Informativa sulla privacy
Ai sensi degli articoli 13 e 14 del Regolamento generale sulla protezione dei dati (GDPR)
1. Titolare del trattamento
Gökhan Sagir
Erdbergstraße 121/9
1030 Vienna, Austria
E-mail: datenschutz@scryp.at
2. I nostri principi per il trattamento dei Suoi dati
scryp si basa sulla crittografia lato client. Ciò significa che le Sue trascrizioni, i file audio e i nomi dei file vengono crittografati nel Suo browser e conservati sui nostri server esclusivamente in forma crittografata. Senza la Sua chiave personale, questi dati non sono leggibili da nessuno, nemmeno da noi.
Nessun addestramento dell’IA con i Suoi dati
I Suoi file audio e le Sue trascrizioni non vengono mai utilizzati per addestrare modelli linguistici nostri o di terzi. Questo è parte integrante della nostra architettura di sicurezza, non una semplice dichiarazione d’intenti: i Suoi contenuti memorizzati esistono soltanto in forma crittografata.
Nessun accesso del personale ai Suoi contenuti
I file audio e le trascrizioni memorizzati non sono accessibili al nostro personale né a terzi. Poiché non disponiamo della Sua chiave personale di decrittografia, non possiamo fornire copie leggibili dei Suoi contenuti memorizzati, neppure in esecuzione di un ordine ufficiale.
Trattamento esclusivamente in Germania e Austria
Il trattamento vocale, vale a dire la trascrizione dei Suoi file audio, avviene esclusivamente nel nostro centro dati di Vienna. I Suoi file crittografati sono conservati presso Hetzner Online GmbH a Norimberga (certificata ISO 27001). I Suoi contenuti crittografati (audio, trascrizioni e nomi dei file) non lasciano mai la Germania e l’Austria.
Ciò che rimane visibile per noi (metadati): indirizzo e-mail, dimensione e tipo di file, durata dell’audio, data e ora di creazione, stato del trattamento e piano di abbonamento. I Suoi contenuti effettivi (audio, trascrizioni e nomi dei file) sono conservati sui nostri server esclusivamente in forma crittografata.
3. Quali dati trattiamo
3.1 Registrazione e account
Al momento della registrazione conserviamo il Suo indirizzo e-mail (per l’accesso e le comunicazioni), un hash della password (Argon2id; la password in chiaro non viene memorizzata) e la Master Encryption Key (MEK) crittografata con il relativo vettore di inizializzazione (IV) e sale KDF.
Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR). Il conferimento di questi dati è necessario per l’esecuzione del contratto; in loro assenza non è possibile creare un account.
3.2 Caricamenti audio e video
I file caricati vengono crittografati nel Suo browser prima di raggiungere i nostri server. Sui nostri server i Suoi file sono conservati esclusivamente in forma crittografata e sono accessibili soltanto mediante la Sua chiave personale. Al termine della trascrizione, il file originale viene eliminato e sostituito da una versione crittografata per la riproduzione (MP3).
Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR)
3.2a Caricamenti basati su URL
Quando viene utilizzata la funzione di caricamento tramite URL, il file audio o video viene scaricato direttamente dalla fonte indicata sul nostro server di elaborazione. In questo caso il materiale audio non è crittografato lato client. Il materiale scaricato viene elaborato esclusivamente nella RAM ed eliminato immediatamente dopo la trascrizione. La trascrizione risultante e il file di riproduzione vengono conservati, come di consueto, con crittografia lato client. Non vengono memorizzati né trasmessi cookie, token o credenziali della piattaforma di origine.
Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR)
3.3 Trascrizioni
Le trascrizioni vengono protette con la Sua chiave personale del file subito dopo la creazione e conservate sui nostri supporti esclusivamente in forma crittografata. Non possiamo consultare questi contenuti. Le Sue trascrizioni non vengono utilizzate per addestrare modelli linguistici, né da noi né da terzi. La nostra architettura di crittografia lo garantisce: la chiave dei Suoi contenuti esiste soltanto nel Suo browser.
Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR)
3.3a Funzioni di IA (piano Ultra)
Nel piano Ultra può utilizzare funzioni di IA su una trascrizione completata, ad esempio un riassunto generato dall’IA. A tal fine la trascrizione viene temporaneamente decrittografata e analizzata nella RAM dei nostri server a Vienna. Il risultato viene subito archiviato in forma crittografata con la Sua chiave del file. I contenuti non crittografati non vengono mai scritti su supporti di memorizzazione, non vengono trasmessi a terzi e non vengono utilizzati per addestrare modelli di IA.
Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR)
3.4 Comunicazioni via e-mail
Per l’invio di e-mail utilizziamo Mailjet (Mailjet GmbH, certificata ISO 27001, server in Francia). Vengono trattati esclusivamente il Suo indirizzo e-mail, i metadati tecnici necessari alla consegna e, per le notifiche di stato, la data del Suo incarico; mai contenuti o nomi di file. Tutti i dati rimangono all’interno dell’UE. Inviamo e-mail transazionali (verifica, reimpostazione della password, notifiche di stato sui Suoi incarichi come «Trascrizione completata», manutenzione programmata) e notifiche relative al prodotto (aggiornamenti del servizio, variazioni di prezzo e nuove funzionalità).
Può annullare in qualsiasi momento l’iscrizione alle notifiche relative al prodotto tramite il link di cancellazione presente nella relativa e-mail. Le e-mail transazionali sono necessarie per il funzionamento del servizio e non possono essere disattivate. Le fatture e le conferme di pagamento vengono inviate direttamente da Stripe.
Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR) per le e-mail transazionali; legittimo interesse (art. 6, par. 1, lett. f) GDPR) per le notifiche relative al prodotto
3.5 Dati di pagamento
I pagamenti vengono elaborati da Stripe (Stripe Payments Europe, Ltd., Dublino, Irlanda). Conserviamo esclusivamente il Suo identificativo cliente Stripe, il piano scelto e lo stato dell’abbonamento. I numeri delle carte e le coordinate bancarie sono trattati esclusivamente da Stripe e non sono visibili a noi. Stripe è certificata PCI-DSS.
Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR) e obbligo legale di conservazione (art. 6, par. 1, lett. c) GDPR in combinato disposto con il § 132 della BAO austriaca)
3.6 Assistenza clienti
Utilizziamo Microsoft 365 (Microsoft Ireland Operations Ltd., Irlanda) per ricevere e gestire le richieste di assistenza. Qualora i dati vengano trasferiti negli Stati Uniti, il trasferimento si basa sul quadro UE-USA per la protezione dei dati personali (DPF). Trattiamo il Suo indirizzo e-mail e il contenuto della Sua richiesta.
Base giuridica: legittimo interesse a rispondere alle richieste dei clienti (art. 6, par. 1, lett. f) GDPR)
4. Condivisione delle trascrizioni
scryp consente di condividere singole trascrizioni tramite un link protetto da password. La chiave del file (FEK) viene crittografata con una chiave derivata dalla password di condivisione (PBKDF2) e memorizzata sui nostri server insieme a un sale crittografico. Né la password né la chiave del file non crittografata vengono trasmesse ai nostri server. I destinatari decrittografano la trascrizione esclusivamente nel proprio browser.
Base giuridica: esecuzione di un contratto (art. 6, par. 1, lett. b) GDPR)
5. Memorizzazione locale nel browser (localStorage)
scryp non utilizza cookie. Utilizziamo invece il localStorage del Suo browser esclusivamente per i dati tecnicamente necessari: il token di autenticazione (JWT) della sessione attiva, la chiave di crittografia (MEK) per la decrittografia lato client dei Suoi contenuti e le informazioni sul piano per gestire i limiti di caricamento.
Questi dati sono strettamente necessari per utilizzare il servizio. Non utilizziamo tecnologie di tracciamento, analisi o pubblicità: né Google Analytics né altri strumenti di analisi. Alla disconnessione o alla cancellazione dell’account, tutti i dati del localStorage vengono rimossi.
