Informativa sulla privacy

Versione 2.0 — 7 luglio 2026 (sostituisce la Versione 1.0 — maggio 2026)

1. Chi siamo

TidyBox è un servizio di etichette QR intelligenti per lo stoccaggio. Aiuta privati e aziende a etichettare scatole, contenitori, scaffali e altri spazi di stoccaggio, per poi visualizzarne e gestirne il contenuto tramite https://tidybox.eu.

Il titolare del trattamento dei dati personali trattati tramite TidyBox è RMX Tek Ltd (4 Sv. Ivan, A27, Bansko, Bulgaria 2770), società registrata in Bulgaria ("noi", "ci", "nostro"). Per qualsiasi questione relativa alla presente informativa può contattarci all'indirizzo privacy@tidybox.eu.

Operiamo nell'Unione Europea e trattiamo i dati personali in conformità al Regolamento (UE) 2016/679 (Regolamento generale sulla protezione dei dati, "GDPR") e alla normativa bulgara applicabile in materia di protezione dei dati.

2. Dati che raccogliamo

• Dati dell'account: indirizzo email, password sottoposta a hash sicuro (non conserviamo mai le password in chiaro), nome visualizzato, preferenza di lingua, piano e stato dell'abbonamento. Se accede con Google, riceviamo da Google il suo nome, il suo indirizzo email e l'identificativo del suo account Google.
• Contenuti da lei caricati: foto di scatole, scaffali e oggetti conservati, nomi di scatole e oggetti, descrizioni, note, ubicazioni e relative informazioni di inventario, conservati sui nostri server.
• Identificativo anonimo dello scanner: un identificativo casuale (cookie tidybox_guest_id) che collega i contributi apportati dai visitatori che scansionano un codice QR senza un account, utilizzato per la continuità delle modifiche e la prevenzione degli abusi.
• Dati tecnici: indirizzo IP e informazioni sul browser/dispositivo (user agent), utilizzati per la sicurezza, la limitazione della frequenza delle richieste, i controlli anti-vandalismo e la prevenzione degli abusi.
• Cookie: si veda la tabella dei cookie in fondo a questa pagina per l'elenco completo.
• Dati di pagamento: i pagamenti sono elaborati da Stripe. Non vediamo né conserviamo mai il numero completo della sua carta. Conserviamo soltanto il suo piano, lo stato dell'abbonamento e i metadati di fatture/transazioni.
• Identificativi di notifica: indirizzo email, ID chat di Telegram e/o token di sottoscrizione alle notifiche push del browser — solo per i canali di notifica da lei attivati.
• Token API: se utilizza l'API di TidyBox o l'integrazione MCP, conserviamo i token da lei generati e i log di utilizzo di base.
• Registri del consenso: la sua scelta relativa al consenso ai cookie, unitamente a marca temporale, identificativo di sessione e indirizzo IP, conservata come prova del consenso richiesta dalla legge.
• Comunicazioni di assistenza: i messaggi che ci invia e i recapiti che fornisce con essi.

3. Finalità e basi giuridiche (art. 6 GDPR)

• Fornitura del servizio — conservazione e visualizzazione delle sue scatole, foto ed elenchi di oggetti a lei e alle persone da lei autorizzate: esecuzione di un contratto, art. 6, par. 1, lett. b).
• Riconoscimento fotografico tramite IA — eseguito solo quando lo richiede espressamente per una foto: esecuzione di un contratto su sua richiesta, art. 6, par. 1, lett. b). Si veda la sezione 4.
• Pagamenti, fatturazione e documentazione fiscale: esecuzione di un contratto, art. 6, par. 1, lett. b), e adempimento di obblighi legali, art. 6, par. 1, lett. c).
• Notifiche da lei attivate (email, push, Telegram): esecuzione di un contratto, art. 6, par. 1, lett. b); può disattivarle in qualsiasi momento.
• Sicurezza, limitazione della frequenza delle richieste, prevenzione degli abusi e moderazione dei contenuti: il nostro legittimo interesse a mantenere il servizio sicuro e conforme alla legge, art. 6, par. 1, lett. f).
• Cookie di analisi e di marketing (si veda la sezione 8): il suo consenso, art. 6, par. 1, lett. a), revocabile in qualsiasi momento tramite "Impostazioni cookie" nel piè di pagina.
• Conservazione dei registri del consenso: adempimento di obblighi legali, art. 6, par. 1, lett. c) e art. 7, par. 1, GDPR.

