Informativa sulla privacy

1. Titolare del trattamento

Impulsio AI («noi»), editore stabilito in Spagna, è il titolare del trattamento dei suoi dati personali raccolti tramite impulsio.ai. Per qualsiasi domanda sui suoi dati, ci contatti a: contact@impulsio.ai. Impulsio AI è indipendente: non è affiliato a Vinted né approvato da Vinted.

2. Dati raccolti

Raccogliamo i dati che fornisce alla creazione del suo account (indirizzo e-mail, nome), l'indirizzo e-mail che lascia nel modulo di iscrizione del sito, i dati di utilizzo del servizio (foto che invia, annunci generati), i feedback che ci manda con il pulsante di feedback, insieme allo screenshot della pagina, che vede prima dell'invio e può togliere, le sue risposte ai questionari di inizio e di fine beta, e dati tecnici (indirizzo IP, tipo di browser, pagine visitate) a fini statistici.

Immagini prodotte dall'intelligenza artificiale. Le immagini che lo Studio produce o modifica con l'intelligenza artificiale riportano, nei metadati del file che lei scarica o che l'estensione inserisce nel modulo di Vinted, un'indicazione invisibile che sono state generate dall'IA, come prevede l'articolo 50 del regolamento europeo sull'intelligenza artificiale. Questa indicazione non contiene né il suo nome né l'identificativo del suo account. La piattaforma su cui pubblica l'immagine riceve il file con questa indicazione e può leggerla; può anche cancellarla quando trasforma l'immagine.

3. Finalità del trattamento

I suoi dati sono utilizzati per: fornire e migliorare il servizio, gestire il suo account e i suoi crediti, inviarle messaggi legati al servizio (invito, conferma dell'indirizzo, informazioni importanti), capire durante la beta cosa funziona e cosa si blocca, grazie ai suoi feedback e alle sue risposte ai questionari, e analizzare l'uso del servizio in forma aggregata.

4. Base giuridica

Il trattamento dei dati si basa su: esecuzione del contratto (erogazione del servizio), suo consenso (comunicazioni di marketing, pubblicazione di una recensione o di una foto), nostro legittimo interesse (miglioramento del servizio, sicurezza) e rispetto degli obblighi legali. Il consenso alle comunicazioni di marketing è distinto dalla creazione dell'account: la casella non è mai preselezionata, può lasciarla vuota senza perdere nulla del servizio e revoca il consenso con la stessa facilità con cui lo ha dato. Ogni invio contiene un link di disiscrizione. L'autorizzazione a pubblicare una recensione, una foto o uno screenshot del suo negozio segue la stessa regola e si revoca allo stesso modo; è dettagliata all'articolo 13 delle CGU, su /it/cgu.

Gli acquirenti con cui scrive su Vinted. Per preparare le sue risposte, l'estensione legge le sue conversazioni e ci trasmette l'ultimo messaggio dell'acquirente e il suo nome utente; in modalità automatica apre anche le sue conversazioni non lette. Per questi dati agiamo come titolare del trattamento, sulla base del legittimo interesse, suo e nostro, a rispondere all'acquirente che le ha scritto. Servono solo a preparare questa risposta: non li registriamo, non ne ricaviamo alcun profilo e sono trasmessi soltanto al modello di IA che scrive la risposta (sezione 6). Restano solo, senza nome, nome utente né messaggio: per 24 ore al massimo, un'impronta tecnica che non permette di risalire al messaggio e serve a non contare due volte la stessa risposta; per 14 giorni al massimo, il numero della conversazione su Vinted, perché la campanella del sito apra la conversazione giusta. Un acquirente può esercitare i propri diritti, compreso il diritto di opposizione, scrivendoci a contact@impulsio.ai.

