Informativa sul trattamento dei dati personali (Art. 13 GDPR)

Gentile utente,

vault-radar costruisce e mantiene il contesto del Suo lavoro — chi sono le persone che conta, cosa Le hanno promesso, quali impegni ha preso — a partire da ciò che Lei scrive o collega. Il radar dei disallineamenti tra ciò che Lei dichiara e ciò che osserviamo nelle Sue comunicazioni è una delle funzioni che nascono da questo contesto, non l'oggetto del sistema. Le forniamo le informazioni richieste dall'art. 13 del Regolamento UE 2016/679 (GDPR).

1. Titolare del trattamento

Ai’m di Sandro Vespucci, P.IVA 05494790750. Contatto: privacy@vault-radar.it.

2. Cosa analizziamo

Solo ciò che Lei scrive o collega esplicitamente:

Le voci che Lei scrive nel diario all'interno di questa applicazione, e i file che Lei allega in chat o carica nell'applicazione.
Le fonti che Lei collega dalle Impostazioni, ciascuna con una Sua autorizzazione esplicita e revocabile in qualsiasi momento, e solo quando attive nel Suo spazio: la casella email (Gmail oppure Microsoft 365 / Outlook — sola lettura, mai invio, e mai l'intera casella: solo le email da e verso un contatto, cioè le persone delle Sue schede; di quelle degli ultimi 30 giorni conserviamo i dati essenziali senza il testo, per i contatti che Lei sceglie di sorvegliare conserviamo anche l'email intera, senza scadenza, e il testo delle altre lo leggiamo solo su Sua richiesta: si vedano i punti 14 e 15), Google Drive e SharePoint (limitatamente alle cartelle che Lei sceglie), Google Calendar (il solo calendario principale, in sola lettura: si veda il punto 12), WhatsApp (i messaggi ricevuti sul numero che Lei collega), LinkedIn (l'esportazione dei Suoi contatti che Lei carica).
Le scritture effettuate da assistenti AI esterni che Lei stesso autorizza tramite il connettore dell'applicazione (voci di diario, memorie, aggiornamenti alle schede contatto): ogni scrittura è registrata con la sua provenienza ed è consultabile.

Non analizziamo le risposte automatiche, gli allegati non leggibili, le email contrassegnate come SPAM.

3. Modelli di intelligenza artificiale utilizzati

Anthropic Claude Sonnet 5.5 — l'assistente della chat dell'applicazione.
Anthropic Claude Haiku 4.5 — classificazione veloce di ogni elemento ingerito (è un potenziale segnale di disallineamento?), estrazioni, riassunto automatico delle conversazioni in chat e riassunto delle email scambiate con un contatto.
Anthropic Claude Sonnet 4.5 e Claude Sonnet 5 — analisi approfondita dei candidati segnali, spiegazioni testuali e scrittura dei documenti.
Voyage AI voyage-4 — generazione di rappresentazioni vettoriali (embeddings) per la ricerca semantica.

I modelli Anthropic si raggiungono tramite OpenRouter (OpenRouter, Inc., USA), che fa solo da tramite: le richieste arrivano esclusivamente ad Anthropic (Anthropic PBC, USA), con la raccolta dei dati per l'addestramento esclusa. OpenRouter non le dirotta su altri fornitori e, se OpenRouter non risponde, l'applicazione ripiega soltanto su Anthropic direttamente, mai su altri fornitori. Anthropic dichiara di NON utilizzare le richieste API per allenare modelli.

4. Finalità del trattamento

Generare segnali di "disallineamento Parole-Azioni" che Lei può consultare per migliorare la coerenza dei Suoi processi.
Permetterle di interrogare in linguaggio naturale la Sua memoria di lavoro.
Creare e mantenere automaticamente i "documenti vivi" della Sua tassonomia (Business, Context, Daily, Library, Projects, Skills, Team), instradando l'informazione durevole dalle Sue voci di diario nel documento pertinente, in modo additivo e versionato.

5. Base giuridica

Il consenso esplicito che Lei sta per fornire cliccando "Ho letto e accetto" (art. 6(1)(a) GDPR).

