Informativa sulla privacy

Questa traduzione è fornita a solo scopo informativo. Fa fede esclusivamente la versione inglese.

1. Chi siamo

ExtMoney ("ExtMoney", "noi", "ci", "nostro") è un'applicazione di finanza personale gestita da Zanket, una ditta individuale registrata in Canada (Québec). Siamo il titolare del trattamento delle Sue informazioni personali ai sensi del GDPR UE/Regno Unito, del PIPEDA canadese e della Legge sulla protezione delle informazioni personali nel settore privato del Québec (Legge 25).

Contatto privacy: privacy@extmoney.com
Rappresentante UE (art. 27 GDPR): eu@extmoney.com

Noi non mostriamo pubblicità di terze parti e non vendiamo né affittiamo le Sue informazioni personali. Non utilizziamo pixel pubblicitari, di remarketing o di tracciamento comportamentale.

2. Ambito di applicazione

La presente Informativa riguarda le informazioni personali che trattiamo quando utilizza ExtMoney (le nostre app mobili e https://extmoney.com). Le disposizioni specifiche per regione relative a SEE/Regno Unito, Canada e California figurano nelle Appendici e prevalgono per i residenti di tali regioni nella misura in cui integrano il testo principale. Trattiamo le Sue informazioni solo come descritto nella presente Informativa e manteniamo quanto raccogliamo adeguato, pertinente e limitato a quanto necessario.

3. Informazioni personali che raccogliamo

Account e identità — email, password (memorizzata in forma di hash), nome visualizzato, lingua, appartenenza a team/famiglia.
Dati finanziari e transazionali — i record che crea o importa (importi, valute, date, categorie, controparti, note, etichette dei conti). Il contenuto principale del servizio.
Registrazioni vocali — quando utilizza l'inserimento vocale, l'audio che registra. Possono costituire dati sensibili (biometrici) e ricevono il trattamento rafforzato di cui al §5 e all'Appendice A.
Immagini di scontrini e documenti — quando utilizza la scansione degli scontrini (OCR), l'immagine che acquisisce. Gli scontrini possono contenere dettagli sensibili.
Dati di pagamento — stato dell'abbonamento e metadati di fatturazione limitati provenienti da Stripe/Apple/Google. Non memorizziamo i numeri completi delle carte.
Dati di utilizzo e del dispositivo — interazioni con l'app, tipo di dispositivo/sistema operativo, lingua, indirizzo IP e log tecnici necessari per gestire e proteggere il servizio, oltre a un token di notifica push del dispositivo se attiva le notifiche push.
Registri dei consensi — quali consensi ha prestato, su quale canale, quando e a quale versione delle condizioni (conservati come prova che il trattamento era autorizzato).

La preghiamo di non caricare documenti contenenti più informazioni sensibili del necessario (ad es. dati medici o di documenti d'identità) — solo quanto richiesto da una transazione.

4. Come utilizziamo le Sue informazioni e basi giuridiche

Finalità	Base giuridica (art. 6 / art. 9 GDPR)
Creare, proteggere e autenticare il Suo account	Esecuzione di un contratto — art. 6(1)(b)
Fornire le funzionalità finanziarie principali (memorizzare, visualizzare, analizzare i Suoi record)	Contratto — art. 6(1)(b)
Trascrizione vocale	Consenso esplicito — art. 9(2)(a) (dati biometrici) + art. 6(1)(a)
OCR degli scontrini; analisi delle spese con IA / suggerimenti di categoria	Suo consenso — art. 6(1)(a) (v. §5)
Rilevare anomalie; prevenzione di frodi/abusi	Legittimo interesse — art. 6(1)(f)
Gestire abbonamenti e pagamenti	Contratto — art. 6(1)(b); obbligo legale — 6(1)(c) (fiscale)
Messaggi di servizio/transazionali (sicurezza, fatturazione, aggiornamenti dell'app)	Contratto — art. 6(1)(b)
Novità sul prodotto / messaggi di marketing (solo previa Sua adesione)	Suo consenso — art. 6(1)(a) — revocabile in qualsiasi momento
Adempiere agli obblighi legali	Obbligo legale — art. 6(1)(c)

Può revocare qualsiasi consenso in ogni momento; ciò non pregiudica il trattamento effettuato prima della revoca.

