Privacy Policy
Ultimo aggiornamento: 23 aprile 2026 · v2.0.0
1. Titolare del trattamento
Il titolare del trattamento dei dati personali è:
- Ragione sociale: Inloop Srl
- Sede legale: Via degli Oleandri 5, 85100, Potenza (PZ)
- Email: inloop@legalmail.it
- P.IVA: 02124480761
2. Dati personali raccolti
Raccogliamo le seguenti categorie di dati personali:
Dati di registrazione
- Nome e cognome
- Indirizzo email
- Username (opzionale)
- Password (crittografata)
Dati di conversazione
- Messaggi inviati ai Companion tramite Telegram o WhatsApp
- Risposte generate dai Companion
- Comandi vocali trascritti
- Documenti caricati dall'utente
Dati di integrazione
- Token OAuth per Outlook (accesso email autorizzato dall'utente)
- Token OAuth per Google Calendar/Outlook Calendar
- Identificativi Telegram/WhatsApp (chat_id, numero di telefono per WhatsApp)
Dati tecnici e di utilizzo
- Indirizzo IP (non memorizzato permanentemente)
- Tipo di dispositivo e browser
- Statistiche di utilizzo (numero chiamate IA, durata audio)
- Preferenze di interfaccia (tema, lingua, dimensione testo)
Ricordi (memorie estratte)
- Fatti e informazioni personali estratti automaticamente dalle conversazioni (es. nome, interessi, preferenze)
- Ogni ricordo è categorizzato (lavoro, famiglia, hobby, ecc.) con un livello di importanza
- L'estrazione è attiva per impostazione predefinita e disattivabile dalla pagina Ricordi
- I ricordi vengono utilizzati per personalizzare le risposte dei Companion
- L'utente può visualizzare, modificare ed eliminare i propri ricordi in qualsiasi momento
3. Finalità e base giuridica del trattamento
I tuoi dati personali sono trattati per le seguenti finalità, ciascuna con la propria base giuridica ai sensi dell'Art. 6 del GDPR:
| Finalità | Base giuridica |
|---|---|
| Erogazione del Servizio (chat con Companion) | Esecuzione del contratto (Art. 6.1.b) |
| Gestione account e autenticazione | Esecuzione del contratto (Art. 6.1.b) |
| Integrazione email e calendario | Consenso esplicito (Art. 6.1.a) |
| Gestione documenti personali (RAG) | Esecuzione del contratto (Art. 6.1.b) |
| Rassegna stampa personalizzata | Esecuzione del contratto (Art. 6.1.b) |
| Trascrizione comandi vocali | Esecuzione del contratto (Art. 6.1.b) |
| Sicurezza e prevenzione abusi | Legittimo interesse (Art. 6.1.f) |
| Limiti di utilizzo (budget IA, audio) | Legittimo interesse (Art. 6.1.f) |
| Estrazione e memorizzazione ricordi dalle conversazioni | Consenso (opt-out) (Art. 6.1.a) |
| Avvisi intelligenti (Smart Alerts): analisi periodica di email e calendario per notifiche urgenti | Consenso esplicito (Art. 6.1.a) — richiede integrazione OAuth attiva |
| Messaggi proattivi dei Companion basati su contesto e abitudini dell'utente | Esecuzione del contratto (Art. 6.1.b) |
| Monitoraggio utilizzo e costi IA per rispetto dei limiti di piano | Legittimo interesse (Art. 6.1.f) |
| Aggregazione temporanea messaggi rapidi per migliorare la qualità delle risposte | Legittimo interesse (Art. 6.1.f) |
| Miglioramento del Servizio (dati aggregati) | Legittimo interesse (Art. 6.1.f) |
| Analisi statistica utilizzo sito (Google Analytics) | Consenso esplicito (Art. 6.1.a) |
| Comunicazioni di servizio | Esecuzione del contratto (Art. 6.1.b) |
| Adempimenti di legge | Obbligo legale (Art. 6.1.c) |
4. Trattamento dei dati di conversazione
I messaggi scambiati con i Companion vengono:
- Inviati ai modelli IA di terze parti per la generazione delle risposte
- Memorizzati nel nostro database per consentire la consultazione dello storico chat
- Associati al tuo account per personalizzare l'esperienza (custom prompt, contesto)
- Utilizzati per il calcolo dei limiti di utilizzo giornalieri
I tuoi messaggi NON vengono utilizzati per addestrare modelli di intelligenza artificiale. I modelli predefiniti del Servizio sono stati selezionati sulla base delle policy dei rispettivi provider, che prevedono il non utilizzo dei dati degli utenti per l'addestramento.
