Privacy Policy

1. Titolare del trattamento

Anlyra è un servizio SaaS gestito da Lena di Ipek Mikail, ditta individuale operante in Regime Forfetario, con sede in Piazza Gramsci 8, 41030 San Prospero (MO), Italia — P.IVA 04275010363. Indirizzo email di contatto: contact@anlyra.com — PEC: mikail.ipek@pec.fiscozen.it.

Ai sensi del Regolamento UE 2016/679 (GDPR), il Titolare del trattamento è la persona o entità che determina le finalità e i mezzi del trattamento dei dati personali degli Utenti.

2. Tipologie di dati raccolti

Anlyra raccoglie solo i dati strettamente necessari per erogare il Servizio. Ecco cosa raccogliamo, senza omissioni:

• •Dati di account: indirizzo email, nome, nome dell'organizzazione. Raccolti al momento della registrazione.
• •Dati di pagamento: i numeri di carta sono gestiti interamente da Stripe e non passano mai per i nostri server. Anlyra riceve esclusivamente l'ID transazione di Stripe e l'ID abbonamento.
• •Verifica identità (futura): per clienti Enterprise o richieste antifrode, Stripe Identity potrà richiedere documento d'identità e selfie. La verifica è gestita interamente da Stripe. Non attiva di default per i piani Pro e Avanzato.
• •Dati finanziari caricati dall'utente: file CSV, file Excel, inserimenti manuali. Restano sui nostri server europei, crittografati at rest e in transit. Non ne usiamo il contenuto identificabile per alcun fine diverso dall'erogazione del Servizio.
• •Log di utilizzo: indirizzo IP, browser, sistema operativo, azioni in-app, timestamp. Necessari per sicurezza, antifrode e debug tecnico.
• •Cookie essenziali: token di sessione (pro_session), preferenza lingua, preferenza tema. Nessun cookie di profilazione, nessun cookie di marketing, nessun tracker di terze parti.

3. Finalità del trattamento

• •Erogazione del Servizio: rispondere alle tue richieste, generare insight AI, mostrare dashboard, calcolare forecast, produrre report. È la finalità principale — tutto il resto viene dopo.
• •Miglioramento del prodotto: utilizziamo dati aggregati e anonimi (mai identificabili a livello di singola azienda) per capire quali funzionalità funzionano e quali no. Niente profili individuali.
• •Benchmark settore: utilizziamo dati aggregati e anonimi per calcolare statistiche di settore (es. margine medio SaaS). Nessun dato riconducibile a una singola azienda viene mai esposto a terzi.
• •Customer support: leggiamo i tuoi messaggi per aiutarti quando ci scrivi. Non usiamo queste conversazioni per altri scopi.
• •Sicurezza e antifrode: monitorare attività sospette, bloccare accessi non autorizzati, proteggere i tuoi dati.
• •Adempimenti legali: fatturazione, normativa antiriciclaggio dove applicabile, risposta a richieste di autorità competenti.

4. Quello che non facciamo MAI con i tuoi dati

Sei promesse che non hanno eccezioni, nemmeno su richiesta commerciale:

• •MAI vendiamo i tuoi dati a terze parti, in nessuna circostanza.
• •MAI usiamo i tuoi dati per addestrare modelli AI di terze parti (Anthropic, OpenAI, Google, altri).
• •MAI condividiamo dati identificabili a livello di singola azienda con clienti, partner o investitori.
• •MAI accediamo ai tuoi conti correnti né eseguiamo operazioni a tuo nome.
• •MAI usiamo cookie di marketing, profilazione comportamentale o tracker di terze parti.
• •MAI deroghiamo a queste regole, neppure se ne ricevessimo richiesta commerciale o investitore.

5. Base giuridica del trattamento (GDPR art. 6)

• •Esecuzione del contratto (art. 6 par. 1 lett. b): trattamento necessario per fornire il Servizio richiesto.
• •Consenso esplicito (art. 6 par. 1 lett. a): per comunicazioni di marketing opzionali e cookie non essenziali.
• •Interesse legittimo (art. 6 par. 1 lett. f): per garantire la sicurezza del sistema e prevenire frodi.
• •Obbligo legale (art. 6 par. 1 lett. c): per adempiere a obblighi fiscali e normativi applicabili.

6. Trasferimento dati a sub-responsabili

Anlyra si avvale dei seguenti sub-responsabili del trattamento. Tutti sono vincolati da accordi conformi al GDPR (SCC o Data Privacy Framework UE-USA):

• •Anthropic (USA) — API Claude: i tuoi dati transitano per Anthropic quando richiedi un AI insight. Anthropic NON usa i dati ricevuti via API per addestrare i propri modelli (DPA Anthropic). Il trasferimento è coperto da Standard Contractual Clauses (SCC) approvate dalla Commissione UE.
• •Stripe (USA) — Pagamenti e KYC: Stripe è certificata PCI-DSS Level 1 e aderisce al Data Privacy Framework UE-USA. Anlyra non accede ai dati della carta di pagamento.
• •Vercel (USA) — Hosting applicazione: infrastruttura CDN e serverless. Coperto da Data Privacy Framework UE-USA.
• •Supabase (UE) — Database principale: server PostgreSQL in Europa. I dati restano in UE.
• •Resend (USA) — Email transazionali: solo email di servizio (conferma account, notifiche). Nessuna email di marketing. Coperto da SCC UE.
• •Anlyra non vende, affitta né cede i dati personali degli Utenti a terzi per finalità di marketing o profilazione.

