Informativa sulla privacy

Transept è gestito da Mariia Ivakhnenko, ditta individuale, registrata in Uralská 689/7, 160 00 Praga 6, Repubblica Ceca. Consulti le nostre Note legali per l'avviso legale completo. In tutta la presente informativa, «noi», «nostro» e «ci» si riferiscono a Mariia Ivakhnenko che opera come Transept.

Questa Informativa sulla privacy spiega come raccogliamo, utilizziamo, divulghiamo e salvaguardiamo le Sue informazioni quando utilizza il nostro servizio di traduzione basato sull'IA.

Per un riepilogo in termini semplici di come gestiamo i dati —dove vengono archiviati, cosa inviamo ai fornitori di IA, la nostra opzione di rinuncia all'addestramento e i sub-responsabili del trattamento coinvolti— consulti la nostra pagina Sicurezza e dati. L'elenco completo dei sub-responsabili si trova su /subprocessors; il catalogo dei cookie su /cookies.

Informazioni personali

Quando crea un account, raccogliamo:

• Indirizzo email.
• Nome (se fornito tramite Google OAuth).
• Immagine del profilo (se fornita tramite Google OAuth).

Informazioni di fatturazione

Quando si abbona a un piano a pagamento o acquista un pacchetto di parole, la fatturazione è gestita da Stripe. Riceviamo i metadati della transazione (importo, valuta, piano, ultime quattro cifre della Sua carta, paese di fatturazione) ma non vediamo né memorizziamo mai i numeri completi della carta, i CVC o i dettagli del conto bancario – questi vanno direttamente a Stripe in conformità al PCI DSS Livello 1.

Integrazioni di terze parti

Quando collega servizi di terze parti, potremmo raccogliere:

• Google Drive – token OAuth per accedere ai documenti che seleziona per l'importazione/esportazione.
• Notion – token OAuth e informazioni sullo spazio di lavoro (nome dello spazio di lavoro, ID dello spazio di lavoro) per accedere alle pagine che seleziona per l'importazione/esportazione.

Accediamo solo ai contenuti che sceglie esplicitamente di importare o esportare. Non scansioniamo né accediamo all'intero account collegato.

Dati di utilizzo

Raccogliamo automaticamente alcune informazioni sul Suo dispositivo e su come interagisce con il nostro servizio:

• Tipo e versione del browser.
• Indirizzo IP.
• Pagine visitate e tempo trascorso sulle pagine.
• Cronologia delle traduzioni e preferenze.

Contenuto della traduzione

Elaboriamo il testo che invia per la traduzione. Questo contenuto viene:

• Inviato ai fornitori di IA (Anthropic, OpenAI, Google, Groq, OpenRouter) per l'elaborazione della traduzione.
• Archiviato nel nostro database come parte del Suo documento.
• Conservato per gli utenti registrati fino all'eliminazione.
• Eliminato dopo 30 giorni per gli utenti non registrati.
• Mai utilizzato per addestrare modelli di IA – veda «Condivisione dei dati con i fornitori di IA» di seguito.

Utilizziamo le informazioni che raccogliamo per:

• Fornire e mantenere il nostro servizio di traduzione.
• Elaborare le Sue traduzioni utilizzando modelli di IA.
• InviarLe codici di autenticazione e notifiche di servizio.
• Elaborare i pagamenti e gestire gli abbonamenti.
• Migliorare il nostro servizio e sviluppare nuove funzionalità.
• Analizzare i modelli di utilizzo aggregati e ottimizzare le prestazioni.
• Rilevare e prevenire frodi o abusi.
• Rispettare gli obblighi legali.

Se si trova nell'Unione Europea, nello Spazio Economico Europeo (SEE), nel Regno Unito o in Svizzera, trattiamo i Suoi dati personali in base alle seguenti basi giuridiche:

• Esecuzione di un contratto — per fornire il servizio di traduzione per cui ha creato un account: creazione dell'account, elaborazione delle traduzioni, fatturazione, esportazioni e integrazioni.
• Consenso — per l'analisi facoltativa del prodotto (PostHog) e per eventuali comunicazioni di marketing future. Può revocare il consenso in qualsiasi momento senza pregiudicare la liceità del trattamento precedente.
• Interesse legittimo — per la sicurezza, la prevenzione degli abusi, il debugging e il miglioramento del servizio, bilanciato con i Suoi diritti e le Sue ragionevoli aspettative.
• Obbligo legale — per adempiere agli obblighi fiscali, contabili e di applicazione della legge, ove applicabili.

