Informativa sul trattamento dei dati personali

Servizio "AmicoAI" — Art. 13-14 Reg. UE 2016/679 (GDPR)

Ultimo aggiornamento: 8 ottobre 2026 Versione: 1.7

La presente informativa descrive come Guides4you S.r.l. raccoglie, utilizza e protegge i dati personali degli utenti del servizio digitale "AmicoAI", in conformità al Regolamento UE 2016/679 ("GDPR"), al D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 ("Codice Privacy"), e alla normativa di settore applicabile.

1. Titolare del trattamento

2. Responsabile della Protezione dei Dati (DPO)

Il Titolare non ha nominato un Responsabile della Protezione dei Dati (DPO) ai sensi dell'art. 37 GDPR, ritenendo non sussistenti i presupposti di obbligatorietà. Per qualsiasi questione relativa al trattamento dei propri dati, l'interessato può scrivere a privacy@amicoai.it.

3. Definizioni utili

• Utente principale: la persona fisica che si registra al Servizio dal Portale.
• Partner: la seconda persona — eventualmente — indicata dall'Utente principale e che ha prestato consenso all'uso condiviso del Servizio.
• Sistema AI: il servizio di intelligenza artificiale di terze parti utilizzato per interpretare i messaggi e generare le risposte.
• Gateway WhatsApp: l'infrastruttura tecnica che collega il Servizio all'app WhatsApp.

4. Categorie di dati personali trattati

4.1 Dati raccolti durante la registrazione (Utente principale)

Chiediamo solo i dati che ci servono per far funzionare il Servizio:

• un nome o un nickname (non chiediamo il cognome);
• il numero WhatsApp, che identifica l'account;
• data, ora e versione dei testi accettati (Termini e presente Informativa), come prova del consenso;
• per chi si registra dal sito (amicoai.it/inizia): indirizzo IP e tipo di browser al momento dell'accettazione, l'eventuale campagna pubblicitaria di provenienza, e la conferma del numero (il codice che l'Utente ci scrive su WhatsApp, oppure il codice che gli inviamo su WhatsApp, del quale conserviamo solo un'impronta crittografica per il tempo della verifica).

Gli account creati in precedenza tramite il vecchio modulo di registrazione possono contenere anche cognome, città, indirizzo email e una password (conservata solo in forma hashata, che il Titolare non è in grado di decifrare).

4.2 Dati del Partner

• nome (se fornito dall'Utente principale);
• numero di telefono cellulare;
• indirizzo email (se utilizzato per l'invio del link di invito);
• conferma del consenso prestato.

4.3 Dati derivanti dall'uso del Servizio

• contenuto dei messaggi WhatsApp scambiati con AmicoAI (testo, eventuali emoji, eventuali allegati);
• attività registrate dall'Utente nella propria todolist (titoli, descrizioni, scadenze, stato);
• liste dell'Utente (es. spesa, valigia): titolo della lista e testo delle singole righe, con l'indicazione se una riga è stata spuntata. Il testo delle righe è cifrato nel database (AES-256-GCM); il titolo della lista è conservato in chiaro perché serve a riconoscere la lista quando l'Utente la richiama per nome;
• archivio personale dell'Utente: fotografie, documenti (es. PDF) e collegamenti che l'Utente sceglie deliberatamente di inviare ad AmicoAI per conservarli e richiamarli in un secondo momento, insieme al nome con cui li identifica. Il contenuto dei file è cifrato a riposo (AES-256-GCM), con chiave conservata fuori dal database; il nome originale del file inviato non è conservato; il nome scelto dall'Utente è conservato in chiaro perché serve a riconoscere l'elemento quando lo richiama per nome. L'archivio è facoltativo: si attiva solo se l'Utente invia spontaneamente un allegato, ed è limitato a 10 elementi di 5 MB ciascuno. L'Utente è invitato a valutare con attenzione quali documenti conservarvi: chiunque abbia accesso al dispositivo o all'account WhatsApp dell'Utente può richiederne la restituzione nella conversazione, non essendo previsto un ulteriore fattore di autenticazione. Ogni restituzione è registrata nei log di sicurezza (data, ora e nome dell'elemento, mai il contenuto);
• note testuali dell'Utente: appunti, codici, indirizzi o altre informazioni che l'Utente sceglie deliberatamente di dettare ad AmicoAI perché siano conservati con un nome e richiamati in un secondo momento. Il testo è cifrato a riposo (AES-256-GCM), con chiave conservata fuori dal database; il nome scelto dall'Utente è conservato in chiaro perché serve a riconoscere la nota quando la richiama per nome. Le note sono facoltative: si attivano solo se l'Utente ne salva una, e sono limitate a 10 elementi di 4000 caratteri ciascuno. Valgono le stesse considerazioni sulla sicurezza dell'accesso già indicate per l'archivio personale: chiunque abbia accesso al dispositivo o all'account WhatsApp dell'Utente può richiederne la restituzione nella conversazione, non essendo previsto un ulteriore fattore di autenticazione. Ogni restituzione è registrata nei log di sicurezza (data, ora e nome della nota, mai il contenuto);
• collegamento al calendario Google, se e solo se l'Utente lo attiva volontariamente dalla propria area personale: token di accesso e di aggiornamento rilasciati da Google (conservati cifrati, AES-256-GCM), identificativo del calendario prescelto e identificativi degli eventi creati. Quando il collegamento è attivo, il titolo e le eventuali note dei promemoria dell'Utente sono trasmessi a Google per creare i corrispondenti eventi in agenda, e gli eventi creati dall'Utente su Google possono essere letti per generare i relativi promemoria. Il collegamento è revocabile in qualsiasi momento dall'area personale o dalle impostazioni dell'account Google;
• messaggi vocali: se l'Utente invia un messaggio vocale, questo viene trascritto automaticamente sui sistemi del Titolare, mediante un modello di riconoscimento vocale che gira interamente sul server del Servizio. La registrazione audio non viene trasmessa ad alcun fornitore esterno e non viene conservata: è cancellata dal disco subito dopo la trascrizione, sia in caso di esito positivo sia in caso di errore. Del vocale resta unicamente il testo trascritto, trattato come qualunque altro messaggio (vedi §9);
• log tecnici di interazione (data/ora, latenza, esito chiamate al Sistema AI);
• statistiche aggregate (numero messaggi, frequenza d'uso, ecc.).