Modelli AI personalizzati. Gli utenti con piano a pagamento possono selezionare modelli AI diversi da quelli predefiniti. In tal caso, Inloop Srl non può garantire che il provider del modello scelto non utilizzi i dati trasmessi per l'addestramento dei propri sistemi. L'utente che seleziona un modello personalizzato ne accetta consapevolmente il rischio, previo consenso esplicito raccolto tramite informativa dedicata all'interno del Servizio (Art. 6.1.a GDPR).
5. Categorie particolari di dati (dati sensibili)
Non richiediamo intenzionalmente dati sensibili (Art. 9 GDPR: salute, orientamento sessuale, opinioni politiche, convinzioni religiose, dati biometrici). Tuttavia, le conversazioni con i Companion potrebbero occasionalmente contenere tali informazioni per libera scelta dell'utente.
In tal caso, il trattamento avviene sulla base del consenso esplicito dell'utente (Art. 9.2.a GDPR), manifestato attraverso l'invio volontario di tali informazioni. Ti invitiamo a non condividere dati sensibili a meno che non sia strettamente necessario per l'uso del Servizio.
6. Condivisione dei dati e destinatari
I tuoi dati personali possono essere condivisi con i seguenti destinatari, tutti vincolati da obblighi di riservatezza e accordi di trattamento dati (Art. 28 GDPR):
- Provider IA: Fornitori di modelli di intelligenza artificiale per la generazione delle risposte dei Companion. Per i modelli predefiniti, i messaggi vengono trasmessi per l'elaborazione e non conservati dai provider per training. Per i modelli personalizzati scelti dall'utente (funzionalità Premium), le policy di trattamento dati dipendono dal singolo provider e Inloop Srl non può garantire il non utilizzo dei dati per l'addestramento.
- Telegram/WhatsApp: Piattaforme di messaggistica utilizzate come canale di comunicazione. I messaggi transitano attraverso le loro infrastrutture.
- Google/Microsoft: Solo se l'utente autorizza l'integrazione email o calendario tramite OAuth.
- Google Analytics: Servizio di analisi web (Google Ireland Limited). Raccoglie dati anonimi sull'utilizzo del sito, attivato solo con consenso esplicito dell'utente.
- Microsoft Clarity: Servizio di analisi comportamentale (Microsoft Corporation). Raccoglie heatmap e registrazioni anonime delle sessioni per migliorare l'esperienza utente. Attivato solo con consenso esplicito dell'utente.
- Sentry: Servizio di error tracking (Functional Software Inc). Riceve stack trace di errori JavaScript per permetterci di correggere bug. Nessun dato personale degli utenti viene inviato. Attivato solo con consenso esplicito dell'utente.
- Brevo (Sendinblue SAS): Sub-responsabile (Art. 28 GDPR) con sede legale in Francia. Gestisce: (1) email transazionali (verifica account, password, conferma cancellazione); (2) CRM contatti registrati (email, nome, lingua, data registrazione) per finalità di gestione interna basata su legittimo interesse; (3) email marketing (newsletter, novità, offerte) inviate esclusivamente agli utenti che hanno espresso consenso esplicito tramite double opt-in. Brevo opera all'interno dello Spazio Economico Europeo.
Non vendiamo, affittiamo o cediamo i tuoi dati personali a terzi per finalità di marketing. Non effettuiamo profilazione a fini commerciali.
L'utilizzo e il trasferimento a qualsiasi altra applicazione delle informazioni ricevute dalle API di Google sono conformi alla Google API Services User Data Policy, inclusi i requisiti di Limited Use.
In particolare, i dati ottenuti tramite le API di Google Calendar (scope calendar.events) e Microsoft Graph (Outlook email e calendario) vengono utilizzati esclusivamente per le funzionalità richieste dall'utente (gestione eventi, lettura email, creazione bozze). Il contenuto delle email e degli eventi non viene memorizzato permanentemente sui nostri server, ma elaborato in tempo reale e scartato al termine dell'operazione. I token OAuth vengono conservati in modo sicuro per consentire l'accesso autorizzato dall'utente.
7. Trasferimenti internazionali di dati
Alcuni dei nostri sub-responsabili possono trattare dati al di fuori dello Spazio Economico Europeo (SEE). In tal caso, i trasferimenti avvengono sulla base di: Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea, decisioni di adeguatezza, o altre garanzie appropriate ai sensi degli Artt. 44-49 del GDPR.
Puoi richiedere informazioni sulle specifiche garanzie adottate contattandoci all'indirizzo inloop@legalmail.it.
