Informativa sulla Privacy

1. Chi siamo (titolare del trattamento)

SerpTune è gestito da Redbit S.r.l.s., Viale della Grande Muraglia 494, 00144 Roma, Italia — P.IVA IT15237911001, REA RM-1576999, PEC [email protected] ("Redbit", "noi"). Date le dimensioni della nostra organizzazione non siamo tenuti a nominare, e non abbiamo nominato, un Responsabile della protezione dei dati ai sensi dell'art. 37 GDPR. Per qualsiasi questione privacy scrivi a [email protected] o usa il nostro modulo di contatto.

2. Ambito

La presente informativa spiega come trattiamo i dati personali quando visiti serptune.com e utilizzi l'applicazione SerpTune. Va letta insieme ai nostri Termini di Servizio, alla nostra Cookie Policy e, per i clienti business, al nostro Accordo sul Trattamento dei Dati.

3. Dati personali che trattiamo (come titolare)

• Identità e account: email, password con hash, lingua, stato dell'account.
• Fatturazione: dati aziendali/fiscali che fornisci, indirizzo, registri del Wallet e delle transazioni. I dati della carta sono gestiti direttamente dal nostro fornitore di pagamento e non sono mai conservati da noi.
• Utilizzo: gli URL e le query che invii, le analisi risultanti e i movimenti di Crediti.
• Tecnici e sicurezza: indirizzo IP, marche temporali, metadati delle richieste, log di audit ed eventi di sicurezza.
• Misurazione pubblicitaria (solo con il tuo consenso): identificativi del pixel di Meta (_fbp, _fbc) e identificativi di Google Ads (_gcl_au, _gcl_aw), indirizzo IP e user-agent del browser, pagina ed evento interessati e, se sei autenticato o ti stai registrando, l’hash SHA-256 della tua email e dell’identificativo del tuo account, condiviso soltanto con Meta. L’email in chiaro non viene mai trasmessa.
• Statistiche d’uso (solo con il tuo consenso): identificativi di Google Analytics (_ga, _ga_<ID>), il tuo indirizzo IP, dati sul browser, le pagine che visiti e la durata della visita.

Non raccogliamo intenzionalmente categorie particolari (sensibili) di dati personali su di te.

4. Origine dei dati

Direttamente da te (registrazione, moduli, URL/query che invii) e automaticamente dal tuo utilizzo del Servizio (log ed eventi di sicurezza).

5. Finalità e basi giuridiche (GDPR / UK GDPR)

• Erogazione del Servizio, gestione degli account ed esecuzione delle analisi — esecuzione di un contratto (art. 6(1)(b)).
• Fatturazione, contabilità e adempimenti fiscali — obbligo legale (art. 6(1)(c)) e contratto.
• Sicurezza, prevenzione di frodi/abusi, rate limiting e logging di audit — legittimo interesse (art. 6(1)(f)).
• Prelievo e analisi di pagine web accessibili al pubblico per produrre il tuo report — legittimo interesse, bilanciato con i diritti degli editori delle pagine, che possono escludersi dal nostro crawler.
• Comunicazioni di servizio (verifica, avvisi) — contratto e legittimo interesse.
• Misurazione aggregata del pubblico senza cookie (conteggio delle visualizzazioni; nessun cookie, nessun IP conservato, nessuna profilazione) — legittimo interesse.
• Misurazione pubblicitaria tramite il pixel di Meta con Conversions API e tramite il tag di conversione di Google Ads — tuo consenso (art. 6(1)(a)), revocabile in qualsiasi momento da «Preferenze cookie» nel piè di pagina, con effetto per il futuro.
• Misurazione statistica dell’uso del sito tramite Google Analytics — il tuo consenso (art. 6(1)(a)), revocabile in qualsiasi momento da «Preferenze cookie» nel piè di pagina, con effetto per il futuro.

6. Pagine che analizziamo e dati che possono contenere

Per produrre un report preleviamo pagine accessibili al pubblico (la tua Pagina e i Competitor posizionati) tramite il crawler SerpTuneBot, ne estraiamo il testo principale e inviamo tale testo ripulito al nostro sub-responsabile IA per l'analisi. Tali pagine possono incidentalmente contenere dati personali (ad esempio il nome di un autore). Trattiamo tali dati solo per generare il tuo report, conserviamo l'HTML grezzo prelevato per un massimo di 48 ore, rispettiamo robots.txt e l'opt-out per dominio, e non usiamo mai i contenuti prelevati per profilare individui o addestrare modelli. Ove invii pagine di cui sei titolare, si applicano la sezione 13 e il nostro DPA.