5. Periodo di conservazione

I dati del suo account sono conservati finché l'account è aperto e poi per 3 anni dopo la chiusura, salvo diverso obbligo di legge. Se chiede la cancellazione del suo account, avviene senza attendere questo termine, secondo la procedura della sezione 7. Gli indirizzi e-mail lasciati nel modulo di iscrizione sono conservati fino alla revoca del suo consenso, e al massimo tre anni dopo l'ultimo contatto. Le foto che invia per una pubblicazione in blocco sono conservate fino a 7 giorni dopo la fine di quella pubblicazione, poi cancellate. Le foto di Le mie creazioni sono conservate finché non le rimuove o non elimina il suo account. Una copia tecnica delle foto prodotte, che serve a riprendere un'elaborazione interrotta, viene cancellata da un'attività quotidiana non appena ha più di 24 ore. Gli screenshot allegati ai feedback sono conservati 90 giorni, poi cancellati. Il testo dei feedback è conservato durante la beta e poi al massimo 12 mesi dopo la sua chiusura, quindi eliminato. Le risposte ai questionari sono conservate fino alla fine della beta più 12 mesi, poi anonimizzate: non sono più collegate a lei. Oggi non viene incassato alcun pagamento; se un giorno ci saranno pagamenti, i dati di fatturazione saranno conservati per il periodo imposto dalla legge spagnola. Per limitare gli abusi, il relay che mostra nel servizio le immagini provenienti da Vinted conserva un'impronta del suo indirizzo IP con hash e sale, mai l'indirizzo stesso, per 48 ore.

6. Destinatari dei dati

Ci avvaliamo dei seguenti responsabili del trattamento, e solo di questi. Anthropic (modelli di IA Claude), per analizzare le sue foto e scrivere i suoi annunci e le sue risposte agli acquirenti. OpenAI e Google (modelli di IA Gemini), per creare e migliorare le sue foto (scontorno, foto in studio, modelle e modelli, sfondi, miglioramento delle foto). Se crea un modello o una modella su misura partendo da una foto del suo viso, quella foto viene inviata a OpenAI per crearlo; non viene pubblicata. Supabase, per il database e la gestione degli account. Vercel, per l'hosting del sito e una misurazione delle visite senza cookie. Umami, per misurare l'uso del servizio, anch'esso senza cookie e senza identificativo personale. Resend, per l'invio delle e-mail (invito, conferma dell'indirizzo, messaggi del servizio): i messaggi partono dall'Unione europea (Irlanda), ma Resend, società con sede negli Stati Uniti, conserva negli Stati Uniti il loro contenuto e i registri di invio. Google, inoltre, per misurare il traffico del sito, e Microsoft, per capire come viene usato: questi due vengono caricati solo dopo il suo consenso, e solo sul sito pubblico, mai all'interno dell'applicazione, e rifiutarli non ha alcun effetto sul suo accesso al servizio. Infine Google, se sceglie di accedere con il suo account Google: conferma la sua identità e ci trasmette il suo indirizzo e-mail, il suo nome e la sua foto del profilo. Microsoft fa lo stesso se accede con il suo account Microsoft: conferma la sua identità e ci trasmette il suo indirizzo e-mail. Meta avrà lo stesso ruolo, alle stesse condizioni, il giorno in cui sarà possibile accedere con il suo account. Su quegli account non viene pubblicato nulla. Ognuno riceve solo ciò che serve per quel compito. Non vendiamo mai i suoi dati. Alcuni di questi responsabili hanno sede fuori dall'Unione europea o vi ospitano parte dei loro servizi: questi trasferimenti sono coperti dalle clausole contrattuali tipo della Commissione europea e, per quelli che vi hanno aderito, dal quadro UE-USA per la protezione dei dati personali.

