Informativa sulla Privacy

1. Titolare del trattamento

Il titolare del trattamento dei dati personali è IRIDIA S.R.L., con sede legale in Italia. Per qualsiasi richiesta relativa al trattamento dei dati puoi contattarci all'indirizzo [email protected].

2. Dati raccolti

Nell'utilizzo della piattaforma Presenta raccogliamo:

• Dati account: nome, email, password cifrata (bcrypt).
• Contenuti caricati: file PPTX/PDF, foto per avatar personalizzati, testi di narrazione, audio di voce clonata.
• Dati di utilizzo: progetti creati, video generati, log di accesso, consumo crediti.
• Dati tecnici: indirizzo IP, user agent, timestamp delle richieste (log di sistema per sicurezza).

3. Finalità e base giuridica

• Erogazione del servizio (art. 6.1.b GDPR — esecuzione del contratto): creare e gestire account, generare video con avatar.
• Sicurezza (art. 6.1.f GDPR — legittimo interesse): prevenzione frodi, log di accesso, protezione dati.
• Obblighi di legge (art. 6.1.c GDPR): conservazione fiscale e amministrativa.

4. Fornitori terzi (responsabili del trattamento)

Per erogare il servizio utilizziamo fornitori selezionati, tutti GDPR-compliant:

• Railway (USA, region UE Amsterdam): hosting infrastruttura e database.
• Cloudflare R2 (EU): storage file utente, CDN e protezione del traffico.
• Anthropic (USA): generazione della sceneggiatura, dei quiz e assistenza dello Story Coach tramite Claude (zero data retention).
• ElevenLabs (USA): sintesi vocale e clonazione voce (solo con consenso esplicito).
• HeyGen (USA): generazione avatar video lip-sync e Photo Avatar (trasmissione testo narrazione, audio e foto del volto).
• OpenAI (USA): generazione immagini ritratto per avatar (gpt-image) e moderazione automatica di foto e prompt.
• Google Generative AI (USA): generazione di ritratti avatar alternativi (Imagen/Gemini) a partire da prompt testuali.
• Replicate (USA): rimozione dello sfondo dalle foto avatar.
• PiAPI e fal.ai (extra-UE): clip video generative per il modulo documentario; ricevono immagini keyframe e prompt, nessun dato personale dell'utente.
• Resend (USA): invio email transazionali (indirizzo email, nome).

I trasferimenti extra-UE avvengono sulla base di Clausole Contrattuali Standard approvate dalla Commissione Europea (decisione 2021/914). L'elenco completo, con sede, finalità e base giuridica di ciascun fornitore, è pubblicato nella lista dei subprocessor.

5. Voice cloning — consenso esplicito

La funzione di clonazione vocale tratta dati biometrici (categoria particolare ex art. 9 GDPR). Richiede consenso esplicito e informato, che viene registrato (hash della dichiarazione, timestamp, IP) prima dell'attivazione. Il consenso è revocabile in qualsiasi momento richiedendo la cancellazione della voce clonata.

6. Foto per avatar personalizzato — consenso esplicito

L'immagine del volto caricata per generare un avatar personalizzato è trattata come dato biometrico (categoria particolare ex art. 9 GDPR). Richiede consenso esplicito e informato della persona ritratta, dichiarato dall'utente al momento del caricamento. Se la persona ritratta non è l'utente, l'utente dichiara di aver ottenuto il suo consenso scritto e ne risponde. Il consenso è revocabile in qualsiasi momento richiedendo la cancellazione dell'avatar: la foto, i ritratti derivati e l'avatar vengono eliminati entro 7 giorni.

7. Contenuti generati con intelligenza artificiale (Reg. UE 2024/1689)

La voce, l'avatar e la sceneggiatura proposta nei video sono generati con sistemi di intelligenza artificiale. In conformità all'art. 50 del Regolamento (UE) 2024/1689 (AI Act), ogni video esportato contiene un'etichetta visibile «Contenuto generato con AI», metadati machine-readable nel file, Content Credentials (C2PA) firmate da IRIDIA. Entro il 2 dicembre 2026 sarà attivo anche un registro pubblico di impronte (hash del file, senza dati personali) per la verifica dei contenuti. Dettagli su cosa è generato, cosa no e sui tuoi diritti nella pagina Trasparenza AI.

8. Conservazione dei dati

• Account attivo: fino alla cancellazione richiesta.
• Progetti e video generati: fino a cancellazione manuale o chiusura account.
• Log di sicurezza: 12 mesi.
• Registro di consenso (voce clonata): 5 anni dalla revoca, a prova dell'avvenuto consenso.
• Dati fiscali: 10 anni (obbligo di legge).

9. Diritti dell'interessato

Ai sensi degli artt. 15-22 GDPR hai diritto di:

• accedere ai tuoi dati personali;
• rettificarli se inesatti o incompleti;
• cancellarli ("diritto all'oblio");
• limitarne il trattamento;
• portarli in formato strutturato (portabilità);
• opporti al trattamento per legittimo interesse;
• revocare il consenso (se applicabile) in qualsiasi momento.

Per esercitare questi diritti, scrivi a [email protected]. Risposta entro 30 giorni.

10. Reclami al Garante

Se ritieni che il trattamento violi il GDPR puoi proporre reclamo al Garante per la protezione dei dati personali.

11. Modifiche

Questa informativa può essere aggiornata. La data in cima indica l'ultima modifica. In caso di modifiche sostanziali informeremo gli utenti via email.