Privacy Policy

1. Titolare del trattamento

CloudBrain è un servizio di WeblabFactory, ditta individuale — P.IVA 10698181210 — Portici (NA), Italia.

Per qualsiasi questione relativa ai dati personali: privacy@cloudbrain.it

2. Quali dati trattiamo

• Dati di registrazione. L'indirizzo email, la password (che conserviamo solo come hash, mai in chiaro) e il nome che dai alla tua organizzazione.
• Dati di fatturazione. Se attivi un piano a pagamento, i dati necessari alla fatturazione sono raccolti e trattati da Stripe. I dati della tua carta non transitano dai nostri sistemi e non li conserviamo.
• I contenuti che ci mandi. Le note che scrivi e le conversazioni che fai con il servizio, da qualunque canale: sono testo, e ogni nota è un file markdown nel tuo spazio. Se carichi un file dalla dashboard — accettiamo PDF e DOCX — ne estraiamo il testo e lo trasformiamo in una nota markdown, pagina per pagina. Quando un PDF è la scansione di un foglio e non contiene testo selezionabile, applichiamo un riconoscimento ottico dei caratteri che gira sui nostri server, senza inviare nulla a terzi. Sono il cuore del servizio e restano tuoi (vedi il punto 5).
• I file originali che carichi. Oltre alla nota che ne ricaviamo, conserviamo il file come ce l'hai dato, nel nostro archivio interno. Serve a rigenerare la nota se miglioriamo l'estrazione e a farti risalire al documento di partenza. Segue la sorte della nota: se cancelli, si cancella (vedi i punti 7 e 9).
• Vettori di embedding. Le rappresentazioni numeriche delle tue note che rendono possibile la ricerca semantica. Sono derivate dai tuoi contenuti e vivono nel nostro database (vedi il punto 6).
• Identificativi dei canali collegati. Se colleghi Telegram o WhatsApp, l'identificativo del tuo account su quel canale: per Telegram è il codice numerico della chat, per WhatsApp è il tuo numero di telefono. È ciò che ci permette di riconoscere che un messaggio in arrivo è tuo. Colleghi un canale solo se vuoi: finché non lo fai, questo dato non ce l'abbiamo.
• Log tecnici. Le informazioni che ogni servizio web registra per funzionare e per difendersi dagli abusi.
• Registro delle consultazioni. Ogni volta che il corpus delle tue note viene consultato — una domanda, una ricerca, la lettura di una nota, un export — registriamo l'evento, il canale, cosa è stato chiesto e quali note sono state usate per rispondere. Registriamo sempre, su qualunque piano: se un giorno passi a un piano che include il registro, lo storico è già lì invece di ripartire da zero.
  A sfogliarlo dalla dashboard, però, non è chiunque: quella consultazione è disponibile solo al proprietario dell'account e solo sui piani che lo includono (quali siano è scritto nella sezione Prezzi della home). Resta comunque tuo su qualunque piano: è incluso nell'export che puoi chiedere quando vuoi (punto 9), anche se il tuo piano non ti fa sfogliarlo da lì. È la prova di chi ha guardato cosa, ed è la tua difesa se qualcuno ti rubasse le credenziali.
  Se lavori in un team, devi saperlo: sui piani con più utenti il proprietario dell'account può leggere le domande che fanno i membri, il loro testo compreso. Non è una funzione nascosta ed è giusto che tu lo sappia prima di scrivere, non dopo.

3. Perché li trattiamo

• Erogare il servizio: ricevere le tue note, indicizzarle e ritrovarle quando le chiedi.
• Gestire il tuo account, l'abbonamento e la fatturazione.
• Contare le domande che fai, per applicare la quota del tuo piano.
• Risponderti quando ci scrivi e mandarti le comunicazioni di servizio necessarie.
• Tenere il registro delle consultazioni e difendere il servizio dagli abusi.
• Adempiere agli obblighi di legge, in particolare quelli fiscali.

Non facciamo marketing profilato, non ti mandiamo newsletter che non hai chiesto e non analizziamo il tuo comportamento a fini pubblicitari.

4. Su quale base giuridica

• Esecuzione del contratto (art. 6.1.b GDPR) — per tutto ciò che serve a darti il servizio che hai chiesto: account, note, ricerca, risposte, abbonamento.
• Obbligo legale (art. 6.1.c GDPR) — per la fatturazione e la contabilità, imposte dalla normativa fiscale italiana.
• Legittimo interesse (art. 6.1.f GDPR) — per la sicurezza del servizio, la prevenzione degli abusi e il registro delle consultazioni.

5. Il nostro ruolo sui contenuti che carichi

Sui dati del tuo account (email, fatturazione, log) siamo titolare del trattamento.

