Informativa sulla privacy

Indice

1. Chi è il titolare
2. Parole che usiamo
3. Titolare o responsabile: quando siamo l'uno e quando l'altro
4. Chi visita il sito
5. Chi si iscrive alla lista d'attesa
6. Chi usa l'app
7. Persone nominate nelle risposte degli assistenti AI
8. Statistiche aggregate e studi
9. A chi comunichiamo i dati
10. Trasferimenti fuori dallo Spazio economico europeo
11. Per quanto tempo conserviamo i dati
12. Come proteggiamo i dati
13. I tuoi diritti e come esercitarli
14. Nessuna decisione automatizzata
15. Cookie
16. Se cambia il titolare
17. Modifiche a questa informativa

1. Chi è il titolare

Il titolare del trattamento è Alessio Battagliero, Via Orti 12, Milano, partita IVA IT02771920069 («noi»). Gestiamo il servizio con il marchio SIO (Super Intelligence Optimization), sul sito sio-ai.it e sull'app app.sio-ai.it.

Contatto per ogni questione sulla privacy, compreso l'esercizio dei diritti: [email protected].

Non abbiamo nominato un responsabile della protezione dei dati (DPO). Non trattiamo dati su larga scala né categorie particolari di dati, che sono i casi in cui la nomina è obbligatoria.

2. Parole che usiamo

• Servizio: il sito sio-ai.it e l'app app.sio-ai.it.
• Cliente: l'impresa o il professionista che usa il Servizio. Il Servizio non è offerto ai consumatori.
• Utente: la persona che ha un account nell'app, per conto di un Cliente.
• Spazio di lavoro: l'organizzazione del Cliente nell'app, con i suoi progetti.
• Contenuti dello Spazio di lavoro: ciò che il Cliente configura o carica (progetti, marchi e concorrenti, domini, prompt) e ciò che raccogliamo per lui (le risposte degli assistenti AI, le fonti citate, le metriche).
• Prompt: una domanda che poniamo ogni giorno agli assistenti AI per conto del Cliente, legata a un paese e a una lingua.
• Fornitore di dati: l'azienda che, con licenza, interroga gli assistenti AI e ci restituisce le risposte.

3. Titolare o responsabile: quando siamo l'uno e quando l'altro

• Siamo titolari dei dati del sito, della lista d'attesa, degli account degli Utenti e dei dati di fatturazione del Cliente. Questa informativa li descrive.
• Siamo responsabili del trattamento (articolo 28 GDPR) per i Contenuti dello Spazio di lavoro: li trattiamo per conto del Cliente e secondo le sue istruzioni. Il titolare è il Cliente. Le regole sono nell'accordo sul trattamento dei dati, che fa parte dei termini di servizio.
• Fa eccezione l'uso di statistiche aggregate e anonime per pubblicare studi (sezione 8): per quell'attività decidiamo noi, e ne rispondiamo noi.

4. Chi visita il sito

Cosa	Dettaglio
Dati	Indirizzo IP, data e ora, pagina richiesta e tipo di browser, che ogni browser invia quando apre una pagina.
Finalità	Consegnare le pagine e proteggere il sito da abusi.
Base giuridica	Legittimo interesse a far funzionare il sito in modo sicuro (articolo 6.1.f GDPR).
Chi li tratta	Il traffico passa dalla rete di Cloudflare, che li tratta per nostro conto (vedi sub-responsabili). Noi non teniamo registri delle visite al sito.
Cosa non facciamo	Nessun cookie, nessuno strumento di analisi, nessun pixel pubblicitario. I caratteri tipografici sono ospitati sul nostro sito: il tuo browser non contatta server di terzi.

5. Chi si iscrive alla lista d'attesa

Cosa	Dettaglio
Dati	Email di lavoro, nome dell'azienda o dell'agenzia, tipo (agenzia, azienda, consulente), sito web, la conferma di aver letto questa informativa, la scelta sulle novità via email, data e ora dell'invio. Per limitare gli abusi usiamo per poco tempo anche l'indirizzo IP da cui arriva la richiesta (vedi sezione 11).
Finalità e base giuridica	a) Valutare la richiesta, risponderti e, se c'è posto, invitarti alla beta. Misure precontrattuali prese su tua richiesta (articolo 6.1.b GDPR). I dati sono necessari: senza, non possiamo valutare la richiesta. b) Inviarti novità sul prodotto via email, solo se hai spuntato la casella apposita, che è separata e facoltativa. Consenso (articolo 6.1.a GDPR e articolo 130 del Codice privacy). Puoi revocarlo in ogni momento scrivendo a [email protected]; la revoca non tocca gli invii già fatti. Oggi non inviamo novità. Quando lo faremo, ogni messaggio avrà un modo semplice per disiscriversi. c) Proteggere il modulo da invii automatici e ripetuti. Legittimo interesse (articolo 6.1.f GDPR).
Cosa non facciamo	Non vendiamo e non cediamo l'elenco. Non lo usiamo per pubblicità di terzi.

6. Chi usa l'app

L'accesso all'app è solo su invito. Questi sono tutti i dati che l'app conserva sulle persone e sulle organizzazioni.

Dati	Finalità	Base giuridica
Account: email, nome (se lo indichi), lingua preferita, password conservata solo in forma cifrata con una funzione di hash (scrypt), data di verifica dell'email, data di eventuale disattivazione.	Creare e gestire l'account, farti entrare.	Contratto con il Cliente per cui lavori, del quale l'account è parte (articolo 6.1.b GDPR); legittimo interesse del Cliente e nostro a dare accesso alle persone che il Cliente indica (articolo 6.1.f).
Appartenenza e ruoli: a quali Spazi di lavoro e progetti hai accesso e con quale ruolo; chi ti ha invitato.	Decidere cosa puoi vedere e fare.	Come sopra.
Inviti: email della persona invitata, ruolo, chi ha invitato, scadenza (14 giorni), data di accettazione o di revoca.	Mandare l'invito e farlo accettare.	Legittimo interesse del Cliente che invita e nostro (articolo 6.1.f).
Sessioni: un codice di sessione conservato solo in forma cifrata (hash), data di creazione, ultimo uso e scadenza, indirizzo IP e tipo di browser al momento dell'accesso, lo Spazio di lavoro attivo.	Tenerti connesso, mostrarti le sessioni, riconoscere accessi anomali.	Contratto (6.1.b) e legittimo interesse alla sicurezza (6.1.f).
Codici monouso per accettare un invito o reimpostare la password, conservati solo in forma cifrata (hash), con scadenza (2 ore per la password, 14 giorni per un invito, 7 giorni per il primo accesso del titolare dello Spazio di lavoro).	Verificare che il link sia tuo.	Contratto (6.1.b).
Contatori anti-abuso: numero di tentativi di accesso, di reimpostazione della password e di uso dei codici, legati alla tua email o al tuo indirizzo IP, per finestre da 15 minuti a 24 ore.	Bloccare tentativi ripetuti di indovinare password o codici.	Legittimo interesse alla sicurezza (6.1.f).
Registri tecnici dell'app: identificativi interni dell'Utente e dello Spazio di lavoro, operazione chiamata, esito e durata. Non contengono indirizzi IP, email, password, codici o testi delle risposte.	Far funzionare l'app, trovare e correggere errori.	Legittimo interesse (6.1.f).
Registro delle operazioni di amministrazione: le azioni che il nostro personale autorizzato compie sugli Spazi di lavoro dalla console interna (per esempio un cambio di piano), con data e autore.	Rendere conto di ogni intervento sui dati dei Clienti.	Legittimo interesse (6.1.f).
Dati dell'organizzazione: nome, tipo, piano, limiti d'uso; personalizzazioni del rapporto (logo, colore, mittente) se le imposti; consumi (numero di risposte raccolte e loro costo).	Erogare il Servizio secondo il piano.	Contratto (6.1.b).
Dati fiscali del Cliente, quando partiranno i pagamenti: partita IVA, codice fiscale, codice destinatario o PEC per la fattura elettronica.	Fatturare e adempiere agli obblighi fiscali.	Obbligo di legge (6.1.c) e contratto (6.1.b).
Email che ti inviamo: invito, reimpostazione della password, avviso che lo Spazio di lavoro è pronto. Il fornitore di posta riceve il tuo indirizzo e il testo del messaggio.	Comunicazioni di servizio, necessarie.	Contratto (6.1.b).
Messaggi all'assistenza: ciò che ci scrivi a [email protected].	Risponderti.	Contratto (6.1.b) o legittimo interesse a rispondere (6.1.f).

I link di sola lettura che un Utente crea per condividere il rapporto di un progetto si salvano solo in forma cifrata (hash), con il nome di chi li ha creati. Chi ha il link vede il rapporto senza un account. L'Utente può revocarlo in ogni momento.

I dati dell'account sono necessari per usare l'app. Non li usiamo per pubblicità e non li cediamo a terzi.

7. Persone nominate nelle risposte degli assistenti AI

Questa sezione è per chi non è nostro cliente ma potrebbe comparire nei dati che raccogliamo. Vale come informativa ai sensi dell'articolo 14 GDPR.

Cosa succede

Per ogni Cliente poniamo ogni giorno delle domande agli assistenti AI (ChatGPT, Gemini, Google AI Overviews, Google AI Mode) su un mercato o un tipo di prodotto. Le risposte ci arrivano dal Fornitore di dati. Le conserviamo con le fonti che citano, per contare quante volte compaiono i marchi che il Cliente segue.

Le risposte parlano di marchi e prodotti. A volte, però, contengono per caso dati di persone: il nome di un fondatore o di un amministratore delegato, di un autore citato, di un esperto, di un personaggio pubblico, oppure l'indirizzo di una pagina che contiene un nome. Non cerchiamo questi dati e non li vogliamo.

Chi decide e su quale base

• Per le risposte raccolte per un Cliente, il titolare è il Cliente e noi siamo suoi responsabili. La base giuridica è il legittimo interesse del Cliente a sapere come gli assistenti AI parlano del suo marchio e dei concorrenti (articolo 6.1.f GDPR).
• Per il catalogo delle fonti citate (domini e indirizzi delle pagine, condiviso fra i Clienti) e per gli studi aggregati (sezione 8), il titolare siamo noi, sulla base del nostro legittimo interesse (articolo 6.1.f).

Abbiamo valutato che questi interessi non prevalgono sui tuoi diritti, per queste ragioni: le risposte sono prodotte dagli assistenti AI e sono ottenibili da chiunque faccia la stessa domanda; non cerchiamo persone, non creiamo profili di persone e non offriamo ricerche per nome di persona; il prodotto conta solo i marchi che il Cliente configura; i dati restano per un tempo limitato (sezione 11); puoi chiederne la rimozione in ogni momento.

Origine e categorie dei dati

Origine: le risposte che gli assistenti AI danno alle domande dei Clienti, ottenute tramite il Fornitore di dati (elenco dei sub-responsabili). Categorie: nome e cognome, ruolo, informazioni che la risposta associa a quella persona, indirizzi di pagine web. Non trattiamo di proposito categorie particolari di dati (salute, opinioni politiche, religione e simili) né dati su condanne penali.

Come limitiamo i dati

• Conserviamo il testo della risposta com'è, perché serve a dimostrare ogni numero. Non estraiamo, non indicizziamo e non arricchiamo i nomi delle persone.
• Al Fornitore di dati inviamo solo il testo della domanda, il paese, la lingua e un identificativo tecnico della richiesta. Chiediamo ai Clienti di non scrivere domande su persone private.
• Non usiamo le risposte per addestrare modelli di intelligenza artificiale.

Come chiedere la rimozione

Scrivi a [email protected] indicando il tuo nome e, se lo sai, il contesto (per esempio un marchio o un argomento). Cerchiamo il tuo nome nelle risposte conservate. Entro 30 giorni cancelliamo o oscuriamo i passaggi che ti riguardano e informiamo i Clienti interessati, che sono i titolari. Ti diciamo cosa abbiamo fatto. Puoi anche opporti al trattamento (articolo 21 GDPR).

Non possiamo informare una per una le persone nominate: non sappiamo chi sono finché non compaiono, e cercarle richiederebbe di trattare più dati, non meno. Per questo pubblichiamo questa informativa (articolo 14.5.b GDPR).

8. Statistiche aggregate e studi

Possiamo calcolare statistiche aggregate sulle risposte raccolte per più Clienti, per pubblicare studi (per esempio su quali tipi di fonti citano gli assistenti AI in Italia). Prima della pubblicazione i dati sono resi anonimi e aggregati: uno studio non nomina un Cliente, i suoi progetti o i suoi prompt, non permette di capire chi usa il Servizio e non contiene dati di persone. Base giuridica: nostro legittimo interesse (articolo 6.1.f GDPR). Il Cliente può chiedere che i suoi dati siano esclusi dagli studi futuri (termini, articolo 12).

9. A chi comunichiamo i dati

I dati li vede il nostro personale autorizzato, vincolato alla riservatezza, solo quando serve. Usiamo poi alcuni fornitori che trattano dati per nostro conto come responsabili o sub-responsabili, con un contratto che li vincola. Per categoria:

• Fornitore di dati per le risposte degli assistenti AI (DataForSEO): riceve il testo dei prompt, il paese, la lingua e un identificativo tecnico della richiesta. Non riceve dati degli Utenti.
• Rete, sicurezza e backup (Cloudflare): fa passare il traffico del sito e dell'app; conserverà i backup cifrati.
• Hosting (netcup GmbH): un server virtuale in Germania, che ospita il database, l'app e i file del sito.
• Posta elettronica transazionale (Resend): riceve l'indirizzo e il testo delle email di servizio.
• Posta del dominio (Microsoft 365): riceve e invia i messaggi di [email protected], comprese le richieste sulla privacy, e le notifiche delle richieste che arrivano dal sito.
• Pagamenti (Stripe), quando partiranno: riceverà i dati per l'addebito. Non ancora attivo.
• API di un modello linguistico per i soli casi in cui non è chiaro se una risposta parla davvero di un marchio: riceverà il testo della risposta e il nome del marchio. Non ancora attivo.
• Perplexity, quando il motore sarà attivo: riceverà il testo dei prompt. Non ancora attivo.

Nomi, sedi, dati trattati e stato di ciascuno sono nell'elenco pubblico dei sub-responsabili, che aggiorniamo prima di ogni cambiamento. Comunichiamo dati alle autorità solo se la legge lo impone. Il Cliente vede i dati del suo Spazio di lavoro, compresi i nomi e le email degli Utenti che ne fanno parte.

10. Trasferimenti fuori dallo Spazio economico europeo

Il database e l'app sono su un server in Germania. Alcuni fornitori hanno sede fuori dallo Spazio economico europeo (SEE), in genere negli Stati Uniti, e possono trattare dati da lì. In quei casi il trasferimento avviene solo con una delle garanzie previste dal GDPR: una decisione di adeguatezza della Commissione europea, compreso l'EU-U.S. Data Privacy Framework per le aziende certificate (articolo 45), oppure le clausole contrattuali tipo approvate dalla Commissione (articolo 46). La garanzia usata per ogni fornitore è indicata nell'elenco dei sub-responsabili. Puoi chiederne copia a [email protected].

11. Per quanto tempo conserviamo i dati

Dati	Per quanto tempo
Richiesta di accesso alla beta	Fino a quando la richiesta è chiusa, e comunque non oltre 12 mesi dall'invio. Se ricevi un invito, l'email passa al tuo account.
Consenso alle novità via email	Fino alla revoca. Dopo la revoca cancelliamo l'indirizzo dall'elenco delle novità entro 30 giorni.
Contatori anti-abuso (con email o indirizzo IP)	La durata della finestra (da 15 minuti a 24 ore), poi cancellati entro 7 giorni.
Account, ruoli e dati dell'organizzazione	Per tutta la durata del contratto con il Cliente. Cancellati entro 90 giorni dalla chiusura dell'account o dalla fine del contratto.
Sessioni	Fino all'uscita o alla scadenza (30 giorni senza uso). Il registro della sessione scaduta si cancella entro 30 giorni.
Inviti e codici monouso	Fino alla scadenza o all'uso, poi cancellati entro 30 giorni.
Registri tecnici dell'app	30 giorni.
Registro delle operazioni di amministrazione	24 mesi.
Contenuti dello Spazio di lavoro (prompt, risposte, fonti, metriche)	Per la durata del contratto. Le risposte grezze ricevute dai fornitori si cancellano dopo 12 mesi dalla raccolta. Alla fine del contratto tutto si cancella entro 90 giorni, salvo esportazione chiesta dal Cliente.
Dati fiscali e fatture, quando partiranno i pagamenti	10 anni, come chiede la legge (articolo 2220 del Codice civile).
Messaggi all'assistenza	24 mesi dall'ultimo messaggio.
Backup	I backup si sovrascrivono a rotazione: il più vecchio ha al massimo 6 mesi. Un dato cancellato sparisce anche dai backup entro questo termine.

Possiamo conservare più a lungo solo ciò che serve a difendere un diritto in una contestazione già aperta, e solo per il tempo necessario.

12. Come proteggiamo i dati

Le password sono conservate solo come hash scrypt; i codici di sessione, di invito e di reimpostazione solo come hash. Il traffico è cifrato (HTTPS). Ogni Spazio di lavoro è separato dagli altri, e una batteria di test automatici controlla questa separazione su ogni operazione dell'app. Le misure sono descritte per intero nell'accordo sul trattamento dei dati.

13. I tuoi diritti e come esercitarli

Hai diritto di chiedere:

• l'accesso ai tuoi dati e una copia (articolo 15 GDPR);
• la rettifica dei dati sbagliati (articolo 16);
• la cancellazione (articolo 17);
• la limitazione del trattamento (articolo 18);
• la portabilità dei dati che ci hai dato, in un formato leggibile da un computer (articolo 20);
• di opporti ai trattamenti basati sul legittimo interesse (articolo 21);
• di revocare un consenso in ogni momento, senza effetto sui trattamenti già fatti (articolo 7).

Come: scrivi a [email protected]. È gratuito. Rispondiamo entro un mese; se la richiesta è complessa possiamo prorogare di altri due mesi, e te lo diciamo. Se non siamo sicuri che la richiesta venga da te, possiamo chiederti di confermarlo dall'indirizzo email del tuo account.

Se la richiesta riguarda Contenuti di uno Spazio di lavoro, per i quali il titolare è un Cliente, la inoltriamo al Cliente e lo aiutiamo a risponderti.

Reclamo. Se pensi che trattiamo i tuoi dati in modo non conforme, puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità di controllo del paese dell'UE in cui vivi o lavori.

14. Nessuna decisione automatizzata

Non prendiamo decisioni basate unicamente su un trattamento automatizzato, compresa la profilazione, che producano effetti giuridici su di te o ti tocchino in modo analogo (articolo 22 GDPR). Le metriche del Servizio riguardano marchi, non persone. Le richieste di accesso alla beta le valuta una persona.

15. Cookie

Il sito non usa cookie. L'app usa un solo cookie tecnico, necessario per tenerti connesso; per questo non chiediamo il consenso. I dettagli sono nella informativa sui cookie.

16. Se cambia il titolare

È prevista la costituzione di una società, SIO S.r.l., che subentrerà nella gestione del Servizio con il trasferimento dell'attività. In quel caso il titolare del trattamento cambierà. Ti avviseremo prima, per email e con un avviso su questo sito, almeno 30 giorni prima del passaggio. Le finalità e le garanzie descritte qui resteranno le stesse.

17. Modifiche a questa informativa

Ogni versione ha un numero e una data. Se cambiamo qualcosa di sostanziale (nuove finalità, nuovi tipi di dati, nuovi destinatari) lo comunichiamo agli Utenti per email prima che il cambiamento abbia effetto. Le versioni precedenti si possono chiedere a [email protected].

Cosa è cambiato nella versione 1.0.1 (13 novembre 2026): la sezione 9 nomina il fornitore del server (netcup GmbH, in uso dal 12 novembre), che ospita anche i file del sito, e aggiunge la posta del dominio (Microsoft 365), già in uso e prima non indicata; le sezioni 7 e 9 indicano anche l'identificativo tecnico che inviamo al Fornitore di dati, che la 1.0 ometteva. Non c'erano ancora Utenti a cui mandare l'avviso per email: i soli dati trattati erano quelli della lista d'attesa e dei messaggi all'assistenza.

Versione 1.0.1, in vigore dal 13 novembre 2026.