Informativa sul trattamento dei dati personali — GuardrailX
Questa informativa spiega come trattiamo i dati personali di chi si registra e usa GuardrailX (il "Servizio"), disponibile su https://guardrailx.ai (presentazione), https://app.guardrailx.ai (dashboard) e https://agent.guardrailx.ai (chiamate degli agenti), ai sensi del Regolamento (UE) 2016/679 ("GDPR").
Due ruoli diversi. Per i dati del tuo account (chi sei, come accedi, come paghi) siamo titolari del trattamento e vale questa informativa. Per i dati contenuti nelle chiamate che i tuoi agenti fanno ai provider di intelligenza artificiale attraverso il Servizio, il titolare sei tu (o la tua organizzazione) e noi agiamo come responsabile del trattamento, secondo l'Accordo sul trattamento dei dati (DPA) che fa parte dei Termini di servizio.
1. Titolare del trattamento
- WebbergatePlus+ s.r.l. — Strada Farnesiana 45, 29122 Piacenza (PC), Italia
- P. IVA 03871830166 — capitale sociale € 10.000
- Email: support@guardrailx.ai — PEC: webbergateplussrl@legalmail.it
2. Quali dati trattiamo
| Categoria | Dati | Da dove arrivano |
|---|---|---|
| Account | email, nome, password (conservata solo come impronta bcrypt, mai in chiaro), lingua, preferenze per gli avvisi | li inserisci tu |
| Accesso con Google | identificativo Google, email, nome | da Google, se scegli "Continua con Google" |
| Accesso con Microsoft | identificativo Microsoft (organizzazione e utente), email, nome | da Microsoft, se scegli "Continua con Microsoft" |
| Pagamenti | piano, stato dell'abbonamento, identificativi cliente e abbonamento di Stripe, periodo di fatturazione | da te e da Stripe; i dati della carta li tratta solo Stripe, noi non li vediamo |
| Progetti e configurazione | nomi dei progetti e delle chiavi, limiti, regole, indirizzi webhook, chiavi API dei provider (cifrate con AES-256-GCM) | li inserisci tu |
| Registro tecnico delle chiamate | data e ora, provider, modello, token, costo, esito, durata, e i valori degli header facoltativi X-GuardrailX-Agent, X-GuardrailX-Customer, X-GuardrailX-Session, X-GuardrailX-Step, X-GuardrailX-Feature (già X-GuardrailX-Tag), X-GuardrailX-User | dalle chiamate dei tuoi agenti |
| Dati tecnici di navigazione | indirizzo IP, browser, pagine richieste, orari (log del server); cookie tecnici (§ 8) | dal tuo browser |
| Comunicazioni | email che ti inviamo (conferma dell'email, benvenuto, recupero password, avvisi) e loro esito | generate dal Servizio |
Il contenuto delle chiamate ai provider (domande e risposte dei modelli) passa attraverso il Servizio ma non viene salvato, con due eccezioni: se attivi un Confronto fra modelli, per le chiamate scelte a campione salviamo la richiesta completa (istruzioni, conversazione, strumenti e parametri) e le risposte, cifrate, per mostrarti le differenze e poter ripetere le stesse richieste su un altro modello; e, se attivi l'Autopilot, per le chiamate scelte a campione salviamo domanda e risposte, cifrate, per misurare la qualità, e le stesse possono essere inviate, con la tua chiave, al modello del tuo provider che fa da giudice (vedi punto 5 e il DPA). Se attivi Privacy Guard, i dati personali che riconosce diventano segnaposti prima dell'inoltro al provider, senza essere salvati; si salvano, cifrate, solo le voci che inserisci nel dizionario del progetto.
Gli header facoltativi (X-GuardrailX-Agent, -Customer, -Session, -Step, -Feature, -User) sono progettati ed erogati esclusivamente per identificativi tecnici pseudonimizzati. Qualora l'Utente inserisca volontariamente dati personali o categorie particolari di dati in tali campi, agisce in violazione delle istruzioni di WebbergatePlus+ s.r.l., la quale declina ogni responsabilità per il relativo trattamento e si riserva il diritto di eliminare i log non conformi.
