Informativa sulla privacy

1. I nostri ruoli

Agiamo come titolari per l'amministrazione degli account, la nostra fatturazione, l'assistenza e la sicurezza del servizio. Per i dati personali contenuti in contenuti gestiti dal cliente, dati del pubblico o altri materiali trattati esclusivamente su istruzione del cliente, quest'ultimo determina le finalità e noi agiamo come responsabili in base a un separato accordo sul trattamento dei dati. Un cliente può a sua volta agire come responsabile per il proprio cliente. Rivolgiti al cliente pertinente per tali dati; assistiamo nella gestione delle richieste in base al nostro accordo. Le piattaforme social e i fornitori di pagamenti possono agire come titolari autonomi per le proprie finalità.

2. Dati e fonti

Riceviamo dati direttamente da te, dalla persona che ti invita in uno spazio di lavoro, dalle piattaforme collegate entro le autorizzazioni concesse e dal tuo dispositivo quando utilizzi Tagv. A seconda delle funzioni abilitate, comprendono nome, email, hash della password, impostazioni di autenticazione, ruoli nello spazio di lavoro, inviti, corrispondenza con l'assistenza, dati di fatturazione e identificativi delle transazioni; identificativi dei profili social, nomi, avatar e token di accesso cifrati; post, immagini, video, commenti, interazioni e statistiche; indirizzi IP, informazioni sul browser, orari delle richieste e registri di sicurezza. Le funzioni IA facoltative ricevono i prompt e i materiali che invii. I dati delle carte di pagamento sono inseriti presso il fornitore di pagamenti; Tagv non conserva i dati completi delle carte.

Se un'altra persona fornisce i tuoi contatti, li utilizziamo per l'invito, la collaborazione o l'assistenza in questione e forniamo le informazioni richieste dalla legge. Il conferimento dei dati è generalmente facoltativo, ma le informazioni su account, sicurezza e fatturazione contrassegnate come obbligatorie sono necessarie per il servizio pertinente o per un obbligo legale; senza di esse potremmo non poter fornire quel servizio. Non inviare categorie particolari di dati o dati relativi a reati senza aver prima stabilito una base giuridica e adeguate garanzie contrattuali.

3. Finalità e basi giuridiche

• Creazione dell'account, funzioni richieste, gestione della fatturazione e assistenza contrattuale: articolo 6(1)(b) GDPR quando sei la persona fisica contraente; per rappresentanti e utenti invitati, articolo 6(1)(f), il nostro legittimo interesse a fornire il servizio all'organizzazione e mantenere i rapporti commerciali.
• Obblighi fiscali, contabili e altri obblighi legali vincolanti: articolo 6(1)(c) GDPR.
• Sicurezza, prevenzione delle frodi, diagnostica necessaria, gestione delle richieste non contrattuali e accertamento o difesa di diritti: articolo 6(1)(f), i nostri legittimi interessi a proteggere gli utenti, gestire un servizio affidabile e tutelare i diritti; li bilanciamo con i tuoi diritti.
• Comunicazioni di marketing facoltative e tracciamento non essenziale, se introdotti: consenso ai sensi dell'articolo 6(1)(a) GDPR e delle norme applicabili sulle comunicazioni elettroniche, ove richiesto. Il consenso è separato dall'accettazione dei termini e può essere revocato senza pregiudicare i precedenti trattamenti leciti.
• Contenuti controllati dal cliente: il cliente determina la base giuridica; li trattiamo su istruzioni documentate ai sensi dell'articolo 28 GDPR, non sulla base di un consenso generale dell'utente a questa informativa.

4. Integrazioni, pubblicazione e IA

Il collegamento di un account social autorizza le operazioni mostrate durante la procedura, come pubblicare o leggere informazioni del profilo e statistiche. L'autorizzazione di un'integrazione è distinta dal consenso GDPR. Puoi scollegare l'account in Tagv o revocare l'accesso sulla piattaforma. Ciò interrompe l'accesso autorizzato futuro, ma non elimina automaticamente post già pubblicati, dati detenuti dalla piattaforma o copie ricevute da altri.

