Informativa sulla Privacy

1. Titolare del Trattamento

Il titolare del trattamento dei tuoi dati personali è aimag.me. Per le richieste relative alla protezione dei dati, contatta: aimag.me/contact.

2. Dati che Raccogliamo

Nell'ambito della fornitura del servizio, raccogliamo i seguenti dati:

• Indirizzo email — necessario per la creazione dell'account e il login.
• Letture di Tarocchi — domande, carte pescate e interpretazioni generate, archiviate nell'account utente.
• Dati di utilizzo — numero di letture al giorno, data dell'ultimo accesso, preferenze linguistiche.
• Preferenze — lingua scelta (IT/EN), impostazioni di visualizzazione.
• Dati di pagamento — elaborati esclusivamente da Stripe. Non conserviamo numeri di carta o dati di pagamento sui nostri server.
• Dati di autenticazione — se accedi tramite Google o Apple, riceviamo il tuo nome e la foto del profilo. Non riceviamo né memorizziamo la tua password da fornitori terzi.

3. Finalità e Base Giuridica del Trattamento

Trattiamo i tuoi dati sulle seguenti basi giuridiche:

• Esecuzione di un contratto (Art. 6(1)(b) GDPR) — necessario per fornire il servizio di lettura dei Tarocchi e mantenere il tuo account.
• Legittimo interesse del titolare (Art. 6(1)(f) GDPR) — analisi di utilizzo per migliorare il servizio, prevenzione degli abusi.
• Autenticazione di terze parti — il trattamento si basa sul tuo consenso quando scegli di accedere tramite Google o Apple (Art. 6(1)(a) GDPR).
• Consenso alle e-mail di marketing (Art. 6(1)(a) GDPR) — se lo spunti all'accesso o alla creazione dell'account, oppure ti iscrivi alla newsletter, ti inviamo via e-mail novità, consigli e offerte di aimag.me. Puoi revocarlo in qualsiasi momento con il link presente in ognuna di queste e-mail o scrivendoci; senza consenso inviamo solo e-mail relative all'account e ai pagamenti.

4. Periodo di Conservazione dei Dati

• Letture anonime (senza account) — eliminate automaticamente dopo 30 giorni.
• Dati dell'account — conservati fino all'eliminazione dell'account da parte dell'utente. Dopo l'eliminazione, i dati vengono rimossi entro 30 giorni.
• Dati di fatturazione — conservati in conformità con i requisiti della normativa fiscale (5 anni dalla fine dell'anno in cui è stata effettuata la transazione).
• Backup — conserviamo i backup del database fino a 30 giorni e gli snapshot di backup cifrati fino a 6 mesi. I dati eliminati dal servizio possono restare in questi backup fino alla loro scadenza: al massimo 7 mesi dopo l'eliminazione.

5. I Tuoi Diritti

In base al GDPR, hai i seguenti diritti:

• Diritto di accesso — puoi chiedere quali dati trattiamo su di te.
• Diritto di rettifica — puoi richiedere la correzione di dati inesatti.
• Diritto alla cancellazione ("diritto all'oblio") — puoi richiedere la cancellazione dei tuoi dati.
• Diritto alla portabilità dei dati — puoi scaricare i tuoi dati in formato JSON.
• Diritto alla limitazione del trattamento — puoi richiedere la limitazione del trattamento in determinate situazioni.
• Diritto di revocare il consenso — quando il trattamento è basato sul consenso, puoi revocarlo in qualsiasi momento. La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.
• Diritto di opposizione — puoi opporti al trattamento dei tuoi dati basato su interessi legittimi (Art. 21 GDPR). Cesseremo il trattamento salvo che sussistano motivi legittimi cogenti.
• Diritto di proporre reclamo — puoi presentare un reclamo all'autorità di controllo competente (in Italia: Garante per la Protezione dei Dati Personali, Piazza Venezia 11, 00187 Roma, garanteprivacy.it; o l'autorità di protezione dei dati del tuo paese).

6. Cookie

Utilizziamo solo cookie essenziali: un cookie di sessione (PHPSESSID) per mantenere la sessione di accesso e un cookie per la preferenza linguistica. Non utilizziamo cookie pubblicitari, di tracciamento o analitici basati su cookie. L'analisi (Plausible) opera senza cookie.

