Privacy Policy

1. Titolare e contatti

Il titolare del trattamento è Innocenzo Di Maria. Sito: https://bestprompt.it. Per informazioni e richieste sui dati personali: info@bestprompt.it.

2. Dati trattati

• Navigazione e sicurezza: indirizzo IP, data e ora, risorsa richiesta, esito e informazioni sul browser, secondo la configurazione dei log del server. I controlli antiabuso usano contatori e identificativi derivati da IP, email o account; tali identificativi non sono considerati automaticamente anonimi.
• Account: email, password trasformata in hash, nome visualizzato facoltativo, date di registrazione, aggiornamento, verifica e ultimo accesso; stato dell’account, eventuale motivo di sospensione e quota di prompt salvabili.
• Autenticazione: sessione, stato di accesso, token di verifica e recupero conservati nel database in forma di hash, scadenze e dati necessari alle email transazionali.
• Libreria: titolo e testo dei prompt, origine, preferiti, categoria personale, tag, note, date e storico delle versioni.
• Builder: risposte, esempi selezionati e impostazioni. Al salvataggio lo snapshot può includere percorso, argomento, lingua, AI di destinazione, revisione del template e dati necessari a ricostruire il prompt.
• Amministrazione: identificativo dell’amministratore e dell’account interessato, operazione, esito, motivazione e data delle operazioni registrate.
• Comunicazioni: email e contenuto delle richieste inviate volontariamente al recapito del titolare.
• Modulo Contatti: nome, email, motivo selezionato e messaggio; nel database sono registrati anche identificativo, data di ricezione e stato di gestione (nuovo, letto, gestito). Non è richiesto un account. L’indirizzo IP non viene salvato nel record del messaggio; il limite agli invii usa un identificativo derivato dall’IP mediante HMAC, conservato separatamente.
• Verifica antispam: Cloudflare Turnstile tratta segnali tecnici della connessione e del browser, tra cui IP, User-Agent, caratteristiche TLS e origine del sito. Il browser produce un token che BestPrompt verifica con il servizio Siteverify; il codice non gli invia i campi del messaggio né conserva il token nella tabella dei contatti.

Prompt, note e risposte possono contenere dati personali tuoi o altrui. Inserisci soltanto dati necessari e che sei autorizzato a utilizzare; evita password, credenziali e informazioni particolarmente delicate o non pertinenti. Non è necessario inserire dati sanitari o altre categorie particolari di dati per utilizzare il servizio.

3. Finalità e basi giuridiche

• Servizio richiesto: account, verifica email, recupero password, profilo, libreria, versioni, quota ed esportazione. Base: esecuzione del rapporto con l’utente o misure richieste prima della sua conclusione, articolo 6, paragrafo 1, lettera b) GDPR.
• Sicurezza e amministrazione: contrasto agli abusi, controllo degli accessi e tracciabilità amministrativa. Base: legittimo interesse alla protezione del servizio e dei dati, articolo 6, paragrafo 1, lettera f) GDPR.
• Risposte alle richieste, anche tramite Contatti: ricevere, esaminare e gestire assistenza, suggerimenti, collaborazioni e altre comunicazioni, senza iscrizione a invii promozionali. La base da verificare è l’articolo 6, paragrafo 1, lettera b) GDPR per richieste contrattuali o precontrattuali dell’interessato; per le altre comunicazioni, la possibile base è il legittimo interesse a gestire la corrispondenza, lettera f), previa valutazione del titolare.
• Obblighi applicabili: adempimenti di legge, incluse le richieste di esercizio dei diritti; articolo 6, paragrafo 1, lettera c) GDPR.

Da confermare prima della pubblicazione: il titolare deve validare la base giuridica applicabile alle diverse richieste e la valutazione del legittimo interesse per la protezione antispam, compreso Turnstile. La verifica tecnica non costituisce consenso Privacy.

Il trattamento necessario al servizio non è subordinato a un consenso Privacy obbligatorio. Non sono attivi invii promozionali o profilazione pubblicitaria. La quota limita l’utilizzo del servizio: non valuta la persona o il contenuto dei prompt. Non sono presenti decisioni automatizzate con effetti giuridici o analogamente significativi.

4. Dati necessari e facoltativi

Email e password sono necessarie per registrarsi; la verifica dell’email è necessaria per accedere alla libreria. Senza account puoi continuare a creare e copiare prompt nel builder. Il nome visualizzato è facoltativo.

