Informativa sulla Privacy

Dati dell'Account (Persistenti)

Raccogliamo e conserviamo le seguenti informazioni per gestire l'account e fornire i servizi di fatturazione:

• Indirizzo email (per autenticazione e comunicazioni)
• Informazioni di pagamento (elaborate in modo sicuro tramite Stripe - non conserviamo i numeri completi delle carte di credito)
• Preferenze dell'account e selezione del piano di abbonamento
• Cronologia di fatturazione e log di utilizzo a fini di fatturazione

Base Giuridica: Necessità Contrattuale - Questi dati sono necessari per adempiere al contratto stipulato con l'utente per la fornitura del servizio Cyqle.

Dati di Sessione (Effimeri)

Dati generati durante l'uso delle sessioni di desktop virtuale. Questa categoria è intrinsecamente effimera grazie alla nostra architettura ad ambienti isolati (jailed):

• File, documenti e codice creati all'interno del filesystem isolato della sessione
• Pacchetti software installati e modifiche alla configurazione di sistema
• Metadati dei processi (applicazioni in esecuzione, consumo di risorse)
• Attività di rete originata dalla sessione (esclusivamente per il monitoraggio di sicurezza)

Base Giuridica: Necessità Contrattuale - Il trattamento dei dati di sessione è essenziale per fornire all'utente un ambiente desktop virtuale isolato e funzionale.

Dati Tecnici e Diagnostici

Raccogliamo dati tecnici limitati per mantenere la stabilità e la sicurezza della piattaforma:

• Indirizzi IP (sottoposti ad hashing dopo 24 ore a fini di prevenzione delle frodi)
• Tipo di browser e sistema operativo (per diagnostica di compatibilità)
• Timestamp di inizio/fine sessione e metriche di utilizzo delle risorse (per la pianificazione della capacità)

Base Giuridica: Legittimo Interesse - Abbiamo un legittimo interesse a mantenere la sicurezza della piattaforma, prevenire le frodi e ottimizzare le prestazioni del servizio.

Come Funziona l'AI Operator

L'AI Operator utilizza la seguente logica per assistere l'utente:

• Riconoscimento di Pattern: analizza le interazioni registrate nel browser per identificare pattern azionabili (clic, compilazione di moduli, sequenze di navigazione)
• Esecuzione delle Attività: sulla base delle istruzioni dell'utente, replica questi pattern per automatizzare attività ripetitive
• Adattamento Contestuale: utilizza visione artificiale e analisi del DOM per adattarsi a piccole modifiche dell'interfaccia nelle applicazioni web
• Ciclo di Feedback: l'utente può rivedere, approvare o modificare le azioni automatizzate prima della loro esecuzione

Supervisione Umana e Limitazioni

L'AI Operator opera sotto la diretta supervisione dell'utente. Non prende decisioni autonome che incidano su account, fatturazione o diritti di accesso. Tutte le operazioni critiche richiedono la conferma esplicita dell'utente. L'AI non accede ai dati di sessione né li tratta a fini di addestramento senza il consenso esplicito (opt-in) dell'utente.

Sistemi Automatizzati in Uso

• Rilevamento delle Frodi:

  Il nostro sistema analizza i pattern di creazione degli account, i comportamenti di pagamento e i punteggi di reputazione degli IP per rilevare e prevenire registrazioni fraudolente. I falsi positivi vengono esaminati da operatori umani entro 24 ore.

• Allocazione delle Sessioni:

  Un load balancer automatizzato assegna la sessione ai nodi infrastrutturali disponibili in base alla capacità corrente, alla prossimità geografica e alla priorità del piano di abbonamento.

• Rilevamento degli Abusi:

  Monitoriamo i pattern di consumo delle risorse (CPU, memoria, rete) per rilevare violazioni della nostra Politica di Uso Accettabile (ad es. mining di criptovalute, attacchi DDoS).