7. Terze Parti

Per gestire aimag.me ci avvaliamo dei seguenti fornitori di servizi (destinatari dei tuoi dati):

• Hetzner Online GmbH (Germania) — hosting dell'applicazione, del database, dei backup e del nostro strumento di statistiche ospitato in proprio. OVH SAS (Gravelines, Francia) — hosting di una copia sincronizzata dell'applicazione e del database, che subentra in caso di guasto del server principale.
• Cloudflare, Inc. (USA) — rete di distribuzione dei contenuti e proxy di sicurezza per tutto il traffico verso aimag.me, compresa la verifica Turnstile nei moduli di accesso e di contatto. Tratta il tuo indirizzo IP e i dati delle richieste.
• Google Firebase Authentication (Google LLC, USA) — gestisce l'accesso con e-mail e password, tramite Google o Apple. Tratta il tuo indirizzo e-mail, l'identificativo dell'account e i dati ricevuti da Google o Apple al momento dell'accesso. Se accedi con Google o Apple, queste società trattano il tuo accesso anche come titolari autonomi, secondo le proprie informative sulla privacy.
• Resend (Plus Five Five, Inc., USA) — invio delle e-mail transazionali (account, pagamenti, notifiche); tratta il tuo indirizzo e-mail e il contenuto del messaggio. Le nostre caselle di posta sono gestite da Proton AG (Svizzera), che riceve i messaggi che ci invii tramite il modulo di contatto o via e-mail, e da Google LLC (USA), che riceve le nostre notifiche operative su nuovi account e pagamenti; queste possono contenere il tuo indirizzo e-mail.
• Stripe — elaborazione dei pagamenti. I dati della carta vengono inseriti direttamente presso Stripe e non raggiungono mai i nostri server; conserviamo le registrazioni delle transazioni richieste a fini contabili e fiscali.
• OpenRouter, Inc. (USA) — instrada le richieste di IA verso i fornitori di modelli elencati di seguito. Riceve la tua domanda e le carte estratte; per le letture successive sul tuo account anche le tue domande precedenti ed estratti delle letture precedenti e, per una domanda di approfondimento, la lettura a cui si riferisce. Non alleghiamo il tuo indirizzo e-mail né l'identificativo del tuo account. Configuriamo OpenRouter in modo che invii queste richieste solo ai servizi di OpenAI e Anthropic ed escluda i fornitori che, secondo OpenRouter, raccolgono dati degli utenti.
• OpenAI (tramite OpenRouter) — i modelli GPT generano le letture dei piani Free e Seeker e la seconda fase delle letture Mystic. Riceve i dati descritti per OpenRouter e, nella seconda fase di una lettura Mystic, anche il testo della prima fase.
• Anthropic PBC (tramite OpenRouter) — i modelli Claude generano la prima fase delle letture Mystic e fungono da modello di riserva in tutti i piani. Riceve i dati descritti per OpenRouter.
• Plausible Analytics — strumento di statistiche del traffico in esecuzione sul nostro server (Hetzner, sopra); nessun dato viene inviato allo sviluppatore di Plausible. Non utilizza cookie.
• Pushover, LLC (USA) — invia al gestore di aimag.me avvisi tecnici e di sicurezza. Gli avvisi possono contenere identificativi di account e abbonamento, piano, importo del pagamento, paese, indirizzi IP di traffico sospetto e dettagli tecnici degli errori.

8. Contatti

Per richieste relative alla protezione dei dati, puoi contattarci a: aimag.me/contact. Rispondiamo alle richieste entro 30 giorni.

9. Trasferimenti internazionali di dati

Alcuni fornitori elencati nella sezione 7 si trovano al di fuori dello Spazio economico europeo. Negli Stati Uniti: OpenRouter, Inc., OpenAI e Anthropic PBC (letture IA), Google LLC (accesso e casella del gestore), Resend (Plus Five Five, Inc.; e-mail), Cloudflare, Inc. (CDN e sicurezza), Pushover, LLC (avvisi per il gestore) e Stripe, LLC (pagamenti; la nostra controparte contrattuale è Stripe Payments Europe, Limited, Irlanda). I trasferimenti verso Stripe, Cloudflare e Resend sono coperti dalle clausole contrattuali tipo adottate dalla Commissione europea o, per Stripe, dal quadro UE-USA per la protezione dei dati (EU-U.S. Data Privacy Framework), come previsto dalle loro condizioni di trattamento dei dati. Google dichiara nelle condizioni di trattamento dei dati di Firebase che Google LLC è autocertificata nell'ambito di tale quadro, e Cloudflare e Resend dichiarano nei loro accordi sul trattamento dei dati di rispettarlo. Secondo la propria informativa sulla privacy, OpenRouter si basa su decisioni di adeguatezza e clausole contrattuali tipo; OpenAI e Anthropic trattano le richieste in qualità di fornitori di modelli di cui OpenRouter si avvale. Secondo la propria informativa sulla privacy, Pushover si basa, ove richiesto, su meccanismi come le clausole contrattuali tipo. Proton AG ha sede in Svizzera; la Commissione europea ha riconosciuto a questo paese un livello di protezione adeguato. Non vendiamo i tuoi dati personali.