Titolo e testo sono necessari per salvare un prompt; categoria, tag, note e origine indicata manualmente sono facoltativi. Il builder distingue i campi richiesti da quelli facoltativi secondo il percorso. I dati tecnici strettamente necessari servono al funzionamento e alla sicurezza delle richieste.

Nel modulo Contatti sono richiesti nome, email, motivo e messaggio. Senza questi dati o senza esito positivo della verifica antispam il modulo non accetta l’invio; resta disponibile il contatto diretto a info@bestprompt.it. Inserisci nel messaggio soltanto informazioni pertinenti alla richiesta.

5. Builder e servizi AI

Il builder compone il prompt usando risposte e template nell’applicazione. La selezione di un’AI di destinazione non invia automaticamente i testi al relativo fornitore: non sono integrate chiamate a servizi AI esterni.

Quando scegli di salvare, testo e snapshot vengono inviati al server BestPrompt. Una bozza può essere mantenuta nella sessione anche prima dell’accesso; il salvataggio nella libreria richiede la conferma prevista dal flusso. Le modifiche conservano le versioni precedenti fino alla cancellazione del prompt o dell’account.

I prompt personali non sono pubblicati dall’applicazione come pagine condivise. Se li copi in un servizio esterno, il successivo trattamento dipende dal servizio scelto.

6. Destinatari e fornitori

I dati sono accessibili al titolare e agli amministratori autorizzati nei limiti delle funzioni attribuite. La gestione utenti permette anche l’esportazione dei prompt, dei metadati e dello storico, previa riconferma della password amministrativa e registrazione dell’operazione. Non viene quindi dichiarata l’inaccessibilità assoluta dei contenuti agli amministratori.

Per verifica email e recupero password è configurato il servizio SMTP di Flazio, che tratta destinatario e contenuto tecnico del messaggio, incluso il collegamento necessario all’operazione. Le normali email transazionali non contengono i prompt. OVH è il fornitore hosting indicato per la pubblicazione del sito.

I messaggi Contatti sono salvati nel database del sito e consultabili dagli amministratori autorizzati. Dopo il salvataggio viene tentata una notifica a info@bestprompt.it tramite SMTP Flazio: contiene nome, email, motivo e testo integrale, con l’email del richiedente come Reply-To. Se la notifica fallisce, il messaggio resta nel database. Le copie nella casella email sono distinte da quelle gestite nell’Admin.

Per l’antispam è utilizzato Cloudflare, Inc.: il widget viene caricato nella pagina Contatti quando il modulo è disponibile, prima dell’invio. Secondo l’informativa Turnstile di Cloudflare, il fornitore opera come responsabile per la protezione del sito e come titolare per il miglioramento delle proprie capacità di rilevamento dei bot. Ruoli e condizioni del servizio attivato devono essere verificati dal titolare prima della pubblicazione.

I fornitori tecnici trattano i dati necessari ai servizi affidati. Ruoli e obblighi dipendono dai servizi e dai rapporti contrattuali applicabili. I dati possono inoltre essere comunicati alle autorità quando richiesto dalle disposizioni applicabili o nell’ambito della tutela di un diritto.

7. Localizzazione e trasferimenti

La localizzazione dei trattamenti presso i fornitori dipende dai servizi effettivamente attivati, inclusi assistenza ed eventuali copie dei dati. Il nome del fornitore non attesta, da solo, l’assenza di trattamenti fuori dallo Spazio Economico Europeo.

Informazioni su localizzazione, eventuali trasferimenti e condizioni o garanzie applicabili possono essere richieste al titolare a info@bestprompt.it. Non vengono attribuite ubicazioni dei server o garanzie contrattuali non verificate.

Da verificare prima della pubblicazione: localizzazione, eventuali trasferimenti internazionali e strumenti applicabili per hosting OVH, posta Flazio e Cloudflare Turnstile, in base ai contratti e alla configurazione effettivamente attivati. Non è attestata l’assenza di trasferimenti fuori dallo SEE.