Rete Mesh P2P e Instradamento dei Dati

Quando l'utente collabora con altri utenti in tempo reale, i dati di sessione vengono trasmessi direttamente tra peer utilizzando libp2p. Ciò significa che:

• I dati possono essere instradati attraverso nodi relay intermedi situati in paesi diversi
• Il percorso esatto della trasmissione dei dati dipende dalla topologia di rete e dalla disponibilità dei peer
• Tutte le connessioni P2P sono crittografate end-to-end tramite TLS 1.3 e crittografia WebRTC

Garanzie per i Trasferimenti Transfrontalieri

Per proteggere i dati durante i trasferimenti internazionali, adottiamo le seguenti garanzie:

• Clausole Contrattuali Standard (SCC): tutti i trasferimenti di dati verso paesi al di fuori del SEE sono regolati dalle Clausole Contrattuali Standard approvate dall'UE (2021/914)
• Crittografia in Transito: tutti i dati vengono crittografati durante la trasmissione utilizzando protocolli di crittografia standard di settore
• Minimizzazione dei Dati: attraverso la rete P2P viene trasmesso solo il minimo indispensabile di dati di sessione (frame dello schermo, eventi di input, token di autenticazione)

Controllo sulla Posizione dei Dati

Sebbene non possiamo garantire il percorso geografico esatto dei dati instradati via P2P, l'utente può controllare dove vengono conservati i propri dati di sessione persistenti selezionando la regione del data center preferita nelle impostazioni dell'account (disponibile per gli utenti dei piani Pro e dei livelli Power).

Sessioni Persistenti (Opzionali, Solo Piani a Pagamento)

Se l'utente attiva la persistenza (disponibile sui piani Lite, Pro e sui livelli Power), i dati di sessione vengono conservati come segue:

• Durata della Conservazione: i dati persistenti vengono conservati per la durata prevista dal piano di abbonamento (ad es. 30 giorni per Lite, 90 giorni per Pro)
• Archiviazione Crittografata: i dati persistenti sono conservati in storage a blocchi crittografato, con chiavi di crittografia uniche per utente gestite tramite AWS KMS
• Cancellazione Manuale: l'utente può eliminare manualmente le sessioni persistenti in qualsiasi momento dalla propria dashboard

Conservazione dei Dati dell'Account

I dati dell'account (email, informazioni di fatturazione, log di utilizzo) vengono conservati finché l'account è attivo, più ulteriori 90 giorni dopo la chiusura dell'account, per adempiere agli obblighi di conservazione dei registri finanziari. Trascorso tale periodo, tutti gli identificativi personali vengono eliminati definitivamente.

Diritto alla Cancellazione

L'utente può richiedere in qualsiasi momento la cancellazione di tutti i propri dati personali contattando privacy@cyqle.in. Evaderemo la richiesta di cancellazione entro 30 giorni, salvo nei casi in cui la conservazione sia richiesta dalla legge (ad es. registri fiscali, prevenzione delle frodi).

Controlli di Sicurezza

• Crittografia: tutti i dati sono crittografati in transito (TLS 1.3) e a riposo (AES-256)
• Isolamento: ogni sessione viene eseguita in un ambiente isolato (jailed) con una rigorosa separazione di processi e filesystem (vedere SESSION_ENVIRONMENT.md)
• Controlli di Accesso: i controlli di accesso basati sui ruoli (RBAC) limitano l'accesso dei dipendenti ai dati di produzione
• Audit di Sicurezza: conduciamo annualmente audit di sicurezza e penetration test affidati a terze parti
• Risposta agli Incidenti: manteniamo un team di risposta agli incidenti attivo 24 ore su 24, 7 giorni su 7, per gli eventi di sicurezza

Notifica delle Violazioni dei Dati

Nell'improbabile eventualità di una violazione dei dati che interessi le informazioni personali dell'utente, provvederemo a informarlo entro 72 ore via email, fornendo dettagli sulla natura della violazione, sulle categorie di dati interessate e sulle misure correttive adottate.

Cookie Essenziali (Obbligatori)

Token di autenticazione della sessione (httpOnly, secure, sameSite=strict) - scade dopo 30 giorni o al logout

Cookie Analitici (Opzionali)

Utilizziamo un sistema di analisi rispettoso della privacy (Plausible Analytics) che non traccia i singoli utenti né utilizza cookie. È possibile disattivarlo tramite l'intestazione Do Not Track (DNT) del browser.