4. Riconoscimento fotografico assistito da IA

TidyBox può suggerire i nomi degli oggetti a partire da una foto. Ciò avviene solo quando preme espressamente il pulsante di riconoscimento per una foto specifica — non eseguiamo analisi tramite IA delle sue foto in background.

• La foto viene trasmessa a Google Gemini API (Google) per il riconoscimento; in caso di errore, a Anthropic Claude API (Anthropic) come soluzione di riserva.
• I contenuti testuali possono essere sottoposti a verifica tramite la OpenAI Moderation API e le immagini possono essere sottoposte a verifica tramite Google Gemini, al fine di individuare contenuti che violano le nostre Condizioni d'uso.
• In base alle condizioni commerciali delle API di questi fornitori in vigore alla data della presente informativa, i contenuti trasmessi tramite le loro API non vengono utilizzati per addestrare i loro modelli.
• Il risultato dell'IA è soltanto un suggerimento. È lei a rivedere, correggere e approvare il contenuto finale. TidyBox non adotta alcuna decisione automatizzata che produca effetti giuridici o effetti analogamente significativi nei suoi confronti (art. 22 GDPR).
• La preghiamo di non fotografare persone, volti, documenti o altri materiali sensibili ai fini del riconoscimento — la funzione è concepita esclusivamente per oggetti domestici e aziendali.

5. Responsabili del trattamento e destinatari

Condividiamo i dati personali solo con i responsabili del trattamento necessari al funzionamento di parti specifiche del servizio, sulla base di accordi sul trattamento dei dati e solo per le finalità elencate:

• Fornitore di hosting (UE): infrastruttura server in cui sono conservati i dati del suo account, i contenuti e le foto.
• Google (Google Ireland Ltd / Google LLC, USA): riconoscimento fotografico tramite IA (Gemini API), accesso facoltativo con Google Sign-In e — solo con il suo consenso — Google Analytics (si veda la sezione 8).
• Anthropic PBC (USA): soluzione di riserva per il riconoscimento fotografico tramite IA.
• OpenAI LLC (USA): moderazione dei contenuti testuali.
• Stripe (Stripe Payments Europe Ltd, Irlanda / Stripe Inc., USA): elaborazione dei pagamenti e fatturazione.
• Resend (Resend Inc., USA): invio di email transazionali.
• Telegram (Telegram FZ-LLC, EAU): notifiche tramite bot — solo se collega lei stesso Telegram.
• Meta Platforms Ireland Ltd: misurazione pubblicitaria (Meta Pixel) — solo se attivata e solo con il suo consenso al marketing (si veda la sezione 8).

Non vendiamo dati personali e non li condividiamo con terzi per finalità di marketing autonome di questi ultimi.

6. Trasferimenti internazionali

Alcuni dei responsabili del trattamento sopra elencati sono situati in paesi al di fuori dello Spazio economico europeo, o possono trasferirvi dati, in particolare negli Stati Uniti. In tali casi ci basiamo su:

• il Data Privacy Framework UE–USA per i fornitori certificati in base ad esso (attualmente includono Google, Anthropic, OpenAI, Stripe e Meta), e/o
• le clausole contrattuali tipo della Commissione europea, con misure supplementari ove necessario.

Le notifiche Telegram sono inviate tramite l'infrastruttura di Telegram solo se lei collega attivamente un account Telegram; i dati trasferiti si limitano al suo ID chat e al testo della notifica, e il trasferimento è necessario per l'esecuzione del servizio di notifica da lei richiesto (art. 49, par. 1, lett. b), GDPR ove non si applichi altra garanzia).

7. Cookie e tecnologie simili

Utilizziamo un numero ridotto di cookie essenziali per il funzionamento del servizio, oltre a — solo con il suo consenso — cookie di analisi e di marketing. Una tabella completa e aggiornata dei cookie che impostiamo, con relativa finalità, tipologia e durata, è riportata in fondo a questa pagina.

I cookie essenziali (sessione, lingua, identificativo ospite, scelta del consenso) sono strettamente necessari e non richiedono consenso. I cookie di analisi e di marketing vengono impostati solo dopo che lei ha espresso il consenso tramite il banner del consenso. Può modificare o revocare la sua scelta in qualsiasi momento tramite il link "Impostazioni cookie" nel piè di pagina; revocare il consenso è facile quanto prestarlo.

8. Strumenti di analisi e pubblicitari

Google Analytics 4 (Google Ireland Ltd): quando attivato sul sito, Google Analytics viene eseguito solo dopo il suo consenso ai cookie di analisi. Configuriamo Google Consent Mode v2 in modo che tutta l'archiviazione a fini di analisi e pubblicitari sia negata per impostazione predefinita e attivata solo per sua scelta. Google Analytics utilizza cookie (ad es. _ga) e raccoglie statistiche di utilizzo pseudonimizzate; i dati possono essere trasferiti negli USA nell'ambito del Data Privacy Framework.