6. Hosting e ubicazione dei dati
La nostra infrastruttura è gestita esclusivamente in Germania e Austria. L’applicazione web, il sistema lato server e l’archiviazione crittografata dei dati (archiviazione di oggetti S3) sono eseguiti nei centri dati di Hetzner Online GmbH a Norimberga, Germania (certificati ISO 27001); tutti i contenuti conservati in tali centri sono crittografati. La trascrizione, il trattamento vocale e le funzioni di IA del piano Ultra avvengono esclusivamente nel nostro centro dati di Vienna, dove i contenuti crittografati vengono temporaneamente decrittografati nella RAM, elaborati e subito eliminati in modo sicuro. Nessun contenuto non crittografato viene mai conservato in modo permanente.
7. Periodi di conservazione
Dati dell’account (e-mail, hash della password, MEK crittografata)
Fino alla cancellazione dell’account; in caso di disdetta senza cancellazione dell’account, questo viene conservato fino a 90 giorni per consentirne la riattivazione
Contenuti crittografati (riproduzione audio e trascrizioni)
Fino alla cancellazione da parte Sua o per un massimo di 90 giorni dalla fine di un abbonamento; i file audio originali vengono eliminati automaticamente dopo il trattamento
Dati di fatturazione (conservati presso Stripe)
7 anni (obbligo legale di conservazione ai sensi del § 132 della BAO austriaca); Stripe può applicare propri periodi di conservazione
8. I Suoi diritti
Ai sensi del GDPR, Lei dispone dei seguenti diritti:
Accesso (art. 15 GDPR)
Può chiedere conferma dell’eventuale trattamento di dati personali che La riguardano e ottenere l’accesso a tali dati.
Rettifica (art. 16 GDPR)
Può chiedere la rettifica dei dati inesatti o l’integrazione di quelli incompleti.
Cancellazione (art. 17 GDPR)
Può chiedere la cancellazione dei Suoi dati personali, purché non sussista un obbligo legale di conservazione.
Limitazione del trattamento (art. 18 GDPR)
Può chiedere la limitazione del trattamento, ad esempio se contesta l’esattezza dei dati.
Portabilità dei dati (art. 20 GDPR)
Può chiedere di ricevere i Suoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico.
Opposizione (art. 21 GDPR)
Può opporsi al trattamento basato su un legittimo interesse (art. 6, par. 1, lett. f)).
Revoca del consenso (art. 7, par. 3, GDPR)
Qualora il trattamento si basi sul consenso, può revocarlo in qualsiasi momento con effetto per il futuro.
Per esercitare i Suoi diritti, La preghiamo di contattare: datenschutz@scryp.at
Tratteremo la Sua richiesta senza ingiustificato ritardo e, al più tardi, entro un mese dal ricevimento (art. 12, par. 3, GDPR).
Nota sull’architettura di crittografia: Poiché le trascrizioni, i file audio e i nomi dei file sono crittografati lato client e non abbiamo accesso ai dati in chiaro, non possiamo fornire informazioni sul contenuto di tali dati. Può decrittografare, esportare (PDF, DOCX, TXT, SRT, VTT) ed eliminare autonomamente i Suoi contenuti nel browser in qualsiasi momento. Possiamo naturalmente fornire informazioni su tutti i dati personali non crittografati (indirizzo e-mail, metadati e dati dell’abbonamento).
9. Reimpostazione della password e perdita dei dati
Poiché la Sua chiave di crittografia (MEK) deriva dalla password, la reimpostazione della password rende impossibile decrittografare la MEK esistente. Tutti i dati crittografati (trascrizioni, file audio e nomi dei file) vengono eliminati automaticamente e irrevocabilmente al momento della reimpostazione della password e viene generata una nuova MEK. I Suoi contenuti possono essere decrittografati soltanto con la Sua MEK personale; senza di essa, l’accesso ai dati esistenti è impossibile.
10. Cancellazione dell’account
Quando cancella il Suo account, tutti i dati personali e tutti i contenuti crittografati (file audio, trascrizioni e nomi dei file) vengono eliminati definitivamente. Fanno eccezione i dati di fatturazione che siamo tenuti a conservare per obbligo di legge (§ 132 della BAO austriaca: 7 anni) e i dati di pagamento conservati da Stripe, soggetti all’informativa sulla privacy di Stripe.
