1. Titolare del trattamento

Il titolare del trattamento dei dati personali e':

Ragione sociale: Inloop Srl
Sede legale: Via degli Oleandri 5, 85100, Potenza (PZ)
Email: inloop@legalmail.it
P.IVA: 02124480761

2. Dati personali raccolti

Raccogliamo le seguenti categorie di dati personali:

Dati di registrazione

Nome e cognome
Indirizzo email
Username (opzionale)
Password (crittografata)

Dati di conversazione

Messaggi inviati ai Companion tramite Telegram o WhatsApp
Risposte generate dai Companion
Comandi vocali trascritti
Documenti caricati dall'utente

Dati di integrazione

Token OAuth per Outlook (accesso email autorizzato dall'utente)
Token OAuth per Google Calendar/Outlook Calendar
Identificativi Telegram/WhatsApp (chat_id, numero di telefono per WhatsApp)

Dati tecnici e di utilizzo

Indirizzo IP (non memorizzato permanentemente)
Tipo di dispositivo e browser
Statistiche di utilizzo (numero chiamate IA, durata audio)
Preferenze di interfaccia (tema, lingua, dimensione testo)

Ricordi (memorie estratte)

Fatti e informazioni personali estratti automaticamente dalle conversazioni (es. nome, interessi, preferenze)
Ogni ricordo e' categorizzato (lavoro, famiglia, hobby, ecc.) con un livello di importanza
L'estrazione e' attiva per impostazione predefinita e disattivabile dalla pagina Ricordi
I ricordi vengono utilizzati per personalizzare le risposte dei Companion
L'utente puo' visualizzare, modificare ed eliminare i propri ricordi in qualsiasi momento

3. Finalita' e base giuridica del trattamento

I tuoi dati personali sono trattati per le seguenti finalita', ciascuna con la propria base giuridica ai sensi dell'Art. 6 del GDPR:

Finalita'	Base giuridica
Erogazione del Servizio (chat con Companion)	Esecuzione del contratto (Art. 6.1.b)
Gestione account e autenticazione	Esecuzione del contratto (Art. 6.1.b)
Integrazione email e calendario	Consenso esplicito (Art. 6.1.a)
Gestione documenti personali (RAG)	Esecuzione del contratto (Art. 6.1.b)
Rassegna stampa personalizzata	Esecuzione del contratto (Art. 6.1.b)
Trascrizione comandi vocali	Esecuzione del contratto (Art. 6.1.b)
Sicurezza e prevenzione abusi	Legittimo interesse (Art. 6.1.f)
Limiti di utilizzo (budget IA, audio)	Legittimo interesse (Art. 6.1.f)
Estrazione e memorizzazione ricordi dalle conversazioni	Consenso (opt-out) (Art. 6.1.a)
Avvisi intelligenti (Smart Alerts): analisi periodica di email e calendario per notifiche urgenti	Consenso esplicito (Art. 6.1.a) — richiede integrazione OAuth attiva
Messaggi proattivi dei Companion basati su contesto e abitudini dell'utente	Esecuzione del contratto (Art. 6.1.b)
Monitoraggio utilizzo e costi IA per rispetto dei limiti di piano	Legittimo interesse (Art. 6.1.f)
Aggregazione temporanea messaggi rapidi per migliorare la qualita' delle risposte	Legittimo interesse (Art. 6.1.f)
Miglioramento del Servizio (dati aggregati)	Legittimo interesse (Art. 6.1.f)
Analisi statistica utilizzo sito (Google Analytics)	Consenso esplicito (Art. 6.1.a)
Comunicazioni di servizio	Esecuzione del contratto (Art. 6.1.b)
Adempimenti di legge	Obbligo legale (Art. 6.1.c)

4. Trattamento dei dati di conversazione

I messaggi scambiati con i Companion vengono:

Inviati ai modelli IA di terze parti per la generazione delle risposte
Memorizzati nel nostro database per consentire la consultazione dello storico chat
Associati al tuo account per personalizzare l'esperienza (custom prompt, contesto)
Utilizzati per il calcolo dei limiti di utilizzo giornalieri

I tuoi messaggi NON vengono utilizzati per addestrare modelli di intelligenza artificiale. I modelli predefiniti del Servizio sono stati selezionati sulla base delle policy dei rispettivi provider, che prevedono il non utilizzo dei dati degli utenti per l'addestramento.