Quando invia del testo per la traduzione, inviamo il Suo contenuto a fornitori di IA di terze parti per generare le traduzioni. Questi fornitori sono:

• Anthropic (modelli Claude) — consulti la loro informativa sulla privacy su anthropic.com/privacy.
• OpenAI (modelli GPT) — consulti la loro informativa sulla privacy su openai.com/privacy.
• Google (modelli Gemini, tramite Vertex AI / Gemini API) — consulti la loro informativa sulla privacy su policies.google.com/privacy.
• Groq — consulti la loro informativa sulla privacy su groq.com/privacy.
• OpenRouter — consulti la loro informativa sulla privacy su openrouter.ai/privacy.

Non utilizziamo il Suo contenuto per addestrare modelli di IA. Utilizziamo i livelli API commerciali standard di questi fornitori, che escludono contrattualmente l'uso degli input e degli output dei clienti per l'addestramento dei modelli di base (Anthropic API, OpenAI API, Google Vertex AI, Groq). Il Suo testo viene inviato solo per la specifica richiesta di traduzione e non viene conservato dal fornitore per l'addestramento. Potrebbero essere applicati registri operativi lato fornitore per brevi periodi, in base alle loro politiche.

OpenRouter è un gateway verso modelli aggiuntivi e i termini del fornitore sottostante variano in base al modello. Per i carichi di lavoro in cui l'esclusione dall'addestramento è importante, vincoli le Sue traduzioni a un fornitore noto (Anthropic, OpenAI o Google).

Anche con la garanzia di nessun addestramento, non invii contenuti che non è legalmente autorizzato a condividere con responsabili del trattamento di terze parti — ad esempio, contenuti coperti da NDA, segreto professionale o normative come l'HIPAA (non siamo una piattaforma conforme all'HIPAA).

Per gestire il servizio condividiamo i dati strettamente necessari con i seguenti fornitori. Ognuno è vincolato dalla propria informativa sulla privacy e, ove applicabile, da un accordo sul trattamento dei dati. L'elenco ufficiale e sempre aggiornato si trova su /subprocessors.

• Traduzione IA — Anthropic (US), OpenAI (US), Google / Vertex AI (US, regioni EU disponibili), Groq (US), OpenRouter (US). Ricevono solo il testo inviato per la traduzione; nessuno si addestra sul Suo contenuto in base ai livelli API che utilizziamo.
• Hosting e database — Hetzner Online GmbH (Germania, EU). Archivia l'applicazione, i dati del Suo account e i Suoi documenti. Residenza dei dati nell'UE.
• Pagamenti — Stripe, Inc. (US / Irlanda). Elabora la fatturazione degli abbonamenti e gli acquisti una tantum in conformità allo standard PCI DSS di livello 1.
• Analisi del prodotto — PostHog (ospitato nell'UE). Caricato solo con il Suo esplicito consenso all'analisi — opt-in per ogni visitatore, disattivato per impostazione predefinita.
• Email transazionali e di marketing — Customer.io (spazio di lavoro UE, api-eu.customer.io). Invia codici di accesso, notifiche dell'account, la conferma di doppio opt-in e (solo con il Suo esplicito consenso per il marketing) aggiornamenti sul prodotto.
• Misurazione degli annunci — Google (Tag Manager + monitoraggio delle conversioni di Google Ads) e Meta Platforms (Pixel + API Conversions). Caricati solo con il Suo esplicito consenso ai cookie di marketing. Inviamo l'email con hash + l'identificatore del clic dall'annuncio originale in modo che il proprietario della campagna possa attribuire una registrazione all'annuncio corretto. Non condividiamo il Suo contenuto di traduzione con le piattaforme pubblicitarie.
• Visibilità sui motori di ricerca — Bing Webmaster Tools, Google Search Console, IndexNow (Bing, Yandex, Seznam, Naver, Yep). Ricevono l'URL del Suo sito in caso di modifiche ai contenuti; non passa alcun dato personale.

Aggiorniamo questo elenco quando cambiano i sub-responsabili del trattamento. Le aggiunte sostanziali vengono segnalate in questa pagina, sulla pagina Sicurezza e dati e su /subprocessors prima che abbiano effetto per nuovi trattamenti.