10. Residenti in California

Se sei residente in California, il CCPA/CPRA ti garantisce diritti aggiuntivi: diritto di sapere, diritto di cancellazione, diritto di rifiutare la vendita (non vendiamo i tuoi dati), diritto alla non discriminazione. Contatto: aimag.me/contact.

11. Processo decisionale automatizzato

Il nostro servizio utilizza l'intelligenza artificiale per generare interpretazioni dei tarocchi. Questo costituisce un trattamento automatizzato senza effetti giuridici, poiché le interpretazioni sono fornite esclusivamente a scopo di intrattenimento. Hai il diritto di opporti al trattamento basato sul legittimo interesse (Art. 21 GDPR) — contattaci a aimag.me/contact.

12. Privacy dei minori

Il nostro servizio non è destinato a persone di età inferiore a 18 anni. Non raccogliamo consapevolmente dati personali di minori. Se sei un genitore o tutore e ritieni che tuo figlio ci abbia fornito dati personali, contattaci a aimag.me/contact — cancelleremo tempestivamente tali dati.

13. Monitoraggio della sicurezza e prevenzione delle frodi

Per proteggere il nostro Servizio e i nostri utenti da attività fraudolente, abusi e accessi non autorizzati, trattiamo determinati dati tecnici sulla base dei nostri legittimi interessi (Articolo 6(1)(f) GDPR). I dati trattati a fini di sicurezza includono: indirizzi IP associati all'accesso al conto e alle transazioni (conservati fino a 90 giorni, poi anonimizzati o eliminati); identificatori tecnici derivati dagli header delle richieste HTTP (conservati fino a 90 giorni); timestamp e frequenza delle interazioni con il servizio; paese di accesso derivato dall'indirizzo IP; e dominio e-mail utilizzato per la registrazione per identificare fornitori di e-mail usa e getta o ad alto rischio. I nostri sistemi possono sospendere automaticamente gli account in caso di rilevamento di attività fraudolente. In tali casi, riceverai una notifica via e-mail entro 24 ore e potrai presentare ricorso contattandoci a aimag.me/contact. I ricorsi vengono esaminati da un essere umano entro 5 giorni lavorativi. Hai il diritto di richiedere l'intervento umano, esprimere il tuo punto di vista e contestare la decisione (Articolo 22(3) GDPR). Non utilizziamo il fingerprinting del dispositivo basato su JavaScript oltre quanto strettamente necessario per fornire il Servizio.

14. Analisi del servizio

Analizziamo schemi di utilizzo aggregati (come la frequenza di utilizzo del servizio, la durata delle sessioni e il comportamento di navigazione) allo scopo di migliorare il Servizio e rilevare schemi di utilizzo anomali che possono indicare frodi o abusi. Questa analisi viene condotta sulla base dei nostri legittimi interessi (Articolo 6(1)(f) GDPR) e non comporta processi decisionali automatizzati con effetti giuridici senza revisione umana. Utilizziamo Plausible Analytics, uno strumento di analisi rispettoso della privacy che non utilizza cookie e non effettua tracciamento tra siti.

15. Applicazione mobile

La nostra applicazione Android disponibile su Google Play ("AI Tarot Reading — aiMag.me") è una Trusted Web Activity (TWA) — un wrapper leggero che apre il nostro sito web (aimag.me) in una visualizzazione browser a schermo intero. L'app non raccoglie dati aggiuntivi oltre a quanto descritto nella presente Informativa sulla Privacy. Tutto il trattamento dei dati avviene attraverso il nostro sito web. L'app non utilizza Google Play Billing; tutti i pagamenti sono elaborati tramite Stripe come descritto nella Sezione 7.