5. Funzionalità di IA, voce e immagini

La preghiamo di leggere questa sezione. ExtMoney offre funzionalità opzionali basate sull'intelligenza artificiale. Lei controlla ciascuna di esse e l'app di base funziona pienamente senza di esse.

Che cosa fanno le funzionalità e chi tratta i dati. Quando attiva e utilizza una funzionalità, il contenuto pertinente viene inviato a un fornitore esterno per l'esecuzione di tale funzionalità:

Funzionalità	Che cosa viene inviato	Fornitore/i	Dove
Inserimento vocale	La Sua registrazione vocale e la trascrizione che ne deriva	AssemblyAI (regione UE); Google Cloud — Gemini tramite Vertex AI	Unione europea
Scansione degli scontrini (OCR)	L'immagine dello scontrino	Google Cloud — Gemini tramite Vertex AI	Unione europea
Analisi delle spese con IA (settimanale/giornaliera)	Riepiloghi delle transazioni limitati e de-identificati	Google Cloud — Claude e Gemini tramite Vertex AI	Unione europea

Uso limitato e vincolato alla finalità. Questi fornitori trattano i Suoi dati esclusivamente per eseguire la funzionalità da Lei richiesta, in base ad accordi sul trattamento dei dati che impongono la riservatezza e vietano l'uso per qualsiasi altra finalità. Non utilizzano i Suoi dati per addestrare i loro modelli di IA, e nemmeno noi lo facciamo. Inviamo solo ciò che la funzionalità richiede ed eliminiamo tempestivamente l'audio o l'immagine dopo il trattamento — non vengono conservati.

Supervisione umana — l'IA spiega, non decide. Le nostre funzionalità di IA si limitano a riepilogare ed evidenziare informazioni; i calcoli sottostanti e qualsiasi decisione sul Suo denaro sono effettuati dalla nostra logica deterministica, non dall'IA. Non adottiamo decisioni che producano effetti giuridici o effetti analogamente significativi nei Suoi confronti basate unicamente su un trattamento automatizzato. Può opporsi in qualsiasi momento all'uso delle funzionalità di IA disattivandole.

Dove avviene il trattamento con IA. Tutto il trattamento con IA descritto sopra avviene all'interno dell'Unione europea: le Sue registrazioni vocali e le relative trascrizioni, le Sue immagini degli scontrini e i riepiloghi alla base delle analisi con IA non sono trasferiti negli Stati Uniti per queste funzionalità. Quando il modello sottostante è stato sviluppato da un fornitore extra-UE (ad esempio Claude di Anthropic), esso viene eseguito come servizio ospitato all'interno della regione UE di Google Cloud: il fornitore del modello non riceve i Suoi dati e Google Cloud li tratta in qualità di nostro sub-responsabile, alle proprie condizioni per l'UE. Qualora la capacità UE non fosse disponibile, la funzionalità restituisce un errore ed è possibile riprovare — non ripieghiamo su un fornitore al di fuori dell'UE.

Il Suo controllo. Ogni funzionalità di IA è disattivata per impostazione predefinita. Lei la attiva con un consenso esplicito e separato (un consenso esplicito per la voce, in quanto dato biometrico), presentato in linguaggio semplice al momento dell'uso, e può revocarlo in qualsiasi momento nelle Impostazioni — dopodiché la funzionalità non è più disponibile, ma il resto dell'app continua a funzionare.

6. Fornitori di servizi (sub-responsabili)

Condividiamo le informazioni personali solo con fornitori che gestiscono il servizio per nostro conto, ciascuno in base a un accordo sul trattamento dei dati che richiede una protezione pari o superiore a quella della presente Informativa.

Fornitore	Finalità	Ubicazione
Hetzner	Hosting e archiviazione dei dati	Germania (UE)
Stripe	Pagamenti degli abbonamenti (web)	UE (Stripe Technology Company, Irlanda) e USA
Apple	Acquisti in-app (iOS)	USA
Google (Play)	Acquisti in-app (Android)	USA
AssemblyAI	Trascrizione vocale	UE (endpoint della regione UE)
Google Cloud (Vertex AI)	Tutte le funzionalità di IA — trascrizione vocale, OCR degli scontrini, analisi delle spese con IA. Esegue i modelli Gemini e Claude per nostro conto; i fornitori dei modelli non ricevono i Suoi dati.	UE
Google / Firebase	Notifiche push (token del dispositivo + messaggio) e statistiche di utilizzo mobili aggregate e non identificative	USA
Cloudflare	Verifica anti-spam (Turnstile) sul modulo di contatto pubblico	USA / UE
Telegram	Consegna opzionale delle notifiche — solo se collega una chat Telegram	Al di fuori dell'UE

Le notifiche push, le statistiche mobili, l'anti-spam del modulo di contatto e la consegna tramite Telegram sono opzionali e si applicano solo se attiva la relativa funzionalità. Gestiamo un nostro sistema self-hosted di monitoraggio degli errori (v. §9); le segnalazioni di errore non sono condivise con un fornitore terzo di monitoraggio.

7. Trasferimenti internazionali di dati

I Suoi dati sono archiviati nell'Unione europea (Germania) e anche ogni funzionalità di IA è trattata all'interno dell'UE (§5). Alcuni trattamenti avvengono comunque al di fuori dell'UE — principalmente negli Stati Uniti (i pagamenti, le notifiche push e l'anti-spam del modulo di contatto) e, se collega una chat Telegram, la consegna delle notifiche al di fuori dell'UE. Per tali trasferimenti ci basiamo su garanzie adeguate: le clausole contrattuali tipo approvate dalla Commissione europea (art. 46 GDPR) e/o la certificazione del fornitore nell'ambito dell'EU-US Data Privacy Framework. Per i trasferimenti da giurisdizioni che non considerano automaticamente adeguato il Canada, adottiamo le misure necessarie a soddisfare tali requisiti. Può richiedere copia delle garanzie contattandoci.

8. Conservazione dei dati

Dati dell'account e finanziari — conservati finché il Suo account è attivo. Quando elimina il Suo account, i Suoi dati personali e finanziari vengono eliminati in modo permanente e irreversibile (non possono essere recuperati), salvo i casi in cui una conservazione più lunga sia richiesta per legge (v. i registri di pagamento/fatturazione qui sotto).
Registrazioni vocali e immagini degli scontrini — non conservate; eliminate tempestivamente dopo che la funzionalità ha prodotto il suo risultato.
Registri di pagamento/fatturazione — conservati per 6 anni per adempiere agli obblighi fiscali e contabili canadesi.
Log tecnici — conservati per 90 giorni.
Registri dei consensi — conservati per la durata del consenso e per il successivo periodo di prescrizione applicabile, come prova che il trattamento era autorizzato.

9. Come proteggiamo le Sue informazioni

Adottiamo misure tecniche e organizzative adeguate alla sensibilità dei dati finanziari: cifratura in transito e a riposo, password sottoposte ad hashing, controlli di accesso limitati al personale autorizzato e applicazione lato server di tutti i confini di accesso. Il nostro monitoraggio degli errori è self-hosted sulla nostra infrastruttura nell'Unione europea ed è configurato per rimuovere i dati personali dalle segnalazioni di errore prima della loro memorizzazione. Nessun metodo di trasmissione o archiviazione è completamente sicuro e non possiamo garantire una sicurezza assoluta.

10. I Suoi diritti

Fatte salve le leggi applicabili, Lei ha il diritto di: accedere ai Suoi dati e riceverne copia; rettificare i dati inesatti; cancellare i Suoi dati; limitare determinati trattamenti od opporsi agli stessi; revocare il consenso in qualsiasi momento quando il trattamento si basa sul consenso; nonché il diritto alla portabilità dei dati — ricevere le informazioni personali che ha fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico e trasmetterle a un altro titolare del trattamento, ove tecnicamente fattibile. Può inoltre proporre reclamo alla Sua autorità di controllo (v. Appendici).

Forniamo un'esportazione gratuita in formato leggibile da dispositivo automatico e controlli in-app per gestire i Suoi dati e i Suoi consensi. Per esercitare qualsiasi diritto, contatti privacy@extmoney.com; risponderemo entro i termini previsti dalla legge e potremmo prima verificare la Sua identità.