6. Residenza dei dati e trasferimenti

I dati sono ospitati su un server Hostinger (Hostinger Cloud VPS) ubicato nella regione Germania/Francoforte, all'interno dell'Unione Europea. Trovandosi in uno Stato membro dell'UE, l'archiviazione dei Suoi dati non comporta un trasferimento verso un Paese terzo e non richiede, su questa base, le Clausole Contrattuali Tipo o una Valutazione d'Impatto sui Trasferimenti.

Le chiamate API ai modelli linguistici (Anthropic via OpenRouter) e di embedding (Voyage AI) possono trasmettere brevi estratti dei Suoi contenuti a fornitori statunitensi. Anthropic li conserva per un periodo limitato secondo i propri termini commerciali e non li usa per addestrare i modelli; Voyage AI non li usa per l'addestramento. Questo costituisce un trasferimento verso un Paese terzo (USA): tale trasferimento è soggetto alle garanzie dell'art. 46 GDPR (Clausole Contrattuali Tipo) e, ove applicabile, a una Valutazione d'Impatto sui Trasferimenti riferita specificamente a questa componente.

Lei può richiedere ulteriori informazioni sui trasferimenti scrivendo a privacy@vault-radar.it.

7. Conservazione

I Suoi dati rimangono nei nostri sistemi fintanto che il Suo account è attivo. Cancellazione completa entro 30 giorni dalla disattivazione (compresi gli embeddings derivati).

8. I Suoi diritti

Lei può in qualsiasi momento (art. 15-22 GDPR):

Accedere ai Suoi dati ed esportarli in un formato leggibile da una macchina, dalla pagina Impostazioni → I tuoi dati, se è proprietario o amministratore dello spazio di lavoro; se ne è membro, scrivendo a privacy@vault-radar.it.
Cancellare i Suoi dati — l'intero account, oppure una singola voce dal diario — dalla stessa pagina (l'intero spazio di lavoro solo proprietari e amministratori; per un membro basta scrivere a privacy@vault-radar.it).
Opporsi al trattamento contattando privacy@vault-radar.it.
Proporre reclamo al Garante per la protezione dei dati (https://www.garanteprivacy.it).

9. Sorveglianza umana (AI Act, Art. 14)

Tutti i segnali del radar sono consultivi: il sistema non agisce mai autonomamente verso terzi e Lei conferma manualmente ogni segnale risolto.

Documenti vivi (auto-manutenzione). I documenti della Sua tassonomia possono essere aggiornati automaticamente dall'AI a partire dalle Sue voci. L'automatismo è progettato come "human-on-the-loop": ogni modifica è additiva (non sovrascrive né cancella mai), versionata, visibile nel feed "cosa è cambiato" e annullabile con un clic (ripristino). Per ogni cartella Lei può scegliere fra applicazione automatica e proposta→approvazione (le cartelle sensibili — Business, Context, Team — sono in proposta→approvazione di default). Il pavimento di sicurezza (versioning, feed, ripristino, nessuna cancellazione cieca) è sempre attivo e non disattivabile. Il tasso di ripristino delle modifiche automatiche è monitorato come indicatore di accuratezza.

10. Limitazioni note

Il sistema può produrre falsi positivi (segnali non rilevanti). Ogni segnale può essere confermato o scartato da Lei.
L'italiano è la lingua principale; l'inglese è parzialmente supportato per email in lingua mista.

11. Connettore MCP (Claude, ChatGPT)

Se Lei collega il proprio Claude o ChatGPT al vault tramite il connettore di questa applicazione (/settings/claude), valgono in aggiunta queste informazioni sul punto 2:

Cosa esce dal vault. Il contenuto restituito dai tool di lettura che Lei autorizza al Suo assistente: le voci del diario, le memorie, le schede contatto, gli impegni, i documenti. Non escono mai segreti d'accesso (token, password, chiavi): non esiste un tool che li legga.
Cosa entra nel vault. Le scritture che Lei chiede al Suo assistente (nuove voci di diario, memorie, aggiornamenti alle schede contatto) sono additive e restano registrate con la provenienza mcp:<client>. Non esiste alcuno scope di cancellazione: nessun dato viene mai eliminato attraverso questa via.
Chi sceglie il permesso. Al momento del collegamento — che avviene incollando l'indirizzo del vault nel Suo client, senza alcun identificativo da registrare in anticipo — è Lei stesso a scegliere, nella schermata di consenso del vault, se concedere «Leggere e scrivere» oppure «Solo leggere»: nessun permesso Le viene assegnato da noi. Può cambiare questa scelta, o revocarla del tutto, in qualsiasi momento dalla pagina /oauth/consent, con effetto immediato sulle chiamate successive.
Verso chi. Il contenuto letto raggiunge il fornitore del client che Lei ha scelto di collegare — Anthropic per Claude, OpenAI per ChatGPT — per la sola durata della conversazione che Lei conduce con il Suo assistente. È un'iniziativa Sua, presa collegando il connettore e ponendo la domanda: non è un sub-trattamento avviato da noi.
Dove sono ospitati i Suoi dati. Come già indicato al punto 6, su un server nell'Unione Europea, regione Germania/Francoforte; le copie di sicurezza dell'intero server che il fornitore di hosting conserva restano anch'esse nell'Unione Europea (Lituania): nessuna sede in altri continenti.
Come si ferma. Può cambiare il permesso concesso o revocarlo del tutto in qualsiasi momento dalla pagina /oauth/consent; può inoltre chiedere la revoca lato operatore scrivendo a privacy@vault-radar.it, e resta fermo quanto già indicato al punto 8 sui Suoi diritti (art. 15-22 GDPR).

12. Google Calendar (connettore facoltativo)

Se Lei collega il Suo Google Calendar dalle Impostazioni, valgono in aggiunta queste informazioni sul punto 2. Il collegamento è facoltativo e parte solo da un Suo gesto: prima di mandarLa alla schermata di consenso di Google, l'applicazione Le mostra una schermata informativa con le stesse indicazioni e attende la Sua conferma.