4.4 Dati di pagamento

I dati di carta di credito o di altri strumenti di pagamento NON sono trattati né conservati dal Titolare. Tali dati sono raccolti e gestiti direttamente dal provider di pagamento Stripe Payments Europe Ltd., in qualità di autonomo titolare del trattamento. Al Titolare sono trasmessi solamente l'esito della transazione, lo stato dell'abbonamento (per esempio: in prova, attivo, disdetto), gli identificativi del cliente e dell'abbonamento su Stripe e gli identificativi necessari per la fatturazione (es. nome, cognome, indirizzo, codice fiscale o P.IVA).

Per la prova gratuita attivata dal sito, Stripe raccoglie anche l'indirizzo email dell'Utente, che utilizza per le comunicazioni relative al pagamento (ricevute, avviso di fine prova).

4.5 Cookie e tecnologie analoghe

Il Portale utilizza cookie tecnici, e — previo consenso — cookie di analisi e marketing. Per il dettaglio si rinvia alla Cookie Policy disponibile all'indirizzo https://amicoai.it/cookie-policy.

5. Finalità e basi giuridiche del trattamento

Il conferimento dei dati indicati come "obbligatorio" è necessario per fornire il Servizio: il loro mancato conferimento impedisce la fruizione. Il rifiuto al conferimento dei dati indicati come "facoltativo" non ha alcuna conseguenza sull'erogazione del Servizio.

6. Trasmissione dei messaggi al Sistema AI

Per il funzionamento del Servizio, il contenuto dei messaggi scambiati dall'Utente con AmicoAI viene trasmesso al provider del Sistema AI di terze parti.

6.1 Provider attualmente utilizzati

L'elenco aggiornato dei sub-responsabili è disponibile su richiesta all'indirizzo privacy@amicoai.it.

6.2 Garanzie applicate

• I provider del Sistema AI sono nominati Responsabili del trattamento ai sensi dell'art. 28 GDPR mediante apposito accordo (Data Processing Agreement).
• Il Titolare seleziona piani contrattuali che escludono l'uso dei dati per addestramento dei modelli AI.
• I trasferimenti di dati extra-UE avvengono sulla base di Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea ai sensi dell'art. 46 GDPR, integrate da misure tecniche supplementari (es. minimizzazione dei dati trasmessi).

6.3 Cosa non trasmettiamo

I provider del Sistema AI ricevono solo il testo dei messaggi necessari alla generazione della risposta. Non trasmettiamo: password, dati di pagamento, identificativi univoci dell'utente non necessari, indirizzo IP grezzo. Le trascrizioni delle conversazioni inviate ai provider sono pseudonimizzate ove tecnicamente possibile.

