1. Introduzione

Deskio ("noi", "la piattaforma") rispetta la tua privacy e si impegna a proteggere i tuoi dati personali. Questa informativa descrive come raccogliamo, utilizziamo e proteggiamo le tue informazioni quando utilizzi la nostra piattaforma di gestione per freelance digitali.

Rispetto alla versione precedente (15 dicembre 2025), questa versione aggiunge: base giuridica esplicita del trattamento, periodi di conservazione dettagliati, sezione AI assistant e aggiornamento sub-processori.

2. Titolare del Trattamento

Il titolare del trattamento dei dati personali è:

Federico Moretti

Via Fonda di Antraccoli 243/B
55100 Lucca (LU), Italia

C.F. MRTFRC90M15E715W

P.IVA IT02556020465

Email: hello@deskio.it

Per qualsiasi domanda relativa al trattamento dei tuoi dati, puoi contattare il titolare all'indirizzo hello@deskio.it.

3. Base Giuridica del Trattamento

Trattiamo i tuoi dati personali in base alle seguenti basi giuridiche, come previsto dall'Art. 6 del GDPR:

3.1 Erogazione del servizio (Art. 6.1.b — esecuzione del contratto)

Trattiamo i dati necessari per fornirti le funzionalità core della piattaforma:

Registrazione e autenticazione dell'account
Gestione clienti, progetti, task, fatture e proposte
Gestione dell'abbonamento e dei pagamenti (via Stripe)
Notifiche transazionali (inviti, conferme, aggiornamenti progetti)
Collaborazione tra utenti su progetti condivisi

3.2 Obblighi legali (Art. 6.1.c)

Conserviamo alcuni dati per adempiere ad obblighi di legge:

Fatture e dati fiscali: 10 anni (D.P.R. 600/1973, obbligo contabile italiano)

3.3 Legittimo interesse (Art. 6.1.f)

Error monitoring (Sentry):per garantire la stabilità e il funzionamento del servizio. Protezioni attive: sendDefaultPii=false, solo user ID anonimo trasmesso, nessun nome o email. Incluso Session Replay (10% delle sessioni) per il debug di errori UI, con anonimizzazione automatica dei dati sensibili.
Sicurezza anti-bot (Cloudflare Turnstile): per proteggere gli utenti da abusi automatizzati durante la registrazione.

3.4 Consenso (Art. 6.1.a)

Cookie di preferenza: tema dark/light, stato sidebar, colore tema. Revocabili in qualsiasi momento dalle impostazioni cookie del browser o della piattaforma.
Integrazioni opzionali:Google Calendar, Gmail, Notion. Attivate esplicitamente dall'utente, revocabili in qualsiasi momento disconnettendo l'integrazione.

4. Dati Raccolti

4.1 Dati Utente di Base

Raccogliamo e archiviamo le seguenti informazioni:

Email e password (per l'autenticazione)
Nome completo e informazioni del profilo
Partita IVA e informazioni fiscali (opzionali)
Dati relativi a clienti, progetti, fatture e proposte creati nella piattaforma

4.2 Dati Integrazioni Google (Calendar e Gmail)

Se attivi le integrazioni Google, accediamo ai seguenti dati:

Calendar: Lettura e scrittura eventi (titolo, data, descrizione) per la sincronizzazione bidirezionale.
Gmail: Lettura messaggi (per visualizzarli nella dashboard) e modifica stato (es. segnare come letto). Non inviamo email per tuo conto.
Token OAuth: Archiviamo in modo sicuro e crittografato i token di accesso e refresh necessari per mantenere la connessione.

Scope richiesti: calendar.events, gmail.readonly, gmail.modify (necessario solo per aggiornare lo stato di lettura).

4.3 Dati Integrazione Notion

Se connetti il tuo workspace Notion:

Accediamo in lettura a pagine e database che decidi di condividere con l'integrazione.
Non modifichiamo né cancelliamo i tuoi contenuti su Notion senza tua esplicita azione.

4.4 Dati Google OAuth (Login)

Se utilizzi il login con Google, raccogliamo:

Indirizzo email Google
Nome e foto del profilo Google (se disponibili)
ID utente Google per l'autenticazione

4.5 Dati di Monitoraggio e Sicurezza

Per garantire la stabilità e la sicurezza della piattaforma, raccogliamo automaticamente:

Error monitoring (Sentry): stack trace degli errori, user ID anonimo (senza nome o email), breadcrumb di navigazione. Session Replay attivo sul 10% delle sessioni per il debug di errori UI. I replay sono anonimizzati automaticamente (sendDefaultPii=false). I dati vengono conservati per 90 giorni secondo la policy Sentry. Privacy policy Sentry.
Protezione anti-bot (Cloudflare Turnstile): utilizzato esclusivamente nella pagina di registrazione per verificare che le richieste provengano da utenti reali. Non utilizzato per tracking. Privacy policy Cloudflare.
Log di sistema (Vercel): indirizzo IP, tipo di browser, pagina visitata. Utilizzati per sicurezza e debug.