7. I suoi diritti

Ai sensi del GDPR, ha i seguenti diritti: accesso, rettifica, cancellazione («diritto all'oblio»), limitazione del trattamento, portabilità e opposizione. Per esercitare i suoi diritti, ci contatti a contact@impulsio.ai. Se la nostra risposta non la soddisfa, può rivolgersi all'autorità spagnola per la protezione dei dati, l'AEPD (Agencia Española de Protección de Datos), a cui fa capo l'editore. Può anche rivolgersi all'autorità di protezione dei dati del suo Paese. Per eliminare il suo account, vada in Il mio account, voce «Elimina il mio account». L'eliminazione è immediata e definitiva, e un'e-mail gliela conferma. Cancella il suo account e il suo profilo, i crediti, le creazioni e tutte le loro immagini, le risposte ai questionari, i feedback e le relative schermate, l'iscrizione alla lista informativa, i dati dell'estensione collegati al suo account e il registro delle e-mail che le abbiamo inviato. Resta solo la misura del costo di ogni azione, separata dal suo account. Le copie di backup del database e i registri di invio del nostro fornitore di e-mail si cancellano poi automaticamente, senza essere consultati: entro 7 giorni le copie di backup, entro 30 giorni i registri di invio. Se non riesce più ad accedere, ci scriva a contact@impulsio.ai dall'indirizzo del suo account: confermiamo la ricezione, poi la cancellazione, entro un mese al massimo. Per ottenere una copia dei suoi dati, usi il pulsante «Chiedi una copia dei miei dati» in Il mio account, oppure ci scriva allo stesso indirizzo.

8. Cookie

Utilizziamo cookie essenziali per il funzionamento del servizio e cookie analitici (con il suo consenso) per misurare il traffico. Può accettare o rifiutare i cookie tramite il nostro banner di consenso. Il rifiuto non influisce sul suo accesso al servizio.

9. Sicurezza

Implementiamo misure tecniche e organizzative appropriate per proteggere i suoi dati contro accessi non autorizzati, perdita o distruzione (crittografia, accesso limitato, backup regolari).

10. Modifiche

Possiamo aggiornare questa informativa in qualsiasi momento. Qualsiasi modifica sostanziale sarà notificata via e-mail con un preavviso di 15 giorni. La data dell'ultimo aggiornamento è indicata in cima al documento.

11. L'estensione per Chrome

Questa sezione riguarda l'estensione Impulsio AI per il browser Chrome. L'estensione agisce sulle pagine di Vinted nel suo browser, con la sua sessione Vinted già aperta. Non le chiede mai la password di Vinted e non la conserva.

La schermata mostrata dall'estensione, che si rivolge all'utente in forma confidenziale come il resto dell'estensione, dice esattamente questo:

«L'estensione legge e compila le pagine di Vinted nel tuo stesso browser, con la tua sessione. Di default prepara e sei tu a confermare ogni invio. Le modalità automatiche sono spente all'inizio: se le attivi, funzione per funzione, agiscono al posto tuo, con un limite orario e giornaliero. Inviano messaggi, fanno una controfferta, accettano o rifiutano un'offerta, inviano un messaggio e un'offerta a chi mette il tuo articolo tra i preferiti, aprono le tue conversazioni non lette per rispondere e pubblicano in blocco.

Vinted può ritenere l'estensione, e soprattutto le sue modalità automatiche, contraria alle sue condizioni, e limitare o chiudere il tuo account. Questo rischio è tuo.»

Le modalità automatiche. Se le attiva funzione per funzione, l'estensione può rispondere alle offerte (controfferta, accettazione o rifiuto), rispondere alle domande degli acquirenti, inviare un ringraziamento dopo un acquisto, sollecitare i membri che hanno aggiunto i suoi articoli ai preferiti, con un messaggio e un'offerta che non scende mai sotto il suo prezzo minimo, e pubblicare annunci al suo posto, finché il suo browser è aperto e connesso a Vinted. Per rispondere alle offerte e alle domande in modalità automatica, l'estensione apre anche le sue conversazioni non lette e legge i messaggi che contengono; Vinted le mostra poi come lette. Ogni funzione ha un tetto orario e giornaliero e tempi variabili tra un'azione e l'altra; questi tetti sono contati separatamente in ogni browser. La rimessa in vendita e la rimozione dei vecchi annunci, che conferma lei stesso, hanno a loro volta un tetto orario e giornaliero, anche senza modalità automatica. Le modalità automatiche non eliminano mai un annuncio. Un annuncio viene eliminato solo su sua richiesta, dopo la sua conferma in una finestra dell'estensione: il vecchio annuncio dopo una rimessa in vendita, o gli annunci che sceglie di rimuovere dalla sua dashboard, che può anche semplicemente nascondere. Per scrivere questi messaggi, i dati elencati di seguito partono verso di noi e verso i nostri responsabili del trattamento, come per la modalità semiautomatica. Vinted ha le proprie condizioni, che possono vietare questo tipo di utilizzo: si veda l'articolo corrispondente delle condizioni generali di utilizzo. Per le sue tutele, l'estensione legge nelle pagine di Vinted gli avvisi e i banner (verifica, limitazione, limite, errore); ciò che vi legge resta sul suo dispositivo, e solo un'eventuale pausa diventa una notifica (si veda più avanti).

