Informativa sulla privacy

Ultimo aggiornamento: 3 ottobre 2026

Questa pagina è una traduzione, offerta perché il documento si possa leggere nella tua lingua. La versione inglese è l’originale, e dove le due divergono fa fede il testo inglese.

Whisprompt è costruita mettendo la privacy al primo posto. Questa informativa spiega che cosa facciamo e, cosa altrettanto importante, che cosa non raccogliamo. Vale per ogni app Whisprompt — su telefono, tablet, orologio, televisore e Mac — e per questo sito. Dove qualcosa riguarda soltanto una di esse, lo dice.

1. Chi è responsabile (titolare del trattamento)

Leonid Kabanov (autónomo), Spagna. Contatto: support@whisprompt.app. I dati identificativi completi sono nelle Note legali. Siamo stabiliti in Spagna, e quindi all’interno dell’Unione europea, perciò l’articolo 27 del GDPR — che impone un rappresentante nell’Unione — non si applica a noi. Non abbiamo nominato un responsabile della protezione dei dati (DPO) e non siamo tenuti a farlo: Whisprompt non è un ente pubblico, non monitora le persone in modo regolare e sistematico su larga scala, e nessuna categoria particolare di dati arriva fino a noi. L’autorità di controllo del luogo in cui siamo stabiliti è la Agencia Española de Protección de Datos (AEPD), aepd.es.

2. Dati trattati sul tuo dispositivo

• Audio del microfono. Catturato dal vivo per il rilevamento vocale e (quando registri) per il video. Viene consegnato al motore di riconoscimento vocale integrato nel tuo telefono — quello di Apple su iOS, quello di Google su Android — che, a seconda del dispositivo, della lingua e delle tue impostazioni, può trattarlo sui server di quella piattaforma, secondo le condizioni sulla privacy della piattaforma stessa. Installa un pacchetto lingua offline e il riconoscimento avviene interamente sul dispositivo, senza che la rete c’entri nulla. In entrambi i casi l’audio non arriva mai fino a noi: non gestiamo alcun server vocale e nessuna registrazione è conservata su un nostro server. I file video che scegli di salvare restano sul tuo dispositivo o nel tuo spazio di archiviazione cloud.
• I tuoi testi e le tue impostazioni. Conservati localmente sul tuo dispositivo (e, se lo attivi, nel tuo spazio di archiviazione cloud personale, regolato dalle condizioni sulla privacy di quel fornitore). Se trasmetti il prompter sui tuoi altri dispositivi, il testo viaggia tra di essi cifrato — vedi la sezione 5.
• Modelli linguistici scaricati. Conservati sul tuo dispositivo. Scaricare un modello è una richiesta diretta all’host del modello; non vi alleghiamo alcuna identità.

3. Dati trattati dai servizi che colleghi

Alcune funzioni facoltative si collegano a servizi che autorizzi tu. Agiamo soltanto come tuo client; ciascun fornitore è titolare autonomo del trattamento secondo la propria informativa:

• Notion e i documenti che apri. Se colleghi Notion, Whisprompt legge le pagine che selezioni come specchio in sola lettura, usando l’accesso che concedi. Se apri un file dal tuo dispositivo o da un servizio cloud, viene letto per mostrare il testo. Copie di queste credenziali non arrivano ad alcun nostro server.
• L’assistente IA nella stazione operatore per Mac. L’assistente non fa nulla finché non gli dai una chiave tua per un fornitore di IA. Da quel momento, ogni richiesta porta con sé l’intero testo aperto, il frammento che hai selezionato, la tua istruzione e la conversazione fatta fin lì — direttamente dal tuo Mac a quel fornitore, Anthropic o OpenAI a seconda della chiave, con la tua chiave e il tuo account presso di loro, alle loro condizioni e con la loro conservazione. Non passa per alcun nostro server: non vediamo né la chiave né il testo. La chiave è custodita nel Portachiavi di macOS, non viene sincronizzata e non viene portata sui tuoi altri dispositivi. Le app per telefono e tablet non hanno assistente.
• Apple e Google (app store e abbonamenti). Gli acquisti, l’eventuale prova gratuita e la fatturazione dell’abbonamento sono gestiti da Apple o da Google. Non vediamo mai i tuoi dati di pagamento; tutto ciò che riceviamo è lo stato dell’abbonamento — la sezione 4 spiega esattamente come.

4. Abbonamento e Pro

Whisprompt non ha account. Non c’è nulla a cui accedere e nulla da creare, a nessun fornitore viene mai chiesto il tuo indirizzo email, e di te non conserviamo né un nome né un indirizzo. Il prompter, la registrazione e la trasmissione funzionano così come sono, e un abbonamento si acquista e si ripristina senza account. L’app contiene comunque il codice di un account facoltativo — Accedi con Apple, con Supabase come responsabile del trattamento — ed è inerte: si accende con chiavi con cui l’app non è compilata, quindi non esiste una schermata di accesso, a Supabase non arriva nulla e non viene raccolto alcun indirizzo email. Se un account venisse introdotto, questa pagina descriverà che cosa tratta prima della versione che lo porta, non dopo.

• RevenueCat (gestione degli abbonamenti). Il nostro responsabile del trattamento per stabilire se un abbonamento è attivo, sia che tu l’abbia acquistato nell’App Store sia su Google Play. Riceve la tua cronologia di acquisti in questa app, un identificatore del cliente e l’identificatore di dispositivo o di installazione che il sistema operativo assegna all’app (sui dispositivi Apple, l’IDFV), insieme a dettagli tecnici sul dispositivo e sulla versione del sistema. L’identificatore del cliente non deriva da nulla che ti riguardi: prima del tuo primo acquisto è uno che RevenueCat genera per sé, e da quell’acquisto in poi è uno casuale che il tuo dispositivo genera e conserva — lo stesso che portano i tuoi altri dispositivi, ed è così che un solo abbonamento li copre tutti (sezione 5). È questo a sbloccare Pro e a ripristinare il tuo acquisto su tutti i tuoi dispositivi. Non raccogliamo identificatori pubblicitari e non abilitiamo in RevenueCat alcuna integrazione pubblicitaria o di attribuzione; questi dati non sono usati per il tracciamento e non vengono combinati con dati di altre aziende.
• Eliminare ciò che conserviamo. Non c’è alcun account da eliminare, e l’app non ha un pulsante per farlo. Ciò che conserviamo su un nostro server è l’elenco dei dispositivi coperti dal tuo abbonamento, e puoi eliminarlo nell’app in qualsiasi momento, in Impostazioni → Dati sui nostri server (sezione 11). Eliminarlo non annulla il tuo abbonamento: quello appartiene al tuo account App Store o Google Play e si annulla dove l’hai acquistato. I testi e le registrazioni restano comunque sul tuo dispositivo; per svuotare un dispositivo, vedi la sezione 7.

5. Trasmettere sui tuoi altri dispositivi

Whisprompt può far girare il prompter su più dispositivi tuoi contemporaneamente. Sulla stessa rete locale si collegano direttamente. Senza una rete in comune, il collegamento passa attraverso il nostro relay su Cloudflare Workers:

• Condividere una libreria tra i tuoi dispositivi. I dispositivi che colleghi come tuoi si rispecchiano le librerie a vicenda: un testo scritto su uno compare sugli altri, e una modifica fatta su uno arriva a loro. Le copie vivono sui tuoi dispositivi e viaggiano tra di essi nello stesso modo cifrato di tutto il resto qui — nessun nostro server ne conserva una copia, e nessuno fuori dai tuoi dispositivi ne riceve una, a meno che tu non condivida un testo deliberatamente.
• Ogni frame di sessione è cifrato sul dispositivo che lo invia (ChaCha20-Poly1305), e la chiave viaggia soltanto dentro l’invito — un codice QR o un codice di accesso. Il relay vede solo frame cifrati: non può leggere il tuo testo, il tuo audio o il tuo video.
• Il relay non conserva alcun contenuto di sessione. Una stanza vive al massimo quattro ore e poi viene eliminata. La casella che i tuoi dispositivi usano per trovarsi contiene soltanto una chiave di servizio e la data dell’ultima comparsa — per non più di 30 giorni, e senza alcun contenuto di sorta.
• Se usi Pro su più di un dispositivo, il relay conserva anche l’elenco di quei dispositivi, così che un solo abbonamento possa coprirne fino a sei. Contiene un identificatore che l’app genera per ciascun dispositivo, il nome che quel dispositivo dichiara e le date in cui è stato aggiunto e visto l’ultima volta — nessun testo, nessun audio, nessun video. L’intero record viene eliminato dopo un anno in cui nessuno dei tuoi dispositivi lo ha usato, e puoi eliminarlo tu stesso in qualsiasi momento dall’app.
• Come qualsiasi servizio web, il relay vede un indirizzo IP alla connessione. Viene usato di passaggio, per limitare la frequenza delle richieste e prevenire gli abusi, e non è collegato al tuo abbonamento né all’elenco dei dispositivi che copre.