Sui contenuti che ci mandi — le tue note, che possono contenere dati personali di altre persone: clienti, collaboratori, chiunque — siamo responsabile del trattamento ai sensi dell'art. 28 GDPR. Li trattiamo solo su tua istruzione e solo per erogarti il servizio.

Questo significa che sei tu a dover avere una base giuridica valida per caricare i dati personali di terzi dentro CloudBrain. Se ti serve un accordo sul trattamento dei dati (DPA) da firmare, scrivici a privacy@cloudbrain.it.

6. Come proteggiamo i dati

• Le connessioni sono cifrate con TLS: tra il tuo browser (o il tuo canale) e noi non viaggia nulla in chiaro.
• Isolamento tra clienti a livello di database. Ogni tabella che contiene dati di un cliente è protetta dalla Row-Level Security di PostgreSQL: non è il codice applicativo a doversi ricordare di filtrare per cliente, è il database a rifiutarsi di restituire righe di un altro. È una differenza sostanziale, perché una dimenticanza del codice non basta a far uscire i tuoi dati.
• Le password non le conosciamo. Sono conservate come hash bcrypt: nel nostro database la tua password non esiste, e non possiamo leggerla nemmeno noi.
• Gli embedding li calcoliamo noi. Il modello che trasforma le tue note in vettori (E5, intfloat/multilingual-e5-large) gira sulla nostra infrastruttura: il testo delle tue note non esce per essere vettorizzato, non lo mandiamo a un servizio di embedding di terzi.
• Il motore di ricerca vettoriale è nostro. Gli embedding stanno in pgvector, dentro il nostro PostgreSQL, sotto le stesse regole di isolamento di tutto il resto. Non c'è un database vettoriale di terze parti con dentro le tue note.
• Il registro delle consultazioni. Ogni accesso al tuo corpus lascia una riga: è ciò che rende gli accessi verificabili invece che opinabili.

Non ti raccontiamo di avere certificazioni che non abbiamo, né misure che non potremmo dimostrarti. Quello che c'è è scritto qui sopra.

7. Per quanto li teniamo

• Finché usi il servizio, le tue note e il tuo account restano dove sono: non abbiamo scadenze automatiche sui tuoi contenuti.
• Se cancelli l'account, hai sette giorni per ripensarci, e puoi revocare la cancellazione in qualsiasi momento entro quel termine. Durante questi sette giorni il servizio continua a funzionare normalmente: non è una sospensione, è un ripensamento possibile. Passati i sette giorni cancelliamo tutto — note, indici, vettori, conversazioni, registro e abbonamento. La cancellazione è definitiva e non recuperabile: non abbiamo un cassetto da cui ripescare i tuoi dati dopo.
• L'archivio di export che generi dalla dashboard viene cancellato dopo 48 ore. È tutto il tuo brain in chiaro dentro un file: meno resta su disco, meglio è.
• Il registro delle consultazioni non ha una scadenza propria: resta finché resta il tuo account, perché il suo senso è farti guardare indietro. Non lo potiamo dopo un mese e non lo archiviamo altrove. Sparisce insieme a tutto il resto quando cancelli l'account.
• I dati di fatturazione sopravvivono alla cancellazione dell'account, ma solo perché ce lo impone la normativa fiscale italiana, e solo per il tempo che quella normativa richiede.

8. Con chi condividiamo i dati

Con nessuno, tranne i fornitori che servono a far funzionare il servizio. Sono questi, e non ce ne sono altri:

• Stripe — per i pagamenti e la fatturazione. Il pagamento avviene sulle pagine di Stripe: i dati della tua carta non li memorizziamo noi e non passano dai nostri server.
• AI Router — il gateway che interroga il modello linguistico. Quando fai una domanda, la tua domanda e i frammenti delle note pertinenti vengono inviati al modello perché possa generare la risposta: è il modo in cui il servizio funziona, ed è giusto che tu lo sappia in chiaro. Non parte tutto il tuo archivio: partono solo i frammenti che la ricerca ha giudicato pertinenti a quella domanda. E se la ricerca non trova nulla di pertinente, la domanda al modello non viene proprio inviata: ti rispondiamo che non abbiamo trovato niente, senza che nulla esca.
• Telegram — solo se colleghi quel canale. Per farti arrivare la risposta su Telegram dobbiamo passarla a Telegram: ricevono il codice della tua chat e il testo della risposta, che contiene quanto estratto dalle tue note. Vale anche per i messaggi che ci mandi: passano da loro prima di arrivare a noi.
• wapower — solo se colleghi WhatsApp. È il fornitore che ci collega a WhatsApp: riceve il tuo numero di telefono e il testo della risposta, per gli stessi motivi.
• Anthropic — solo se colleghi il connettore MCP a Claude. È il collegamento che lascia a Claude la facoltà di consultare il tuo brain: quando lo usi, Claude può chiedere l'elenco delle tue note, cercarci dentro e leggere una nota per intero, e quello che chiede gli viene inviato. È un accesso più ampio di quello degli altri canali, che ricevono solo il testo di una risposta: qui il contenuto che esce lo decide la conversazione che stai avendo su Claude. Se non colleghi il connettore, nulla di tutto questo accade: il collegamento parte solo da un tuo consenso esplicito, e per interromperlo devi rimuovere il connettore da Claude.
• I fornitori dell'infrastruttura su cui il servizio gira.