Cosa leggiamo. Il solo calendario principale, in sola lettura: titolo, orario, luogo e partecipanti (nome e indirizzo email) degli incontri compresi fra i 30 giorni precedenti e i 120 giorni successivi a oggi. Non importiamo compleanni, blocchi di concentrazione, sedi di lavoro, eventi creati da Gmail né gli incontri che Lei ha rifiutato. Non scriviamo nulla su Google Calendar: non creiamo, non modifichiamo, non cancelliamo incontri e non rispondiamo agli inviti.
Cosa non leggiamo. Le descrizioni degli incontri, gli allegati e i link alle videochiamate. Né gli altri calendari del Suo account.
Eventi privati. Gli incontri che Google segna come privati o riservati entrano come «Impegno privato»: ne conserviamo solo l'orario, mai titolo, descrizione, luogo o partecipanti.
Perché. Per mostrarLe i Suoi incontri nell'Agenda, per collegarli alle schede delle persone che già conosce e per renderli consultabili, in sola lettura, dalle AI che Lei collega e dalla chat dell'applicazione, quando le interroga. Alle AI arrivano data e orario, titolo, la scheda collegata e i nomi degli altri partecipanti (o il loro indirizzo email, se Google non indica il nome); nelle proposte di conferma dell'email, nome e indirizzo del partecipante; il luogo no. Un incontro si collega a una scheda solo se l'indirizzo email del partecipante è un identificativo che Lei ha confermato. Se il nome di un partecipante coincide in modo certo con una sola persona già presente nelle Sue schede, Le proponiamo di confermarne l'indirizzo email, senza modelli di intelligenza artificiale: finché non risponde, nessun dato viene associato alla scheda.
Archivio dei contatti sorvegliati. Per ogni contatto che Lei sorveglia conserviamo l'email intera (il testo ricevuto, anche con le parti citate di email precedenti, e una copia senza le parti citate) in un archivio cercabile per parole, senza scadenza. Quando Lei accende la sorveglianza recuperiamo le email degli ultimi 30 giorni; poi aggiungiamo ogni email nuova, comprese quelle con intestazioni automatiche, ma non bozze, spam e cestino. Una email archiviata non cambia più. Spegnere la sorveglianza o il passare del tempo non cancellano l'archivio. Lo cancellano lo scollegamento della casella da cui provengono le email (che revoca l'accesso: scollegando Gmail si cancellano le email archiviate di Gmail, scollegando Outlook quelle di Outlook), «Riparti da zero» e la cancellazione dell'account (o una Sua richiesta di cancellazione ai sensi del punto 8).
Cosa non succede. I dati di Google Calendar, così come li leggiamo da Google, non entrano nella memoria dell'applicazione, non alimentano il radar e non servono a riassunti automatici. Non vengono inviati a modelli di intelligenza artificiale di iniziativa dell'applicazione né usati per addestrarne alcuno: li riceve soltanto l'AI che Lei stesso interroga, cioè quelle che ha collegato (per le quali vale il punto 11) e la chat dell'applicazione (si veda il punto 13).
Le risposte della chat. Se Lei chiede alla chat dell'applicazione dei Suoi incontri, la risposta dell'assistente può riportarne titoli e nomi. Come ogni altra conversazione, quella risposta resta nella cronologia della chat, entra nel riassunto automatico della conversazione e può entrare nella memoria che l'applicazione ricava dalle conversazioni. Questi testi non si cancellano scollegando Google Calendar: si cancellano con «Riparti da zero» o cancellando l'account. Resta soltanto, nel registro delle chiamate ai modelli tenuto per gli obblighi dell'AI Act, un estratto di al massimo 50 caratteri di ciascuna risposta dei modelli, privato dei dati personali riconoscibili.
Protezione dalla prompt injection. I contenuti del calendario sono trattati come dati non fidati: vengono neutralizzati e racchiusi fra delimitatori, con l'avviso che non sono istruzioni, prima di arrivare alle AI collegate, e nessuno strumento può modificarli.
Chi li vede. Il collegamento vale per l'intero spazio di lavoro: gli incontri sono visibili ai membri dello spazio, non solo a chi ha collegato il calendario. Collegare e scollegare spetta soltanto ai proprietari e agli amministratori dello spazio.
Fino a quando. Fino allo scollegamento. A ogni sincronizzazione eliminiamo inoltre gli incontri conclusi da più di 30 giorni. Se nel frattempo Lei ha tolto l'accesso dal Suo account Google, l'applicazione smette di aggiornare gli incontri, ma la copia resta fino a quando Lei non scollega.
Come si cancellano. Scollegando Google Calendar dalle Impostazioni, usando «Riparti da zero» o cancellando l'account: in tutti e tre i casi revochiamo l'accesso presso Google e cancelliamo dal nostro sistema gli incontri, il token di accesso e lo stato della sincronizzazione. Se la revoca presso Google non va a buon fine, glielo diciamo e Lei può riprovare oppure togliere l'accesso direttamente da myaccount.google.com/permissions.
Base giuridica e revoca. Il Suo consenso, dato al momento del collegamento. Lo revoca in qualsiasi momento scollegando Google Calendar, con la cancellazione descritta sopra; restano fermi i Suoi diritti indicati al punto 8.

13. Dati di Google Calendar: con chi li condividiamo e come li proteggiamo

Questo punto riguarda i dati che leggiamo da Google Calendar (si veda il punto 12): titoli, orari, luoghi e partecipanti degli incontri, e il token che ci permette di leggerli.

Con chi li condividiamo. Non vendiamo questi dati, non li usiamo per pubblicità e non li cediamo a intermediari di dati. Li ricevono soltanto:

Google, da cui li leggiamo, in sola lettura, e presso cui revochiamo l'accesso quando Lei scollega.
Hostinger, che ospita il server nell'Unione Europea (Germania, Francoforte) dove conserviamo gli incontri e il token cifrato, e che ne conserva copie settimanali dell'intero server, anch'esse nell'Unione Europea (Lituania).
I membri del Suo spazio di lavoro, che vedono gli incontri nell'applicazione (punto 12, «Chi li vede»).
Le AI che Lei collega (per esempio Claude di Anthropic o ChatGPT di OpenAI), solo quando Lei le interroga e secondo le condizioni del Suo account presso di loro (punto 11).
OpenRouter, Inc. (USA) e Anthropic PBC (USA), solo quando Lei interroga la chat dell'applicazione: OpenRouter fa da tramite e la richiesta raggiunge esclusivamente il modello Claude di Anthropic, anche quando l'applicazione deve rivolgersi ad Anthropic direttamente, con la raccolta dei dati per l'addestramento esclusa. Per le risposte della chat che riportano titoli o nomi degli incontri valgono anche il riassunto automatico (Claude Haiku 4.5, sempre verso Anthropic) e le rappresentazioni vettoriali della memoria (Voyage AI, Inc., USA), come descritto al punto 12, «Le risposte della chat». Anche le ricerche che la chat o un'AI collegata fa nella memoria, che possono contenere titoli o nomi degli incontri, passano da Voyage AI per le rappresentazioni vettoriali. Si tratta di trasferimenti verso gli Stati Uniti, per i quali vale quanto indicato al punto 6.