7. Sub-responsabili e destinatari

• Anthropic — analisi IA del contenuto ripulito delle pagine (Stati Uniti).
• LangChain (LangSmith) — osservabilità LLM (uso di token, costo, latenza) per la pipeline di analisi (regione UE).
• Serper / fornitore di risultati di ricerca — recupero dei risultati pubblici dei motori di ricerca per la tua query.
• Cloudflare — CDN, DNS, WAF e protezione anti-bot (Turnstile); rete globale con edge in UE.
• Revolut — elaborazione dei pagamenti.
• Fatture in Cloud (TeamSystem S.p.A., Italia) — emissione della fattura e trasmissione al Sistema di Interscambio (SdI) dell'Agenzia delle Entrate. Riceve i dati di fatturazione che inserisci: nome o ragione sociale, indirizzo, partita IVA o codice fiscale e l'importo pagato.
• IONOS — infrastruttura di hosting (Unione Europea, Germania).
• Sistema di posta transazionale autogestito da Redbit (mail.redbitapp.com) — invio delle email di servizio.

Non vendiamo né cediamo i tuoi dati personali. Possiamo comunicarli alle autorità pubbliche ove richiesto per legge, e a consulenti professionali o a un successore in regime di riservatezza.

Verifica delle partite IVA. Se acquisti come azienda nell'Unione Europea, trasmettiamo la partita IVA che indichi al servizio VIES della Commissione Europea per verificarne la validità. Senza quella verifica non possiamo applicare l'inversione contabile. La base giuridica è l'obbligo legale di applicare l'imposta corretta (art. 6, par. 1, lett. c GDPR); conserviamo solo l'esito della verifica e la data.

Fatture. La fattura viene emessa quando la richiedi al momento dell'acquisto o quando hai fornito i dati di fatturazione (sempre, per le aziende); gli acquisti senza richiesta di fattura sono registrati come la normativa fiscale italiana prevede per il commercio elettronico diretto. Quando la fattura viene emessa, i dati di fatturazione e la fattura stessa sono conservati per il periodo previsto dalla normativa fiscale italiana (attualmente dieci anni), anche se cancelli il tuo account. La cancellazione dell'account elimina da SerpTune il profilo di fatturazione salvato, ma non può cancellare le fatture già emesse.

Meta (misurazione pubblicitaria). Se — e soltanto se — presti il consenso marketing, trasmettiamo gli eventi descritti alla sezione 3 a Meta Platforms Ireland Limited: dal tuo browser tramite il pixel di Meta e dai nostri server tramite la Conversions API. I due canali trasportano lo stesso evento con lo stesso identificativo, così viene conteggiato una volta sola. Per questo trattamento Meta non è un nostro sub-responsabile: nella raccolta e trasmissione di quegli eventi noi e Meta agiamo come contitolari ai sensi dell’art. 26 GDPR, secondo il Controller Addendum di Meta, mentre Meta è titolare autonomo per l’uso successivo dei dati. Puoi esercitare i tuoi diritti nei confronti di ciascuno dei due; l’informativa di Meta è su facebook.com/privacy/policy. Se rifiuti, o revochi in seguito, non viene trasmesso nulla su nessuno dei due canali.

Google (misurazione pubblicitaria). Se — e soltanto se — presti il consenso marketing, il tag di conversione di Google Ads nel tuo browser riferisce a Google Ireland Limited quale dei nostri annunci ti ha portato qui e se ne è seguita una registrazione o un acquisto. Non esiste alcun canale lato server: tutto avviene nel tuo browser e nulla si carica prima del tuo consenso. Per questa misurazione noi e Google agiamo come titolari autonomi secondo i Termini per la protezione dei dati nella pubblicità di Google; l’informativa di Google è su policies.google.com/privacy. Se rifiuti, o revochi in seguito, il tag non si carica e i suoi cookie vengono cancellati.

Google Analytics (statistiche). Google Analytics si attiva soltanto se presti il consenso alla categoria statistiche, che nel banner è separata da quella pubblicitaria: puoi accettare l’una e rifiutare l’altra, e rifiutare le statistiche non incide in alcun modo sulla scelta che fai sul marketing. Se lo attivi, i dati descritti alla sezione 3 raggiungono Google Ireland Limited. Per questo trattamento, a differenza della misurazione pubblicitaria in cui Google è titolare autonomo, Google agisce come responsabile del trattamento per nostro conto, secondo le Misure per il trattamento dei dati di Google Analytics: tratta quei dati soltanto secondo le nostre istruzioni, per restituirci statistiche aggregate sull’uso del sito. Il tuo indirizzo IP viene troncato e anonimizzato da Google prima di essere memorizzato. L’informativa di Google è su policies.google.com/privacy. Se rifiuti, o revochi in seguito, il tag non si carica e i suoi cookie vengono cancellati.

8. Trasferimenti internazionali

La nostra infrastruttura e i database sono ospitati nell'Unione Europea (Germania). Alcuni sub-responsabili (es. Anthropic, Cloudflare) si trovano o instradano dati negli Stati Uniti; tali trasferimenti sono coperti dalle Clausole Contrattuali Standard della Commissione Europea e, per i dati del Regno Unito, dall'UK International Data Transfer Addendum, con misure supplementari. Una copia delle garanzie pertinenti è disponibile su richiesta a [email protected].

