Informativa sulla privacy

1. Titolare del trattamento e contatti

Il titolare del CNPJ 59.611.478/0001-09, che opera come NotHoly, è il titolare del trattamento dei dati personali descritti in questa informativa. La sezione 18 spiega il nostro ruolo diverso per i contenuti che un'organizzazione ci invia.

Per qualsiasi domanda o richiesta sulla privacy, scrivi a [email protected]. Il nostro referente per la protezione dei dati, l'encarregado previsto dall'articolo 41 della LGPD, è Matheus de Morais Caetano, responsabile di queste richieste. Non abbiamo nominato un rappresentante nell'Unione europea o nel Regno Unito, quindi le richieste sulla privacy arrivano direttamente a noi a quell'indirizzo.

Questa informativa riguarda notholy.com, la console, la chat, l'API, la CLI, l'estensione per VS Code e docs.notholy.com. È scritta per adempiere agli obblighi di informazione del GDPR dell'Unione europea, dello UK GDPR, della LGPD brasiliana (Legge 13.709/2018) e delle altre leggi elencate nella sezione 13.

2. Dati che raccogliamo

Non chiediamo dati personali sensibili. Evita di inviarli in prompt, chat o file, a meno che tu non abbia una base giuridica per farlo.

I dati dell'account, dell'organizzazione e di fatturazione servono a concludere ed eseguire il contratto, e senza di essi non possiamo aprire un account. Il questionario e i cookie facoltativi sono volontari.

Anche se non hai un account, potremmo avere dati che ti riguardano. Un'organizzazione può darci la tua email per invitarti, e qualcuno può nominarti in una segnalazione di abuso o in un messaggio al supporto. Usiamo l'email di invito solo per invitarti e per registrare l'invito. Usiamo le segnalazioni di abuso per esaminare gli usi impropri, e possiamo rinviare l'informativa alla persona interessata finché questo vanificherebbe la verifica (art. 14(5)(b) del GDPR). Anche a te si applicano le sezioni 5, 7, 10 e 11.

3. Finalità e basi giuridiche

Quando ci basiamo sul legittimo interesse, quell'interesse è mantenere i servizi sicuri e disponibili, fermare abusi e frodi e capire capacità e costi. Comprende anche il rispetto delle leggi brasiliane che ci vincolano e l'accertamento o la difesa di un diritto in giudizio. Puoi opporti secondo la sezione 10.

Quando ci basiamo sul consenso, puoi revocarlo in qualsiasi momento. La revoca non incide sul trattamento precedente.

Possiamo inviare due tipi di email facoltative. Le novità sul prodotto, come i ribassi di prezzo, vanno solo a chi ha dato il consenso, e puoi cambiare scelta nelle Impostazioni. Le email di primi passi sono al massimo tre messaggi brevi dopo la registrazione, inviati solo al proprietario verificato di un account che non ha aggiunto crediti. Puoi disattivarle in Fatturazione, e non le inviamo agli account nell'UE, nel SEE o nel Regno Unito né agli account senza un paese registrato. Ognuna di queste email ha un link per annullare l'iscrizione, che ferma entrambi i tipi. Le email su account, fatturazione e sicurezza arrivano comunque.

4. Conservazione zero per i contenuti dell'API

NotHoly non scrive i prompt e gli output delle richieste API in alcun database, coda, log, trace o report di errore. Restano nella memoria del processo che gestisce la richiesta finché questa non finisce. Registriamo solo i metadati di utilizzo elencati nella sezione 2.

C'è un'eccezione, e la controlli tu. Se invii un Idempotency-Key con una chiamata non in streaming, la risposta completa resta nella memoria del gateway per 24 ore, così un nuovo tentativo riceve la stessa risposta. Non viene mai scritta su disco, si perde se il gateway si riavvia e viene restituita solo alla tua organizzazione.

Il traffico API passa da Cloudflare, che termina il TLS sul suo edge, quindi lì il contenuto viene decifrato durante il transito.

Per produrre una risposta, il contenuto deve arrivare a un partner di infrastruttura, come un partner di data center di IA in un altro paese. I nostri server inviano prompt, messaggi, strumenti e parametri del modello. Non inviano il tuo nome, la tua email, l'organizzazione, l'ID dell'account, la chiave API o l'indirizzo IP, quindi il partner non può collegare la richiesta a te o al tuo account. Quello che scrivi può comunque identificarti, quindi tieni i dati personali fuori dai prompt quando puoi.

Ogni partner di data center di IA che usiamo ha confermato a NotHoly la conservazione zero dei dati: non conserva, non archivia e non usa il contenuto dell'inferenza, e NotHoly verifica e controlla periodicamente i partner. È la dichiarazione di NotHoly su ciò che i partner hanno confermato, non un report di audit o una certificazione. L'impegno di questa sezione riguarda i sistemi che NotHoly gestisce. La sezione 8 spiega il trasferimento internazionale e i suoi rischi.

Questa sezione vale solo per l'inferenza API. Chat, file e tutto il resto vengono conservati come descritto nella sezione 5.

5. Per quanto tempo conserviamo i dati

Dove la tabella non indica eliminazione automatica, il criterio è questo: conserviamo i dati finché l'account è aperto e, dopo la chiusura, solo finché resta la finalità della sezione 3. Per i record di utilizzo, audit, abusi, supporto e consensi, questo significa fino alla scadenza del termine di prescrizione delle pretese relative al contratto. L'eliminazione secondo questo calendario non è ancora automatica. Puoi comunque chiederci di cancellare i dati secondo la sezione 10, e lo facciamo salvo che un obbligo di legge, o l'accertamento o la difesa di un diritto, ci imponga di conservarli.

6. NotHoly non usa i tuoi contenuti per addestrare modelli né li analizza per costruirli

NotHoly non usa i tuoi prompt, output, chat o file per addestrare alcun modello di IA, e non li analizza per costruire o migliorare modelli. Non vendiamo né concediamo in licenza quei contenuti a nessuno per questi scopi. Mandiamo i contenuti ai partner di infrastruttura solo per generare la risposta che hai chiesto. Quei partner hanno confermato a NotHoly che nemmeno loro li usano per addestramento o analisi.

Analizziamo invece i metadati di utilizzo, che non contengono contenuti, per fatturazione, pianificazione della capacità, monitoraggio degli abusi e dashboard interne.

Questa sezione descrive ciò che fa NotHoly.

7. Chi riceve i tuoi dati

Non vendiamo dati personali. Il nostro monitoraggio gira sui nostri server, e non usiamo tracciamento degli errori di terze parti. L'unica misurazione di terze parti che usiamo è il pixel pubblicitario di X sulle pagine pubbliche e gli eventi di registrazione e di ricarica nella tabella qui sotto, tutti soggetti alla tua scelta sui cookie.

Quando un'autorità ci chiede dei dati, verifichiamo che la richiesta sia giuridicamente valida e comunichiamo solo ciò che richiede. Prompt e output dell'API non vengono salvati, quindi non possiamo comunicarli. Dove la legge lo consente, avvisiamo prima il titolare dell'account.

8. Trasferimenti internazionali

NotHoly ha sede in Brasile. Per fornire i servizi trasferiamo dati personali ai destinatari della sezione 7. Le tue richieste vengono inviate a partner di data center di IA in altri paesi. Tutti hanno confermato a NotHoly la conservazione zero dei dati: non conservano, non archiviano e non usano il contenuto, e NotHoly li verifica e li controlla periodicamente. Quei paesi possono non avere una decisione di adeguatezza generale che copra ogni destinatario, e il loro livello di protezione può essere diverso dal tuo.

Per i trasferimenti verso i partner di data center di IA non ci basiamo su una decisione di adeguatezza né su clausole contrattuali tipo, quindi questi trasferimenti non hanno garanzie adeguate ai sensi dell'art. 46 del GDPR. I meccanismi che usiamo sono:

• il tuo consenso specifico ed esplicito, dato alla registrazione o, per gli account meno recenti, all'accesso, dopo che ti sono state mostrate queste informazioni (art. 49(1)(a) del GDPR, art. 49(1)(a) dello UK GDPR, art. 17(1)(a) della LPD svizzera e art. 33, VIII della LGPD);
• solo secondo la legge brasiliana, la necessità di eseguire il contratto che ci chiedi di adempiere (art. 33, IX della LGPD, con l'art. 7, V).

Questi trasferimenti comportano rischi. Le leggi di quei paesi possono consentire alle autorità pubbliche locali di chiedere dati alle aziende che vi hanno sede. Avresti meno diritti e rimedi che nel tuo paese, e la legge locale potrebbe non darti diritti in materia di protezione dei dati che tu possa far valere, né un'autorità indipendente a cui presentare reclamo. Dato che i partner non conservano contenuti dell'inferenza, a richiesta conclusa non hanno nulla da consegnare. I partner non ricevono mai il tuo nome, il tuo indirizzo IP, la tua email, l'ID dell'account o la chiave API.