8. Conservazione e cancellazione

• Account e libreria: mantenuti per permetterne l’utilizzo fino alla cancellazione. Non è prevista una scadenza automatica dell’account per inattività o mancata verifica.
• Versioni e snapshot: una modifica non elimina lo storico. Eliminare un prompt rimuove dal database operativo anche versioni e snapshot associati.
• Account eliminato: la funzione rimuove dal database operativo account pubblico, prompt, storico e token collegati. Non elimina automaticamente i registri amministrativi distinti o i log del server e non attesta la cancellazione di eventuali copie presso i fornitori.
• Token email: verifica utilizzabile per 60 minuti e recupero per 30 minuti. I token sono rimossi dopo l’utilizzo previsto, sostituiti da una nuova richiesta o eliminati con l’account. La sola scadenza non cancella il record non utilizzato.
• Sessioni e bozze: accesso pubblico e bozze hanno un limite applicativo di due ore. Durata del cookie e gestione della sessione sono descritte nella Cookie Policy; la scadenza applicativa non equivale alla cancellazione fisica immediata dei dati sul server.
• Antiabuso: le finestre dei contatori durano 15 minuti; gli identificativi possono essere aggiornati e riutilizzati e non sono tutti eliminati al termine della finestra.
• Contatti: il database non applica una scadenza automatica; i messaggi sono eliminabili dall’Admin. Il criterio di conservazione da approvare è il tempo necessario alla gestione e agli eventuali seguiti della richiesta, oltre a esigenze documentate di legge o tutela dei diritti. Il titolare deve definire durata o riesame periodico e cancellazione anche delle copie email e dei backup: non è attualmente attestato un termine uniforme. I contatori HMAC del modulo hanno finestre di 15 minuti e quelli scaduti vengono rimossi alla successiva elaborazione del file, non da un processo periodico.
• Audit e log: i registri amministrativi possono conservare identificativi, motivazioni e date anche dopo la cancellazione dell’account. Nell’applicazione non è prevista la loro cancellazione periodica automatica. Le durate dei log dell’infrastruttura e delle eventuali copie dipendono dalle impostazioni dei servizi utilizzati.

Per conoscere i dati ancora conservati o richiederne la cancellazione, anche con riferimento a registri distinti dall’account, contatta il titolare. La richiesta è valutata in relazione alle finalità ancora sussistenti e agli eventuali obblighi applicabili.

9. Sicurezza

Sono utilizzati hash per password e token di verifica/recupero, controlli di accesso ai dati personali, protezione CSRF, limiti ai tentativi e rigenerazione dell’identificativo di sessione. Le operazioni amministrative critiche richiedono la riconferma della password e sono registrate.

Il cookie di sessione usa HttpOnly e SameSite=Lax; Secure viene impostato quando l’applicazione riceve la connessione HTTPS. Il trasporto SMTP usa TLS con verifica dei certificati. Queste misure non garantiscono sicurezza assoluta e non attestano la cifratura del testo dei prompt nel database.

10. Cookie e tracciamento

È utilizzato il cookie tecnico bestprompt_session. Il codice applicativo non usa localStorage, sessionStorage o IndexedDB per conservare dati nel browser. Non sono integrati analytics o pubblicità; nella pagina Contatti viene caricato il servizio esterno antispam Turnstile, che svolge verifiche tecniche nel browser.

Cookie, funzionamento di Turnstile e verifiche ancora necessarie sulla configurazione di produzione sono descritti nella Cookie Policy. Non è presente un banner di consenso; questa circostanza non sostituisce la valutazione della configurazione effettiva prima della pubblicazione.

11. Diritti e richieste

Nei casi previsti dal GDPR puoi chiedere accesso, rettifica, cancellazione, limitazione e portabilità e opporti ai trattamenti basati sul legittimo interesse. Se un trattamento si basa sul consenso, puoi revocarlo senza pregiudicare il trattamento precedente.

Scrivi a info@bestprompt.it, indicando il diritto e i dati interessati, senza inviare password. Il titolare può richiedere le informazioni necessarie a verificare l’identità e risponde nei termini previsti dalla normativa.

I diritti riguardano anche i messaggi Contatti e le relative copie email: non occorre avere un account per esercitarli. Per il trattamento svolto da Cloudflare come titolare autonomo, consulta anche i recapiti e le modalità indicati nella sua informativa Turnstile.

In Il mio account puoi aggiornare il nome, cambiare password, scaricare i prompt con metadati e storico in JSON ed eliminare l’account. Il download dei prompt non sostituisce una richiesta di accesso agli ulteriori dati personali eventualmente trattati.

Puoi proporre reclamo al Garante per la protezione dei dati personali o all’autorità competente.

12. Aggiornamenti

L’informativa può cambiare quando vengono modificati il servizio o i trattamenti descritti. La data iniziale identifica la versione consultata. Per chiarimenti utilizza i contatti del titolare.