Nessun altro riceve i dati di Google Calendar: in particolare non li riceve il servizio che invia le email dell'applicazione, perché nessuna email li contiene. Oltre a Lei e ai membri del Suo spazio di lavoro, nessuna persona legge il contenuto dei Suoi incontri, salvo Suo consenso esplicito per un'assistenza che Lei ci chiede, per ragioni di sicurezza o per obblighi di legge.

Come li proteggiamo.

Cifratura in transito. Tutte le comunicazioni fra il Suo browser e il server, e fra il server e Google, viaggiano cifrate (HTTPS/TLS).
Token cifrato. Il token che ci permette di leggere il calendario è conservato cifrato nel database, con una chiave dedicata che non sta nel database né nelle sue copie di sicurezza; la chiave è presente sul server e quindi anche nelle copie dell'intero server conservate da Hostinger. Il token di accesso temporaneo resta solo in memoria per la durata di una sincronizzazione. Nessuna schermata, API o strumento lo mostra.
Il minimo indispensabile. Un solo permesso in sola lettura, sul solo calendario principale. Chiediamo a Google soltanto i campi che servono: niente descrizioni, allegati o link alle videochiamate. Degli eventi privati salviamo solo l'orario, e un vincolo del database lo garantisce. Conserviamo solo gli incontri fra 30 giorni fa e 120 giorni da oggi.
Separazione fra spazi di lavoro. Ogni lettura del server è limitata al Suo spazio di lavoro. Le tabelle con i dati di Google Calendar non sono accessibili dall'interfaccia pubblica del database né con l'account di un utente: le legge soltanto il server. La Row Level Security resta attiva come barriera in più, se quell'accesso venisse riaperto per errore. Le proposte di conferma dell'email ricavate dai partecipanti sono visibili ai membri dello spazio come ogni altra proposta.
Accesso al server. Il database non accetta connessioni dirette da Internet. Al server accede soltanto il titolare, con chiave crittografica (l'accesso con password è disattivato), dietro firewall e protezione dai tentativi di accesso ripetuti. Per la manutenzione il titolare può farsi aiutare da assistenti di programmazione basati su intelligenza artificiale, che sul server leggono solo metadati e conteggi, mai il contenuto degli incontri.
Log. I log dell'applicazione non contengono il contenuto degli incontri né il token.
Protezione dalla prompt injection. Si veda il punto 12.
Copie di sicurezza. Ogni notte facciamo una copia del database. La copia non cifrata resta sul server per 14 giorni; le copie cifrate, sul server e presso il titolare, servono solo a ripristinare il servizio dopo un guasto e non sono consultabili senza la chiave, che il titolare custodisce fuori dal server. Hostinger conserva inoltre una copia settimanale dell'intero server, nell'Unione Europea (Lituania), e ne tiene le ultime tre. Per questo, dopo una cancellazione, gli incontri possono restare nelle copie di sicurezza: fino a 14 giorni in quella non cifrata, fino a circa tre settimane nelle copie dell'intero server, e nelle copie cifrate, che oggi non hanno una scadenza automatica, finché il titolare non le elimina.
Cancellazione. Scollegando, con «Riparti da zero» o cancellando l'account revochiamo l'accesso presso Google e cancelliamo dal database gli incontri, il token e lo stato della sincronizzazione (punto 12). Se il token non è più leggibile, cancelliamo comunque i dati e Le chiediamo di togliere l'accesso da myaccount.google.com/permissions.

14. Gmail (connettore facoltativo)

Se Lei collega la Sua casella Gmail dalle Impostazioni, valgono in aggiunta queste informazioni sul punto 2. Il collegamento è facoltativo e parte solo da un Suo gesto: prima di mandarLa alla schermata di consenso di Google, l'applicazione Le mostra una schermata informativa con le stesse indicazioni e attende la Sua conferma. Finché Google non ha concluso la verifica dell'applicazione, la sua schermata può mostrarLe un avviso di app non verificata: è normale.