L'abilitazione della funzionalità 'Confronto fra modelli' costituisce un'istruzione esplicita dell'Utente al salvataggio temporaneo e cifrato (AES-256-GCM) dei testi inoltrati. È responsabilità esclusiva dell'Utente garantire la sussistenza della idonea base giuridica per il trattamento temporaneo dei contenuti inoltrati tramite tale funzione.
3. Perché li trattiamo e su quale base
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Creare e gestire l'account, fornire il Servizio, calcolare costi e limiti, inviarti gli avvisi che configuri | esecuzione del contratto (lett. b) |
| Fatturazione e pagamenti, adempimenti fiscali e contabili | contratto (lett. b) e obbligo di legge (lett. c) |
| Sicurezza: protezione dagli accessi non autorizzati, limiti ai tentativi di accesso, log tecnici | legittimo interesse (lett. f) a proteggere il Servizio e gli utenti |
| Email di servizio (conferma dell'email, recupero password, avvisi, comunicazioni sul contratto) | contratto (lett. b) |
| Newsletter o comunicazioni commerciali | consenso (lett. a), revocabile in qualsiasi momento |
Non prendiamo decisioni automatizzate con effetti giuridici su di te e non facciamo profilazione a fini pubblicitari.
4. A chi comunichiamo i dati
WebbergatePlus+ s.r.l. agisce quale mero intermediario tecnico di instradamento (proxy/gateway). I Provider AI terzi non costituiscono sub-responsabili di WebbergatePlus+ s.r.l.; la titolarità, le garanzie, le condizioni d'uso e gli eventuali trasferimenti extra-UE connessi all'uso delle API dei Provider AI sono regolati esclusivamente dal rapporto contrattuale diretto tra l'Utente e il singolo Provider.
Comunichiamo i dati esclusivamente ai soggetti necessari all'erogazione del Servizio, che operano, a seconda dei casi, quali responsabili del trattamento ai sensi dell'art. 28 GDPR o quali autonomi titolari del trattamento:
| Fornitore | Cosa fa | Dove |
|---|---|---|
| Server Plan S.r.l. | server e database del Servizio | Italia |
| Cloudflare, Inc. | rete di distribuzione e protezione del sito e della dashboard: le pagine e i loro dati (anche il tuo indirizzo IP) passano dai suoi server; le chiamate degli agenti no | rete mondiale, sede negli USA; Data Privacy Framework UE-USA e clausole contrattuali tipo |
| Stripe Payments Europe Ltd. | pagamenti e fatture | UE (Irlanda), con possibili trasferimenti negli USA |
| Microsoft Ireland Operations Ltd. (Microsoft 365, fornito tramite GoDaddy) | invio delle email | UE, con possibili trasferimenti negli USA |
| Telegram (Telegram Messenger Inc. / Telegram FZ-LLC) | invio degli avvisi tramite il bot ufficiale, solo ai clienti che lo collegano | fuori dallo SEE (Emirati Arabi Uniti), clausole contrattuali tipo |
| Google Ireland Ltd. | accesso con Google (solo se lo scegli) | UE, con possibili trasferimenti negli USA |
| Microsoft Ireland Operations Ltd. | accesso con Microsoft (solo se lo scegli) | UE, con possibili trasferimenti negli USA |
| Register S.p.A. | copia esterna cifrata dei backup | Italia |
I provider di intelligenza artificiale (OpenAI, Anthropic, Google Gemini, Mistral AI, DeepSeek, OpenRouter e gli altri che colleghi) ricevono le chiamate dei tuoi agenti con la tua chiave API e secondo il tuo contratto con loro: sei tu a sceglierli e a configurarli. Non sono nostri fornitori per il tuo account.
Possiamo comunicare dati alle autorità quando la legge lo impone.