Se hai acconsentito alla misurazione pubblicitaria o a quella statistica, i dati raggiungono anche Meta Platforms Ireland Limited e Google Ireland Limited — quest’ultima sia per il tag di Google Ads sia per Google Analytics — e possono essere trasferiti a Meta Platforms, Inc. e Google LLC negli Stati Uniti; entrambi si basano sull’EU–US Data Privacy Framework e sulle Clausole Contrattuali Standard. Le due categorie di consenso restano indipendenti: il flusso di Google Analytics avviene solo se hai accettato le statistiche, quello pubblicitario solo se hai accettato il marketing.

9. Conservazione

• Dati dell'account: eliminati entro 30 giorni dalla chiusura dell'account (o su richiesta di cancellazione verificata), salvo obblighi legali di conservazione più lunga.
• Documenti di fatturazione: conservati per 10 anni, come richiesto dalla normativa fiscale italiana.
• Log operativi e di sicurezza: fino a 12 mesi.
• HTML grezzo prelevato: eliminato entro 48 ore; testo ripulito e risultati in cache scadono entro 24 ore.
• Analisi e report: conservati nel tuo account finché non li elimini o chiudi l'account.

10. Processo decisionale automatizzato e IA

Non effettuiamo processi decisionali automatizzati che producano effetti giuridici o similmente significativi su di te (art. 22 GDPR). L'IA è usata solo per analizzare contenuti di pagine pubbliche e generare il tuo report; non assume alcuna decisione su di te.

11. Cookie

Impostiamo cookie strettamente necessari, che non richiedono consenso, e — solo se li autorizzi — i cookie di misurazione pubblicitaria del pixel di Meta e del tag di Google Ads e i cookie statistici di Google Analytics. Statistiche e marketing sono due categorie di consenso separate nel banner: puoi accettare l’una e rifiutare l’altra, e revocarle in modo indipendente. Alla prima visita compare un banner e nulla di facoltativo parte prima della tua scelta. Puoi modificarla o revocarla quando vuoi da Preferenze cookie, in fondo a ogni pagina. La nostra misurazione delle visite non usa alcun cookie. L’elenco completo è nella Cookie Policy.

12. I tuoi diritti (GDPR / UK GDPR)

Hai diritto di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione e — ove il trattamento si basi sul consenso — di revocarlo. Per esercitare un diritto scrivi a [email protected] o usa il nostro modulo di contatto. Potremmo dover verificare la tua identità e rispondiamo entro un mese (prorogabile di due mesi per richieste complesse). Puoi proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o, per gli interessati del Regno Unito, all'ICO (ico.org.uk).

13. Dati che invii per l'analisi (nostro ruolo di responsabile)

Per le pagine che invii e di cui sei titolare, trattiamo gli eventuali dati personali in esse contenuti solo secondo le tue istruzioni e al solo scopo di produrre l'analisi richiesta, in base al nostro DPA. Non li usiamo per finalità nostre, non li vendiamo né condividiamo, e li eliminiamo come descritto nella sezione 9.

14. Diritti privacy della California (CCPA / CPRA)

Se risiedi in California: raccogliamo identificativi (email, IP), informazioni commerciali (fatturazione e transazioni) e attività su Internet (log) per le finalità della sezione 5. Non vendiamo i tuoi dati personali per denaro e non lo abbiamo fatto nei 12 mesi precedenti. Se — e solo se — attivi la misurazione pubblicitaria, i dati descritti alla sezione 3 sono condivisi con Meta e Google per pubblicità comportamentale cross-contesto ai sensi del CPRA. Quella condivisione richiede il tuo consenso preventivo e cessa non appena lo revochi da «Preferenze cookie»; se non lo presti mai, nessuna condivisione avviene. Hai diritto di conoscere/accedere, cancellare, correggere, opporti alla condivisione e non subire discriminazioni; invia la richiesta a [email protected]. Verifichiamo l’identità prima di rispondere.

15. Altre giurisdizioni e minori

Ove ti si applichino altre normative sulla protezione dei dati (es. LGPD del Brasile, PIPEDA del Canada), riconosciamo i diritti equivalenti che esse concedono. SerpTune è un servizio per imprese, non destinato ai minori; gli utenti devono avere almeno 18 anni e non raccogliamo consapevolmente dati di soggetti di età inferiore a 16 anni.

16. Sicurezza

Proteggiamo i dati con cifratura in transito (TLS, HSTS), password con hash (Argon2id), protezione CSRF, rate limiting e blocco dei login, protezione anti-bot, accesso a privilegio minimo e logging di audit. Nessun sistema è perfettamente sicuro; notificheremo a te e all'autorità di controllo competente una violazione di dati personali ove e come previsto dalla legge.

17. Modifiche e contatti

Possiamo aggiornare la presente informativa; le modifiche sostanziali saranno notificate via email e con avviso in-app prima della loro efficacia. Domande privacy e richieste degli interessati: [email protected] o il nostro modulo di contatto. Posta: Redbit S.r.l.s., Viale della Grande Muraglia 494, 00144 Roma, Italia.