Cosa leggiamo. Solo le email da e verso un contatto, cioè le persone delle Sue schede, in sola lettura (permesso gmail.readonly): quelle in cui compare un indirizzo che Lei ha confermato sulla scheda. Di ogni email degli ultimi 30 giorni conserviamo mittente, destinatari, data, oggetto e identificativi, senza il testo: serve a sapere con chi Lei ha scritto, quando e su cosa (elenco di sintesi, aggiornato circa ogni 15 minuti; le righe più vecchie di 30 giorni vengono cancellate). Il testo di una email lo leggiamo quando Lei lo chiede: premendo «Leggi le ultime email» sulla scheda del contatto, oppure chiedendolo alla chat o a un'AI che Lei ha collegato, e in quel caso non lo salviamo. Per i contatti che Lei sceglie di sorvegliare leggiamo il testo anche da soli, una volta al giorno per il riassunto e circa ogni 15 minuti per l'archivio, solo per le email arrivate dopo l'ultimo controllo. Mai il resto della casella. Restano fuori spam, cestino, bozze; le email automatiche (newsletter, notifiche, inviti di calendario, risposte automatiche) non entrano nell'elenco di sintesi né nel riassunto. Collegare Gmail non importa nessuna email nel diario né nella memoria. Non scriviamo nulla su Gmail: non inviamo, non modifichiamo, non cancelliamo e non archiviamo email.
Cosa non leggiamo. Gli allegati, le email scambiate con altre persone e tutto ciò che non riguarda il contatto scelto.
Perché. Per sapere e dirLe con chi ha scritto, quando e su cosa, per farLe leggere una email quando Lei lo chiede e per scriverLe nel diario, quando preme «Leggi le ultime email» o per i contatti sorvegliati, un riassunto delle email scambiate con un contatto. Per ogni lettura scriviamo una sola voce di diario. L'elenco di sintesi, le email lette su richiesta e l'archivio sono a disposizione della chat dell'applicazione e delle AI che Lei collega (punti 11 e 12), e il radar (punto 4) legge il testo delle email archiviate nuove dei contatti sorvegliati, al massimo cinque per scheda per volta. Il riassunto entra nel Suo diario e, da lì, nelle schede, nella memoria e nelle AI che Lei collega, quando le interroga, e può essere usato dall'applicazione per le funzioni descritte ai punti 3 e 4. Dalle email non nasce da solo nessun elemento di diario, memoria, scheda, impegno o proposta.
Chi lo scrive. Il testo delle email selezionate, con le intestazioni, viene inviato a un modello Anthropic (Claude Haiku 4.5), tramite OpenRouter, al solo scopo di scrivere il riassunto; lo stesso modello e le stesse garanzie valgono per il radar quando legge le email archiviate: la richiesta raggiunge esclusivamente Anthropic, con la raccolta dei dati per l'addestramento esclusa. Non usiamo le Sue email per addestrare alcun modello. Per cercare il riassunto nella memoria, le sue rappresentazioni vettoriali sono generate da Voyage AI (punto 15).
Protezione dalla prompt injection. Il testo delle email è trattato come dati non fidati: viene neutralizzato e racchiuso fra delimitatori, con l'avviso al modello che è un dato da riassumere o da leggere e non un'istruzione, e il riassunto passa un controllo di sicurezza prima di essere salvato.
Chi lo vede e chi può collegare. Il collegamento vale per l'intero spazio di lavoro: i riassunti, l'elenco di sintesi e le email archiviate sono visibili ai membri dello spazio di lavoro, e leggibili dalle AI collegate e dalla chat, non solo da chi ha collegato la casella. Collegare, scollegare, leggere la posta e scegliere i contatti da sorvegliare spetta soltanto ai proprietari e agli amministratori dello spazio.
Sorveglianza dei contatti. È facoltativa e si accende dalla scheda di un contatto, solo se ha un indirizzo email confermato: da quel momento, una volta al giorno e solo se ci sono email nuove, il riassunto arriva nel diario. I contatti che Lei non sorveglia vengono letti solo quando preme il pulsante sulla scheda. Se Lei scollega l'ultima casella collegata (Gmail o Outlook), la sorveglianza si spegne su tutti i contatti: quando ricollega, la riaccende dalla scheda.
Fino a quando. Il token, fino allo scollegamento. L'elenco di sintesi, 30 giorni (le righe più vecchie si cancellano da sole; si cancella anche con lo scollegamento). L'archivio dei contatti sorvegliati, senza scadenza, anche se Lei spegne la sorveglianza; si cancella con lo scollegamento di Gmail (limitatamente alle email archiviate di Gmail), con «Riparti da zero» o con la cancellazione dell'account (punto 8). Il riassunto resta nel diario anche dopo lo scollegamento, fino a quando Lei non lo cancella, non usa «Riparti da zero» o non cancella l'account (punto 8). Se nel frattempo Lei ha tolto l'accesso dal Suo account Google, l'applicazione smette di leggere e Gmail risulta «da ricollegare», ma il token ormai inutilizzabile resta fino a quando Lei scollega.
Come si scollega. Scollegando Gmail dalle Impostazioni, usando «Riparti da zero» o cancellando l'account revochiamo l'accesso presso Google e cancelliamo il token, l'elenco di sintesi e le email archiviate di Gmail. Scollegare Outlook non tocca l'archivio di Gmail, e viceversa; spegnere la sorveglianza non cancella l'archivio. Se la revoca presso Google non va a buon fine, glielo diciamo e non cancelliamo il token: Lei può riprovare oppure togliere l'accesso direttamente da myaccount.google.com/permissions.
Base giuridica e revoca. Il Suo consenso, dato al momento del collegamento con la versione corrente di questo testo (chi ha collegato prima deve ricollegare perché l'elenco di sintesi e l'archivio partano). Lo revoca in qualsiasi momento scollegando Gmail, con la cancellazione del token, dell'elenco e delle email archiviate di Gmail descritta sopra; per cancellare anche i riassunti nel diario usi «Riparti da zero» o cancelli l'account, oppure ce lo chieda ai sensi del punto 8.
Outlook. La lettura mirata descritta in questo punto vale allo stesso modo per la casella Outlook / Microsoft 365 che Lei collega dalle Impostazioni; la revoca presso Google e la dichiarazione che segue riguardano solo Gmail.