Il recupero. Se una funzione di conversazione è in modalità automatica, quando riapre il browser o il computer si riattiva, l'estensione rileva nei suoi messaggi di Vinted l'elenco delle conversazioni non lette e ne conserva solo il numero, sul suo dispositivo. Poi riapre queste conversazioni una alla volta, al massimo 15, entro gli stessi limiti, per rispondervi come se la scheda fosse rimasta aperta. I solleciti ai preferiti in modalità automatica riprendono allo stesso modo. Questo elenco non ci viene inviato.

Le autorizzazioni che richiede, e perché. «storage»: conservare le sue impostazioni e il collegamento al suo account sul suo dispositivo. «alarms»: sincronizzare le sue impostazioni e i riferimenti di pagina ogni quindici minuti. L'accesso ai siti Vinted di dodici paesi (vinted.fr, vinted.es, vinted.de, vinted.it, vinted.nl, vinted.pl, vinted.co.uk, vinted.be, vinted.lu, vinted.ie, vinted.pt, vinted.at): agire sulle sue pagine. L'accesso a impulsio.ai: collegare l'estensione al suo account. Un'autorizzazione facoltativa, l'accesso a un server locale, non viene mai richiesta all'installazione: serve solo ai test dell'editore, e solo se la modalità locale viene attivata a mano.

Prima di qualsiasi azione, l'estensione mostra una schermata di consenso, e nulla funziona finché non l'ha accettata. Ecco cosa dice, parola per parola:

In breve: legge i tuoi annunci e le tue conversazioni su Vinted. Ci invia il testo da scrivere (con i tuoi prezzi e le tue indicazioni), l'ultimo messaggio e il nome utente dell'acquirente, l'elenco dei tuoi annunci, gli eventi che ti richiedono un'azione (senza il nome né i messaggi dell'acquirente), conteggi d'uso e, se un'azione non riesce, un rapporto tecnico; il testo passa da un modello di IA (Claude, di Anthropic). Mai la tua password di Vinted né i tuoi dati bancari.

Cosa legge l'estensione

• La tua sessione Vinted, aperta in questo browser
• Gli annunci del tuo armadio
• Le tue conversazioni con gli acquirenti
• Le foto e i testi dei tuoi annunci

Cosa arriva ai nostri server

• Il testo da scrivere o riformulare, con ciò che serve per scriverlo: i prezzi dell'annuncio e dell'offerta, il tuo prezzo minimo, le tue indicazioni e la tua scheda informativa
• L'ultimo messaggio dell'acquirente e il suo nome utente, ogni volta che si prepara una risposta
• L'elenco dei tuoi annunci (titolo, prezzo, foto, link, visualizzazioni, preferiti, stato), per mostrarlo nella tua dashboard e individuare i doppioni
• Gli eventi che ti richiedono un'azione (offerta accettata, rifiutata o con controfferta, offerta in attesa, domanda senza risposta, vendita, pausa), con la loro data e i numeri della conversazione e dell'annuncio su Vinted, per mostrarli nella campanella del sito, anche sugli altri tuoi dispositivi. Insieme a loro, il sito Vinted del paese (vinted.it, vinted.fr…) e la traccia del sollecito ai preferiti in Automatico: quanti solleciti sono partiti da soli quel giorno, e quelli partiti senza offerta o non riusciti. Mai il nome, il nome utente, i messaggi né gli importi dell'acquirente. Cancellati dopo 14 giorni al massimo.
• Conteggi d'uso, senza contenuto: l'estensione è stata installata, la sua finestra è stata aperta, un annuncio è stato compilato, un'offerta è stata preparata, una modalità automatica è stata attivata o disattivata, oppure un'azione non è riuscita (compilare, rimettere in vendita, offerta, preferiti). Mai l'indirizzo di una pagina né un testo. Servono a capire cosa funziona e cosa si blocca.
• Quando un'azione non riesce, un rapporto tecnico: il messaggio di errore, l'azione tentata, il tipo di pagina, il mercato e i numeri di versione. Mai l'indirizzo completo della pagina, il suo contenuto, né il messaggio o il nome utente di un acquirente.
• La lingua in cui rispondere
• Un modello di intelligenza artificiale (Claude, fornito da Anthropic) lo elabora per produrre la risposta