Modelli AI personalizzati. Gli utenti con piano a pagamento possono selezionare modelli AI diversi da quelli predefiniti. In tal caso, Inloop Srl non puo' garantire che il provider del modello scelto non utilizzi i dati trasmessi per l'addestramento dei propri sistemi. L'utente che seleziona un modello personalizzato ne accetta consapevolmente il rischio, previo consenso esplicito raccolto tramite informativa dedicata all'interno del Servizio (Art. 6.1.a GDPR).

5. Categorie particolari di dati (dati sensibili)

Non richiediamo intenzionalmente dati sensibili (Art. 9 GDPR: salute, orientamento sessuale, opinioni politiche, convinzioni religiose, dati biometrici). Tuttavia, le conversazioni con i Companion potrebbero occasionalmente contenere tali informazioni per libera scelta dell'utente.

In tal caso, il trattamento avviene sulla base del consenso esplicito dell'utente (Art. 9.2.a GDPR), manifestato attraverso l'invio volontario di tali informazioni. Ti invitiamo a non condividere dati sensibili a meno che non sia strettamente necessario per l'uso del Servizio.

6. Condivisione dei dati e destinatari

I tuoi dati personali possono essere condivisi con i seguenti destinatari, tutti vincolati da obblighi di riservatezza e accordi di trattamento dati (Art. 28 GDPR):

Provider IA: Fornitori di modelli di intelligenza artificiale per la generazione delle risposte dei Companion. Per i modelli predefiniti, i messaggi vengono trasmessi per l'elaborazione e non conservati dai provider per training. Per i modelli personalizzati scelti dall'utente (funzionalita' Premium), le policy di trattamento dati dipendono dal singolo provider e Inloop Srl non puo' garantire il non utilizzo dei dati per l'addestramento.
Telegram/WhatsApp: Piattaforme di messaggistica utilizzate come canale di comunicazione. I messaggi transitano attraverso le loro infrastrutture.
Google/Microsoft: Solo se l'utente autorizza l'integrazione email o calendario tramite OAuth.
Google Analytics: Servizio di analisi web (Google Ireland Limited). Raccoglie dati anonimi sull'utilizzo del sito, attivato solo con consenso esplicito dell'utente.
Microsoft Clarity: Servizio di analisi comportamentale (Microsoft Corporation). Raccoglie heatmap e registrazioni anonime delle sessioni per migliorare l'esperienza utente. Attivato solo con consenso esplicito dell'utente.
Sentry: Servizio di error tracking (Functional Software Inc). Riceve stack trace di errori JavaScript per permetterci di correggere bug. Nessun dato personale degli utenti viene inviato. Attivato solo con consenso esplicito dell'utente.

Non vendiamo, affittiamo o cediamo i tuoi dati personali a terzi per finalita' di marketing. Non effettuiamo profilazione a fini commerciali.

L'utilizzo e il trasferimento a qualsiasi altra applicazione delle informazioni ricevute dalle API di Google sono conformi alla Google API Services User Data Policy, inclusi i requisiti di Limited Use.

In particolare, i dati ottenuti tramite le API di Google Calendar (scope calendar.events) e Microsoft Graph (Outlook email e calendario) vengono utilizzati esclusivamente per le funzionalita' richieste dall'utente (gestione eventi, lettura email, creazione bozze). Il contenuto delle email e degli eventi non viene memorizzato permanentemente sui nostri server, ma elaborato in tempo reale e scartato al termine dell'operazione. I token OAuth vengono conservati in modo sicuro per consentire l'accesso autorizzato dall'utente.

7. Trasferimenti internazionali di dati

Alcuni dei nostri sub-responsabili possono trattare dati al di fuori dello Spazio Economico Europeo (SEE). In tal caso, i trasferimenti avvengono sulla base di: Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea, decisioni di adeguatezza, o altre garanzie appropriate ai sensi degli Artt. 44-49 del GDPR.

Puoi richiedere informazioni sulle specifiche garanzie adottate contattandoci all'indirizzo inloop@legalmail.it.

8. Periodi di conservazione

Conserviamo i tuoi dati per il tempo strettamente necessario alle finalita' per cui sono stati raccolti:

Categoria di dati	Periodo di conservazione
Dati account (email, nome)	Fino alla cancellazione dell'account
Storico conversazioni	Fino alla cancellazione dell'account o alla richiesta di cancellazione
Documenti caricati	Fino alla cancellazione da parte dell'utente o dell'account
Token OAuth (email/calendario)	Fino alla disconnessione del servizio
Dati di utilizzo (statistiche)	Reset giornaliero; aggregati conservati per 12 mesi
Note e promemoria	Fino alla cancellazione da parte dell'utente o dell'account
Ricordi (memorie)	Fino alla cancellazione da parte dell'utente o dell'account
Audio trascritti	Non conservati dopo la trascrizione
Log utilizzo IA (costi e chiamate)	12 mesi
Log messaggi proattivi	12 mesi
Log di sicurezza	6 mesi
Dati post-cancellazione account	Eliminazione entro 30 giorni dalla richiesta