L'uso e il trasferimento ad altre applicazioni delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, inclusi i requisiti di Limited Use (uso limitato). In particolare, usiamo i dati di Gmail solo per fornirLe la funzione che vede nell'applicazione, cioè l'elenco, la lettura e l'archivio delle email dei contatti, il riassunto e il controllo del radar; non li trasferiamo ad altri se non per fornirla, per sicurezza o per obblighi di legge; non li usiamo per pubblicità né per addestrare modelli di intelligenza artificiale; nessuna persona ne legge il contenuto, salvo sicurezza o obblighi di legge (punto 15). Si applica anche la Google Workspace API User Data and Developer Policy, nella versione aggiornata al 03/09/2026.

15. Dati di Gmail: con chi li condividiamo e come li proteggiamo

Questo punto riguarda i dati che leggiamo da Gmail (si veda il punto 14): le email scambiate con le persone delle Sue schede, di cui conserviamo l'elenco di sintesi per 30 giorni (senza il testo), per i contatti sorvegliati l'email intera, senza scadenza, e il riassunto nel diario, e il token che ci permette di leggerle.

Con chi li condividiamo. Non vendiamo questi dati, non li usiamo per pubblicità, non li cediamo a intermediari di dati e non li usiamo per addestrare modelli. Li ricevono soltanto:

