Informativa sulla privacy

Il proprietario del sito che incorpora il widget è il titolare dei dati dei suoi visitatori e dei suoi contenuti. Noi agiamo come responsabile del trattamento per conto del proprietario, e Google Cloud è un sub-responsabile (Vertex AI Search / Discovery Engine e Gemini per indicizzazione, ricerca e generazione delle risposte; Cloud Storage per lo staging intermedio dell'importazione nell'indice; Firestore per account, configurazione, registri delle richieste e di audit; Firebase Authentication / Identity Platform per autenticazione e sessioni). Per l'account del proprietario (email, pagamenti) siamo il titolare.

Trattiamo inoltre il testo delle richieste dei visitatori in misura limitata per finalità nostre — metriche di qualità e protezione dagli abusi; in quella parte ristretta agiamo come titolare autonomo. La base giuridica è il nostro legittimo interesse (art. 6(1)(f) GDPR) a mantenere il servizio operativo, sicuro e accurato; abbiamo effettuato una valutazione del legittimo interesse (LIA), e tale interesse non prevale sui diritti degli interessati.

I pagamenti sono gestiti da Paddle in qualità di Merchant of Record: rispetto alla transazione di pagamento, Paddle agisce come merchant of record e titolare autonomo dei dati di pagamento, non come nostro sub-responsabile.

• Contenuti del sito — le pagine pubbliche del proprietario vengono indicizzate affinché le risposte possano basarsi su di esse.
• Richieste dei visitatori — il testo della domanda viene inviato a Google Vertex/Gemini per generare una risposta.
• Dati tecnici dei visitatori — l'indirizzo IP viene elaborato transitoriamente in memoria per la protezione dagli abusi e il rate limiting e non viene conservato nei log o in un database (principio di minimizzazione dei dati).
• Metriche di utilizzo — conteggi delle richieste e qualità delle risposte (nessun contenuto oltre il necessario).
• Account del proprietario — email e dati di fatturazione (i pagamenti sono gestiti da Paddle in qualità di Merchant of Record; non conserviamo i dati della carta).

Il nostro sito pubblico può utilizzare cookie analitici — impostati solo con il tuo consenso; vedi la Cookie Policy per i dettagli.

Dati dei minori. Il servizio è un prodotto B2B e non è rivolto ai minori di 16 anni.

La generazione delle risposte, l'indicizzazione e i trattamenti di supporto avvengono nella regione Google Cloud configurata per il servizio, in base ai termini enterprise di Google. In base a tali termini, Google non utilizza i dati inviati a Vertex AI e all'API Gemini per addestrare i propri modelli. Analogamente, non utilizziamo i tuoi contenuti o le tue richieste per addestrare alcun modello.

L'operatore del servizio ha sede in Israele. I trasferimenti di dati personali dall'UE a Israele si basano sulla decisione di adeguatezza della Commissione europea per Israele; i trasferimenti verso i servizi di Google sono regolati dal Cloud Data Processing Addendum di Google e, ove necessario, dalle Standard Contractual Clauses (SCC) e/o dall'EU-US Data Privacy Framework.

Trasparenza sull'AI. Le risposte sono prodotte da intelligenza artificiale a partire dai contenuti indicizzati; l'interfaccia del widget indica che è l'AI a rispondere, e le risposte contengono link alle loro fonti.

• Google Cloud — Vertex AI Search (Discovery Engine) e Gemini — indicizzazione, ricerca e generazione delle risposte.
• Google Cloud Storage — staging intermedio del testo estratto per l'importazione nell'indice.
• Google Cloud Firestore — account dei proprietari, configurazione del servizio, registri delle richieste e di audit.
• Firebase Authentication / Identity Platform — autenticazione degli account e gestione delle sessioni.

Paddle elabora gli abbonamenti e i pagamenti in qualità di Merchant of Record e, in tale ruolo, agisce come titolare autonomo anziché come sub-responsabile.

Un elenco aggiornato dei sub-responsabili è disponibile su richiesta. Diamo preavviso delle modifiche previste ai nostri sub-responsabili e forniamo la possibilità di opporsi.

