Privacy e dati

Titolare del trattamento

Emanuele Di Luzio
Strada San Salvatore 101, Chieti
emanuelediluzio0@gmail.com

È la persona a cui scrivere per esercitare i diritti elencati più sotto, e quella che risponde di come questo server tratta i dati.

Cosa viene raccolto

Per l'account: indirizzo email, un nome a tua scelta, la password (mai in chiaro — se ne conserva solo un hash scrypt, da cui non è possibile risalire all'originale), la data di creazione.

Per il servizio: le memorie che tu o il tuo assistente salvate — testi, allegati, e i vettori che ne derivano. Questo è il contenuto vero e proprio, ed è interamente sotto il tuo controllo.

Per il funzionamento: log tecnici con esito e latenza delle richieste, e i contatori aggregati esposti su /api/metrics (numero di richieste, errori, sessioni attive — nessun contenuto).

Dove stanno e chi li vede

Tutto risiede su questo server (getfractal.it), in file sul disco, in una cartella separata per ogni account. Il testo delle memorie esce dal server in un caso solo, dichiarato qui sotto: quando lo legge un modello linguistico remoto (api.groq.com). Non vengono usati per addestrare modelli.

Chi amministra il server ha, per necessità tecnica, accesso al filesystem e quindi ai file.

Per i pagamenti ci appoggiamo a Stripe: i dati della carta li inserisci sui loro sistemi e questo server non li vede né li conserva. Riceviamo solo l'esito e un identificativo cliente. Stripe è responsabile del trattamento per quella parte, con la sua informativa.

I responsabili esterni, nominati uno per uno — nessun altro riceve niente:

• Amazon Web Services (eu-north-1) — fornisce la macchina su cui tutto risiede
• Stripe — incassa i pagamenti; i dati della carta li inserisci sui suoi sistemi e questo server non li vede mai
• resend — recapita le email di conferma indirizzo e reimposta password
• api.groq.com — il modello linguistico che dà gli argomenti ai ricordi e i nomi ai gruppi del grafo: riceve i primi 200 caratteri di ogni ricordo da classificare (e i testi di un gruppo da nominare), non l'intero archivio

Stripe ha sede negli Stati Uniti: i dati di fatturazione che le passiamo escono dallo Spazio economico europeo, sulla base delle clausole contrattuali standard che Stripe adotta con i propri clienti.

Il fornitore del modello può trovarsi fuori dallo Spazio economico europeo: il trasferimento avviene sulla base delle clausole contrattuali standard o della decisione di adeguatezza applicabile a quel fornitore. Se un tuo agente usa una chiave LLM che hai inserito tu, il fornitore di quella chiave lo hai scelto tu, e vale il contratto fra te e lui.

L'embedder che trasforma il testo in vettori gira localmente su questo server, a meno che l'amministratore non abbia configurato un'API esterna — nel qual caso i testi da indicizzare transitano da quel fornitore.

Per quanto tempo

Le memorie restano finché non le cancelli tu. Quando una memoria viene corretta, la versione vecchia resta come copia di sicurezza per 30 giorni (li puoi cambiare dalle impostazioni), poi viene tolta davvero. Le sessioni di accesso scadono dopo 30 giorni. I link di conferma indirizzo durano 24 ore, quelli di reset password un'ora e valgono una volta sola.

Cancellando l'account dal pannello, la cartella con le tue memorie viene rimossa dal disco e le chiavi API revocate. L'operazione è immediata e irreversibile: non c'è un cestino da cui recuperare. Eventuali copie di backup rotazionali dell'amministratore possono contenere i dati fino alla loro scadenza.

Perché possiamo trattarli

Ogni trattamento ha una ragione giuridica dichiarata, e sono tre:

• Il contratto con te — account, memorie, chiavi API: sono il servizio stesso, senza non c'è niente da fornire.
• Un obbligo di legge — i dati di fatturazione vanno conservati per il tempo che la normativa fiscale impone, anche dopo che hai chiuso l'account.
• Un interesse legittimo — i log tecnici e i contatori aggregati, che servono a tenere in piedi il servizio e ad accorgersi di un guasto. Non contengono il contenuto delle memorie.
• Un interesse legittimo, contro gli abusi — se hai usato i 14 giorni di prova, conserviamo un'impronta (hash SHA-256) del tuo indirizzo email, anche dopo la chiusura dell'account, solo per non dare la prova una seconda volta allo stesso indirizzo. Dall'impronta non si risale all'email.

I tuoi diritti (GDPR)

Puoi accedere ai tuoi dati in qualsiasi momento dal pannello (il grafo e la ricerca mostrano tutto quello che fractal ricorda). Un'esportazione da scaricare da soli non c'è: per portarli via (art. 20 GDPR) chiedilo per email e ti mandiamo una copia completa dei tuoi contenuti in un formato aperto (JSON), entro un mese dalla richiesta.

Se colleghi una fonte dalla pagina Connettori (un sito, GitHub, Google Drive, Gmail, OneDrive, Outlook, OneNote, Notion, Confluence, Obsidian, Granola, Linear, Jira, Asana, Trello, monday.com, HubSpot) la leggiamo in sola lettura e ne conserviamo il testo nella tua memoria; token e chiavi di accesso sono cifrati. Scollegandola smettiamo di leggerla; quello che era già in memoria resta finché non lo cancelli.

Se crei un webhook dalla pagina Webhook, a ogni evento che scegli (una memoria aggiunta, corretta, eliminata, importata, una fonte riletta) mandiamo un avviso all'indirizzo https che indichi. L'avviso porta l'evento, il tipo e l'id della memoria; il testo parte solo se spunti «Includi il testo». Quello che l'indirizzo ne fa dopo non dipende da noi.

Puoi rettificare qualsiasi memoria (correggila: la versione precedente resta nella storia), opporti a una singola memoria scartandola, e cancellare tutto eliminando l'account.

Per tutto il resto — o se qualcosa di quanto sopra non funziona — scrivi a emanuelediluzio0@gmail.com. Puoi inoltre presentare reclamo al Garante per la protezione dei dati personali (garanteprivacy.it), che è l'autorità di controllo italiana.

Cookie

Solo cookie tecnici, di prima parte, senza i quali il pannello non funziona. Nessun cookie di analisi o di profilazione, nessuno script o font di terze parti (tutto è servito da questo server): per questo non ti chiediamo un consenso, come previsto dalle linee guida del Garante (10 giugno 2021). Il dettaglio è nella pagina dei cookie.