7. Categorie di destinatari dei dati

I dati personali possono essere comunicati ai seguenti soggetti, nei limiti delle rispettive finalità:

L'elenco completo e aggiornato dei Responsabili del trattamento è messo a disposizione su richiesta scritta all'indirizzo privacy@amicoai.it.

I dati personali non sono e non saranno mai venduti, ceduti o concessi a terzi a fini commerciali.

8. Trasferimenti di dati extra-UE

Il Servizio si avvale di provider stabiliti al di fuori dello Spazio Economico Europeo. In particolare:

• Meta Platforms, Inc. (trasmissione dei messaggi e degli allegati WhatsApp) — sede negli Stati Uniti. Gli allegati inviati dall'Utente transitano e restano temporaneamente sui sistemi di Meta secondo le politiche di quest'ultima. Meta aderisce all'EU-U.S. Data Privacy Framework, oggetto di decisione di adeguatezza della Commissione Europea del 10 luglio 2023.
• Google LLC (sincronizzazione con Google Calendar, solo se l'Utente attiva il collegamento) — sede negli Stati Uniti. Google aderisce all'EU-U.S. Data Privacy Framework. Il trasferimento riguarda il titolo e le eventuali note dei promemoria dell'Utente e cessa con la revoca del collegamento.
• Hangzhou DeepSeek AI Co., Ltd. (provider del Sistema AI) — sede in Cina.
• OpenRouter, Inc. e Z.ai (Zhipu AI) (provider di riserva del Sistema AI, usati solo quando quello principale non risponde) — sedi negli Stati Uniti e in Cina. Valgono le stesse garanzie e misure supplementari descritte di seguito per i trasferimenti verso la Cina.
• Stripe Payments Europe Ltd. (gestione pagamenti) — sede in Irlanda (UE) ma con eventuali sub-processori extra-UE.

Trasferimenti verso la Cina: la Cina non beneficia di una decisione di adeguatezza della Commissione Europea. Il trasferimento avviene sulla base di Clausole Contrattuali Standard (SCC) ai sensi dell'art. 46 GDPR, integrate da una valutazione di impatto sul trasferimento (Transfer Impact Assessment) specifica per il quadro normativo cinese, e dalle seguenti misure tecniche supplementari:

• minimizzazione del prompt (al provider AI viene trasmesso solo il testo necessario alla generazione della risposta, senza identificativi personali univoci, indirizzi email o numeri di telefono);
• pseudonimizzazione ove tecnicamente possibile;
• selezione di piani contrattuali che escludono l'uso dei dati per addestramento dei modelli AI.

Tali trasferimenti avvengono nel rispetto degli artt. 44-49 GDPR, in particolare attraverso:

• in subordine, Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea (Decisione di esecuzione 2021/914/UE);
• valutazione caso per caso del livello di tutela offerto dal Paese di destinazione (Transfer Impact Assessment) e adozione di misure tecniche supplementari (cifratura in transito e a riposo, pseudonimizzazione, minimizzazione).

L'Utente ha diritto di ottenere copia delle suddette garanzie scrivendo a privacy@amicoai.it.

9. Periodi di conservazione dei dati

Decorsi tali termini, i dati sono cancellati o anonimizzati in modo irreversibile.

10. Diritti dell'interessato (artt. 15-22 GDPR)

L'Utente — e il Partner — possono esercitare in qualsiasi momento i seguenti diritti:

• Accesso ai propri dati personali e alle relative informazioni (art. 15);
• Rettifica dei dati inesatti o incompleti (art. 16);
• Cancellazione dei dati ("diritto all'oblio") nei limiti previsti dalla legge (art. 17);
• Limitazione del trattamento in determinate circostanze (art. 18);
• Portabilità dei dati in formato strutturato e leggibile (art. 20);
• Opposizione al trattamento basato su legittimo interesse (art. 21), ivi compreso il marketing diretto;
• Revoca del consenso in qualsiasi momento, senza che ciò pregiudichi la liceità del trattamento basato sul consenso prestato prima della revoca (art. 7);
• Diritto a non essere sottoposti a decisioni automatizzate che producano effetti giuridici significativi (art. 22). Il Titolare informa che il Servizio non effettua decisioni automatizzate ai sensi dell'art. 22.

10.1 Modalità di esercizio dei diritti

Le richieste vanno inviate via email a privacy@amicoai.it. Il Titolare risponderà entro un mese dalla ricezione, prorogabile di ulteriori due mesi in caso di richiesta complessa, dandone preventiva comunicazione all'interessato.