9. Diritti dell'interessato

Ai sensi degli Artt. 15-22 del GDPR, hai i seguenti diritti:

Accesso (Art. 15): Ottenere conferma dell'esistenza dei tuoi dati e riceverne copia.
Rettifica (Art. 16): Correggere dati inesatti o incompleti.
Cancellazione (Art. 17): Ottenere la cancellazione dei tuoi dati ("diritto all'oblio").
Limitazione (Art. 18): Limitare il trattamento in determinate circostanze.
Portabilita' (Art. 20): Ricevere i tuoi dati in formato strutturato e leggibile da dispositivo automatico.
Opposizione (Art. 21): Opporti al trattamento basato su legittimo interesse.
Revoca del consenso: Revocare in qualsiasi momento il consenso prestato, senza pregiudizio per il trattamento precedente.

Il Servizio consente di esercitare direttamente alcuni diritti: puoi eliminare il tuo account, cancellare lo storico chat, rimuovere documenti e disconnettere i servizi OAuth dalle Impostazioni.

Per l'esercizio del diritto di portabilita' (esportazione dati in formato JSON), utilizza la funzione "Esporta i miei dati" nella sezione Impostazioni > I tuoi dati.

10. Come esercitare i tuoi diritti

Puoi esercitare i tuoi diritti attraverso i seguenti canali:

Email: inloop@legalmail.it
Funzionalita' self-service nelle Impostazioni del Servizio
Posta raccomandata all'indirizzo della sede legale

Risponderemo alla tua richiesta entro 30 giorni dalla ricezione (estendibili a 60 giorni in casi complessi, con comunicazione motivata). In caso di mancata o insoddisfacente risposta, puoi presentare reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

11. Decisioni automatizzate e profilazione

Il Servizio utilizza intelligenza artificiale per generare risposte conversazionali. Questo trattamento non produce effetti giuridici ne' incide significativamente sull'utente ai sensi dell'Art. 22 GDPR, in quanto le risposte hanno finalita' puramente informativa e di intrattenimento.

Non effettuiamo profilazione automatizzata che produca effetti giuridici o significativi. I limiti di utilizzo (budget IA, durata audio) sono applicati in modo uniforme a tutti gli utenti e non costituiscono decisioni individualizzate.

12. Protezione dei minori

Il Servizio non e' destinato a minori di 16 anni. Non raccogliamo consapevolmente dati di minori di 16 anni. Se veniamo a conoscenza di aver raccolto dati di un minore di 16 anni senza il consenso del genitore o tutore, provvederemo alla loro cancellazione tempestiva.

Se sei un genitore o tutore e ritieni che tuo figlio minore di 16 anni abbia fornito dati personali a Inloop Srl, contattaci a inloop@legalmail.it.

13. Misure di sicurezza

Adottiamo misure tecniche e organizzative appropriate per proteggere i tuoi dati personali (Art. 32 GDPR), tra cui:

Crittografia dei dati in transito (TLS/HTTPS)
Crittografia delle password con algoritmi sicuri (bcrypt)
Autenticazione sicura tramite token JWT
Accesso ai dati limitato al personale autorizzato
Backup regolari e procedure di disaster recovery
Monitoraggio degli accessi e log di sicurezza
Aggiornamenti regolari dei sistemi e delle dipendenze
Token OAuth memorizzati in modo sicuro con refresh automatico

14. Cookie e tecnologie di tracciamento

Il Servizio utilizza cookie tecnici e di funzionalita' strettamente necessari per il funzionamento, e cookie analitici attivati solo con consenso:

Preferenze di interfaccia: Tema (chiaro/scuro), lingua, dimensione testo. Memorizzati in localStorage, non inviati a server esterni.
Sessione di autenticazione: Token di sessione per mantenere l'accesso.
Preferenza lingua: Scelta della lingua (IT/EN). Memorizzata in localStorage.
Cookie analitici (Google Analytics): Dati anonimi di navigazione per statistiche aggregate. Attivati SOLO con consenso esplicito dell'utente tramite banner cookie. Revocabili in qualsiasi momento.

