semaia

Informativa sulla privacy

semaia è un contenitore documentale personale e riservato con un assistente. Questa informativa spiega, ai sensi del Regolamento (UE) 2016/679 (GDPR), quali dati personali trattiamo, con quali finalità e basi giuridiche, con chi li condividiamo e quali diritti hai. I termini d'uso del servizio sono nei Termini di servizio.

1. Titolare del trattamento

Alioscia Pericoli — Via Diaz 21, 48012 Bagnacavallo (RA), Italia, Codice Fiscale PRCLSC68E10C573J. Contatto per la privacy: info@semaia.it.

Non è designato un Responsabile della protezione dei dati (DPO) in quanto non ricorrono i presupposti dell'art. 37 GDPR.

2. Categorie di dati trattati

• Dati di account: indirizzo email, username, password (custodita solo come hash scrypt, mai in chiaro), eventuale secondo fattore (2FA), email di recupero.
• Contenuti che carichi o generi: documenti e file (con testo estratto tramite OCR), cartelle e fascicoli, appunti scritti o vocali (incluso l'audio), scadenze e voci d'agenda, note e metadati (nomi, date, dimensioni).
• Posta elettronica collegata: se colleghi una o più caselle (IMAP o Google), leggiamo i messaggi in sola lettura per assisterti e importiamo gli allegati nel tuo archivio. Le credenziali/token sono cifrati; la casella remota non viene modificata.
• Calendario Google collegato: se lo autorizzi, leggiamo gli eventi dei tuoi calendari in sola lettura per mostrarli in agenda, e scriviamo le tue scadenze su un calendario dedicato «Semaia» che l'app crea.
• Conversazioni con l'assistente: i messaggi che scambi con l'assistente e la relativa cronologia.
• Dati tecnici e di sicurezza: registro attività (accessi, azioni), indirizzo IP e user-agent per rate-limiting e audit, con catena di integrità.

3. Finalità e basi giuridiche

• Erogare il servizio (archiviare, leggere, cercare, organizzare i tuoi contenuti; assisterti): esecuzione del contratto — art. 6(1)(b).
• Sicurezza, prevenzione abusi, audit: legittimo interesse — art. 6(1)(f).
• Collegamento di email/calendario di terzi: sulla base del tuo consenso esplicito espresso all'atto del collegamento — art. 6(1)(a), revocabile in ogni momento scollegando la casella.
• Adempimenti di legge (es. richieste dell'autorità): obbligo legale — art. 6(1)(c).

Non usiamo i tuoi contenuti per pubblicità o profilazione e non li vendiamo. Non c'è processo decisionale automatizzato con effetti giuridici sull'utente.

4. Con chi condividiamo i dati (responsabili e sub-fornitori)

Ci avvaliamo di fornitori che trattano dati per nostro conto, con le necessarie garanzie contrattuali:

• Fornitore di hosting (Hetzner Online GmbH, server nell'UE): infrastruttura su cui gira il servizio.
• Google (Google Ireland/LLC): quando colleghi Gmail/Calendar, tramite OAuth con i soli permessi necessari (lettura posta, invio dai tuoi indirizzi, calendario). Soggetto ai termini Google.
• Fornitore di invio email (Resend): per recapitare email transazionali (inviti, reimposta password, notifiche).
• Fornitore del modello AI (Anthropic): quando usi l'assistente, il contenuto della richiesta (e i frammenti dei tuoi documenti pertinenti) è inviato al modello per generare la risposta. Il provider non usa questi dati per addestrare i propri modelli in ambito business.

Trascrizione vocale e indicizzazione semantica avvengono localmente sul nostro server (whisper.cpp ed embedding locali): l'audio e il testo dei tuoi appunti non sono inviati a terzi per questi trattamenti.

5. Trasferimenti extra-UE

Alcuni fornitori (es. Google, Anthropic) possono trattare dati anche al di fuori dello Spazio Economico Europeo. In tali casi il trasferimento avviene con adeguate garanzie (Clausole Contrattuali Standard della Commissione europea e/o Data Privacy Framework).

5-bis. Dati del tuo account Google

Se colleghi il tuo calendario, la tua rubrica Google o l'invio dal tuo indirizzo Gmail, semaia accede SOLO a ciò che serve alla funzione che hai attivato, e il consenso lo chiediamo una funzione per volta, nel momento in cui la attivi:

