, entro il termine di risposta indicato di seguito.
• Diritto alla limitazione del trattamento (Art. 18): L'utente può chiederci di limitare il trattamento dei propri dati in determinate circostanze.
• Diritto di opposizione (Art. 21): L'utente può opporsi al trattamento fondato sul legittimo interesse. Daremo seguito all'opposizione salvo che non si dimostri l'esistenza di motivi legittimi cogenti prevalenti sugli interessi dell'utente.
• Diritto di revocare il consenso: Laddove il trattamento sia fondato sul consenso, l'utente può revocarlo in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Per esercitare uno qualsiasi di tali diritti, contattarci all'indirizzo legal@clarnix.app. Ai sensi dell'articolo 12(3) GDPR, risponderemo alla richiesta entro un mese dal ricevimento. Qualora la richiesta risulti particolarmente complessa o in caso di elevato numero di richieste, tale termine potrà essere prorogato di ulteriori due mesi; informeremo l'utente di tale proroga e delle relative motivazioni entro un mese dal ricevimento della richiesta. Qualora l'utente non sia soddisfatto della nostra risposta, ha il diritto di proporre reclamo all'autorità spagnola per la protezione dei dati (AEPD (Agencia Española de Protección de Datos)) o all'autorità di controllo dello Stato membro dell'UE di residenza abituale.

11. Sicurezza

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati personali dell'utente, tra cui: cifratura in transito con TLS 1.3, cifratura a riposo gestita da Supabase, token OAuth cifrati con una ENCRYPTION_MASTER_KEY, Row Level Security applicata a livello di database e controlli di accesso che limitano chi può accedere ai sistemi di produzione. In caso di violazione dei dati personali che comporti un rischio per i diritti e le libertà dell'utente, notificheremo l'AEPD entro 72 ore.

12. Cookie

Clarnix utilizza cookie strettamente necessari per la gestione delle sessioni di autenticazione. Offriamo inoltre cookie analitici facoltativi soggetti al consenso dell'utente. Per i dettagli completi si rimanda alla nostra Cookie Policy. Cookie Policy.

13. Minori

Il servizio Clarnix non è destinato a utenti di età inferiore a 16 anni. Non raccogliamo consapevolmente dati personali di minori. Qualora venissimo a conoscenza di aver raccolto dati di un minore di 16 anni, provvederemo a eliminare tempestivamente l'account.

14. Modifiche alla Presente Informativa

La presente Informativa sulla Privacy potrà essere aggiornata periodicamente. In caso di modifiche sostanziali, ne daremo comunicazione tramite un banner in-app e via e-mail con almeno 30 giorni di anticipo rispetto all'entrata in vigore delle modifiche. La data di "Ultimo aggiornamento" in cima alla presente pagina riflette la revisione più recente.

15. Contatti

Per qualsiasi domanda, richiesta o dubbio in merito alla presente Informativa sulla Privacy o al trattamento dei dati personali, si prega di utilizzare gli indirizzi indicati di seguito. NEXTGENWEBS, S.L. gestisce due caselle di posta specializzate: legal@clarnix.app, monitorata dal team Legale e Privacy, che si occupa delle richieste degli interessati ai sensi del GDPR, delle questioni contrattuali e di altri aspetti legali; e hello@clarnix.app, monitorata dal team di Assistenza Clienti, che gestisce le domande quotidiane relative al prodotto, all'account e alla fatturazione. Ci impegniamo a confermare la ricezione delle richieste entro due giorni lavorativi. Le risposte sostanziali alle richieste degli interessati sono fornite entro i termini di legge indicati nella Sezione 10 di cui sopra. I dati personali condivisi con noi tramite tali caselle (nome, indirizzo e-mail e contenuto della richiesta) sono trattati sulla base giuridica dell'articolo 6(1)(c) GDPR (adempimento di un obbligo legale, quando si risponde a una richiesta di un interessato) o dell'articolo 6(1)(f) GDPR (nostro legittimo interesse a rispondere alla corrispondenza). I documenti relativi a tali comunicazioni sono conservati per il tempo necessario a comprovare la nostra risposta e, in ogni caso, non oltre 6 anni ove richiesto dalla legge spagnola.