Per gli altri destinatari della sezione 7 che operano in base a condizioni sul trattamento dei dati, il meccanismo è quello previsto da tali condizioni. Scrivi a [email protected] per averne una copia.

Il tuo consenso copre solo i tuoi dati personali. Non può coprire altre persone i cui dati compaiono nei tuoi prompt, nelle chat o nei file. Finché non pubblicheremo garanzie per questi trasferimenti, non inviare tramite i servizi dati personali di altre persone dello Spazio economico europeo, del Regno Unito, della Svizzera o del Brasile.

Registriamo il tuo consenso con la data e la versione di questa informativa al momento in cui lo dai. Puoi revocarlo in qualsiasi momento nelle Impostazioni, alla voce Dati, o chiudendo l'account. Se lo rifiuti o lo revochi, smettiamo di elaborare le tue richieste di chat e API, e fatturazione, esportazione dei dati ed eliminazione dell'account continuano a funzionare. I trasferimenti già avvenuti non sono toccati. Un account che non ha risposto prosegue in base all'esecuzione del contratto (art. 33, IX della LGPD, con l'art. 7, V).

Dove un'altra legge richiede un'informativa prima del trattamento di dati personali in un altro paese, come in Canada e in Israele, questa sezione è quell'informativa: le tue richieste vengono elaborate nei paesi in cui operano i nostri partner di data center di IA. Lo stesso consenso si applica dove quella legge richiede il consenso.

Puoi limitare ciò che esce dai nostri server tenendo i dati personali fuori dai prompt e disattivando la ricerca web.

9. Sicurezza

Chat, progetti e file salvati sono cifrati a riposo con AES-256-GCM, con una chiave separata per ogni conversazione o file, avvolta da una chiave per organizzazione e da una chiave master tenuta sui nostri server. È cifratura lato server. I nostri server possono decifrare questi contenuti per far funzionare la chat, quindi la cifratura non è end-to-end.

Gli altri campi del database, compresi nome, email, telefono, indirizzo IP, indirizzo di fatturazione e partita IVA, non hanno cifratura a livello di campo.

Il traffico usa TLS dal tuo dispositivo a Cloudflare e da Cloudflare ai nostri server, e le chiamate ai partner di data center di IA in altri paesi usano HTTPS. I backup vengono cifrati con AES-256 prima di lasciare i nostri server.

Le chiavi API sono salvate solo come hash HMAC con chiave e mostrate una volta. Le password sono sottoposte a hash con scrypt. Le query sono limitate all'organizzazione. L'accesso dello staff all'area admin richiede una passkey, e le modifiche admin finiscono in un registro di audit.

Non abbiamo SOC 2, ISO 27001 né certificazioni simili. Le pagine Sicurezza e Trasparenza danno più dettagli.

10. I tuoi diritti

Scrivici dall'email del tuo account, o dicci come verificare la tua identità. Esercitare questi diritti è gratuito. L'esportazione nelle Impostazioni dà subito conferma e accesso secondo la LGPD, in forma semplificata (art. 19, I della LGPD). Se chiedi la dichiarazione completa, rispondiamo entro 15 giorni (art. 19, II della LGPD). Rispondiamo alle richieste secondo il GDPR entro un mese, prorogabile di altri due mesi per le richieste complesse (art. 12(3) del GDPR).

Se la legge ci consente o ci impone di rifiutare una richiesta, ti diciamo perché.

Il tuo diritto di opposizione: puoi opporti in qualsiasi momento, per motivi legati alla tua situazione, al trattamento che basiamo sul legittimo interesse. Scrivi a [email protected]. A quel punto ci fermiamo, salvo che dimostriamo motivi legittimi cogenti che prevalgono sui tuoi interessi o che i dati ci servano per accertare o difendere un diritto in giudizio.

Su una richiesta di accesso ti indichiamo quale meccanismo di trasferimento si è applicato ai tuoi dati personali, e i destinatari, come richiedono l'art. 15 del GDPR e l'art. 18, VII della LGPD.

11. Reclami

Puoi presentare un reclamo a noi a [email protected], e non sei obbligato a farlo prima di rivolgerti a un'autorità.

In Brasile l'autorità è l'ANPD (Autoridade Nacional de Proteção de Dados, gov.br/anpd). Puoi rivolgerti anche agli organismi brasiliani di tutela dei consumatori (art. 18, § 8 della LGPD). Nell'Unione europea puoi presentare reclamo all'autorità di controllo dello Stato membro in cui vivi, lavori o in cui è avvenuta la presunta violazione (art. 77 del GDPR). La sezione 13 elenca le autorità per Regno Unito, Svizzera, Canada e Israele.

12. Eliminare l'account

Quando elimini l'account nelle Impostazioni, rimuoviamo sessioni, password e altri metodi di accesso, passkey, secondo fattore, dispositivi affidabili, appartenenze e dati di attribuzione e del questionario. Il tuo record utente resta come traccia, con nome ed email sostituiti.

Se sei l'unico proprietario di un'organizzazione, la chiudiamo: le sue conversazioni, i progetti, i record dei file e la chiave di cifratura vengono eliminati e le sue chiavi API revocate. Il contenuto cifrato dei file resta su disco, illeggibile senza quella chiave, e i backup cifrati possono contenere la chiave per circa 12 mesi.

Dopo l'eliminazione resta quanto segue:

• conversazioni, progetti e file che hai creato in un'organizzazione che ha un altro proprietario;
• il record di un'organizzazione chiusa (ragione sociale, partita IVA, sito web, paese);
• profilo di fatturazione, record cliente Stripe e pagamenti;
• metadati di utilizzo collegati al tuo ID utente;
• registri dei consensi, record di audit con indirizzo IP e user agent, e inviti.

Scrivi a [email protected] per far cancellare uno qualsiasi di questi dati. Lo facciamo salvo che un obbligo di legge o la difesa di un diritto in giudizio ci imponga di conservarlo.

13. Dove vivi

Le sezioni 10 e 11 descrivono i tuoi diritti secondo il GDPR e la LGPD. Se vivi in uno dei luoghi qui sotto, valgono anche questi diritti. Manda ogni richiesta a [email protected]. Se vivi altrove, scrivici e applichiamo i diritti che ti dà la legge locale, dove quella legge si applica a noi.

Regno Unito. Lo UK GDPR e il Data Protection Act 2018 ti danno gli stessi diritti della sezione 10. Puoi presentare reclamo all'Information Commissioner's Office (ico.org.uk).

Svizzera. La legge federale sulla protezione dei dati ti dà i diritti di informazione, accesso, rettifica, cancellazione e portabilità dei dati, e il diritto di opposizione. Puoi presentare reclamo all'Incaricato federale della protezione dei dati e della trasparenza (edoeb.admin.ch).

Stati Uniti. Dove si applica il CCPA, come modificato dal CPRA, le informazioni personali che raccogliamo rientrano in queste categorie: identificativi, informazioni commerciali, attività su internet, posizione approssimativa ricavata dall'indirizzo IP e informazioni professionali. Le sezioni 2, 3 e 5 indicano fonti, finalità e conservazione, e la sezione 7 elenca le categorie di destinatari per uno scopo aziendale. Le informazioni personali sensibili che teniamo comprendono i dati di accesso all'account e l'eventuale codice fiscale governativo che ci fornisci per la fatturazione, e le usiamo solo per fornire e proteggere i servizi e per adempiere agli obblighi fiscali.

Non vendiamo informazioni personali in cambio di denaro e non le usiamo per profilazioni che producono effetti giuridici o effetti analogamente significativi. Il pixel di X e gli eventi di registrazione e di ricarica della sezione 7 possono rientrare nella condivisione per pubblicità comportamentale cross-context. Per opporti, disattiva "Analisi e pubblicità" nelle impostazioni dei cookie o scegli "Solo essenziali". Non siamo a conoscenza di aver raccolto informazioni personali da persone sotto i 16 anni.

Puoi chiedere di conoscere, accedere, rettificare o cancellare le tue informazioni personali, o di riceverne una copia, anche tramite un agente autorizzato se preferisci. I residenti di altri stati con una legge generale sulla privacy hanno i diritti che quella legge riconosce. Non ti discrimineremo per aver fatto una richiesta. Se rifiutiamo una richiesta, puoi fare ricorso rispondendo alla nostra risposta, e se il ricorso viene respinto puoi rivolgerti al procuratore generale del tuo stato.

Canada. Secondo il PIPEDA e le leggi provinciali, puoi accedere alle tue informazioni personali, rettificarle e revocare il consenso, nei limiti legali e contrattuali. In Québec, la persona responsabile della protezione delle informazioni personali secondo la Legge 25 è il responsabile di NotHoly, raggiungibile a [email protected]. Puoi presentare reclamo all'Office of the Privacy Commissioner of Canada (priv.gc.ca) o, in Québec, alla Commission d'accès à l'information (cai.gouv.qc.ca).

Israele. Secondo la Protection of Privacy Law, 5741-1981, puoi consultare le informazioni personali che teniamo su di te e chiederci di rettificarle o cancellarle. Puoi presentare reclamo alla Privacy Protection Authority (gov.il/en/departments/the_privacy_protection_authority).

14. Minori

I servizi sono destinati a persone di almeno 18 anni. Se ritieni che un minore abbia creato un account, scrivi a [email protected] e lo elimineremo.

15. Decisioni automatizzate

Tre misure di protezione funzionano senza che una persona decida ogni caso. Ci basiamo sull'art. 22(2)(a) del GDPR, perché il contratto le richiede.

• Contestazione di pagamento: quando il gestore dei pagamenti segnala una contestazione su un addebito, tutte le chiavi API attive dell'organizzazione vengono sospese e la ricarica automatica si disattiva. Scriviamo via email ai proprietari dell'organizzazione e ai referenti per la fatturazione e apriamo un caso per lo staff. Se la contestazione si risolve a nostro favore, le chiavi tornano attive da sole.
• Limiti di spesa e di richieste: una richiesta viene rifiutata quando il saldo, un budget o un limite dell'account sono esauriti.
• Controlli anti-bot e di accesso: un controllo anti-bot non superato, troppi tentativi o un codice sbagliato bloccano quel tentativo.

Puoi chiedere che una persona riesamini uno qualsiasi di questi casi scrivendo a [email protected], esprimere il tuo punto di vista e contestare il risultato (art. 22(3) del GDPR e art. 20 della LGPD). L'esito delle segnalazioni di abuso lo decidono persone.

16. Violazioni dei dati

Se si verifica una violazione dei dati personali, la notifichiamo alle autorità di controllo competenti dove la legge lo richiede. Secondo il GDPR lo facciamo entro 72 ore dal momento in cui ne veniamo a conoscenza, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone. Secondo la LGPD lo facciamo quando la violazione può causare un rischio o un danno rilevante, entro tre giorni lavorativi.

Se è probabile che la violazione presenti un rischio elevato per te (GDPR) o possa causarti un rischio o un danno rilevante (LGPD), te lo diciamo anche direttamente, senza ingiustificato ritardo ed entro tre giorni lavorativi dove si applica la LGPD. La nostra comunicazione dice cosa è successo, quali dati sono coinvolti, le conseguenze probabili, cosa abbiamo fatto, cosa dovresti fare e chi contattare.

Quando agiamo come responsabile del trattamento per un'organizzazione, la informiamo senza ingiustificato ritardo.

Dove si applicano altre leggi, come lo UK GDPR, la legge federale svizzera sulla protezione dei dati, il PIPEDA, la Legge 25 del Québec, la legge israeliana o le leggi degli stati USA, informiamo le autorità e le persone coinvolte nei tempi e nei modi previsti da quelle leggi.

17. Cookie

L'Informativa sui cookie elenca ogni cookie e chiave di archiviazione del browser che usiamo e spiega come cambiare la tua scelta.

18. Organizzazioni e clienti aziendali

NotHoly è titolare del trattamento dei dati di account, fatturazione, sicurezza e utilizzo dei membri di un'organizzazione.

Per prompt, chat e file che le persone di un'organizzazione inviano ai servizi, è l'organizzazione a decidere perché quei contenuti vengono trattati. È titolare del trattamento di ogni dato personale contenuto in essi, e NotHoly agisce come suo responsabile del trattamento (operador, secondo la LGPD), trattando quei contenuti solo per fornire i servizi secondo i Termini.

Questo ruolo di responsabile si applica alle organizzazioni e alle persone che usano i servizi per lavoro. Se usi NotHoly come privato per scopi tuoi, NotHoly è titolare del trattamento dei dati personali nei tuoi contenuti, sulla base del contratto, e i tuoi diritti della sezione 10 si applicano direttamente.

L'organizzazione è responsabile della propria base giuridica e di informare le persone di cui invia i dati. Se quelle persone ci contattano, le indirizziamo all'organizzazione quando possiamo identificarla.

Al momento non offriamo un accordo standard sul trattamento dei dati. Se la tua organizzazione ne ha bisogno, scrivi a [email protected] e ti diremo cosa possiamo concordare.

19. Modifiche a questa informativa

La versione e la data in cima a questa pagina identificano il testo in vigore. Per le modifiche sostanziali ti avvisiamo via email e su questo sito almeno 30 giorni prima che entrino in vigore, salvo che serva un termine più breve per rispettare la legge o per affrontare un rischio di sicurezza. Se una modifica richiede un nuovo consenso, te lo chiediamo.