6. Dati d’uso

Whisprompt può misurare quanto bene funziona e mandarci quelle misure — conteggi, durate e codici, mai una parola di ciò che scrivi o dici. Niente di tutto questo accade se non dici di sì. Finché non lo fai non c’è misurazione, non c’è identificatore e non c’è nulla di conservato sul tuo dispositivo per questo. L’app lo chiede una volta sola, e mai nel momento in cui la apri per la prima volta, perché una domanda posta prima che l’app abbia fatto qualcosa è una domanda a cui non hai modo di rispondere. Arriva dopo che la tua prima lettura è arrivata da qualche parte — oppure, se colleghi un secondo dispositivo prima che questo accada, alla fine del collegamento, su un’unica scheda insieme alla domanda qui sotto sul contare i tuoi dispositivi. Quella scheda ha due risposte e nessuna terza via d’uscita: non si chiude se tocchi accanto a essa o premi indietro, perché una scheda chiusa da un tocco sbadato avrebbe registrato un rifiuto che non hai mai dato. Non viene scritto nulla finché non rispondi, quindi se è qualcos’altro a toglierla dallo schermo — l’app si chiude, un’altra schermata la sostituisce — la domanda resta semplicemente aperta, e torna dopo la tua lettura successiva. Una volta che hai risposto, in un senso o nell’altro, non torna più affatto. La tua risposta vale per i dispositivi che colleghi come tuoi, e la scheda lo dice là dove la dai: un dispositivo che colleghi più tardi prende quella risposta al collegamento successivo e ti dice chiaramente di averlo fatto, invece di porre la stessa domanda una seconda volta. Funziona in entrambe le direzioni: spegni la misurazione su uno dei tuoi dispositivi e si fermano anche gli altri. Una risposta data su un dispositivo non viene mai sovrascritta da una che arriva da un altro, perciò lo spegnimento fatto qui non può essere annullato da un dispositivo che non l’ha ancora saputo. Dì di no e nell’app non cambia nient’altro, e quel dispositivo non te lo chiede più. Dì di sì e l’interruttore sta nelle impostazioni dell’app, sotto «Dati d’uso», così puoi rispegnerlo in qualsiasi momento senza dare motivazioni. Su che cosa si regge tutto questo dal punto di vista giuridico è nella sezione 9; i modi per revocare sono in fondo a questa sezione. Spegnerla ferma la misurazione stessa, non solo l’invio, e cancella dal dispositivo l’identificatore descritto sotto, tutto ciò che era ancora in attesa di essere inviato e la nota su una lettura in corso descritta sotto «Che cosa viene misurato».