I contenuti vengono condivisi con gli account, i membri dello spazio di lavoro e i destinatari selezionati. Link pubblici, calendari e pubblicazioni possono esporre dati a chiunque vi acceda; controlla le impostazioni prima della condivisione.

Le funzioni IA utilizzano OpenRouter, Inc., che inoltra le istruzioni e i materiali necessari per eseguire il compito al fornitore del modello selezionato. A seconda della funzione, possono includere testi, contesto dei post e immagini inviate per l’analisi. Il modello può essere configurato per lo spazio di lavoro. La conservazione e le regole sull’utilizzo dei dati per l’addestramento dipendono dal fornitore del modello e dalle impostazioni di privacy dell’account OpenRouter; non dichiariamo un periodo di conservazione uniforme né l’esclusione dell’addestramento per tutti i modelli. Informazioni del fornitore: https://openrouter.ai/privacy/ e https://openrouter.ai/docs/guides/privacy/provider-logging.

5. Destinatari e trasferimenti internazionali

I destinatari possono comprendere fornitori di infrastrutture, archiviazione dei dati, posta elettronica, sicurezza e assistenza; Stripe per i pagamenti; piattaforme social collegate; fornitori IA abilitati; consulenti professionali e autorità autorizzate. Limitiamo l’accesso a quanto richiesto dal rispettivo ruolo. Stipuliamo accordi adeguati con i responsabili del trattamento. I file caricati sono conservati in Cloudflare R2 in Europa. L’applicazione Tagv viene eseguita in container su Microsoft Azure nella regione Poland Central in Polonia. Il database dell’applicazione si trova nella stessa regione.

L’hosting dell’applicazione e del database in Azure Poland Central e l’archiviazione dei file in Cloudflare R2 in Europa non determinano il luogo di trattamento dei fornitori IA. L’utilizzo di OpenRouter e dei fornitori di modelli può comportare il trattamento di dati al di fuori dello SEE. Il trattamento IA esclusivamente nell’UE richiede il routing regionale attivo di OpenRouter e l’utilizzo dell’indirizzo API europeo. Il luogo di trattamento dipende dalla configurazione del servizio e dal fornitore del modello.

6. Conservazione e cancellazione

Conserviamo i dati dell’account finché sono necessari alla sua gestione. Conserviamo i contenuti del cliente secondo le sue istruzioni, le impostazioni dello spazio di lavoro e l’accordo sul trattamento dei dati. L’eliminazione di un account personale non elimina necessariamente i dati nello spazio di lavoro di un altro cliente né le pubblicazioni su piattaforme esterne. Eliminiamo i dati dell’account e i suoi contenuti dopo 3 mesi dalla chiusura dell’account, ad eccezione dei dati che dobbiamo conservare per obblighi legali o per l’accertamento e la difesa di diritti. Limitiamo l’utilizzo dei dati conservati a tali finalità.

I documenti contabili e fiscali sono conservati per i periodi di legge, generalmente cinque anni calcolati secondo le pertinenti norme fiscali o contabili polacche; una sospensione o proroga legale può modificare tale periodo. Le prove del consenso sono conservate quanto necessario a dimostrare la conformità. Il trattamento per marketing termina alla revoca del consenso o a un'opposizione applicabile, conservando un dato minimo di esclusione ove necessario a rispettare tale scelta.

I log vengono eliminati dopo 3 mesi. I dati degli account eliminati vengono rimossi dai backup dopo 3 mesi dalla chiusura dell’account. Non eliminiamo gli account né i loro dati esclusivamente a causa dell’inattività dell’utente.

7. I tuoi diritti

Alle condizioni previste dal GDPR, puoi chiedere accesso e copia, rettifica, cancellazione, limitazione e portabilità dei dati trattati automaticamente sulla base di consenso o contratto. Puoi opporti al trattamento basato su interessi legittimi per motivi connessi alla tua situazione e al marketing diretto in qualsiasi momento. Puoi revocare il consenso con la stessa facilità con cui lo hai prestato; la revoca non pregiudica il precedente trattamento lecito.