5. Utilizzo dei Dati

5.1 Utilizzo dei Dati Utente

Utilizziamo i tuoi dati personali per:

Fornire e gestire il tuo account sulla piattaforma
Gestire clienti, progetti, task e proposte
Generare fatture e preventivi
Tracciare il fatturato e le statistiche di business
Inviare notifiche email relative ai tuoi progetti (tramite Resend)
Permettere la collaborazione con altri utenti su progetti condivisi

5.2 Utilizzo dei Dati Google (Calendar e Gmail)

I dati delle integrazioni Google vengono utilizzati esclusivamente per:

Calendar: Sincronizzare i tuoi appuntamenti con i task della piattaforma e viceversa.
Gmail: Mostrarti le email dei clienti direttamente nel CRM e permetterti di segnarle come lette/da leggere.
Non utilizziamo questi dati per addestrare modelli AI, né per pubblicità.

Importante: L'uso delle informazioni ricevute dalle API di Google aderisce alla Google API Services User Data Policy, inclusi i requisiti di "Limited Use".

5.3 Utilizzo dei Dati Notion

Utilizziamo l'API di Notion per:

Importare o linkare documenti Notion ai tuoi progetti su Deskio.
Permetterti di cercare tra le tue pagine Notion direttamente dalla nostra barra di ricerca.

6. Assistente AI (OpenRouter)

Deskio utilizza un assistente AI per funzionalità come il daily recap e la chat AI. Il servizio è fornito tramite OpenRouter, un aggregatore di modelli linguistici.

6.1 Dati inviati

Per generare risposte pertinenti, inviamo ad OpenRouter dati di business come contesto: task, progetti, fatture, clienti e altre informazioni presenti nel tuo account.
Le chiamate avvengono esclusivamente server-side: nessun dato transita direttamente dal tuo browser a OpenRouter.

6.2 Training dei dati

Secondo i Termini di Servizio OpenRouter (sez. 5.1): "Where possible, OpenRouter has opted out of model training with the AI Models it uses."I dati inviati tramite API non vengono quindi utilizzati per l'addestramento dei modelli, laddove tecnicamente possibile.

OpenRouter può utilizzare modelli AI di diversi provider (es. Claude, GPT-4). La policy di training specifica dipende dal singolo provider. Per i dettagli: Privacy policy OpenRouter e Termini di Servizio.

6.3 Disattivazione

Le funzionalità AI possono essere disattivate dalle impostazioni del tuo account. In caso di disattivazione, nessun dato verrà inviato ad OpenRouter.

7. Condivisione dei Dati

Ci impegniamo a proteggere la tua privacy. I tuoi dati vengono condivisi solo nelle seguenti circostanze:

7.1 Sub-processori

Per fornire il servizio, ci avvaliamo dei seguenti fornitori affidabili:

Supabase (USA/EU): Database principale e autenticazione. Archivia tutti i dati utente, progetti, task e password (in formato hash sicuro). Privacy policy
Vercel (USA): Hosting dell'infrastruttura web e gestione dei log di accesso per sicurezza e debug. Privacy policy
Stripe (USA): Gestore dei pagamenti. Tratta i dati di fatturazione e abbonamento. Il checkout avviene su dominio Stripe separato. Deskio non archivia né ha accesso ai dati completi della tua carta. Privacy policy
Resend (USA): Servizio di invio email transazionali (inviti, recupero password, notifiche di sistema). Privacy policy
Sentry (USA): Error monitoring e session replay. Riceve solo user ID anonimo (nessun nome/email). sendDefaultPii=false. Privacy policy
Google APIs (Calendar e Gmail): Integrazioni opzionali. Se attivate, sincronizzano eventi e permettono la gestione delle email dalla piattaforma. Privacy policy
OpenRouter (USA): Assistente AI (daily recap e chat). Riceve dati di business come contesto per generare risposte. Privacy policy
Notion API: Integrazione opzionale per sincronizzare pagine e database del tuo workspace Notion. Privacy policy
OpenWeather: Widget meteo. Riceve esclusivamente le coordinate della località selezionata. Privacy policy
Cloudflare Turnstile: Protezione anti-bot nella pagina di registrazione. Non utilizzato per tracking. Privacy policy

Tutti i fornitori extra-UE aderiscono al Data Privacy Framework o utilizzano Clausole Contrattuali Standard (SCC) per garantire la sicurezza del trasferimento dati.