11. Cookie e tecnologie simili

ExtMoney utilizza solo cookie strettamente necessari al funzionamento del servizio (ad esempio, per mantenere attivo il Suo accesso). Con il Suo consenso, possiamo utilizzare statistiche limitate per comprendere e migliorare il servizio; nelle nostre app mobili si tratta di Google Analytics for Firebase, limitato a eventi di utilizzo aggregati e non identificativi (ad es. visualizzazioni di schermate) senza identificatori pubblicitari. Il nostro modulo di contatto pubblico utilizza Cloudflare Turnstile per prevenire lo spam, che può impostare un token strettamente necessario. Non utilizziamo cookie pubblicitari, di remarketing o di tracciamento comportamentale, né tecnologie di registrazione delle sessioni o di fingerprinting. Dove vengono utilizzati cookie non essenziali, un banner Le consente di accettarli o rifiutarli e può modificare la Sua scelta in qualsiasi momento.

12. Privacy dei minori

ExtMoney è destinato agli adulti e non è rivolto ai minori di 18 anni. Non raccogliamo consapevolmente informazioni personali dai minori; se ritiene che un minore ci abbia fornito dei dati, contatti privacy@extmoney.com e li elimineremo.

13. Modifiche alla presente Informativa

Potremmo aggiornare la presente Informativa. Pubblicheremo la versione aggiornata con una nuova data di "Ultimo aggiornamento" e, per le modifiche sostanziali, La informeremo in-app prima della loro entrata in vigore e, ove richiesto, chiederemo il Suo consenso.

14. Contatti

Generale: hello@extmoney.com
Privacy: privacy@extmoney.com
Rappresentante UE (art. 27 GDPR): eu@extmoney.com

Appendice A — Utenti SEE / Regno Unito (GDPR)

Basi giuridiche. Come indicato al §4.
Trasferimenti internazionali. Alcuni trattamenti avvengono negli USA in base alle garanzie di cui ai §§5 e 7 (SCC / DPF).
I Suoi diritti. Accesso, rettifica, cancellazione, limitazione, opposizione, portabilità, revoca del consenso (§10).
Diritto di reclamo. Presso la Sua autorità di controllo nazionale (ad es. la CNIL in Francia, il BfDI/le autorità dei Länder in Germania, l'AEPD in Spagna).
Processo decisionale automatizzato. Non adottiamo decisioni che producano effetti giuridici o effetti analogamente significativi nei Suoi confronti basate unicamente su un trattamento automatizzato (§5).

Appendice B — Canada (PIPEDA e Legge 25 del Québec)

Responsabile della privacy. privacy@extmoney.com è responsabile della nostra conformità ed è il Suo contatto per domande e reclami in materia di privacy.
Consenso. Raccogliamo, utilizziamo e comunichiamo le informazioni personali con il Suo consenso, come descritto nella presente Informativa.
Trattamento transfrontaliero. I Suoi dati sono archiviati nell'UE (Germania) e determinati trattamenti avvengono negli USA (§§5–7); per i dettagli contatti il nostro responsabile della privacy.
I Suoi diritti ai sensi della Legge 25 (Québec). Accesso, correzione, portabilità, revoca del consenso e deindicizzazione, secondo la legge applicabile.
Notifica delle violazioni. Notificheremo a Lei e alla Commission d'accès à l'information gli incidenti di riservatezza che presentino un rischio di pregiudizio grave, come richiesto dalla Legge 25 (Québec).

Appendice C — California (CCPA/CPRA)

Categorie raccolte. Identificatori (email); informazioni finanziarie/commerciali (record delle transazioni); dati audio (registrazioni vocali); dati visivi (immagini degli scontrini); attività su Internet/rete (dati di utilizzo). Per le finalità commerciali di cui al §4.
Nessuna vendita/condivisione. Non vendiamo le Sue informazioni personali e non le condividiamo per pubblicità comportamentale cross-contesto.
Informazioni personali sensibili. Utilizzate solo per fornire il servizio richiesto; non utilizzate per dedurre caratteristiche.
I Suoi diritti in California. Diritto di conoscere, cancellare, correggere, rifiutare la vendita/condivisione, limitare l'uso delle informazioni personali sensibili e non subire discriminazioni. Contatti privacy@extmoney.com.