Contatta support@tagv.io. Normalmente rispondiamo entro un mese; nei casi legalmente giustificati possiamo prorogare di altri due mesi al massimo, spiegandolo entro il primo mese. Possiamo chiedere una verifica proporzionata dell'identità. Puoi presentare reclamo al Presidente dell'Ufficio polacco per la protezione dei dati personali (https://uodo.gov.pl/) o a un'altra autorità di controllo competente, anche nel paese della tua residenza abituale, del luogo di lavoro o della presunta violazione.

8. Cookie e archiviazione nel browser

Tagv imposta cookie propri per mantenere la sessione, proteggere il collegamento degli account social e ricordare la lingua. I cookie di sessione e integrazione sono necessari per queste funzioni; il cookie della lingua conserva la preferenza dell’utente. Attualmente non utilizziamo strumenti di analisi né cookie analitici o pubblicitari.

Puoi eliminare o bloccare i cookie nelle impostazioni del browser. Il blocco dei cookie di sessione o integrazione può impedire l’accesso o il collegamento di un account social. Di seguito indichiamo nomi, finalità e periodi di validità dei cookie impostati da Tagv. Il periodo di validità decorre dall’impostazione o dalla nuova impostazione del cookie.

L’applicazione utilizza anche localStorage: splot_access_token conserva il token di accesso; locale, splot-theme e splot_active_workspace_id ricordano lingua, tema e spazio di lavoro; splot_onboarding_done_* ricorda la chiusura dell’introduzione e splot_upload:* consente di riprendere il caricamento di un file. LocalStorage non ha una scadenza automatica: le voci rimangono fino alla rimozione da parte dell’applicazione o alla cancellazione dei dati del sito nel browser. La validità del token sul server è indipendente dalla sua conservazione nel browser.

• splot_rt — mantiene e rinnova la sessione di accesso; 7 giorni dall’impostazione o dal rinnovo, eliminato alla disconnessione. Cookie HttpOnly, SameSite=Strict, percorso /api/auth.
• splot_oauth_nonce — protegge il processo di collegamento di un account social dalla sostituzione della richiesta; fino a 15 minuti, eliminato durante la gestione del ritorno dall’autorizzazione. Cookie HttpOnly, SameSite=Lax, percorso /.
• splot_oauth_pkce — protegge lo scambio del codice di autorizzazione per le integrazioni che utilizzano PKCE; fino a 15 minuti, eliminato durante la gestione del ritorno dall’autorizzazione. Cookie HttpOnly, SameSite=Lax, percorso /.
• splot_oauth_dpop — protegge l’autorizzazione dell’integrazione Bluesky; fino a 15 minuti, eliminato durante la gestione del ritorno dall’autorizzazione. Cookie HttpOnly, SameSite=Lax, percorso /.
• locale — ricorda la lingua selezionata dell’applicazione; 365 giorni dall’impostazione. Cookie funzionale, SameSite=Lax, percorso /.

9. Sicurezza, decisioni automatizzate e minori

Le misure includono trasmissione cifrata, password sottoposte a hash, token di integrazione cifrati e controlli degli accessi basati sui ruoli. Adeguiamo le garanzie al rischio e gestiamo le violazioni secondo la legge applicabile. Proteggi le credenziali e usa l'autenticazione a due fattori disponibile.

Tagv è destinato agli adulti. Se sospetti che un minore abbia fornito dati personali, contattaci. Non adottiamo nei confronti degli utenti decisioni basate esclusivamente sul trattamento automatizzato che producano effetti giuridici o incidano analogamente in modo significativo su di loro.

10. Aggiornamenti dell'informativa

Aggiorniamo questa informativa quando cambia il trattamento e identifichiamo la versione e la data applicabili. Le modifiche sostanziali vengono comunicate adeguatamente prima della loro applicazione. Un aggiornamento dell'informativa non acquisisce di per sé il consenso né crea una nuova base giuridica. Se un nuovo trattamento richiede il consenso, lo chiediamo separatamente.