ai sensi degli artt. 13 e 9 del Regolamento (UE) 2016/679 (GDPR)
In caso di discrepanza tra le versioni linguistiche, fa fede la versione inglese, come lingua comprensibile al maggior numero di persone.
Il titolare del trattamento è Stefano Rillosi. Per qualsiasi richiesta relativa ai tuoi dati puoi scrivere a stefano.rillosi05@gmail.com.
Innermost tratta: l'email e la password dell'account (la password è conservata solo in forma di hash), i diari e le conversazioni che scrivi, le estrazioni che l'applicazione ne deriva (temi, emozioni, persone, decisioni, tensioni) e i metadati tecnici minimi necessari al funzionamento (data di creazione, identificativi di sessione). Per la diagnostica degli errori vengono inoltre raccolti, in caso di malfunzionamento, dati tecnici come il tipo di browser e sistema operativo (user-agent); non viene conservato il tuo indirizzo IP.
I diari emotivi possono rivelare stati di salute psicofisica, convinzioni o altri aspetti intimi: rientrano nelle categorie particolari di dati dell'art. 9 GDPR. Il trattamento avviene esclusivamente sulla base del tuo consenso esplicito, richiesto alla registrazione. Puoi revocarlo in ogni momento eliminando l'account.
I contenuti dei diari, i messaggi e le estrazioni sono cifrati con AES-256-GCM con una chiave per utente, derivata dalla tua password. Né il titolare né i fornitori di infrastruttura possono leggere i tuoi contenuti: senza la tua password (o la recovery phrase) i dati sono illeggibili, anche per noi.
Per erogare il servizio ci appoggiamo a: Supabase (database e autenticazione — i contenuti vi transitano solo in forma cifrata), Anthropic (elaborazione delle conversazioni con il modello linguistico: per generare le risposte viene inviato in chiaro il testo della conversazione corrente e, per dare continuità, una sintesi delle sessioni passate — temi, emozioni, persone, tensioni e riassunti che l'applicazione ne ha derivato), un'istanza Ollama self-hosted per il calcolo degli embedding (il testo non lascia l'infrastruttura del titolare) e Reddit Inc. (misurazione delle conversioni pubblicitarie tramite Reddit Pixel: viene raccolta e trasmessa a Reddit, in forma di hash SHA-256, l'indirizzo email dell'account, se presente nella pagina, al fine di collegare visite e registrazioni alle campagne pubblicitarie su Reddit). Per il monitoraggio degli errori utilizziamo inoltre un'istanza GlitchTip self-hosted, ospitata sull'infrastruttura del titolare: raccoglie solo dati tecnici di diagnostica (tipo di errore, browser e sistema operativo), mai il contenuto dei tuoi diari né il tuo indirizzo IP.
L'elaborazione delle conversazioni da parte di Anthropic e la misurazione delle conversioni da parte di Reddit Inc. avvengono su server situati negli Stati Uniti, un paese terzo rispetto allo Spazio Economico Europeo. Per assicurare un livello di protezione adeguato ai sensi del Capo V del GDPR, tali trasferimenti sono effettuati adottando le garanzie previste dall'art. 46 GDPR, in particolare le Clausole Contrattuali Standard incluse negli accordi sul trattamento dei dati (Data Processing Agreement) con ciascun fornitore. Gli altri fornitori trattano esclusivamente dati cifrati (Supabase) oppure operano sull'infrastruttura del titolare (Ollama, GlitchTip).
I dati restano finché l'account esiste. L'eliminazione dell'account rimuove in modo definitivo e irreversibile account, diari, messaggi, estrazioni e chiavi di cifratura.
Hai diritto di accesso, rettifica, portabilità, cancellazione e revoca del consenso (artt. 15–22 GDPR). Dalla pagina account dentro l'app puoi esportare tutti i tuoi dati in un file JSON in chiaro ed eliminare definitivamente l'account. Per ogni altra richiesta contatta il titolare; puoi inoltre proporre reclamo al Garante per la protezione dei dati personali.