Prima della tua scelta nel banner, il tag Google opera con l'archiviazione negata e può inviare a Google LLC segnali tecnici senza cookie — come l'URL della pagina, il referrer, lo stato del consenso e la presenza di informazioni sul clic pubblicitario — per report e modellazione aggregati. I cookie analitici e pubblicitari non vengono impostati né letti. La base di questo trattamento minimo è il nostro legittimo interesse (art. 6(1)(f) GDPR) a misurare l'efficacia del sito pubblico applicando la minimizzazione dei dati.

Se acconsenti ai cookie di misurazione pubblicitaria, Google riceve il fatto che una conversione è avvenuta e l'identificativo del clic sull'annuncio che l'ha preceduta. Questi dati servono esclusivamente a misurare il rendimento della nostra pubblicità. La base giuridica della misurazione completa è il tuo consenso (art. 6(1)(a) GDPR); puoi revocarlo in qualsiasi momento tramite il link «Impostazioni cookie» nel piè di pagina. Non attiviamo la personalizzazione degli annunci e questi dati non vengono usati per creare profili per la pubblicità su altri siti.

Periodi di conservazione:

• Indirizzi IP dei visitatori — non conservati: elaborati solo transitoriamente in memoria per la protezione dagli abusi e scartati subito dopo la gestione della richiesta.
• Testo delle richieste dei visitatori — 90 giorni, dopodiché viene anonimizzato o cancellato; le metriche aggregate prive di dati personali possono essere conservate più a lungo.
• Artefatti di indicizzazione nello storage intermedio — cancellati secondo pianificazione, di norma entro 7 giorni.
• Indice del sito — finché il progetto è attivo; alla chiusura di un progetto, l'indice e le risorse correlate vengono cancellati.
• Dati dell'account del proprietario — finché l'account è attivo; dopo la chiusura vengono cancellati, fatti salvi i periodi di conservazione obbligatori (ad esempio, contabili e fiscali).

Gli interessati possono richiedere l'accesso ai propri dati, la loro rettifica, cancellazione o la limitazione del trattamento, e possono opporsi al trattamento; ai sensi del CCPA — conoscere le categorie di dati, richiederne la cancellazione e opporsi a una "vendita" (non vendiamo dati). Poiché l'operatore ha sede in Israele, si applica anche la Protection of Privacy Law (PPL) come modificata dall'Amendment 13: diritti di accesso e rettifica, requisiti di trasparenza e notifica alla regulator dei gravi incidenti di sicurezza.

Come inviare una richiesta (DSAR). Le richieste relative ai dati dei visitatori sono indirizzate al proprietario del sito in quanto titolare — noi, come responsabile, lo assistiamo (individuazione e cancellazione dei dati, pulizia dei log, cancellazione del progetto). Le richieste relative ai dati dell'account del proprietario vanno inviate a noi tramite il modulo di contatto. Rispondiamo entro i termini stabiliti dalla legge applicabile (ai sensi del GDPR, generalmente entro un mese).

Non possiamo escludere per contratto gli obblighi imperativi del GDPR/CCPA/PPL — la responsabilità è ripartita per legge.

I dati sono trasmessi tramite TLS; l'accesso dei service account segue il principio del privilegio minimo. Le richieste vengono sanificate e sottoposte a rate limiting prima di qualsiasi chiamata a un servizio a pagamento (protezione dall'injection e dal denial-of-wallet). I progetti sono isolati: ciascuno opera sul proprio indice. Quando è abilitato, Google reCAPTCHA Enterprise viene usato in modalità di monitoraggio facoltativa per rilevare bot e abusi e può elaborare i segnali di interazione del visitatore nel rispetto delle condizioni sulla privacy di Google; il widget potrebbe non inviare alcun token.

In caso di grave incidente di sicurezza che coinvolge dati personali, notifichiamo l'autorità competente (in Israele, la Privacy Protection Authority, PPA) e, ove richiesto dalla legge, gli interessati e il proprietario del sito, entro i termini applicabili.

Richieste privacy e DSAR al servizio beta: inviale tramite il modulo di contatto.

Per le richieste relative ai dati dei visitatori, contatta il proprietario del sito cliente in quanto titolare del trattamento.