1. Chi è il Titolare
Il Titolare del trattamento è SpectroSec, società italiana con sede a Milano. La registrazione della partita IVA è in fase di pubblicazione; i dati identificativi completi (P.IVA, REA, indirizzo legale, PEC) saranno pubblicati su questa stessa pagina appena disponibili.
Per esercitare i tuoi diritti privacy: legal@myspetta.com
2. Quali dati trattiamo
- Anagrafici e di contatto: nome, cognome, codice fiscale, email, telefono, indirizzo.
- Familiari o aziendali: composizione famiglia, ATECO, dimensione aziendale (a seconda del Profilo che configuri).
- Tecnici: IP, user-agent, push token, log di sicurezza.
- Particolari (art. 9 GDPR): indicatori di disabilità (Legge 104), solo se li dichiari volontariamente.
- Fiscali: ISEE, 730 precompilato, ricevute fiscali, solo se attivi le relative funzionalità.
- Pagamento: ID transazione Stripe/RevenueCat (i dati della carta sono dei provider, non li vediamo).
3. Perché li trattiamo (basi giuridiche)
- Esecuzione contratto (art. 6.1.b GDPR): erogazione del Servizio, matching opportunità, supporto.
- Consenso esplicito (art. 6.1.a + art. 9.2.a GDPR): dati di salute, marketing, notifiche push, analytics.
- Obbligo legale (art. 6.1.c GDPR): fatturazione, conservazione fiscale.
- Legittimo interesse (art. 6.1.f GDPR): sicurezza, antifrode.
4. A chi diamo i dati
Solo a Responsabili del trattamento con DPA firmato:
- Supabase (database + storage, server in UE)
- Anthropic (matching AI + estrazione documenti, con zero-retention + SCC)
- Stripe + RevenueCat (pagamenti)
- Resend (email transazionali)
- Sentry (monitoring errori, server EU)
- PostHog Cloud EU (analytics, solo se hai dato consenso)
- Apple + Google (distribuzione app + in-app purchase)
5. Trasferimenti extra-UE
Alcuni fornitori (Anthropic, Stripe, Resend, RevenueCat, Apple, Google) hanno sede negli USA. I trasferimenti avvengono sulla base delle Standard Contractual Clauses (Decisione UE 2021/914) integrate da valutazioni di sicurezza supplementari (TIA). Per Resend (email transazionali pre-lancio + post-iscrizione waitlist/founding/contact) si aggiunge la certificazione EU-US Data Privacy Framework (decisione di adeguatezza UE 2023/1795) come base giuridica primaria del trasferimento. Per Anthropic abbiamo configurato zero data retention.
6. Per quanto tempo li conserviamo
- Profilo attivo: indefinito (finché l'Account è attivo).
- Dopo cancellazione Account: 30 giorni di buffer, poi distruzione.
- Documenti caricati (ISEE, 730, ricevute): 24 mesi dall'upload.
- Audit log: 12 mesi.
- Fatture: 10 anni (obbligo art. 2220 c.c.).
7. I tuoi diritti
- Accesso ai tuoi dati (art. 15 GDPR)
- Rettifica (art. 16) e cancellazione / oblio (art. 17), che puoi esercitare da solo dall'app, in Impostazioni, oppure scrivendoci
- Limitazione del trattamento (art. 18)
- Portabilità in formato JSON strutturato (art. 20)
- Opposizione (art. 21) e revoca del consenso in qualunque momento (art. 7)
- Non essere sottoposto a decisioni automatizzate (art. 22): puoi richiedere intervento umano su qualsiasi suggerimento dell'AI
- Reclamo al Garante Privacy
Per esercitarli: legal@myspetta.com. Rispondiamo entro 30 giorni.
8. Sicurezza
Encryption at rest (Supabase), TLS 1.3 in transito, Row Level Security su PostgreSQL, audit log su ogni accesso a dati particolari, autenticazione a due fattori obbligatoria per il nostro staff. Mai loggiamo codici fiscali, ISEE numerici, contenuti documenti.
9. Uso dell'AI
Usiamo modelli Claude di Anthropic per matching, estrazione documenti e suggerimenti. Conforme AI Act (rischio limitato): l'AI suggerisce, la decisione finale è sempre tua. Puoi richiedere intervento umano su qualsiasi suggerimento scrivendo a support@myspetta.com.
10. Modifiche
Modifiche sostanziali con preavviso di 30 giorni via email + notifica in-app. Data ultima revisione: . Versione completa post-registrazione P.IVA SpectroSec.