Cosa non parte mai

• La tua password Vinted
• I tuoi dati bancari
• L'indirizzo completo delle pagine che visiti
• Niente viene rivenduto a terzi

«Nessun codice viene scaricato da remoto: tutto ciò che l'estensione esegue è nel pacchetto installato.»

«Quando lo chiedi dalla tua dashboard, e solo dopo la tua conferma in una finestra dell'estensione, può nascondere annunci doppi. Nessun annuncio viene eliminato senza la tua conferma, e mai in modalità automatica.»

Le segnalazioni. Il pulsante «Segnala un problema» invia ciò che la schermata annuncia, parola per parola: «Vengono inviati: quello che scrivi qui, il tipo di pagina, il mercato e i numeri di versione. Mai l'indirizzo completo della pagina, mai il suo contenuto.» Quando un'azione dell'estensione non riesce, parte anche automaticamente un rapporto tecnico: il momento, il messaggio di errore, l'azione tentata, il tipo di pagina, il mercato, i numeri di versione e i riferimenti di pagina. Mai l'indirizzo completo della pagina, il suo contenuto, né il messaggio o il nome utente di un acquirente.

Il ritiro. Il pulsante «Revoca il consenso», nella finestra dell'estensione, ritira il suo consenso e scollega il suo account dall'estensione, con un solo gesto, in qualsiasi momento. La schermata di consenso lo dice così: «Puoi disattivarla quando vuoi e revocare il consenso con un pulsante.»

Cosa conserva il servizio per l'estensione, e per quanto tempo. Questi dati sono legati al suo account, e solo a quello: le sue impostazioni, la prova del suo consenso (data, testo mostrato, lingua), lo stato degli annunci che l'estensione legge (al massimo 1000), gli ordini che invia all'estensione dal sito e i pacchetti di annuncio preparati per l'estensione. Un ordine non letto viene cancellato dopo 24 ore. Un pacchetto di annuncio si legge una sola volta, solo dall'account che l'ha creato, e scade dopo 15 minuti. Quando arriva una segnalazione senza account collegato, si conserva solo un'impronta con hash e sale dell'indirizzo IP, per 48 ore, per limitare il numero di invii. Nessun indirizzo di pagina viene registrato: un indirizzo web finito in un messaggio di errore viene sostituito prima della scrittura.

Le notifiche di Vinted. Quando l'estensione vede su Vinted un evento che richiede una sua azione (un'offerta accettata, rifiutata o con controfferta dell'agente, un'offerta in attesa, una domanda senza risposta, una vendita, una pausa applicata dopo un segnale di Vinted), lo invia anche al suo account, perché la campanella del sito possa mostrarglielo sui suoi altri dispositivi. Si conservano: il tipo di evento, la data, il numero della conversazione e il numero dell'annuncio su Vinted. Si conservano anche il sito Vinted del paese in cui l'evento è stato visto (vinted.it, vinted.fr…), per aprire la conversazione sul sito giusto dalla campanella, anche sul suo telefono, e la traccia del sollecito ai preferiti in modalità automatica: il numero di solleciti partiti da soli quel giorno, un sollecito partito senza la sua offerta e un sollecito che non è potuto partire. Né il nome, né il nome utente, né i messaggi, né gli importi dell'acquirente. Queste notifiche vengono cancellate dopo 14 giorni al massimo, quando ritira il consenso all'estensione, e insieme al suo account. Una copia, al massimo 30, resta anche nel suo browser per 14 giorni al massimo; viene cancellata quando cambia account o ritira il consenso.

I testi inviati sono trattati dai responsabili della sezione 6, alle stesse condizioni del resto del servizio.