8. Periodi di conservazione
Conserviamo i tuoi dati per il tempo strettamente necessario alle finalità per cui sono stati raccolti:
| Categoria di dati | Periodo di conservazione |
|---|---|
| Dati account (email, nome) | Fino alla cancellazione dell'account |
| Storico conversazioni | Fino alla cancellazione dell'account o alla richiesta di cancellazione |
| Documenti caricati | Fino alla cancellazione da parte dell'utente o dell'account |
| Token OAuth (email/calendario) | Fino alla disconnessione del servizio |
| Dati di utilizzo (statistiche) | Reset giornaliero; aggregati conservati per 12 mesi |
| Note e promemoria | Fino alla cancellazione da parte dell'utente o dell'account |
| Ricordi (memorie) | Fino alla cancellazione da parte dell'utente o dell'account |
| Audio trascritti | Non conservati dopo la trascrizione |
| Log utilizzo IA (costi e chiamate) | 12 mesi |
| Log messaggi proattivi | 12 mesi |
| Log di sicurezza | 6 mesi |
| Dati post-cancellazione account | Eliminazione entro 30 giorni dalla richiesta |
9. Diritti dell'interessato
Ai sensi degli Artt. 15-22 del GDPR, hai i seguenti diritti:
- Accesso (Art. 15): Ottenere conferma dell'esistenza dei tuoi dati e riceverne copia.
- Rettifica (Art. 16): Correggere dati inesatti o incompleti.
- Cancellazione (Art. 17): Ottenere la cancellazione dei tuoi dati ("diritto all'oblio").
- Limitazione (Art. 18): Limitare il trattamento in determinate circostanze.
- Portabilità (Art. 20): Ricevere i tuoi dati in formato strutturato e leggibile da dispositivo automatico.
- Opposizione (Art. 21): Opporti al trattamento basato su legittimo interesse.
- Revoca del consenso: Revocare in qualsiasi momento il consenso prestato, senza pregiudizio per il trattamento precedente.
Il Servizio consente di esercitare direttamente alcuni diritti: puoi eliminare il tuo account, cancellare lo storico chat, rimuovere documenti e disconnettere i servizi OAuth dalle Impostazioni.
Per l'esercizio del diritto di portabilità (esportazione dati in formato JSON), utilizza la funzione "Esporta i miei dati" nella sezione Impostazioni > I tuoi dati.
10. Come esercitare i tuoi diritti
Puoi esercitare i tuoi diritti attraverso i seguenti canali:
- Email: inloop@legalmail.it
- Funzionalità self-service nelle Impostazioni del Servizio
- Posta raccomandata all'indirizzo della sede legale
Risponderemo alla tua richiesta entro 30 giorni dalla ricezione (estendibili a 60 giorni in casi complessi, con comunicazione motivata). In caso di mancata o insoddisfacente risposta, puoi presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).
11. Decisioni automatizzate e profilazione
Il Servizio utilizza intelligenza artificiale per generare risposte conversazionali. Questo trattamento non produce effetti giuridici né incide significativamente sull'utente ai sensi dell'Art. 22 GDPR, in quanto le risposte hanno finalità puramente informativa e di intrattenimento.
Non effettuiamo profilazione automatizzata che produca effetti giuridici o significativi. I limiti di utilizzo (budget IA, durata audio) sono applicati in modo uniforme a tutti gli utenti e non costituiscono decisioni individualizzate.
12. Protezione dei minori
Il Servizio non è destinato a minori di 16 anni. Non raccogliamo consapevolmente dati di minori di 16 anni. Se veniamo a conoscenza di aver raccolto dati di un minore di 16 anni senza il consenso del genitore o tutore, provvederemo alla loro cancellazione tempestiva.
Se sei un genitore o tutore e ritieni che tuo figlio minore di 16 anni abbia fornito dati personali a Inloop Srl, contattaci a inloop@legalmail.it.
13. Misure di sicurezza
Adottiamo misure tecniche e organizzative appropriate per proteggere i tuoi dati personali (Art. 32 GDPR), tra cui:
- Crittografia dei dati in transito (TLS/HTTPS)
- Crittografia delle password con algoritmi sicuri (bcrypt)
- Autenticazione sicura tramite token JWT
- Accesso ai dati limitato al personale autorizzato
- Backup regolari e procedure di disaster recovery
- Monitoraggio degli accessi e log di sicurezza
- Aggiornamenti regolari dei sistemi e delle dipendenze
- Token OAuth memorizzati in modo sicuro con refresh automatico
14. Cookie e tecnologie di tracciamento
Il Servizio utilizza cookie tecnici e di funzionalità strettamente necessari per il funzionamento, e cookie analitici attivati solo con consenso:
- Preferenze di interfaccia: Tema (chiaro/scuro), lingua, dimensione testo. Memorizzati in localStorage, non inviati a server esterni.
- Sessione di autenticazione: Token di sessione per mantenere l'accesso.
- Preferenza lingua: Scelta della lingua (IT/EN). Memorizzata in localStorage.