15. Modifiche alla Privacy Policy

Ci riserviamo di aggiornare la presente Privacy Policy per riflettere modifiche al Servizio o alla normativa applicabile. Le modifiche sostanziali saranno comunicate via email o tramite notifica nel Servizio con almeno 30 giorni di anticipo. La data dell'ultimo aggiornamento e' indicata in cima a questo documento.

Marketing e condivisione dati con partner

Ai sensi dell'Art. 130 del Codice Privacy (D.Lgs. 196/2003) e delle Linee Guida del Garante 2013/2024/2025 (incluso Provv. 27/02/2025 n. 10114967), raccogliamo tre consensi distinti e granulari. Nessuno di questi consensi e' vincolato alla fruizione del Servizio e ciascuno e' revocabile in autonomia in qualsiasi momento dalla sezione Impostazioni → Privacy e Comunicazioni.

a) Email di marketing

Se acconsenti, ti invieremo via email newsletter, annunci di nuove funzionalita' e offerte commerciali di Insieme.AI. Adottiamo il meccanismo di conferma in due passaggi (double opt-in): dopo aver spuntato il consenso riceverai un'email con un link di conferma; il consenso si attiva solo dopo aver cliccato il link.

Conservazione: fino a revoca. Revoca immediata tramite link 'Annulla iscrizione' in calce a ogni email o dalla sezione Impostazioni. Base giuridica: Art. 6(1)(a) GDPR, consenso esplicito.

b) Comunicazioni promozionali tramite Companion (Telegram/WhatsApp)

Se acconsenti, potrai ricevere offerte e novita' di Insieme.AI tramite messaggi inviati dal tuo companion su Telegram o WhatsApp. Questo consenso e' separato dalla messaggistica proattiva empatica del companion (configurabile in Impostazioni → Assistenti).

La messaggistica istantanea non rientra nell'eccezione di soft opt-in (art. 130 c.4 Codice Privacy): serve consenso opt-in esplicito. Revocabile in qualsiasi momento dalle Impostazioni.

c) Condivisione dati con partner commerciali

Se acconsenti, i tuoi dati identificativi, di account e di preferenza — con esplicita esclusione dei contenuti delle conversazioni con i companion, dei documenti caricati e dei ricordi estratti — potranno essere condivisi con partner commerciali selezionati da Inloop Srl, operanti nelle seguenti categorie merceologiche:

Servizi finanziari e insurtech
Benessere, mindfulness e salute mentale digitale
Produttivita' e SaaS B2B

Nessun partner e' attualmente attivo. Prima dell'attivazione di ogni singolo partner, ti informeremo con avviso specifico nella sezione Privacy e Comunicazioni e avrai facolta' di revoca prima di qualsiasi trasmissione. Ricordiamo inoltre che il partner, una volta ricevuti i dati, dovra' acquisire un proprio, specifico consenso per le proprie finalita' (Garante — Provv. su cessione dati a terzi).

Base giuridica: Art. 6(1)(a) GDPR, consenso esplicito e separato per la finalita' di comunicazione a terzi. Conservazione: fino a revoca. I dati condivisi sono tracciati in un registro consultabile su richiesta.

Revoca del consenso

Ai sensi dell'Art. 7.3 GDPR, puoi revocare ciascuno di questi consensi in qualsiasi momento, senza pregiudizio per la liceita' del trattamento antecedente. La revoca e' registrata con timestamp e indirizzo IP nel log dei consensi (tabella append-only user_consents), consultabile direttamente da 'Storia dei tuoi consensi' in Impostazioni → Privacy e Comunicazioni.

17. Dati della modalita' Roleplay

Le conversazioni effettuate in modalita' Roleplay sono archiviate in una tabella database separata rispetto alle conversazioni normali. I due storici non si mescolano mai.

Dalle conversazioni Roleplay non vengono estratte memorie AI ne' sintesi. Le memorie standard (da conversazioni normali) possono essere utilizzate come contesto di sola lettura.

I dati Roleplay sono inclusi nell'esportazione dei dati (diritto alla portabilita' GDPR) e vengono eliminati su richiesta per singolo companion o interamente alla cancellazione dell'account.

Il timestamp di accettazione del consenso Roleplay viene conservato per conformita' legale.

16. Contatti e reclami

Per qualsiasi domanda relativa al trattamento dei tuoi dati personali o per esercitare i tuoi diritti, contatta:

Email: inloop@legalmail.it

Hai inoltre il diritto di presentare reclamo al Garante per la Protezione dei Dati Personali: Piazza Venezia 11, 00187 Roma - www.garanteprivacy.it - protocollo@pec.gpdp.it