• Lettura della posta: dal 2 ottobre 2026 non passa più dalle API di Google. Per le caselle collegate da quella data semaia non chiede a Google nessun permesso di lettura: la casella Gmail si collega come tutte le altre — IMAP su imap.gmail.com, con il tuo indirizzo e una password per le app che generi tu dal tuo account Google e che puoi revocare quando vuoi, senza passare da noi. Quella password è cifrata sul nostro server (AES-256-GCM, chiave per-account) e non viene mai mostrata, nemmeno a te.
  Caselle collegate prima del 2 ottobre 2026: hanno continuato a leggere con l'API Gmail (gmail.readonly) in base al permesso che ci avevi già dato, perché spegnerle senza preavviso avrebbe fermato la tua posta. Quella lettura è cessata il 16 ottobre 2026: da quel giorno semaia non chiama più l'API Gmail per nessuna casella, e un collegamento di quel tipo non è più possibile. Se la tua casella era fra quelle, la ritrovi ferma: la ricolleghi dalla pagina «Il tuo account» con indirizzo e password per le app, e riparte. La posta non si è persa: è rimasta nella tua casella, semplicemente semaia non la legge finché non la ricolleghi. Il vecchio permesso puoi toglierlo quando vuoi dal tuo account Google.
  Quello che facciamo con la posta non cambia: quando arriva una email con allegati li archiviamo noi per te (solo i formati documento, con un tetto di dimensione, saltando loghi e firme; i file di password non entrano mai nell'archivio: ti avvisiamo), e leggiamo i messaggi che ci chiedi di cercare. Ciò che viene archiviato è cifrato. Non modifichiamo e non cancelliamo mai nulla nella tua casella.
• Invio (gmail.send): inviamo una email a tuo nome SOLO dopo che hai visto la bozza completa e hai confermato. Mai invii automatici.
• Calendario (calendar.app.created e, se attivi la vista unificata, calendar.readonly): scriviamo solo sul calendario «Semaia» creato da noi; i tuoi altri calendari li leggiamo soltanto, per mostrarti gli impegni accanto alle scadenze — non li salviamo e non li tocchiamo.
• Rubrica (contacts.readonly): importiamo i contatti solo quando lo chiedi tu, in sola lettura. Numeri, email e note sono cifrati; il nome resta leggibile per l'elenco e la ricerca (l'indice di ricerca vive sullo stesso server, nello stesso isolamento per-account).

Puoi scollegare ogni collegamento in qualunque momento dall'app (il token di accesso viene eliminato subito) o revocare l'accesso dal tuo account Google (myaccount.google.com → Sicurezza → Accesso di terze parti).

Uso limitato (Limited Use). L'uso che semaia fa delle informazioni ricevute dalle API di Google rispetta la Norma sui dati utente dei servizi API di Google, compresi i requisiti di «Uso limitato» (Limited Use). In concreto: i dati Google servono solo a fornirti le funzioni descritte qui sopra; niente pubblicità, niente vendita, nessun essere umano li legge (salvo tuo consenso esplicito per assistenza, o obblighi di sicurezza/legge).

Intelligenza artificiale. Per svolgere le tue richieste (per esempio estrarre una scadenza da una fattura), semaia invia al proprio fornitore di modelli linguistici (Anthropic, con contratto di trattamento dati) solo gli estratti necessari alla singola richiesta. I tuoi dati — inclusi quelli provenienti da Google — non vengono mai usati per addestrare modelli di intelligenza artificiale, né da semaia né dai suoi fornitori. Trascrizione vocale e indici di ricerca sono calcolati localmente sul nostro server e non lasciano la macchina.

6. Come proteggiamo i dati

• Documenti e file, testo degli appunti e audio dei vocali sono cifrati a riposo (AES-256-GCM) con una chiave dedicata al tuo account, custodita separatamente.
• Le credenziali delle caselle collegate (password IMAP / token Google) sono cifrate.
• Ogni account è isolato: nessun altro utente accede ai tuoi dati. Password in hash, sessioni con cookie sicuri, 2FA opzionale, registro attività con catena di integrità.

7. Conservazione

Conserviamo i dati finché mantieni l'account. Gli elementi nel cestino sono eliminati definitivamente dopo il periodo di conservazione. Puoi eliminare l'intero account in qualsiasi momento: vengono rimossi contenuti, metadati e la chiave di cifratura (operazione irreversibile). I registri di sicurezza possono essere conservati per un periodo limitato per finalità di audit.

I token di accesso Google sono cifrati a riposo ed eliminati allo scollegamento della casella. Gli eventi letti dai tuoi calendari Google per la vista unificata non vengono conservati. Il registro degli invii email (destinatario, oggetto, identificativo del messaggio), usato per accorgerci delle email tornate indietro, si cancella da solo dopo 30 giorni.

8. I tuoi diritti

Hai diritto di accesso, rettifica, cancellazione, limitazione, opposizione e portabilità (artt. 15-22 GDPR) e di revocare il consenso in ogni momento. Dalla pagina Il tuo account puoi in autonomia:

• Esportare tutti i tuoi dati (documenti e appunti decifrati + metadati) in un unico pacchetto (portabilità);
• Eliminare definitivamente l'account e la chiave di cifratura;
• Scollegare singolarmente ogni casella email/calendario (revoca del consenso).

Per esercitare gli altri diritti scrivi a info@semaia.it. Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).

9. Minori

Il Servizio è rivolto a persone maggiorenni e non è destinato a minori di 18 anni. Non raccogliamo consapevolmente dati personali di minori. Se ritieni che un minore ci abbia fornito dati personali senza il consenso di chi esercita la responsabilità genitoriale, scrivici a info@semaia.it: provvederemo a verificare e a cancellarli senza indebito ritardo.

10. Cookie

Usiamo solo cookie tecnici necessari al funzionamento (sessione di accesso, preferenza del tema). Non usiamo cookie di profilazione o di terze parti a fini pubblicitari; non serve quindi un banner di consenso per i cookie.

11. Modifiche

Possiamo aggiornare questa informativa; le modifiche rilevanti saranno comunicate nel servizio. Ti invitiamo a ricontrollarla periodicamente.

Ultimo aggiornamento: 16 ottobre 2026. Vedi anche i Termini di servizio.