Se si limita a disdire l’abbonamento senza cancellare l’account, la dashboard e i contenuti esistenti rimangono disponibili per un massimo di 90 giorni, affinché possa riattivare l’abbonamento o esportare autonomamente i Suoi dati. Trascorso tale periodo, i dati di prodotto memorizzati vengono eliminati automaticamente.
11. Misure tecniche e organizzative
Adottiamo misure tecniche e organizzative complete ai sensi dell’art. 32 GDPR per proteggere i Suoi dati personali: crittografia AES-256-GCM lato client, scambio di chiavi RSA-4096, PBKDF2-SHA256 (600.000 iterazioni) per la derivazione della password, hashing delle password con Argon2id, TLS 1.2/1.3, accesso sicuro ai server tramite SSH secondo il principio del privilegio minimo, zone di rete isolate, protezione dell’accesso, cluster ad alta disponibilità a 3 nodi con replica sincrona, protezione DDoS, distribuzioni senza interruzioni, backup giornalieri crittografati con ripristino a un momento specifico e minimizzazione dei dati (nessuna memorizzazione di indirizzi IP, nessun tracciamento, eliminazione automatica dei file originali e delle chiavi dopo il trattamento).
La nostra infrastruttura di hosting (Hetzner Online GmbH, Norimberga) è certificata ISO/IEC 27001:2022 e dispone di un’attestazione BSI C5 di tipo 2.
Nonostante tutte le precauzioni, non è possibile garantire la completa sicurezza di una trasmissione di dati via internet. Verifichiamo e miglioriamo costantemente le nostre misure di sicurezza.
12. Diritto di proporre reclamo
Fatto salvo ogni altro ricorso, Lei ha il diritto di proporre reclamo a un’autorità di controllo (art. 77 GDPR). L’autorità competente per l’Austria è:
Autorità austriaca per la protezione dei dati
Barichgasse 40-42, 1030 Vienna
Telefono: +43 1 52 152-0
www.dsb.gv.at
La invitiamo a contattarci prima all’indirizzo datenschutz@scryp.at affinché possiamo gestire la Sua richiesta.
13. Responsabili del trattamento
I seguenti fornitori trattano dati personali per nostro conto:
Sito web, API e archiviazione crittografata dei dati (cluster K3s, archiviazione di oggetti S3) · Germania (UE)
Informativa sulla privacy del fornitoreVerifica dell’e-mail, reimpostazione della password e notifiche di sistema · Francia (UE)
Informativa sulla privacy del fornitoreElaborazione dei pagamenti, gestione degli abbonamenti e fatturazione · Irlanda (UE)*
Informativa sulla privacy del fornitoreRicezione e gestione delle richieste di assistenza tramite Microsoft 365 · Irlanda (UE)*
Informativa sulla privacy del fornitore* La parte contraente è, in ciascun caso, la rispettiva entità europea (Irlanda). Qualora i dati vengano trasferiti negli Stati Uniti nell’ambito della prestazione del servizio, il trasferimento si basa sul quadro UE-USA per la protezione dei dati personali (DPF) e sulle clausole contrattuali standard dell’UE (SCC).
Con tutti i responsabili del trattamento sono stati stipulati accordi sul trattamento dei dati ai sensi dell’art. 28 GDPR.
Se utilizza scryp per finalità professionali, commerciali o di pubblica autorità e carica registrazioni in cui parlano altre persone, Lei è titolare del trattamento e noi siamo il Suo responsabile del trattamento. Il nostro Accordo sul trattamento dei dati (DPA) ai sensi dell’art. 28 GDPR è parte integrante del contratto di utilizzo; su richiesta mettiamo a disposizione una versione firmata.
14. Modifiche alla presente Informativa sulla privacy
Possiamo adeguare la presente Informativa sulla privacy quando necessario, ad esempio in caso di modifiche ai nostri servizi o al quadro normativo. La versione aggiornata è sempre disponibile su questa pagina. In caso di modifiche sostanziali che incidano sui Suoi diritti, La informeremo via e-mail all’indirizzo registrato nel Suo account.
Ultimo aggiornamento: 22 settembre 2026