5. Quanto tempo li conserviamo
| Dati | Conservazione |
|---|---|
| Account e configurazione | Alla chiusura dell'account, i dati personali attivi presenti nei database di produzione vengono cancellati o resi irreversibilmente anonimi entro 30 giorni. Le copie residue presenti nei sistemi di backup tecnici vengono eliminate o sovrascritte automaticamente alla scadenza del relativo ciclo di rotazione (massimo 60 giorni dalla cancellazione). |
| Registro dettagliato delle chiamate | secondo il piano: 90 giorni con Free, in prova e con Base, 365 con Agency; poi restano solo totali mensili senza dettagli |
| Testi dei Confronti fra modelli | fino a 30 giorni dopo la fine del confronto, poi cancellati (restano solo i numeri) |
| Testi raccolti dall'Autopilot | 30 giorni dalla raccolta di ciascuna coppia, poi cancellati (restano i numeri e i giudizi) |
| Dizionario di Privacy Guard | finché non togli le voci o non elimini il progetto |
| Segnaposti delle conversazioni salvate dal provider (Privacy Guard) | solo in memoria, cifrati, 24 ore dall'ultimo turno |
| Contatori di spesa | giornalieri 62 giorni, mensili 13 mesi |
| Dati di fatturazione | 10 anni, come richiesto dalla normativa fiscale |
| Log tecnici del server (IP) | 14 giorni |
| Copie di sicurezza (backup) | 14 giorni sul server, 60 giorni nella copia esterna cifrata; i dati cancellati spariscono dai backup alla loro scadenza |
| Link di recupero password | 1 ora, uso singolo |
| Link di conferma dell'email | 48 ore, uso singolo |
| Registrazioni con email mai confermata | cancellate dopo 7 giorni |
6. Dove sono i dati
I dati sono conservati su server in Italia. Se un fornitore tratta dati fuori dallo Spazio economico europeo, lo fa sulla base di una decisione di adeguatezza della Commissione europea (per gli USA, il EU-US Data Privacy Framework per le aziende certificate) o delle clausole contrattuali tipo.
7. Sicurezza
Connessioni cifrate (HTTPS), chiavi dei provider, testi dei Confronti e dell'Autopilot e dizionario di Privacy Guard cifrati (AES-256-GCM), password conservate solo come impronta (bcrypt), protezione dagli accessi ripetuti, accesso ai server riservato a personale autorizzato, backup regolari. Dettagli nell'Allegato A del DPA.
8. Cookie
Usiamo solo cookie tecnici, necessari per farti entrare e per proteggere il tuo account:
gr.sid(7 giorni dall'ultima visita): ti tiene collegato alla dashboard.gr_noto(1 anno): ricorda che da questo browser sei già entrato. Se qualcuno prova molte password sul tuo account, da qui puoi entrare lo stesso.gr_dispositivo(30 giorni): solo se scegli «Non chiederlo su questo browser per 30 giorni» nella verifica in due passaggi; per 30 giorni non ti chiediamo il codice da questo browser.
I cookie contengono solo dati tecnici (numero dell'account, scadenza e una firma che impedisce di falsificarli). Non usiamo cookie di profilazione né strumenti di analisi di terze parti: per questo non serve un banner di consenso. Durante il pagamento, le pagine di Stripe usano i propri cookie (vedi l'informativa di Stripe). Cloudflare può impostare cookie tecnici per la protezione dagli attacchi automatici (es. __cf_bm, 30 minuti).
9. I tuoi diritti
Puoi chiederci in qualsiasi momento accesso, rettifica, cancellazione, limitazione, portabilità dei dati e opporti al trattamento basato sul legittimo interesse, scrivendo a support@guardrailx.ai. Rispondiamo entro un mese. Puoi esportare il registro delle chiamate in CSV dalla dashboard e richiedere la cancellazione dell'account e dei relativi dati dalla pagina Account ("Elimina l'account"), fatti salvi i dati che dobbiamo conservare per obblighi di legge e le copie residue presenti nei backup fino alla scadenza dei relativi cicli di conservazione. Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it).
10. Modifiche
Se cambiamo questa informativa in modo rilevante te lo comunichiamo via email o nella dashboard prima che le modifiche abbiano effetto.
Ultimo aggiornamento: 27 ottobre 2026