• Che cosa viene misurato. Conteggi, durate e codici — e quel che segue è tutto, non una selezione. Di una lettura: se è andata con il rilevamento vocale o con lo scorrimento automatico, quanto è durata, quante parole aveva il testo, fin dove sei arrivato in percentuale, quante volte hai dovuto riprendere il testo a mano, il codice della lingua, quale motore di riconoscimento era in funzione, se il dispositivo era offline, se la lettura veniva mostrata nello stesso momento su un secondo schermo, se una parte è stata comandata da un orologio e se una parte è stata comandata da un telecomando fisico — un clicker Bluetooth, un voltapagine e una normale tastiera allo stesso modo, perché il sistema ce li segnala tutti e tre come le stesse pressioni di tasti e non ci dà alcun modo di distinguerli l’uno dall’altro; nessuna delle due dice quale pulsante è stato premuto né quante volte, soltanto che la lettura è stata comandata in quel modo, quanto suono udibile è riuscito a raccogliere il controllo del motore guasto descritto sotto — una di quattro fasce (niente del tutto, meno di dieci secondi, meno di un minuto, un minuto o più), mai un numero di secondi, e soltanto quando il riconoscimento vocale era effettivamente in funzione: è il totale corrente di quel controllo e non una misura di quanto hai parlato, perché un suono più basso del livello che ascolta non gli aggiunge nulla, ogni lettura di volume che il motore invia aggiunge al massimo mezzo secondo, e la prima lettura dopo ogni avvio non aggiunge proprio nulla — così, su un motore che riporta il proprio livello una volta al secondo, si riduce a una frazione del tempo in cui hai davvero parlato; ciò che ci dice è se quel controllo avrebbe potuto funzionare sul tuo dispositivo, e non dice nulla su che cosa è stato detto, e com’è finita: che non è andato storto niente, che la lettura non è arrivata proprio da nessuna parte, o che si è rotto il riconoscimento vocale — e, se si è rotto, in quale dei quattro modi descritti sotto. Se una lettura non arriva mai a una fine — il sistema chiude l’app mentre è in secondo piano, la batteria si esaurisce, l’app si guasta, oppure la scarti via a metà lettura — niente di tutto ciò può essere misurato, perché la parte dell’app che l’avrebbe misurato se n’è andata con il resto. Perciò, mentre una lettura è in corso, sul tuo dispositivo resta una breve nota che dice ciò che si sapeva quando è cominciata, e nulla di più: rilevamento vocale o scorrimento automatico, il codice della lingua, quante parole aveva il testo e quale motore di riconoscimento era in funzione. La nota viene tolta nel momento in cui la lettura finisce normalmente. Se al successivo avvio l’app ne trova ancora una, invia quei quattro dati, cancella la nota e non li invia mai più — una lettura interrotta viene segnalata una volta sola. Di una lettura del genere non viene segnalato nient’altro: né quanto è durata, né fin dove sei arrivato, né com’è finita, perché non era rimasto nulla con cui misurare alcunché. La nota viene scritta solo mentre la misurazione è accesa, non contiene nulla oltre a quei quattro dati, e viene cancellata insieme a tutto il resto quando la spegni. Quando il rilevamento vocale ti perde: il codice della lingua, il motore, se ti ha ripreso o no, e quanto ci ha messo quando l’ha fatto. Quando è il riconoscimento vocale stesso a rompersi: il codice della lingua, il motore, da quanti secondi quel motore era in funzione, se era stato avviato dal testo che cambiava lingua a metà strada anziché da te che premevi play, e quale delle quattro cose è successa — ha continuato a sentire suono e ha smesso di restituire parole, ha smesso di dire qualsiasi cosa al punto che è sparita persino la lettura del microfono, si è guastato e un altro motore ha preso il suo posto, oppure si è guastato senza che restasse nulla a prenderne il posto. Quando l’app ti chiede qualcosa che il sistema custodisce — il microfono o la fotocamera — quale dei due ha chiesto e quale delle tre risposte è tornata: hai consentito, hai rifiutato, oppure il sistema aveva già deciso il rifiuto e non ti ha mostrato alcuna finestra. E quando va in cerca di un telecomando Bluetooth, se le è stato rifiutato il permesso di trovare i dispositivi vicini — lì soltanto il rifiuto, perché un sistema che ha acconsentito si limita a cominciare a cercare e non dice nulla che potremmo registrare. Solo dove chiede. Rileggere ciò a cui hai già risposto avviene di continuo e non è una misura; niente di tutto questo viene inviato. Una volta per installazione: se la tua prima lettura ha superato la metà entro un’ora dall’installazione, entro un giorno, una settimana, un mese, o più tardi ancora — una fascia, non un tempo. Del download di un modello linguistico: il codice della lingua, la dimensione in byte e se è iniziato, è finito o è fallito. Di un collegamento a un altro dispositivo: come è finito e come i due dispositivi si sono trovati. Di una trasmissione: su che tipo di schermo è andata (telefono, tablet, computer, TV, orologio, o un tipo che l’app non ha riconosciuto), quanto è durata e se è finita perché il collegamento è caduto. Di un tentativo di portare il testo su uno schermo, riuscito o no: a che tipo di schermo puntava — per quel che questo dispositivo ne sapeva prima di provare, che spesso è nulla — e quale delle sei cose è successa: lo schermo l’ha preso; l’ha preso ma una delle due app è indietro di una versione, così le parti più nuove girano disattivate; non ha risposto nulla su nessuna delle due strade; lo schermo ha rifiutato il codice di aggancio; le due sono troppo distanti per versione per potersi parlare; oppure questo dispositivo non è proprio riuscito a fare il tentativo. Nulla sul testo, e nessun indirizzo né dell’uno né dell’altro dispositivo. Dell’avviso che compare quando un testo contiene più di una lingua: se l’hai chiuso o se da lì sei passato alla schermata dell’abbonamento. Nulla sul testo in sé, e nulla su quali lingue vi fossero. Della schermata dell’abbonamento: davanti a quale delle funzioni bloccate ti trovavi quando è comparsa, oppure che l’hai aperta tu dalle impostazioni invece di essere stato fermato da qualcosa, oppure che hai toccato la riga sotto i tuoi messaggi che dice che a un abbonato si risponde per primo. Di un tentativo di acquisto: quale dei quattro tipi di piano era — mensile, annuale, a vita, o uno il cui periodo l’app non ha riconosciuto — e se si è concluso, se l’hai annullato tu, se lo store l’ha lasciato in sospeso, se non era disponibile o se è fallito. Di un ripristino: se qualcosa è stato ripristinato, se non c’era nulla da ripristinare, oppure se è stato annullato o è fallito. Accanto all’identificatore descritto sotto vengono tenuti anche due dati sull’abbonamento, aggiornati quando cambiano: se Whisprompt Pro è attivo in questo momento su questo dispositivo, e se è stato acquistato qui anziché su un altro dei tuoi dispositivi. Insieme a tutte quante: il momento in cui è successo, la versione dell’app, la piattaforma e da quanto tempo questa installazione sta misurando — una fascia, mai una data e mai un numero di giorni: il primo giorno, la prima settimana, il primo mese, da uno a tre mesi, da tre a sei, da sei a dodici, da uno a due anni, o più. Quella fascia si conta dal giorno in cui hai consentito la misurazione, perché prima di allora per questo non viene conservato nulla, e a differenza della fascia sulla prima lettura qui sopra viaggia con ogni misura anziché una volta sola. E, sul dispositivo su cui la misura è stata presa: che tipo di dispositivo è — telefono, tablet, computer, TV od orologio, e nulla di più specifico di questo — quale sistema operativo esegue, il numero di versione principale di quel sistema e soltanto quello («18», mai «18.3.1»), la lingua in cui è l’interfaccia dell’app e il paese su cui è impostato il tuo dispositivo. Su due di questi vale la pena essere precisi. Il paese è letto dall’impostazione di regione del tuo dispositivo: è il paese che hai scelto nelle tue impostazioni, non uno dedotto dall’indirizzo di rete attraverso cui ti trovi a essere connesso — vedi «Chi lo tratta» qui sotto. E la versione è il solo numero principale, perché è quello a dirci se un vecchio sistema può essere abbandonato; il resto direbbe più sul tuo particolare dispositivo che sul sistema. E ancora su una lettura. Da dove veniva il suo testo, come una di sette risposte: il testo iniziale che ti scriviamo al primo avvio; lo stesso testo iniziale dopo che lo hai modificato; uno tuo — digitato qui, dettato qui, incollato, oppure rispecchiato da un altro dei tuoi dispositivi collegati, e sono una sola risposta perché è tutta scrittura tua; un file; oppure un documento rispecchiato da Notion, da Google Docs o da iCloud. Mai il suo titolo, mai il nome del file, mai il suo indirizzo, mai una sua parola. Quale dei cinque stili di lettura era sullo schermo, e su quale abbinamento di colori è stato letto: uno dei sei che l’app porta con sé, oppure — se l’abbinamento l’hai costruito tu nell’editor dei temi — soltanto che era uno dei tuoi. Mai il suo nome e mai l’identificatore che l’app gli ha dato. Un abbinamento che porta il nome di una persona o di un’occasione è scrittura dello stesso genere del titolo di un testo, e l’identificatore è quel nome a un passo di distanza. E se per quel testo era stato impostato un tempo obiettivo prima che la lettura cominciasse — che ce ne fosse uno, mai quanto fosse lungo, perché una durata accanto al numero di parole sulla stessa riga descriverebbe un documento in particolare. Di un testo che arriva nella tua libreria, per qualunque via sia arrivato: da dove è venuto — le stesse sette risposte più un’ottava: che l’hai dettato —, il codice della lingua che dichiara e quante parole contiene. L’ottava è nota solo nel momento in cui il testo viene salvato e non viene conservata con esso: quando leggi un testo dettato, conta come uno dei tuoi, come sopra. Mai il suo titolo e mai una sua parola. Il testo iniziale che ti scriviamo al primo avvio non viene contato, perché contarlo vorrebbe dire contare le installazioni, e le installazioni non vengono misurate. Di una registrazione: se era audio o video, quanti secondi interi è durata e in quale dei tre modi è finita — è stata salvata, è tornata vuota perché al file non è arrivato nulla, oppure è fallita. Niente sul file: né il nome, né la dimensione, né la risoluzione, né quale microfono né quale obiettivo della fotocamera, e neanche un secondo di ciò che è stato registrato. Una registrazione che non è mai avvenuta perché hai rifiutato il microfono o la fotocamera viene contata soltanto come quel rifiuto qui sopra, e non come una registrazione. E di un codice promozionale — uno dei nostri, digitato nella schermata di riscatto di Whisprompt: che un codice è stato riscattato e quale delle nove risposte è tornata. Ha funzionato; un codice così non esiste; era già stato usato; era scaduto; il lotto a cui appartiene era esaurito; questa copia dell’app non accettava affatto i nostri codici, perché quel percorso non è ancora stato costruito, oppure è stato disattivato; da questo dispositivo ne erano stati provati troppi di fila; non è stato possibile raggiungerci affatto; oppure è fallito per un motivo che nessuna di queste risposte nomina. Mai il codice in sé e mai un suo carattere — un codice promozionale è un segreto al portatore che vale un abbonamento, e un codice che finisce in una misura è un codice che finisce negli archivi di terze parti. Se invece apri la schermata di riscatto dello store, quella gestita da Apple o da Google: che è stata aperta, e nient’altro, perché nessuno dei due store dice all’app che cosa vi sia stato digitato né che fine abbia fatto. E quando restringi l’insieme delle lingue fra cui il rilevatore può scegliere — nel pannello «Lingua» del testo stesso, oppure nelle Impostazioni per ogni testo nuovo — quante lingue comprendeva quell’insieme prima della modifica e quante dopo, e se l’hai riportato ad «Auto», cioè alla scelta fra tutto ciò che l’app porta con sé. E se ci chiedi di aggiungere una lingua che l’app non parla ancora: quale lingua, indicata dal suo codice, e da quale dei tre punti l’hai richiesta — il pannello «Lingua» di un testo, il valore predefinito nelle Impostazioni, oppure il selettore «Lingua dell’app». Questo è ciò che viene misurato; la richiesta in sé ci arriva sia che tu abbia consentito una qualche misurazione sia che non l’abbia fatto, e la sezione 6b dice che cosa porta. E quando questa versione dell’app è superata e va aggiornata: quale di quattro cose è successa all’avviso che lo dice — è stato mostrato; è stato trattenuto, perché eri nel mezzo di una lettura; è stato rimandato, perché hai scelto «Più tardi»; oppure è stato ritirato prima di essere mai mostrato, perché abbiamo abbassato di nuovo la versione minima — e un numero di secondi interi: per un avviso rimandato, da quanto tempo era sullo schermo; altrimenti, quanto tempo era passato da quando questo dispositivo, in questo avvio dell’app, aveva saputo per la prima volta che andava aggiornata.
• Che cosa non viene mai misurato. I tuoi testi, i loro titoli, i nomi dei file che apri, l’audio, le registrazioni, le trascrizioni, i nomi dei tuoi dispositivi, i tuoi contatti. Un codice di lingua viaggia; il titolo di un testo no. Delle misure sull’abbonamento qui sopra: nessun prezzo, nessuna valuta, nessuna ricevuta, nessun numero d’ordine o di transazione, nessun identificatore di prodotto dello store, nessun dato di pagamento di alcun genere e nessun testo di errore dello store — quel che viaggia è quale delle otto funzioni nominate ha aperto la schermata, quale dei quattro tipi di piano, e quale di un insieme fisso di esiti. E nemmeno su quanti dispositivi usi il tuo abbonamento. Ogni misura è un insieme fisso di numeri, tempi e codici, così non c’è alcun posto in cui possa comparire qualcosa che hai scritto, nominato o pagato.
• Non è anonimo, e preferiamo dirlo. Le misure di questo dispositivo portano un solo identificatore casuale duraturo. Appartiene a questa installazione dell’app e a nient’altro: lo crea il componente di misura stesso, il giorno in cui consenti la misurazione e non un istante prima, non serve ad altro che a queste misure, e non è l’identificatore che usa il tuo abbonamento — quello non viene mai inviato insieme a una misura, così i due archivi restano separati e nessuno dei due porta l’identificatore dell’altro. Nulla in una misura dice quale dei tuoi dispositivi vada insieme a quale: se non concedi il permesso separato descritto sotto, il tuo telefono e il tuo tablet arrivano come due installazioni non collegate e vengono contati come due. L’identificatore viene sostituito al massimo tredici mesi dopo essere stato creato, che nel frattempo tu abbia usato l’app o no, e il sostituto non si aggancia a quello di prima — così l’archivio di un’installazione non può estendersi oltre quel periodo. Spegnere la misurazione cancella l’identificatore dal dispositivo. Casuale com’è, resta pur sempre un identificatore, ed è per questo che c’è questo paragrafo anziché l’affermazione che le misure sono anonime.
• Contare i tuoi dispositivi come una persona sola — un permesso separato, disattivo finché non lo concedi. Se usi Whisprompt su più di un dispositivo, l’app può chiederti una volta se le misure di tutti debbano portare un solo identificatore condiviso, così che un telefono e un tablet contino come una persona sola anziché come due. Quella domanda cambia soltanto l’identificatore, e nulla di ciò che viene misurato: lo stesso elenco qui sopra, le stesse proprietà, nessun evento in più e nessun nuovo destinatario. È disattivo finché non dici di sì, dire di no non cambia nient’altro nell’app, e puoi attivarlo o disattivarlo più tardi nella stessa sezione delle impostazioni. Come per la misurazione qui sopra, lo si chiede una volta sola anziché su ogni dispositivo: dì di sì e gli altri dispositivi sul tuo abbonamento prendono quella risposta la volta successiva che sono connessi — l’identificatore condiviso arriva loro sullo stesso canale cifrato che i tuoi dispositivi già usano tra di loro, e con esso non viaggia nient’altro riguardo alla misurazione. Arriva soltanto a un dispositivo su cui hai consentito la misurazione, dato che su qualsiasi altro non ci sarebbe nulla da contare. Un no non viene portato da nessuna parte, perciò un dispositivo che colleghi più tardi può porre da sé la domanda sul conteggio; rifiutare di nuovo costa un tocco e viene ricordato. Anche quella scheda ha due risposte e nessuna terza via d’uscita, e non viene registrato nulla finché non ne dai una. Quando lo attivi, vale da quel momento in avanti — le misure già raccolte non vengono rietichettate, e l’identificatore che questa installazione usava prima non viene inviato né collegato a quello condiviso. Un caso merita di essere nominato a parte. Se questa installazione porta già un identificatore condiviso e poi ne assume uno diverso — che è ciò che succede quando la colleghi a dispositivi che ne condividono già uno loro — la misura successiva porta una volta sola il precedente identificatore condiviso, così che gli archivi di una sola persona non vengano letti come due: uno che smette di esistere e uno che compare dal nulla. Solo un identificatore condiviso viaggia in quel modo; l’identificatore per installazione qui sopra non viene mai inviato in quel campo, in nessun passaggio. Quando lo disattivi, questa installazione torna a un identificatore tutto suo, ed è uno nuovo anziché quello che aveva prima. Non può essere attivo mentre la misurazione è spenta, perché non ci sarebbe nulla da contare: se spegni la misurazione, l’identificatore condiviso viene cancellato dal dispositivo insieme all’altro. E se colleghi un secondo dispositivo prima ancora che la domanda sulla misurazione ti sia stata posta, l’app può metterle insieme — una volta sola nella vita dell’app, su un’unica scheda che dice che cosa sono entrambe. Quella scheda è quella che chiede della misurazione, non una in più: su quel dispositivo nessuna delle due domande viene posta di nuovo. Un sì lì è un sì a entrambe, perché su di essa erano nominate entrambe; un no le rifiuta entrambe. I tuoi dispositivi si collegano in un caso e nell’altro, e nessuna delle due risposte viene mai presa per l’altra.
• Chi lo tratta. Amplitude, nostro responsabile del trattamento, sul suo endpoint europeo. Ogni richiesta chiede ad Amplitude di non dedurre nulla dall’indirizzo da cui arriva, così da dove ti sei connesso non viene ricavata alcuna città, regione o posizione di alcun tipo. Il paese nell’elenco qui sopra non è un’eccezione a questo: è quello impostato sul tuo dispositivo, inviato perché ce lo mettiamo noi, e sarebbe lo stesso paese su qualunque rete tu fossi.
• Come revocare, e che cosa succede allora. Due modi, e ne basta uno qualsiasi. Nell’app: Impostazioni → Dati d’uso → spegni l’interruttore. Oppure scrivi a support@whisprompt.app e diccelo, e ci fermeremo. Revocare non costa più tocchi di quanti ne sia costati acconsentire, non devi dare alcuna motivazione, e noi non te la chiediamo. Spegnerlo è trattato come la tua opposizione e non come l’impostazione di un singolo telefono: gli altri tuoi dispositivi collegati vengono avvisati, sul canale cifrato che già condividono con questo, e smettono di misurare anche loro la volta successiva che sono connessi — uno che dorme viene avvisato quando torna, perché l’avviso viene ripetuto finché non arriva. Riaccenderlo non viaggia altrettanto lontano: raggiunge un dispositivo che hai collegato ma su cui non ti è mai stato chiesto nulla, che prende la risposta e ti dice di averlo fatto, e non scalza mai una risposta che un dispositivo ha dato per sé — così un dispositivo che hai spento qui resta spento finché non lo accendi là. L’asimmetria è voluta. Un’opposizione a essere misurati la fa una persona, e preferiamo che arrivi troppo lontano piuttosto che non abbastanza; un permesso non deve poter scavalcare una risposta che qualcuno ha già dato sul dispositivo che ha in mano. La tua risposta viene ricordata sul dispositivo attraverso i riavvii e gli aggiornamenti dell’app, e sopravvive alla sostituzione dell’identificatore ogni tredici mesi — un identificatore nuovo non fa ripartire la misurazione per chi l’ha spenta. Se vuoi che vengano eliminate anche le misure già inviate, chiedicelo: sezione 11.

6a. Segnalazioni di arresto — un permesso separato, disattivo finché non lo concedi

Se l’app smette di funzionare, può inviarci una segnalazione sul guasto. Questo non fa parte della misurazione della sezione 6: è una finalità diversa, con un destinatario diverso, e ha un interruttore tutto suo. Viene posto su una scheda a sé, subito prima della domanda sulla misurazione, e si risponde separatamente — un sì all’uno non è un sì all’altro, in nessuna delle due direzioni. Quella scheda funziona come quella della misurazione: due risposte, nessuna terza via d’uscita, e niente di registrato finché non ne dai una.

È disattivo finché non lo accendi. Finché non lo fai, per esso non viene installato nulla e non viene inviato nulla — questa regola non ha proprio alcuna eccezione. Ad avere eccezioni è la conservazione, e qui sotto ce ne sono due. Entrambe esistono per porti la domanda e non per raccogliere qualcosa, entrambe riguardano un arresto che è già capitato a te, e nessuna delle due invia nulla finché non rispondi.

La prima è un mancato avvio. Se Whisprompt non riesce proprio ad avviarsi, non c’è un momento successivo in cui porre la domanda, così la pone lì la schermata di errore. Se hai già acceso le segnalazioni di arresto, viene inviata una segnalazione su quel guasto e la schermata ti dice che è stata inviata. Se le hai già spente, non ti viene proposto nulla e non viene inviato nulla. Se non ti è mai stato chiesto, la schermata chiede — invia questa singola segnalazione, non inviarla, oppure inviale d’ora in poi — e nulla lascia il dispositivo finché non scegli. Una segnalazione inviata in questo modo è più piccola di quella descritta sotto: non porta alcun identificatore di alcun tipo, e dice dove l’app si è fermata, la versione dell’app e quale sistema operativo è questo — nulla di più sul dispositivo, nessuna lingua dell’interfaccia, e nessuno dei passi che sono venuti prima. Va a Sentry, lo stesso responsabile del trattamento e gli stessi server europei, e quel che si dice sotto sull’indirizzo internet da cui una segnalazione arriva vale anche per essa. Scegliere di inviarle d’ora in poi è la stessa risposta dell’interruttore nelle impostazioni, e si spegne nello stesso posto. La stessa schermata, con le stesse tre risposte, compare anche quando è una singola parte dell’app a guastarsi mentre è in funzione anziché all’avvio. Questo vale solo per l’app di telefono e tablet: le app per Mac e per televisore non hanno una schermata del genere.

La seconda è un arresto su cui non abbiamo potuto interpellarti sul momento — perché l’app se n’era andata prima che tu potessi rispondere, o perché l’hai chiusa invece di rispondere. Se non ti è mai stato chiesto, una segnalazione su di esso viene conservata sul tuo dispositivo, e la volta successiva che l’app si avvia come si deve lo dice in fondo allo schermo e ti propone la domanda. È una sola segnalazione e non una coda; un secondo arresto non la sostituisce. Non viene inviato nulla al riguardo se non dici di sì lì. Viene cancellata quando rispondi, in un senso o nell’altro, quando dici a quell’avviso di cancellarla, quando le segnalazioni di arresto vengono spente, e in ogni caso sette giorni dopo che è stata conservata. Quel file è l’unica cosa conservata sul tuo dispositivo per le segnalazioni di arresto prima che tu abbia acconsentito a qualcosa, e preferiamo nominarlo piuttosto che lasciare che il paragrafo qui sopra faccia credere che lì non ci sia nulla: esiste perché la domanda si possa porre. Gli arresti che recupera sono quelli che altrimenti non vedremmo mai — i primi avvii di un’installazione nuova di zecca, che sono gli arresti peggiori che ci siano e appartenevano esattamente alle persone che la domanda non aveva mai raggiunto. Quel che non recupera è un arresto che il sistema operativo gestisce da sé, sotto l’app: per quelli serve comunque che le segnalazioni fossero state accese prima.

• Che cosa contiene una segnalazione. Dove l’app si è fermata — la traccia tecnica del guasto — il tipo di dispositivo, il sistema operativo e la sua versione, la versione dell’app, la lingua dell’interfaccia, e un breve elenco di ciò che l’app stava facendo poco prima: schermate aperte, avvisi di memoria scarsa, il passaggio dell’app in secondo piano.
• E, quando il guasto era nel prompter, che cosa stava facendo il prompter. Un riconoscimento che smette di funzionare lo fa al termine di una catena di eventi, e una riga che dice che si è fermato non basta a ripararlo — perciò una segnalazione su una sessione di lettura porta con sé una breve cronologia di quella sessione: il motore vocale che parte e si ferma e perché, la lingua del paragrafo a cui eri arrivato, i passaggi da una lingua all’altra e se sono riusciti, se il riconoscimento girava sul dispositivo o attraverso i server della piattaforma, quanto ci ha messo a restituire le prime parole, quando il rilevamento vocale ha perso il tuo punto e quando l’ha ritrovato, lo schermo che si muove tra attesa, ascolto, pausa e arresto, a che punto era arrivato il download di un modello linguistico se ce n’era uno in corso, e il momento in cui il guasto è stato dichiarato. Porta anche la FORMA di ciò che stavi leggendo e il punto in cui ti trovavi — quante parole e quanti paragrafi aveva il testo, quante lingue mescolava, a quale numero di parola eri arrivato, e i momenti in cui hai ripreso il testo a mano con un riavvolgimento o un trascinamento. Sono questi a dare un senso al resto della cronologia: una posizione senza una lunghezza con cui misurarla non dice nulla, e un salto che il riconoscimento non ha causato si legge come un guasto, a meno che la pagina non dica che l’ha fatto una mano. Ogni riga è un conteggio, un codice, un codice di lingua o una durata. Accanto a esse viaggia un altro numero: quanta memoria stava usando l’app stessa in quel momento, in megabyte interi — è una causa plausibile del guasto e non c’è altro modo di vederlo, e non dice nulla su di te né su che altro c’è sul tuo dispositivo. Mai una parola del testo — non il suo titolo, non una sua riga, non ciò che il riconoscimento ha creduto di sentire, e nessun nome tuo o dei tuoi dispositivi. Gli orari al suo interno sono indicati come intervalli — «quattro secondi prima del guasto» — anziché come ore dell’orologio, perché un’ora dell’orologio porta con sé un fuso orario e un fuso orario è una posizione approssimativa.
• Che cosa viene tolto prima dell’invio. Una segnalazione di arresto la assembla il componente di reporting e non la scriviamo noi, perciò la smontiamo e la ripuliamo: nomi e percorsi dei file, indirizzi web oltre al nome del servizio, indirizzi email, indirizzi di rete, il nome del tuo dispositivo e il tuo fuso orario. Non viene mai allegato alcuno screenshot né alcuna copia dello schermo — su quello schermo c’è il tuo testo — e nessuna segnalazione porta un qualunque identificatore tuo che noi conserviamo. Ciò che resta è uno stack trace, il tipo di guasto e il tipo di dispositivo.
• L’unica cosa che la nostra app non può togliere. Sentry ricava una posizione approssimativa — paese e città — dall’indirizzo internet da cui una segnalazione arriva. Succede dalla loro parte, dopo tutto ciò che la nostra app può modificare, perciò, a differenza della misurazione qui sopra, non abbiamo modo di disattivarlo segnalazione per segnalazione. A rispondere di questo sono due impostazioni del progetto: una impedisce che l’indirizzo stesso venga conservato, l’altra rimuove la posizione ricavata da esso. La prima è impostata. Dove la seconda non lo è, il paese e la città restano con la segnalazione per tutto il tempo in cui la segnalazione viene conservata, che è al massimo 90 giorni. Lo nominiamo qui anziché lasciare che la frase qui sopra faccia credere che avessimo rimosso qualcosa che non avevamo rimosso.
• L’identificatore. Le segnalazioni di una stessa installazione portano un identificatore casuale che il componente di reporting si crea da sé, così che dieci arresti provenienti da un dispositivo possano essere riconosciuti come un dispositivo solo anziché come dieci. Non è l’identificatore che usano le misure, e non è quello che usa il tuo abbonamento.
• Chi lo tratta. Sentry, nostro responsabile del trattamento, sui suoi server europei.
• Come revocare, e che cosa succede allora. Impostazioni → Segnalazioni di arresto → spegni l’interruttore. L’invio si ferma, e ciò che è ancora in attesa di essere inviato viene cancellato dal dispositivo. La tua risposta a questa domanda viaggia come viaggia la tua risposta sulla misurazione: un dispositivo che colleghi e a cui non è mai stato chiesto prende la risposta che avevi già dato e ti dice di averlo fatto, un dispositivo che ha risposto per sé conserva la propria risposta, e spegnere l’invio raggiunge i tuoi dispositivi collegati anche là dove hanno già risposto. Su che cosa si regge tutto questo dal punto di vista giuridico, e che cosa la revoca annulla e che cosa no, è nella sezione 9.

Non mettiamo la chiave di un responsabile del trattamento in una versione prima che il suo accordo sul trattamento dei dati sia in vigore. Ciò che Sentry conserva, oltre alle segnalazioni che le persone ci mandano, sono le segnalazioni di prova che ci siamo mandati da soli da una macchina di sviluppo, per verificare che nomi, percorsi e indirizzi vengano davvero rimossi. Quelle sono nostre, non tue, e le cancelliamo.

6b. Che cosa ci mandi tu

L’app ha una schermata «Invia feedback». Niente di ciò che vi sta sopra arriva a noi finché non tocchi invia, e quel che ci arriva allora è ciò che hai scritto più quelle delle cose facoltative che hai scelto di aggiungere. Non è una misura e non è una segnalazione di arresto: lo scrivi tu, decidi tu che cosa ci va insieme, e serve per risponderti e per riparare ciò di cui ci hai parlato.

Una volta che hai mandato qualcosa, l’app se ne informa. Mentre uno qualsiasi dei tuoi messaggi è ancora aperto — in attesa di lettura, in lavorazione o in attesa della tua risposta a una domanda che abbiamo posto — o è stato chiuso negli ultimi trenta giorni, l’app chiede al nostro server a che punto sta, insieme all’eventuale breve nota che abbiamo scritto al riguardo: all’avvio dell’app, quando ci torni e una volta ogni ora mentre è aperta, ma mai più di una volta ogni quindici minuti. Quando apri I miei messaggi e dopo aver aggiunto i dettagli, chiede la stessa cosa su ogni messaggio inviato da questo dispositivo, compresi quelli già fatti o non in programma. Quella domanda non porta con sé altro che gli identificatori che l’app ha conservato per i tuoi messaggi quando li ha inviati: non viene raccolto nulla di nuovo su di te, ed è l’unica cosa qui che avviene senza che tu tocchi invia. Le risposte restano sul tuo dispositivo perché la schermata si legga anche senza connessione, e se ne vanno quando se ne va l’app. Se ti chiediamo dettagli, quel che rispondi viene inviato come un nuovo messaggio, con le stesse regole e con le stesse cose allegate di qualsiasi altro.

Che cosa accompagna sempre un messaggio, perché una segnalazione che non riusciamo a collocare è una segnalazione su cui non possiamo agire: la versione e il numero di build dell’app, il sistema operativo e la sua versione, il modello del dispositivo, la lingua e la regione su cui è impostato il dispositivo (es_ES, per esempio, è lo spagnolo come si usa in Spagna), e la lingua in cui è mostrata l’app stessa. Lo stesso vale per l’identificatore casuale dell’abbonamento della sezione 4, ogni volta che questo dispositivo ne ha uno — cosa che avviene dal primo acquisto fatto su questo dispositivo, o da quando è stato collegato a un dispositivo che ne ha fatto uno —, per l’unico controllo descritto qui sotto, dopo il quale il nostro server non lo conserva. La schermata nomina ciascuna di queste cose prima che tu invii, così sai che cosa stai mandando mentre lo scrivi.

Che cosa parte solo se lo aggiungi tu. I file — fino a tre, screenshot o una breve registrazione dello schermo, scelti da te dalla tua libreria; riceviamo ciò che alleghi e nulla che tu non abbia allegato. Un indirizzo a cui rispondere, se vuoi una risposta; senza, leggiamo comunque ogni parola, e allora non abbiamo modo di sapere chi l’ha scritta. E l’identificatore di misura della sezione 6, dietro un interruttore che compare solo quando ce n’è uno da allegare: è ciò che ci permette di guardare come si stava comportando l’app prima che tu scrivessi.

L’unica cosa che ricaviamo da soli è se il messaggio è arrivato da un abbonato, così che gli si possa rispondere per primo. Il tuo dispositivo invia l’identificatore casuale dell’abbonamento della sezione 4, il nostro server chiede a RevenueCat se ha diritto, e annota quella risposta — sì o no — e mai l’identificatore stesso. Così nulla lega ciò che hai detto a ciò che hai comprato.

I messaggi sono conservati per noi da Cloudflare su server nell’Europa occidentale: il testo in un database, i file in un archivio a oggetti, entrambi sotto il codice di riferimento che l’app ti mostra una volta che ha inviato. Vengono conservati per due anni e poi eliminati automaticamente, e prima se lo chiedi — cita quel codice, oppure dicci qualsiasi altra cosa che ci permetta di trovare il messaggio. Li leggiamo noi, e anche il modello descritto qui sotto; non vengono usati per nient’altro: non per misurare, non per profilare, non per addestrare l’IA di nessuno, e non per decidere alcunché su di te.

Il primo lettore è una macchina, e non è nostro. Ogni nuovo messaggio viene letto per primo da un modello di IA — Claude, realizzato da Anthropic —, a cui abbiamo assegnato un solo compito: capire di che cosa parla il messaggio, quanto conta e a quale punto dell’app appartiene, e abbozzare che cosa potremmo rispondere. Non decide nulla che tu possa vedere. Uno stato e una nota sulla tua schermata «I miei messaggi», un’email a te, un ticket nel nostro tracker: ciascuna di queste cose viene fatta solo sulla nostra parola, dopo che uno di noi ha letto ciò che il modello propone. Per fare questo lavoro, quattro servizi oltre a Cloudflare trattano ciò che hai mandato, o parte di esso:

• Anthropic, negli Stati Uniti, fa funzionare il modello, e riceve ogni messaggio per intero: ciò che hai scritto, l’indirizzo per la risposta se ne hai dato uno, tutto quanto elencato sopra che accompagna sempre un messaggio, se è arrivato o no da un abbonato, l’identificatore di misura se lo hai allegato, e ogni file che hai allegato — il modello apre ciascuno di essi e lo guarda. L’identificatore dell’abbonamento in sé non arriva mai fino a lui. Ciò che il modello ha letto resta nel registro di quell’esecuzione, nel nostro account presso Anthropic, e quell’account è impostato in modo che Anthropic non lo usi per addestrare i propri modelli.
• Telegram, un’azienda con sede fuori dallo Spazio economico europeo, ci porta il riassunto del modello, e le nostre istruzioni indietro. Per ogni messaggio il riassunto dà il suo codice di riferimento, che tipo di segnalazione è, il dispositivo, la versione dell’app e la lingua, una riga o due su ciò che hai scritto, che possono citarti, una riga che descrive un’eventuale immagine allegata, e la risposta che il modello propone. Mai il tuo indirizzo email, e mai i file stessi.
• Google, i cui server si trovano negli Stati Uniti e altrove, porta la nostra risposta se ti rispondiamo per email: esce dalla nostra casella Gmail verso l’indirizzo che hai dato, con il codice di riferimento nell’oggetto, e lo scambio resta in quella casella.
• GitHub, negli Stati Uniti, ospita il nostro tracker, che è privato. Se ciò che hai segnalato lì diventa un ticket, il ticket porta il codice di riferimento, il dispositivo e la versione dell’app, e il problema descritto con le nostre parole — mai il tuo indirizzo email.

Questi quattro non sono fra i nostri responsabili del trattamento della sezione 10: usiamo ciascuno di essi alle sue condizioni, come farebbe qualunque suo utente, e nessun accordo sul trattamento dei dati li lega a noi. Non li raggiunge nemmeno l’eliminazione notturna. Questa copre il nostro database e il nostro archivio file presso Cloudflare — dove viene conservato anche ogni riassunto mandato a Telegram, per due anni dal giorno in cui è partito — e nulla al di fuori di essi. Ciò che i quattro conservano resta lì finché non lo eliminiamo noi a mano, e quando ci chiedi di eliminare il tuo messaggio, lo facciamo: in tutti e quattro i posti, e in quei riassunti. Ogni copia porta il codice di riferimento; è così che la troviamo. Una volta che abbiamo eliminato un’esecuzione dal nostro account, le condizioni di Anthropic gli danno 30 giorni per cancellarla dai propri sistemi.

Una cosa da sapere prima di allegare un’immagine: uno screenshot contiene tutto ciò che era sullo schermo quando l’hai scattato, e può comprendere un testo che stavi leggendo. Allega solo ciò che vorresti che conservassimo, e noi cancelleremo quel che non ci serve.

Richiedere una lingua. Dove l’app elenca una lingua che non parla ancora, puoi chiederci di aggiungerla. Toccare «Richiedi» manda al nostro server due cose e nient’altro: il codice della lingua, e una chiave casuale che questa installazione crea la prima volta che lo chiedi. La chiave serve a far sì che una richiesta inviata due volte per via di una connessione instabile non venga contata come due installazioni che vogliono la stessa lingua. La richiesta parte che tu abbia consentito la misurazione della sezione 6 oppure no, perché è una cosa che ci hai chiesto tu, non una cosa che abbiamo misurato noi. Viene conservata su Cloudflare nell’Europa occidentale, accanto ai messaggi, per due anni dal giorno in cui arriva, e poi viene eliminata automaticamente; non la legge nessuno tranne noi, e non va da nessun’altra parte. La chiave non viene mostrata da nessuna parte, nemmeno a te, e nulla di ciò che conserviamo accanto a essa dice di chi è — ed è anche per questo che non possiamo individuare la tua per eliminarla prima. Sul tuo dispositivo la chiave resta finché non cancelli il dispositivo o non disinstalli l’app.

6c. Domande che rivolgi all’IA

La ricerca in cima alle Impostazioni può passare una domanda all’aiuto dell’IA. Non viene inviato nulla finché non tocchi «Chiedi all’IA», e allora solo questo: le parole che hai digitato, la lingua dell’app, le impostazioni che la ricerca dell’app stessa ha trovato per quelle parole e un numero casuale che l’app crea per questa installazione. Mai i tuoi testi, le tue registrazioni o qualsiasi altra cosa presente sul dispositivo.

Alla domanda risponde il nostro server su Cloudflare, con un modello di IA aperto che si basa sul manuale dell’app stessa. Cloudflare non usa ciò che riceve per addestrare alcun modello, e noi non conserviamo né la domanda né la risposta: entrambe esistono solo mentre la risposta viene scritta. La risposta ti viene mostrata con l’indicazione che è di un’IA, perché può essere sbagliata.