I dati escono dall'Unione Europea?

Alcuni dei fornitori qui sopra possono trattare dati fuori dall'Unione Europea. Preferiamo dirtelo così, in chiaro, invece di scriverti un elenco di paesi che non saremmo in grado di tenere aggiornato: dove si trovi ogni singolo server dipende dall'infrastruttura di ciascun fornitore, non da noi, e una geografia falsa sarebbe peggio del silenzio.

Quello che possiamo dirti con precisione è perché ogni trasferimento avviene, e come fermarlo:

• Telegram e wapower — solo se tu colleghi quel canale. Mandare un messaggio su WhatsApp e pretendere che non passi da WhatsApp non è possibile: il trasferimento è necessario a darti il servizio che ci hai chiesto (art. 49.1.b GDPR). Se non vuoi che accada, non collegare quel canale: la chat web non passa da nessuno dei due, e il servizio funziona lo stesso.
• Stripe — solo se attivi un piano a pagamento, per incassare il pagamento e fatturarti. Sul trial non c'è: la prova non passa da Stripe.
• AI Router — il gateway a cui chiediamo la risposta, descritto qui sopra.
• Anthropic — solo se tu colleghi il connettore MCP. Chiedere a Claude di consultare il tuo brain e pretendere che il brain non arrivi a Claude non è possibile: il trasferimento è necessario a darti il collegamento che hai chiesto (art. 49.1.b GDPR). Se non vuoi che accada, non collegare il connettore: CloudBrain funziona lo stesso, e senza quel collegamento nulla del tuo brain passa da Anthropic.

Per ciascuno di questi trasferimenti ci appoggiamo alle garanzie previste dal Capo V del GDPR nei rapporti che abbiamo con ciascun fornitore. Se ti serve sapere esattamente cosa succede a un dato specifico, scrivici a privacy@cloudbrain.it: è una domanda legittima e ti rispondiamo con quello che sappiamo, non con una formula.

Non vendiamo né cediamo i tuoi dati a nessuno. Non li affittiamo, non li scambiamo e non li condividiamo con terzi per finalità di marketing, di profilazione o di qualunque altro genere. I fornitori qui sopra li trattano solo per erogarti il servizio, su nostra istruzione.

9. I tuoi diritti

Il GDPR (Regolamento UE 2016/679) ti dà il diritto di chiederci l'accesso ai tuoi dati, la loro rettifica, la loro cancellazione, la limitazione o l'opposizione al trattamento, e la portabilità.

Due di questi puoi esercitarli da solo, subito, senza chiedere il permesso a nessuno:

• Portabilità — dalla dashboard chiedi l'export e scarichi un archivio zip. Dentro c'è più del solo testo delle note: le note come file markdown, e accanto un file di metadati con l'elenco dei file, le tue conversazioni, i messaggi scambiati con le citazioni di ogni risposta e il registro delle consultazioni. I markdown sono leggibili anche senza di noi, e te li porti dove vuoi. L'unica cosa che non mettiamo nello zip sono le chiavi di accesso al bucket che hai eventualmente collegato: sono segreti, non dati tuoi da portare via.
• Cancellazione — dalla dashboard, con i sette giorni di ripensamento descritti al punto 7.

Per tutto il resto scrivici a privacy@cloudbrain.it: ti rispondiamo nei termini previsti dal GDPR.

Se pensi che stiamo trattando i tuoi dati in modo scorretto, hai il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it). Ma prima prova a scrivere a noi: di solito è più veloce.

10. Cookie

Questo sito non usa cookie, e non ne usiamo nemmeno nella dashboard. Il perché, e cosa usiamo al loro posto, sta nella Cookie Policy.

11. Modifiche a questa informativa

Se cambia il modo in cui trattiamo i dati, aggiorniamo questa pagina e ne cambiamo la data di versione qui sotto. Se il cambiamento è sostanziale — un nuovo destinatario, una nuova finalità — te lo comunichiamo, non lo nascondiamo in una riga nuova.