7.2 Nessuna Vendita di Dati

Non vendiamo, affittiamo o scambiamo mai i tuoi dati personali con terze parti per scopi di marketing o pubblicitari.

7.3 Condivisione all'Interno della Piattaforma

Se condividi progetti con collaboratori sulla piattaforma, le informazioni relative a quei progetti (ma non i tuoi dati Google Calendar o credenziali) saranno visibili agli utenti autorizzati con cui hai scelto di collaborare.

7.4 Requisiti Legali

Potremmo divulgare i tuoi dati se richiesto dalla legge, da un'ordinanza del tribunale o per proteggere i diritti, la proprietà o la sicurezza della piattaforma e dei suoi utenti.

8. Archiviazione e Protezione dei Dati

8.1 Archiviazione Sicura

Tutti i dati sono archiviati su server Supabase con crittografia a riposo
I token OAuth (Google Calendar, Gmail, Notion) sono archiviati in modo crittografato nel database
Le password sono hashate e non vengono mai archiviate in chiaro
Tutte le comunicazioni tra il tuo browser e i nostri server sono crittografate con HTTPS/TLS
Content Security Policy (CSP) e security headers configurati per proteggere da XSS e clickjacking

8.2 Controlli di Accesso

Row Level Security (RLS) attivo su tutte le tabelle: puoi accedere solo ai tuoi dati
Accesso ai sistemi di produzione limitato al personale autorizzato
I token OAuth possono essere revocati in qualsiasi momento disconnettendo l'integrazione nelle impostazioni
File caricati dagli utenti serviti tramite signed URLs con scadenza

9. Conservazione e Cancellazione dei Dati

9.1 Periodi di Conservazione

Dati account (profili, impostazioni, progetti, task): fino alla cancellazione dell'account + 30 giorni di periodo di grazia, poi eliminazione definitiva automatica.
Fatture e dati fiscali: 10 anni (D.P.R. 600/1973).
Token OAuth (Google Calendar, Gmail, Notion): fino alla disconnessione dell'integrazione o alla cancellazione dell'account.
Log errori (Sentry): 90 giorni (policy Sentry).
IP address in proposal_views/proposal_audit_log: conservati per la durata dell'account. Cancellazione manuale su richiesta.
Sessioni di autenticazione: access token 1 ora, refresh token 7 giorni.
Cookie di preferenza: fino a 1 anno (vedi Cookie Policy).
Notifiche lette: eliminate automaticamente dopo 30 giorni.
Messaggi chat AI: conservati nel localStorage del browser, mai inviati ai server Deskio dopo la sessione.

9.2 Cancellazione dell'Account

Puoi richiedere la cancellazione del tuo account in qualsiasi momento dalle impostazioni. Il processo prevede:

Soft delete immediato: l'account viene sospeso e i dati non sono più accessibili.
Email di conferma: ricevi una conferma dell'avvenuta richiesta.
Periodo di grazia (30 giorni): puoi annullare la cancellazione entro questo periodo.
Hard delete automatico: dopo 30 giorni, i dati vengono eliminati definitivamente tramite un processo automatizzato.

9.3 Revoca Accesso Google

Puoi disconnettere Google Calendar o Gmail in qualsiasi momento dalle impostazioni dell'account. Questo elimina i token dal nostro database. Puoi anche revocare l'accesso visitando le impostazioni di sicurezza di Google.

10. Cookie e Dati Tecnici

Per i dettagli completi sui cookie utilizzati (di sessione, preferenza, sicurezza e terze parti), consulta la nostra Cookie Policy.

11. I Tuoi Diritti

In conformità con il GDPR (Regolamento UE 2016/679), hai i seguenti diritti:

Diritto di accesso (Art. 15): richiedere una copia dei tuoi dati personali.
Diritto di rettifica (Art. 16): correggere dati imprecisi o incompleti.
Diritto alla cancellazione (Art. 17): richiedere la cancellazione dei tuoi dati.
Diritto di limitazione (Art. 18): limitare il trattamento dei tuoi dati in determinate circostanze.
Diritto alla portabilità (Art. 20): ricevere i tuoi dati in formato strutturato.
Diritto di opposizione (Art. 21): opporti al trattamento basato su legittimo interesse.
Diritto di revoca del consenso (Art. 7.3): revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.
Diritto di reclamo (Art. 77): proporre reclamo all'autorità di controllo competente (Garante per la protezione dei dati personali).

Per esercitare i tuoi diritti, contattaci a hello@deskio.it. Risponderemo entro 30 giorni.

12. Contatti

Per domande, richieste o segnalazioni relative a questa informativa: