Privacy Policy

1. Titolare del trattamento

Il titolare del trattamento è The Hydra. Per qualsiasi questione relativa ai tuoi dati scrivi a thehydra224@gmail.com. Questa informativa è resa ai sensi degli artt. 13-14 del Regolamento (UE) 2016/679 (GDPR).

2. Quali dati trattiamo

Trattiamo solo i dati necessari a far funzionare il servizio:

• —Dati di registrazione: email, ruolo scelto (buyer/builder), nome azienda facoltativo.
• —Dati identificativi dei venditori professionali, raccolti per obbligo di legge (art. 30 Digital Services Act).
• —Dati transazionali: ordini, pagamenti (gestiti da Stripe — non vediamo mai il numero completo della carta), trasferimenti di proprietà.
• —Contenuti: configurazioni degli agenti pubblicati dai builder, brief inviati agli agenti e relativi output.
• —Dati tecnici: log di accesso, indirizzo IP, identificativi di sessione.
• —Dati fiscali, quando servono a emettere i documenti o a incassare: codice fiscale o partita IVA, paese, regime fiscale. La partita IVA viene verificata presso il servizio VIES della Commissione europea.
• —Numero di telefono, solo se scegli di verificarlo: ne conserviamo un'impronta cifrata e le ultime due cifre, mai il numero in chiaro.
• —Immagine del profilo, se ne imposti una.
• —Eventi di utilizzo del prodotto (es. pagina aperta, acquisto avviato, esecuzione riuscita), raccolti dai nostri sistemi interni senza servizi di terze parti; se sei autenticato sono associati al tuo account, e servono solo a capire come funziona il servizio.

3. Perché li trattiamo (finalità e basi giuridiche)

Usiamo i dati per erogare il servizio ed eseguire il contratto (art. 6.1.b GDPR), per adempiere a obblighi legali, fiscali e di tracciabilità dei venditori (art. 6.1.c), per prevenire frodi e proteggere la piattaforma (legittimo interesse, art. 6.1.f) e per inviarti comunicazioni di servizio. Non facciamo marketing sui tuoi dati senza un tuo consenso specifico.

4. Come funziona l'AI con i tuoi dati

Quando esegui un agente, il brief che scrivi viene inviato al fornitore del modello che l'agente usa — Anthropic (Claude) oppure OpenAI — per generare l'output. In base ai termini commerciali dell'API, questi dati non vengono usati per addestrare i modelli. Brief e output restano salvati nel tuo storico per permetterti di consultarli. The Hydra non adotta decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te (art. 22 GDPR): l'approvazione degli agenti è svolta da persone.

5. A chi comunichiamo i dati

I dati sono trattati dai fornitori strettamente necessari al servizio, nominati responsabili del trattamento ove applicabile:

• —Supabase — database, autenticazione e storage.
• —Stripe — elaborazione dei pagamenti e prevenzione frodi.
• —Anthropic e OpenAI — esecuzione degli agenti AI: ricevono il brief e restituiscono l'output. Quale dei due dipende dal modello scelto per l'agente.
• —Vercel — hosting dell'applicazione.
• —Upstash — protezione dagli abusi (rate limiting) e cache: tratta indirizzi IP in forma transitoria, con scadenza automatica legata alla finestra del singolo limite (da un minuto a ventiquattro ore).
• —Resend — invio delle email transazionali (conferme, avvisi): tratta l'indirizzo email del destinatario.
• —Nango — collegamento dei connettori OAuth: custodisce i token di accesso ai servizi che scegli di collegare.
• —Inngest — orchestrazione delle esecuzioni in background: tratta solo identificativi tecnici delle run, mai i contenuti.
• —Commissione europea (servizio VIES) — verifica della partita IVA dichiarata da chi vende.
• —Servizi dichiarati dal singolo agente — un agente può dichiarare nel proprio manifesto i domini che contatta per svolgere il compito (per esempio il servizio che stai collegando). Sono elencati nella scheda dell'agente prima dell'acquisto, e l'esecuzione può raggiungere solo quelli.

Alcuni fornitori hanno sede negli USA: i trasferimenti avvengono sulla base del EU-US Data Privacy Framework o di Clausole Contrattuali Standard. Non vendiamo dati personali a terzi.

6. Per quanto li conserviamo

I dati dell'account restano finché l'account è attivo, e con essi lo storico delle tue esecuzioni: brief e output restano consultabili finché non chiudi l'account. I dati fiscali e transazionali sono conservati 10 anni per obbligo di legge. I log tecnici — eventi di utilizzo, chiamate ai modelli, codici di verifica — hanno una cancellazione automatica: un processo notturno rimuove quelli più vecchi di 12 mesi (30 giorni per i codici di verifica del telefono). Alla chiusura dell'account, i dati non soggetti a obblighi di conservazione vengono cancellati o anonimizzati: la richiesta si invia ai recapiti del punto 7 e la evadiamo entro 30 giorni.

7. I tuoi diritti

Ai sensi degli artt. 15-22 GDPR puoi in ogni momento: accedere ai tuoi dati, rettificarli, cancellarli, limitarne il trattamento, opporti al trattamento e riceverli in formato portabile. Per esercitare questi diritti — inclusa la chiusura dell'account con cancellazione dei dati non soggetti a obblighi di conservazione — scrivi a thehydra224@gmail.com: rispondiamo entro 30 giorni. Puoi inoltre proporre reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it).

8. Sicurezza

Applichiamo misure tecniche e organizzative adeguate: connessioni cifrate (HTTPS), isolamento dei dati per utente a livello di database (Row Level Security), prezzi e pagamenti verificati lato server, chiavi segrete mai esposte al browser. In caso di violazione che presenti rischi per i tuoi diritti, ti informeremo nei termini dell'art. 34 GDPR.

9. Minori

Il servizio è riservato ai maggiori di 18 anni. Non trattiamo consapevolmente dati di minori; se ritieni che un minore ci abbia fornito dati, contattaci e li rimuoveremo.

10. Aggiornamenti

Questa informativa può cambiare, ad esempio al variare dei fornitori o della normativa. Le modifiche sostanziali saranno comunicate agli utenti registrati; la versione vigente è sempre pubblicata su questa pagina con la data di aggiornamento.