- Cookie analitici (Google Analytics): Dati anonimi di navigazione per statistiche aggregate. Attivati SOLO con consenso esplicito dell'utente tramite banner cookie. Revocabili in qualsiasi momento.
15. Modifiche alla Privacy Policy
Ci riserviamo di aggiornare la presente Privacy Policy per riflettere modifiche al Servizio o alla normativa applicabile. Le modifiche sostanziali saranno comunicate via email o tramite notifica nel Servizio con almeno 30 giorni di anticipo. La data dell'ultimo aggiornamento è indicata in cima a questo documento.
Marketing e condivisione dati con partner
Ai sensi dell'Art. 130 del Codice Privacy (D.Lgs. 196/2003) e delle Linee Guida del Garante 2013/2024/2025 (incluso Provv. 27/02/2025 n. 10114967), raccogliamo tre consensi distinti e granulari. Nessuno di questi consensi è vincolato alla fruizione del Servizio e ciascuno è revocabile in autonomia in qualsiasi momento dalla sezione Impostazioni → Privacy e Comunicazioni.
a) Email di marketing
Se acconsenti, ti invieremo via email newsletter, annunci di nuove funzionalità e offerte commerciali di Insieme.AI. Adottiamo il meccanismo di conferma in due passaggi (double opt-in): dopo aver spuntato il consenso riceverai un'email con un link di conferma; il consenso si attiva solo dopo aver cliccato il link.
Conservazione: fino a revoca. Revoca immediata tramite link «Annulla iscrizione» in calce a ogni email o dalla sezione Impostazioni. Base giuridica: Art. 6(1)(a) GDPR, consenso esplicito.
b) Comunicazioni promozionali tramite Companion (Telegram/WhatsApp)
Se acconsenti, potrai ricevere offerte e novità di Insieme.AI tramite messaggi inviati dal tuo companion su Telegram o WhatsApp. Questo consenso è separato dalla messaggistica proattiva empatica del companion (configurabile in Impostazioni → Assistenti).
La messaggistica istantanea non rientra nell'eccezione di soft opt-in (art. 130 c.4 Codice Privacy): serve consenso opt-in esplicito. Revocabile in qualsiasi momento dalle Impostazioni.
c) Condivisione dati con partner commerciali
Se acconsenti, i tuoi dati identificativi, di account e di preferenza — con esplicita esclusione dei contenuti delle conversazioni con i companion, dei documenti caricati e dei ricordi estratti — potranno essere condivisi con partner commerciali selezionati da Inloop Srl, operanti nelle seguenti categorie merceologiche:
- Servizi finanziari e insurtech
- Benessere, mindfulness e salute mentale digitale
- Produttività e SaaS B2B
Nessun partner è attualmente attivo. Prima dell'attivazione di ogni singolo partner, ti informeremo con avviso specifico nella sezione Privacy e Comunicazioni e avrai facoltà di revoca prima di qualsiasi trasmissione. Ricordiamo inoltre che il partner, una volta ricevuti i dati, dovrà acquisire un proprio, specifico consenso per le proprie finalità (Garante — Provv. su cessione dati a terzi).
Base giuridica: Art. 6(1)(a) GDPR, consenso esplicito e separato per la finalità di comunicazione a terzi. Conservazione: fino a revoca. I dati condivisi sono tracciati in un registro consultabile su richiesta.
Revoca del consenso
Ai sensi dell'Art. 7.3 GDPR, puoi revocare ciascuno di questi consensi in qualsiasi momento, senza pregiudizio per la liceità del trattamento antecedente. La revoca è registrata con timestamp e indirizzo IP nel log dei consensi (tabella append-only user_consents), consultabile direttamente da 'Storia dei tuoi consensi' in Impostazioni → Privacy e Comunicazioni.
17. Dati della modalità Roleplay
Le conversazioni effettuate in modalità Roleplay sono archiviate in una tabella database separata rispetto alle conversazioni normali. I due storici non si mescolano mai.
Dalle conversazioni Roleplay non vengono estratte memorie AI né sintesi. Le memorie standard (da conversazioni normali) possono essere utilizzate come contesto di sola lettura.
I dati Roleplay sono inclusi nell'esportazione dei dati (diritto alla portabilità GDPR) e vengono eliminati su richiesta per singolo companion o interamente alla cancellazione dell'account.
Il timestamp di accettazione del consenso Roleplay viene conservato per conformità legale.
16. Contatti e reclami
Per qualsiasi domanda relativa al trattamento dei tuoi dati personali o per esercitare i tuoi diritti, contatta:
Email: inloop@legalmail.it
Hai inoltre il diritto di presentare reclamo al Garante per la Protezione dei Dati Personali: Piazza Venezia 11, 00187 Roma - www.garanteprivacy.it - protocollo@pec.gpdp.it