Inviamo due tipi di email:

• Email transazionali — codici di accesso, conferme dell'account, ricevute di fatturazione, notifiche di sicurezza. Queste vengono inviate sulla base giuridica dell'esecuzione del contratto e non è possibile annullarne l'iscrizione senza eliminare l'account.
• Email di marketing — aggiornamenti sul prodotto, note di rilascio, note occasionali dal team. Queste vengono inviate sulla base giuridica del consenso esplicito con doppio opt-in. Dopo la registrazione, Le chiediamo se desidera ricevere email sul prodotto tramite una finestra di dialogo in-app. Se accetta, Le inviamo un'email di conferma; deve cliccare sul link in quell'email prima che La aggiungiamo a qualsiasi campagna. Finché non conferma, non inviamo email di marketing — solo quelle transazionali.

Può revocare il consenso per il marketing in qualsiasi momento da Impostazioni → Preferenze email all'interno dell'app. Ogni email di marketing contiene anche un link di annullamento dell'iscrizione chiaramente visibile. Conserviamo una registrazione di ogni decisione di consenso — quando è stata presa, dove e la versione del testo che ha accettato — per conformarci all'Articolo 7(1) del GDPR (dimostrabilità del consenso).

Transept si integra con servizi di terze parti per migliorare il Suo flusso di lavoro. Quando collega questi servizi:

Google Drive

• Utilizziamo OAuth 2.0 per connetterci in modo sicuro al Suo account Google.
• Accediamo solo ai documenti che seleziona esplicitamente per l'importazione.
• I documenti esportati vengono creati nel Suo Google Drive.
• Può disconnettere Google Drive in qualsiasi momento dalle Impostazioni.
• Consulti l'informativa sulla privacy di Google su policies.google.com/privacy.

Notion

• Utilizziamo OAuth 2.0 di Notion per connetterci in modo sicuro al Suo spazio di lavoro.
• Archiviamo il Suo token di accesso Notion, il nome dello spazio di lavoro e l'ID dello spazio di lavoro.
• Accediamo solo alle pagine e ai database che seleziona esplicitamente per l'importazione/esportazione.
• Durante l'importazione, leggiamo il contenuto della pagina e lo convertiamo per la traduzione.
• Durante l'esportazione, creiamo nuove pagine nella posizione scelta con il contenuto tradotto.
• I commenti dei Suoi documenti possono essere facoltativamente esportati come commenti della pagina Notion.
• Può disconnettere Notion in qualsiasi momento dalle Impostazioni; questo rimuoverà tutti i token memorizzati.
• Consulti l'informativa sulla privacy di Notion su notion.so/privacy.

Può revocare l'accesso a queste integrazioni in qualsiasi momento tramite le Impostazioni o direttamente dalle impostazioni dell'account del servizio di terze parti.

I cookie (e le voci equivalenti di archiviazione locale) sono opt-in per ogni visitatore. Senza il Suo consenso esplicito impostiamo solo i cookie essenziali — il minimo necessario per ricordare le Sue preferenze sui cookie, mantenere l'accesso e proteggere il sito da abusi. L'elenco completo dei cookie con nomi, durate e scopi si trova su /cookies.

Alla Sua prima visita viene mostrato il banner dei cookie. Può scegliere Accetta tutti, Rifiuta tutti o aprire Personalizza preferenze per attivare o disattivare le categorie Analitici e Marketing in modo indipendente. Il silenzio non è consenso — finché non fa una scelta esplicita (o accetta), non viene attivato alcun cookie analitico o di marketing.

Può cambiare idea in qualsiasi momento tramite il link Gestisci cookie nel piè di pagina. Ogni modifica viene registrata nel nostro registro di controllo dei consensi associata all'identificatore anonimo del browser transept_anon e (dopo la registrazione) al Suo account, in modo da poter dimostrare la cronologia del Suo consenso se richiesto.

Essenziali

Necessari per il funzionamento del servizio. Sempre attivi; nessun consenso richiesto ai sensi del GDPR.

• transept_cc — ricorda la Sua preferenza sui cookie per non richiederla a ogni visita. 1 anno.
• transept_anon — identificatore anonimo del browser utilizzato solo per il nostro registro di controllo delle decisioni di consenso. 2 anni.
• transept_token / token di autenticazione in archiviazione locale — mantiene l'accesso. Durata della sessione.
• Theme preference (light/dark).
• Security and abuse-prevention cookies set by our infrastructure.