L'esercizio dei diritti è gratuito, salvo casi di richieste manifestamente infondate o eccessive (art. 12, par. 5 GDPR).

10.2 Reclamo all'Autorità di controllo

L'interessato ha diritto di proporre reclamo al Garante per la Protezione dei Dati Personali:

• Indirizzo: Piazza Venezia 11, 00187 Roma
• Email: protocollo@gpdp.it — PEC: protocollo@pec.gpdp.it
• Sito: https://www.garanteprivacy.it

11. Sicurezza dei dati

Il Titolare adotta misure tecniche e organizzative adeguate ad assicurare un livello di sicurezza commisurato al rischio (art. 32 GDPR), tra cui:

• cifratura dei dati in transito (TLS 1.2+) e a riposo; in particolare il testo delle righe delle liste dell'Utente (es. spesa, valigia), il contenuto dei file dell'archivio personale e il testo delle note personali sono cifrati con AES-256-GCM, con chiave conservata fuori dal database stesso. I file dell'archivio sono salvati su disco esclusivamente in forma cifrata, con nomi casuali che non rivelano nulla del contenuto;
• hashing delle password con algoritmi crittografici moderni (bcrypt/argon2);
• segregazione degli ambienti di sviluppo e produzione;
• log degli accessi e revisioni periodiche;
• controllo degli accessi su base "need-to-know";
• procedura di data breach notification entro 72 ore al Garante (art. 33 GDPR) e, se applicabile, agli interessati (art. 34 GDPR);
• backup periodici e procedura di disaster recovery.

Pur adottando ogni misura ragionevole, il Titolare non può garantire l'assoluta inviolabilità dei propri sistemi: l'Utente è invitato a custodire con cura le proprie credenziali e a segnalare tempestivamente qualsiasi anomalia.

12. Trattamento di dati di minori

Il Servizio è riservato a soggetti che abbiano compiuto 18 anni. Il Titolare non raccoglie consapevolmente dati di minori di 18 anni. Qualora venga a conoscenza di un trattamento accidentale di dati di minori, provvederà alla cancellazione dei medesimi.

L'Utente che inserisca come Partner un soggetto minore degli anni 18 viola i presenti Termini.

13. Trattamento dei dati del Partner — informativa specifica

Il Partner che riceve il link di invito troverà evidenziata, prima di prestare il proprio consenso, la presente informativa con le seguenti specificazioni:

• il Titolare del trattamento è Guides4you S.r.l.;
• la base giuridica è il consenso esplicito del Partner (art. 6.1.a GDPR);
• il consenso può essere revocato in qualsiasi momento scrivendo a privacy@amicoai.it o seguendo l'apposita procedura nel Portale: la revoca disattiva l'utenza del Partner ma non i task già condivisi nella todolist dell'Utente principale;
• i dati trattati sono limitati a: nome (se fornito), numero di telefono, conferma del consenso, contenuto dei messaggi che il Partner scambia con AmicoAI;
• al Partner si applicano gli stessi diritti di cui all'art. 10 della presente informativa.

14. Modifiche all'Informativa

Il Titolare si riserva il diritto di aggiornare la presente Informativa in qualsiasi momento, dando evidenza della data di ultimo aggiornamento in apertura. In caso di modifiche sostanziali, ne sarà data comunicazione all'Utente via email.

15. Sintesi visiva (per immediatezza, non sostituisce il testo)

📌 Quali dati ti chiediamo? Nome, email, città, numero di telefono. E i numeri del partner se vuoi condividere la lista.

📌 Cosa facciamo coi messaggi? Li passiamo all'AI (Anthropic / OpenAI) solo per capirti e risponderti. Non li vendiamo, non li usiamo per addestrare modelli, li cancelliamo dopo 90 giorni.

📌 Conserviamo i dati per sempre? No. Ti cancelli quando vuoi, e dopo qualche giorno spariamo via tutto, salvo dati fiscali che la legge ci impone di tenere 10 anni.

📌 E i promemoria che segno come "fatti"? Cancellati entro 24 ore. Per quelli ricorrenti resta solo il promemoria originale, non il fatto che una singola volta l'hai segnato fatto.

📌 E le liste (spesa, valigia)? Quelle restano finché vuoi tu: non le cancella nessuno al posto tuo. Le righe le teniamo cifrate, e quando decidi di svuotare o eliminare una lista spariscono dai nostri database sul momento — non le recuperiamo nemmeno noi.

📌 Vendiamo dati a qualcuno? Mai. A nessuno.

📌 Posso scrivere a un umano per qualsiasi cosa? Sì: privacy@amicoai.it