Per contrastare gli abusi, il server tiene dei contatori associati a quel numero casuale: quante volte il dispositivo ha chiesto nell’ultimo minuto e quante volte, nell’ultima ora, ha chiesto qualcosa che non riguarda Whisprompt. Se la cosa si ripete, il server sospende l’aiuto dell’IA per quel dispositivo: un minuto all’inizio, poi il doppio ogni volta, mai più di un giorno. Mai ciò che è stato chiesto. Questi contatori vengono eliminati un’ora dopo l’ultima domanda di questo tipo, o un giorno dopo l’ultima sospensione. Il server conta anche le domande che arrivano da uno stesso indirizzo internet (IP), perché un solo luogo non possa esaurire l’aiuto pensato per tutti: oltre un numero stabilito in un’ora o in un giorno, quell’indirizzo deve aspettare. L’indirizzo in sé non viene mai conservato — solo una sua versione rimescolata in modo irreversibile (un hash), che cambia ogni giorno — e questi contatori vengono eliminati un giorno dopo l’ultima domanda. Una sospensione non decide nulla su di te, oltre all’aiuto dell’IA su quel dispositivo. Questo poggia sul tuo consenso (articolo 6, paragrafo 1, lettera a, del GDPR), dato ogni volta che tocchi «Chiedi all’IA».

7. Cancellare un dispositivo prima che ti esca di mano

Nelle impostazioni dell’app c’è un pulsante «Cancella questo dispositivo», sotto «Dati d’uso». È la cosa giusta da premere prima di vendere, restituire, permutare o cedere un dispositivo, e le Condizioni d’uso ti chiedono di farlo.

Rimuove da quel dispositivo: i tuoi testi, le tue registrazioni, i modelli vocali che hai scaricato, le connessioni che hai concesso a servizi come Notion, l’identificatore di misura e ogni risposta sulla privacy che hai dato su di esso. Toglie anche il dispositivo dai tuoi dispositivi collegati, così smette di rispecchiare la tua libreria e smette di condividere il tuo abbonamento. Gli altri tuoi dispositivi conservano tutto.

Il tuo abbonamento non ne risente. Appartiene al tuo account App Store o Google Play e si ripristina sul tuo prossimo dispositivo.

Due limiti, detti chiaramente. Se il dispositivo è offline quando lo cancelli, la cancellazione locale va comunque a termine ma gli altri tuoi dispositivi non vengono avvisati; l’app lo dice, e puoi rimuoverlo dall’elenco dei dispositivi su uno qualsiasi di essi. E le misure già inviate prima della cancellazione non vengono richiamate indietro da essa — per quelle, usa la richiesta di eliminazione della sezione 11.

8. Che cosa NON raccogliamo

• Nessun identificatore pubblicitario e nessun SDK pubblicitario di terze parti.
• Nessuna analisi e nessun tracciamento su questo sito. Nell’app, proprio nulla a meno che tu non abbia acconsentito, e allora la misurazione descritta nella sezione 6 e nient’altro oltre a essa: nessuna pubblicità, nessuna profilazione e nessun tracciamento di te attraverso app o siti di altre aziende.
• Nessun invio di segnalazioni di arresto a meno che non lo accenda tu, e nulla in una segnalazione che ti identifichi — vedi la sezione 6a.
• Nessuna vendita né condivisione di dati personali ai sensi del GDPR.

Questo sito non imposta cookie. Tiene due preferenze nel tuo browser: il tema, che imposti con il pulsante sole-e-luna nell’intestazione, e la lingua, così che la volta successiva whisprompt.app si apra nella lingua che stavi leggendo. Entrambe sono leggibili soltanto da questo sito, nessuna delle due ti identifica, nessuna delle due viene inviata a noi o a chiunque altro, e cancellare i dati di questo sito nel tuo browser le rimuove. Il sito è servito da Cloudflare, che vede l’indirizzo da cui ti connetti, come fa qualsiasi server web, e ne ricava soltanto il paese usato per mostrare il prezzo del tuo store.

9. Basi giuridiche (articolo 6 del GDPR)

Il trattamento del tuo audio e dei tuoi testi per far funzionare il prompter è svolto per fornire la funzionalità che chiedi (articolo 6, paragrafo 1, lettera b, del GDPR: esecuzione di un contratto / tua richiesta). Le fonti collegate facoltative, i diritti dell’abbonamento e il ripristino degli acquisti poggiano sulla stessa base. Proteggere il relay dagli abusi poggia sul nostro legittimo interesse (articolo 6, paragrafo 1, lettera f).

Tutto ciò che sta nella sezione 6 poggia sul tuo consenso (articolo 6, paragrafo 1, lettera a): la misurazione in sé, e il contare i tuoi dispositivi come una sola persona sotto un identificatore condiviso. Anche le segnalazioni di arresto della sezione 6a poggiano sul tuo consenso — un terzo permesso, che non fa parte né dell’uno né dell’altro: un componente di reporting conserva cose sul tuo dispositivo e non serve a far funzionare un prompter, quindi non c’è nulla su cui farlo poggiare tranne il tuo sì. Tutti e tre vengono chiesti separatamente e revocati separatamente, in qualsiasi momento; revocare è facile quanto lo è stato acconsentire, e non costa più tocchi. La revoca ha effetto da quel momento: non rende illecito ciò che abbiamo fatto mentre il tuo consenso era in vigore, e da sola non cancella ciò che era già stato inviato — per quello, chiedicelo, e la sezione 11 dice come. La misurazione e le segnalazioni di arresto ricevono una risposta per persona e non per telefono: la risposta che dai viene riempita su un dispositivo che colleghi e a cui non è ancora stato chiesto nulla — che ti dice di averla presa — e non scalza mai una risposta già data su un dispositivo. Il conteggio viene chiesto una volta sola per un motivo affine, perché è un fatto che riguarda un insieme di dispositivi e non uno qualsiasi di essi, e un sì a esso viene portato agli altri dispositivi dello stesso abbonamento. Una revoca viaggia più lontano di tutte loro: raggiunge i tuoi dispositivi anche là dove hanno già risposto, perché un’opposizione la fa una persona, e tra il raggiungere un dispositivo di troppo e il lasciarne uno a misurare contro la volontà di quella persona, scegliamo la prima. Chiediamo anziché darlo per scontato, e vale la pena dire chiaramente il perché: misurare un’app conservando un identificatore sul tuo dispositivo si potrebbe fare senza chiedere soltanto se il nostro fornitore di misurazione si impegnasse per iscritto a non riutilizzare mai i dati per fini propri e rendesse impossibile guardare una singola persona dentro il proprio strumento. Non gli abbiamo chiesto né l’una né l’altra cosa, perciò lo chiediamo a te.

Che cosa facciamo con le misure vale la pena nominarlo anziché descriverlo in astratto: Whisprompt segue la tua voce lungo un testo in tutte le lingue supportate, la qualità di quel seguire cambia da lingua a lingua, e l’unico modo che abbiamo per sapere che una lingua viene seguita male è contare quante volte le persone hanno dovuto riprendere in mano il testo da sé — per lingua, e su abbastanza installazioni perché il numero significhi qualcosa. Le misure sulla schermata dell’abbonamento rispondono a una domanda più piccola: davanti a quale funzione bloccata le persone si fermano davvero. In un caso e nell’altro le misure non portano nulla di ciò che hai scritto o detto, l’indirizzo da cui arrivano non viene trasformato in una posizione, l’identificatore viene sostituito dopo tredici mesi, e nulla viene combinato con dati provenienti da altrove né usato per prendere decisioni su di te.

Nulla di tutto questo ti è richiesto. Nessuna legge ti obbliga a darcene alcunché, e nulla di ciò che vendiamo è condizionato a questo: l’app si installa, il prompter funziona, e un abbonamento si acquista e si ripristina senza account. Una funzione dipende da un permesso — seguire la tua voce non può funzionare senza il microfono — e rifiutarlo lascia il prompter a scorrere da solo, che è una modalità a pieno titolo e non un ripiego. La misurazione della sezione 6 e le segnalazioni di arresto della sezione 6a non servono proprio a nulla: rifiuta l’una, l’altra o entrambe e l’app si comporta esattamente come si comporterebbe altrimenti. La conseguenza del rifiuto ricade su di noi e non su di te — semplicemente non abbiamo la misura.

Non prendiamo decisioni su di te con mezzi automatizzati, e non costruiamo profili. Nulla di ciò che è descritto qui ti valuta, prevede qualcosa su di te o ti colloca in un gruppo, e nulla di qui produce su di te un effetto giuridico o qualcosa di analogo. Due cose le decide una macchina, e riguardano entrambe apparecchi e non te: il relay respinge le richieste che arrivano troppo in fretta, e non aggiunge un settimo dispositivo a un abbonamento che ne copre già sei. Nessuna delle due soppesa alcunché di te — una conta richieste, l’altra conta dispositivi. Il modello che legge per primo i tuoi messaggi (sezione 6b) li smista — di cosa parla ciascuno, e quanto sembra urgente — ma non decide nulla su di te: qualsiasi cosa ti arrivi da lui, l'ha decisa qualcuno di noi.