Analytics (off by default)

With your consent, we load PostHog (EU-hosted) and Google Analytics 4 via Google Tag Manager. These track page views, feature usage, and aggregate behavior so we know what to build next. Turn it off any time via Manage cookies; once off, the scripts stop firing and no events are sent.

Marketing (off by default)

With your consent, we load Meta Pixel (via the Conversions API + cookie), Google Ads conversion linker, and LinkedIn Insight Tag — all delivered via Google Tag Manager. These let us attribute paid-ad clicks to signups so the team can see which campaigns actually help. We also set our own first-party transept_attr cookie to retain that first-touch attribution across visits.

Without marketing consent we still capture the utm parameters from a paid-ad landing URL into your tab’s sessionStorage — a first-party, in-tab record that dies when you close the tab — so we can attribute the conversion if you sign up in the same session. No third-party cookies, no cross-session tracking.

Google Consent Mode v2

We use Google Consent Mode v2 so the tags inside Google Tag Manager respect your decision automatically. With consent denied, tags run in “basic” mode (cookieless pings only). With consent granted, full measurement resumes.

Application data and your documents are stored in the EU (Hetzner, Germany). When you use the translation service, your content is processed by AI providers that may be located outside the EU/EEA — primarily in the United States.

Where such transfers occur, we rely on appropriate safeguards under GDPR Chapter V, including:

• European Commission adequacy decisions where they exist.
• Standard Contractual Clauses (SCCs) and, where applicable, the EU–US Data Privacy Framework.
• Vendor contractual commitments that customer content is not used for AI model training and is processed only for the specific request.

A copy of the SCCs we rely on for transfers is available on request — email [email protected].

• Account data — retained for as long as your account is active. Inactive accounts (no sign-in for 12+ months) may be deleted with prior email notice.
• Documents and translations — retained until you delete them or delete your account. Deletion is irreversible.
• Non-registered users — translation data is automatically deleted after 30 days.
• Server logs — retained for 90 days for security, debugging, and abuse prevention.
• Backups — encrypted at rest, retained 30 days then overwritten.
• Billing records — retained for at least 7 years to comply with tax and accounting obligations, even after account deletion. Billing records contain transaction metadata only (amount, date, plan), never your translation content.

After account deletion, residual copies of your content may persist in encrypted backups for up to 30 days before being overwritten. They are not accessible for any purpose other than disaster recovery.

EU / EEA / UK / Switzerland (GDPR and UK GDPR)

If you are in the EU, EEA, UK, or Switzerland, you have the following rights:

• Access — request a copy of your personal data.
• Rectification — correct inaccurate personal data.
• Erasure — request deletion of your personal data (“right to be forgotten”).
• Portability — receive your data in a machine-readable format.
• Objection — object to processing of your personal data.
• Restriction — request restriction of processing.
• Withdraw consent — where processing is based on consent (e.g., analytics), withdraw at any time without affecting prior lawful processing.
• Proporre reclamo – presentare un reclamo all'autorità di controllo locale (l'ente regolatore per la protezione dei dati del Suo Paese). I recapiti delle autorità dell'UE sono disponibili su edpb.europa.eu.

California (CCPA e CPRA)

Se è residente in California, ha i seguenti diritti:

• Diritto di sapere – quali informazioni personali raccogliamo, da dove le otteniamo, perché le utilizziamo e con chi le condividiamo.
• Diritto alla cancellazione – richiedere l'eliminazione delle informazioni personali che abbiamo raccolto su di Lei.
• Diritto di rettifica – richiedere la correzione di informazioni personali inesatte.
• Diritto di opporsi alla vendita o alla condivisione – non vendiamo le Sue informazioni personali e non le condividiamo per pubblicità comportamentale cross-context.
• Diritto di limitare l'uso di informazioni personali sensibili – non utilizziamo informazioni personali sensibili per scopi che richiederebbero questo diritto.
• Diritto alla non discriminazione – non negheremo il servizio, non addebiteremo un prezzo diverso né La discrimineremo in altro modo per aver esercitato uno di questi diritti.

Altri stati degli Stati Uniti

I residenti di Virginia (VCDPA), Colorado (CPA), Connecticut (CTDPA), Utah (UCPA), Texas (TDPSA), Oregon (OCPA) e di altri stati con leggi sulla privacy comparabili hanno diritti sostanzialmente simili – tra cui accesso, cancellazione, rettifica, portabilità e opposizione alla pubblicità mirata o alla vendita di dati personali. Rispettiamo lo stesso insieme di diritti per tutti i residenti negli Stati Uniti, indipendentemente dallo stato di residenza.