7. Tempi di conservazione dei dati

• •Account attivo: i dati personali sono conservati per tutta la durata del rapporto contrattuale.
• •Dopo la cancellazione dell'account: tutti i dati personali vengono eliminati entro 30 giorni dalla richiesta.
• •Log di sistema e audit log: conservati per un massimo di 12 mesi dalla loro creazione.
• •Backup crittografati: conservati per 90 giorni, poi eliminati in modo permanente e irrecuperabile.
• •Dati fiscali e di fatturazione: conservati per i termini previsti dalla legge italiana (10 anni).

8. Diritti dell'interessato (GDPR artt. 15-22)

In qualità di interessato, hai il diritto di:

• •Accesso (art. 15): ottenere conferma e copia dei dati personali che Anlyra tratta che ti riguardano.
• •Rettifica (art. 16): correggere dati inesatti o integrare dati incompleti.
• •Cancellazione — diritto all'oblio (art. 17): richiedere l'eliminazione dei tuoi dati personali.
• •Portabilità (art. 20): ricevere i tuoi dati in formato strutturato, leggibile da macchina e interoperabile.
• •Opposizione (art. 21): opporti al trattamento effettuato sulla base dell'interesse legittimo.
• •Limitazione (art. 18): richiedere la limitazione del trattamento in specifiche circostanze previste dalla norma.
• •Per esercitare i tuoi diritti: invia una email a contact@anlyra.com con oggetto 'Privacy Request'. Risponderemo entro 30 giorni dalla ricezione.

9. Diritti CCPA — Residenti in California (USA)

Se risiedi nello Stato della California, il California Consumer Privacy Act (CCPA) ti conferisce i seguenti diritti aggiuntivi:

• •Diritto di sapere: richiedere informazioni dettagliate sulle categorie di dati raccolti e sulle finalità del trattamento.
• •Diritto di cancellazione: equivalente al diritto all'oblio previsto dal GDPR.
• •Diritto di opt-out dalla vendita: Anlyra non vende dati personali a terzi. Non è necessario alcun opt-out attivo.
• •Diritto di non discriminazione: non subirai alcuna penalità, differenza di prezzo o qualità del servizio per l'esercizio dei tuoi diritti CCPA.
• •Per richieste CCPA: contact@anlyra.com con oggetto 'CCPA Request'.

10. Tutela LGPD — Utenti in Brasile

Anlyra si impegna a rispettare la Lei Geral de Proteção de Dados (LGPD, Lei n° 13.709/2018). Gli utenti brasiliani hanno diritto a:

• •Accesso e conferma del trattamento dei propri dati personali.
• •Correzione di dati incompleti, inesatti o obsoleti.
• •Anonimizzazione, blocco o eliminazione di dati trattati in modo non conforme alla LGPD.
• •Portabilità dei dati verso un altro fornitore di servizi.
• •Revoca del consenso in qualsiasi momento, senza penalità.
• •Per richieste LGPD: contact@anlyra.com con oggetto 'LGPD Request'.

11. Sicurezza dei dati

• •Cifratura TLS 1.3 in transito per tutte le comunicazioni tra client e server.
• •Cifratura AES-256 a riposo per database, backup e file caricati dall'utente.
• •Autenticazione a due fattori (2FA) disponibile come misura aggiuntiva opzionale.
• •Controllo degli accessi basato su ruoli (RBAC) per limitare l'accesso ai dati ai soli soggetti autorizzati.
• •Audit log degli accessi ai dati sensibili, conservati per 12 mesi.
• •Revisioni periodiche della sicurezza e vulnerability assessment del sistema.

12. Modifiche alla Privacy Policy

Anlyra si riserva il diritto di modificare la presente Privacy Policy in qualsiasi momento. In caso di modifiche sostanziali, gli Utenti riceveranno notifica via email e tramite banner nell'applicazione almeno 30 giorni prima dell'entrata in vigore delle modifiche.

Il proseguimento dell'utilizzo del Servizio dopo la notifica costituisce accettazione delle modifiche.

13. Contatti — Privacy e DPO

Per qualsiasi richiesta relativa alla privacy, per esercitare i tuoi diritti o per domande sul trattamento dei dati personali: email contact@anlyra.com (oggetto: 'Privacy Inquiry') oppure PEC mikail.ipek@pec.fiscozen.it.

Risposta garantita entro 30 giorni dalla ricezione della richiesta.

Hai il diritto di presentare reclamo all'Autorità di controllo competente. In Italia: Garante per la protezione dei dati personali (garanteprivacy.it).