Google, da cui li leggiamo, in sola lettura, e presso cui revochiamo l'accesso quando Lei scollega.
Hostinger, che ospita il server nell'Unione Europea (Germania, Francoforte) dove conserviamo i riassunti, l'elenco di sintesi, l'archivio delle email dei contatti sorvegliati e il token cifrato, e che ne conserva copie settimanali dell'intero server, anch'esse nell'Unione Europea (Lituania).
OpenRouter, Inc. (USA) e Anthropic PBC (USA), per scrivere il riassunto e per il controllo del radar: il testo delle email selezionate o archiviate raggiunge esclusivamente il modello Claude di Anthropic, tramite OpenRouter, anche quando l'applicazione deve rivolgersi ad Anthropic direttamente, con la raccolta dei dati per l'addestramento esclusa.
Voyage AI, Inc. (USA), che riceve il riassunto, e le ricerche che la chat o un'AI collegata fa nella memoria, per generarne le rappresentazioni vettoriali (punto 3); non li usa per addestrare modelli. Le email intere non le riceve.
Resend, Inc. (USA), il fornitore del servizio di invio delle email, che recapita le email di servizio dell'applicazione. Se Lei ha attivato il riepilogo settimanale o il digest del radar, quelle email possono contenere brevi estratti dei segnali del radar, che possono derivare dai riassunti delle email nel diario. Nient'altro dei dati di Gmail arriva a Resend: né le email, né i riassunti per intero, né il token.
I membri del Suo spazio di lavoro, che vedono i riassunti nel diario (punto 14, «Chi lo vede e chi può collegare»).
Le AI che Lei collega (per esempio Claude di Anthropic o ChatGPT di OpenAI) e la chat dell'applicazione, solo quando Lei le interroga e secondo le condizioni dei punti 11 e 12 («Le risposte della chat»): possono leggere i riassunti.

Si tratta di trasferimenti verso gli Stati Uniti, per i quali vale quanto indicato al punto 6.

Nessuno di noi legge le Sue email: l'operatore vede solo conteggi e date, salvo sicurezza o obblighi di legge. Oltre a Lei e ai membri del Suo spazio di lavoro, nessun'altra persona legge i riassunti, con le stesse eccezioni.

Come li proteggiamo.

Cifratura in transito. Tutte le comunicazioni fra il Suo browser e il server, e fra il server e Google, viaggiano cifrate (HTTPS/TLS).
Token cifrato. Il token che ci permette di leggere la Sua casella è conservato cifrato nel database, con una chiave dedicata a Gmail che non sta nel database né nelle sue copie di sicurezza; la chiave è presente sul server e quindi anche nelle copie dell'intero server conservate da Hostinger. Il token di accesso temporaneo resta solo in memoria per la durata di una lettura. Nessuna schermata, API o strumento lo mostra.
Il minimo indispensabile. Un solo permesso, in sola lettura, sulle sole email scambiate con un contatto. Non leggiamo gli allegati. Il testo di una email lo conserviamo soltanto per i contatti che Lei sorveglia (archivio); per gli altri, di ogni lettura resta soltanto il riassunto nel diario.
Separazione fra spazi di lavoro. Ogni lettura del server è limitata al Suo spazio di lavoro. La tabella con il token di Gmail non è accessibile dall'interfaccia pubblica del database né con l'account di un utente: la legge soltanto il server. I riassunti stanno nel diario, e l'elenco di sintesi e l'archivio nelle loro tabelle, tutti isolati per spazio di lavoro con la Row Level Security; le tabelle dell'elenco e dell'archivio non sono accessibili nemmeno dall'interfaccia pubblica del database.
Accesso al server. Il database non accetta connessioni dirette da Internet. Al server accede soltanto il titolare, con chiave crittografica (l'accesso con password è disattivato), dietro firewall e protezione dai tentativi di accesso ripetuti. Per la manutenzione il titolare può farsi aiutare da assistenti di programmazione basati su intelligenza artificiale, che sul server leggono solo metadati e conteggi, mai il contenuto delle email.
Log. I log dell'applicazione non contengono il contenuto delle email né il token.
Protezione dalla prompt injection. Si veda il punto 14.
Copie di sicurezza. Come al punto 13: ogni notte facciamo una copia del database e Hostinger conserva una copia settimanale dell'intero server, nell'Unione Europea (Lituania). Per questo, dopo una cancellazione, i riassunti possono restare nelle copie di sicurezza per i tempi indicati al punto 13, «Copie di sicurezza».
Cancellazione. Scollegando Gmail, usando «Riparti da zero» o cancellando l'account revochiamo l'accesso presso Google e cancelliamo il token e le email archiviate di Gmail (con «Riparti da zero» o cancellando l'account si cancellano anche l'archivio di Outlook e i riassunti nel diario, punto 14). Se il token non è più leggibile, cancelliamo comunque il token e Le chiediamo di togliere l'accesso da myaccount.google.com/permissions.