Ciò che ci mandi tu — un messaggio dalla schermata di feedback o una richiesta di una lingua (entrambe nella sezione 6b), o qualsiasi cosa tu scelga di mandarci per email — poggia sul tuo consenso (articolo 6, paragrafo 1, lettera a). Non viene raccolto nulla finché non lo mandi, e ciò che va insieme a un messaggio lo scegli tu mentre scrivi. Risponderti, riparare ciò di cui ci hai parlato e contare quali lingue le persone ci chiedono è quello stesso atto che viene onorato.

10. Responsabili del trattamento e trasferimenti fuori dal SEE

Ogni responsabile del trattamento nominato qui è legato a noi da un accordo scritto sul trattamento dei dati che gli impone di proteggere i tuoi dati secondo lo standard fissato da questa informativa, di trattarli soltanto secondo le nostre istruzioni e soltanto per la finalità qui nominata, e mai per la propria. I nostri responsabili del trattamento — RevenueCat (abbonamenti), Cloudflare (il relay, i messaggi che mandi dalla schermata di feedback e le domande che rivolgi all’IA), Amplitude (dati d’uso) e Sentry (segnalazioni di arresto) — possono trattare dati fuori dallo Spazio economico europeo, anche negli Stati Uniti. Amplitude riceve le misure sul suo endpoint europeo e Sentry conserva le segnalazioni di arresto nella sua regione europea, ma entrambe le aziende sono americane, quindi quei trasferimenti poggiano comunque sulle clausole qui sotto. Ogni trasferimento del genere avviene in base alle Clausole contrattuali tipo dell’UE, incorporate nell’accordo sul trattamento dei dati che abbiamo con ciascuno di questi responsabili: l’addendum di Amplitude fa parte delle sue condizioni di servizio e porta le Clausole del 2021, e l’addendum di Sentry sul trattamento dei dati porta le stesse Clausole insieme all’addendum per il Regno Unito. Per ottenere una copia delle Clausole su cui poggia uno qualsiasi di questi trasferimenti, scrivi a support@whisprompt.app e nomina il responsabile su cui stai chiedendo; ti manderemo le clausole che si applicano a lui. (Ciò che Amplitude conserva oltre alle tue misure sono gli eventi di prova che ci siamo mandati da soli dai nostri dispositivi, per verificare che l’indirizzo da cui arriva una misura non venga trasformato in una posizione. Sono nostri, non tuoi, e li cancelliamo.) Gli accordi e le clausole qui sopra coprono questi responsabili del trattamento e nessun altro. I quattro servizi che la sezione 6b nomina come chi legge, porta o conserva ciò che mandi dalla schermata di feedback — Anthropic, Telegram, Google e GitHub — non sono responsabili del trattamento per conto nostro: ciascuno è stabilito fuori dallo Spazio economico europeo oppure conserva ciò che riceve fuori da esso, e ciascuno lo tratta secondo le proprie condizioni. Nessuno dei nostri responsabili del trattamento conserva un tuo nome, e uno solo di essi può conservare un indirizzo email: se ne dai uno nella schermata di feedback perché possiamo risponderti, sta dentro il tuo messaggio su Cloudflare finché quel messaggio non viene eliminato. Oltre a questo, ciò che conservano è un identificatore casuale dell’abbonamento, identificatori per dispositivo, l’identificatore che portano le misure, il nome che ciascun dispositivo dichiara di sé e dettagli tecnici del collegamento. Al di fuori di essi, il modello presso Anthropic legge quell’indirizzo insieme al resto del tuo messaggio, e se ti rispondiamo per email, sta anche nella nostra casella Gmail — per quanto tempo lo dice la sezione 6b.

11. I tuoi diritti

Ai sensi del GDPR hai il diritto di accedere ai tuoi dati, di rettificarli, di cancellarli, di limitarne il trattamento e di portarli con te, e il diritto di opporti al trattamento. Di te non conserviamo né un nome né un indirizzo email: Whisprompt non ha account, e un indirizzo che ci dai con un messaggio resta con quel messaggio (sezione 6b). Un record su un nostro server però lo conserviamo: se usi Whisprompt Pro su più dispositivi tuoi, teniamo un elenco di quei dispositivi — un identificatore che l’app genera per ciascuno, il nome che ciascun dispositivo dichiara di sé, e quando è stato aggiunto e visto l’ultima volta — sotto un identificatore casuale dell’abbonamento. Quel record puoi eliminarlo dall’app in qualsiasi momento (Impostazioni → Dati sui nostri server), e tutto il resto resta sul tuo dispositivo: testi, modelli e l’app puoi cancellarli quando vuoi. Per revocare il tuo consenso alle misure d’uso, spegnile (Impostazioni → Dati d’uso) oppure scrivici — la sezione 6 illustra entrambe le vie, e l’una come l’altra ferma la raccolta e cancella l’identificatore dal dispositivo. Per far cancellare anche le misure già inviate, chiedicelo e le cancelleremo: sono conservate sotto quell’unico identificatore casuale e sotto nessun tuo nome. Eliminare il record del tuo abbonamento non arriva fino a esse e spegnere la misurazione non arriva fino a esso, perché i due sono tenuti sotto identificatori diversi apposta: chiedici quello che vuoi far sparire, o entrambi. Se ci hai scritto dalla schermata di feedback e vuoi che quel messaggio e i suoi allegati spariscano, cita il codice di riferimento che l’app ti ha mostrato — è con quel codice che lo troviamo, insieme alle copie che descrive la sezione 6b, e non c’è alcun tuo nome archiviato insieme a esso per cui trovarlo. Per qualsiasi richiesta, scrivi a support@whisprompt.app. Hai anche il diritto di proporre reclamo a un’autorità di controllo — quella del luogo in cui vivi, quella del luogo in cui lavori, o quella del luogo in cui pensi che qualcosa sia andato storto. La nostra è la Agencia Española de Protección de Datos, in Spagna (aepd.es).

12. Conservazione dei dati

I dati locali restano finché non li cancelli o non rimuovi l’app. I dati dell’abbonamento vengono rimossi insieme al tuo profilo cliente su RevenueCat, anche se registrazioni anonimizzate delle transazioni possono essere conservate da RevenueCat e dallo store per finalità contabili. Le stanze del relay vivono al massimo quattro ore, la casella del collegamento fino a 30 giorni, e l’elenco dei dispositivi del tuo abbonamento finché non è passato un anno senza che nessuno di essi lo abbia usato — o finché non lo elimini dall’app. Le misure d’uso non portano una data di scadenza; a decidere quanto a lungo vengono conservate è ciò a cui servono. Restano finché possono ancora rispondere alla domanda per cui sono state raccolte — se la versione dell’app che le persone stanno usando adesso si comporta come pensiamo — e vengono cancellate una volta che non possono più, o prima se ci chiedi di cancellare le tue. Nulla viene tenuto nell’eventualità che si riveli utile più avanti. L’identificatore sotto cui quelle misure sono conservate corre su un orologio tutto suo, e corto: viene sostituito al massimo tredici mesi dopo essere stato creato, contati dal giorno in cui è creato e non prolungati dall’uso, così che nessun archivio tenuto sotto un solo identificatore possa estendersi oltre quel periodo. Le segnalazioni di arresto sono conservate presso Sentry per non più di 90 giorni. Un messaggio inviato dalla schermata di feedback, con tutto ciò che gli è allegato, è conservato per due anni dal giorno in cui arriva e poi viene eliminato automaticamente — quella eliminazione la fa il sistema che lo conserva, ogni notte, e non qualcuno che se ne ricorda; chiedicelo e il tuo se ne va prima. Quella eliminazione non raggiunge le copie che la sezione 6b descrive presso Anthropic, Telegram, Google e GitHub: restano finché non le eliminiamo noi a mano, cosa che facciamo quando ce lo chiedi. Le email all’assistenza sono conservate solo per il tempo necessario a gestire la tua richiesta. Una richiesta di una lingua è conservata per due anni dal giorno in cui arriva e poi viene eliminata dalla stessa procedura notturna.

13. Minori

Whisprompt non è rivolto a minori di 16 anni e non tratta consapevolmente i loro dati.

14. Modifiche

Aggiorneremo questa pagina quando le nostre pratiche cambiano e correggeremo la data qui sopra. Dove il momento della modifica dipende da noi, la pagina viene aggiornata prima della versione che la porta, non dopo.