Come esercitare i Suoi diritti

Invii un'e-mail a [email protected] con la Sua richiesta e l'indirizzo e-mail associato al Suo account. Rispondiamo entro 30 giorni (o fino a 45 giorni per richieste complesse, previa notifica). Non addebitiamo alcun costo per la prima richiesta in un periodo di 12 mesi. Potremmo verificare la Sua identità prima di dare seguito alle richieste, per proteggere i Suoi dati da divulgazioni non autorizzate.

Implementiamo misure tecniche e organizzative per proteggere i Suoi dati:

• Crittografia in transito – TLS 1.2 o superiore su ogni connessione tra il Suo browser, i nostri server e i fornitori di terze parti. Solo HTTPS; il traffico HTTP viene reindirizzato.
• Crittografia a riposo – database e archiviazione su disco crittografati con AES-256.
• Hosting – l'applicazione e il database sono eseguiti sull'infrastruttura di Hetzner Online GmbH in Germania (UE). Nessun documento dei clienti viene archiviato su server statunitensi.
• Controlli di accesso – l'accesso all'ambiente di produzione è limitato a un piccolo numero di operatori designati in base alla necessità di sapere, autenticati tramite chiavi SSH con registrazione degli audit. Non accediamo ai contenuti dei clienti a meno che Lei non abbia inviato una richiesta di supporto che lo richieda, o laddove obbligati da un valido procedimento legale.
• Autenticazione – accesso con indirizzo e-mail e password, con Google o Microsoft, o con un codice monouso inviato alla Sua e-mail che scade dopo dieci minuti. Le password non vengono mai memorizzate in forma leggibile: conserviamo solo un hash bcrypt con salt della Sua password, e i codici monouso vengono sottoposti a hash allo stesso modo.
• Backup – crittografati a riposo, conservati per 30 giorni, quindi sovrascritti.
• Gestione delle vulnerabilità – le dipendenze e l'infrastruttura vengono aggiornate con regolarità. Segnali eventuali sospette vulnerabilità a [email protected].
• Notifica di violazione – in caso di violazione dei dati personali che possa comportare un rischio elevato per i Suoi diritti, informeremo Lei e l'autorità di controllo competente entro 72 ore dal momento in cui ne veniamo a conoscenza, come richiesto dagli artt. 33–34 del GDPR.

Nessun sistema è sicuro al 100%. Sebbene applichiamo misure di sicurezza standard del settore, non possiamo garantire una sicurezza assoluta.

Laddove Transept agisca come responsabile del trattamento per Suo conto – tipicamente per i piani a pagamento in cui Lei invia contenuti aziendali per la traduzione – rendiamo disponibile su richiesta un Accordo sul trattamento dei dati (DPA). Il DPA copre i nostri obblighi ai sensi dell'articolo 28 del GDPR, incluse le informative sui sub-responsabili del trattamento, le misure di sicurezza e le procedure di notifica delle violazioni.

Richieda un DPA inviando un'e-mail a [email protected] con l'e-mail del Suo account e i dettagli della Sua azienda.

Il nostro servizio non è rivolto ai minori. Deve avere almeno l'età minima prevista nella Sua giurisdizione per utilizzare Transept:

• Spazio economico europeo (SEE), Regno Unito, Svizzera – almeno 16 anni, o l'età minima stabilita dal Suo Paese (alcuni stati membri dell'UE consentono un'età compresa tra 13 e 15 anni).
• Ovunque altrove – almeno 13 anni.

Non raccogliamo consapevolmente informazioni personali di minori al di sotto di queste età. Se è un genitore o un tutore e ritiene che Suo figlio ci abbia fornito informazioni personali, ci contatti all'indirizzo [email protected] e provvederemo a eliminarle.

Potremmo aggiornare periodicamente la presente Informativa sulla privacy. La informeremo di eventuali modifiche pubblicando la nuova Informativa sulla privacy su questa pagina e aggiornando la data di «Ultimo aggiornamento». Per le modifiche sostanziali che influiscono sui Suoi diritti o estendono il trattamento, Le invieremo un preavviso tramite e-mail e, ove richiesto, Le chiederemo un nuovo consenso.

In caso di domande sulla presente Informativa sulla privacy, ci contatti:

• E-mail: [email protected]