Meta Pixel (Meta Platforms Ireland Ltd): quando attivato sul sito, il Meta Pixel viene eseguito solo dopo il suo consenso ai cookie di marketing. Ci aiuta a misurare l'efficacia delle campagne pubblicitarie. Per i dati raccolti tramite il Pixel, Meta e noi possiamo agire in qualità di contitolari del trattamento per la raccolta e la trasmissione dei dati sugli eventi; il trattamento da parte di Meta è descritto nella sua informativa sulla privacy.

Se non presta il consenso, questi strumenti non vengono caricati affatto e non viene impostato alcun cookie di analisi o pubblicitario. Possiamo inoltre utilizzare statistiche aggregate rispettose della privacy, che non utilizzano cookie e non la identificano.

9. Avviso sul modello a codice aperto

Prima che un codice TidyBox venga rivendicato da un utente registrato, chiunque lo scansioni può visualizzarne, aggiungerne o modificarne il contenuto. Si tratta di una caratteristica di progettazione documentata che consente l'uso senza un account. Ciò significa anche che:

• Non conservi informazioni personali o sensibili in scatole non rivendicate.
• I contributi degli scanner anonimi sono collegati a un identificativo ospite casuale e a un indirizzo IP esclusivamente per la continuità delle modifiche e la prevenzione degli abusi.
• Una volta rivendicato un codice, l'accesso è controllato dal proprietario tramite le impostazioni di privacy e condivisione.

10. Conservazione dei dati

• Foto e contenuti: conservati finché non li elimina o non reimposta la scatola/il codice.
• Dati dell'account: conservati finché il suo account esiste; a seguito di una richiesta di cancellazione, rimossi entro 30 giorni, salvo che la legge richieda una conservazione più lunga.
• Contatori di limitazione della frequenza: conservati per 24 ore.
• Log di sicurezza e operativi: conservati per un massimo di 30 giorni.
• Registri del consenso: conservati per 3 anni come prova del consenso (obbligo legale).
• Documentazione di pagamenti e fatture: conservata per il periodo richiesto dalla normativa fiscale e contabile (fino a 10 anni in Bulgaria).
• Backup: i dati eliminati scompaiono dai backup a rotazione al più tardi entro 35 giorni.

11. Sicurezza

Proteggiamo i dati personali con misure tecniche e organizzative adeguate al rischio, tra cui cifratura TLS in transito, hashing delle password, controlli degli accessi, verifica dei caricamenti e registrazione di audit. Nessun servizio online può garantire una sicurezza assoluta, ma in caso di violazione dei dati personali suscettibile di presentare un rischio per i suoi diritti, notificheremo l'autorità di controllo entro 72 ore e, ove il rischio sia elevato, la informeremo direttamente, come richiesto dagli articoli 33 e 34 GDPR.

12. I suoi diritti (GDPR)

Può esercitare ciascuno di questi diritti scrivendo a privacy@tidybox.eu. Rispondiamo entro un mese.

• Accesso — ricevere una copia dei dati personali che conserviamo su di lei (art. 15).
• Rettifica — ottenere la correzione dei dati inesatti (art. 16).
• Cancellazione — ottenere la cancellazione dei suoi dati ("diritto all'oblio", art. 17). Può inoltre eliminare il suo account e i suoi contenuti direttamente nell'app.
• Limitazione — limitare il trattamento nelle situazioni previste dall'art. 18.
• Portabilità — ricevere i suoi dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico (art. 20).
• Opposizione — opporsi al trattamento basato sul legittimo interesse (art. 21).
• Revoca del consenso — in qualsiasi momento, senza pregiudicare il trattamento precedente (art. 7, par. 3); per i cookie, utilizzi "Impostazioni cookie" nel piè di pagina.
• Reclamo — alla Commissione bulgara per la protezione dei dati personali (CPDP, www.cpdp.bg) o all'autorità di controllo del suo paese di residenza nell'UE (art. 77).

13. Minori

TidyBox non è rivolto ai minori ed è destinato a utenti di età pari o superiore a 16 anni. Non raccogliamo consapevolmente dati personali di minori di 16 anni. Se ritiene che un minore ci abbia fornito dati personali, ci contatti e provvederemo a eliminarli.

14. Modifiche alla presente informativa

Informeremo gli utenti registrati delle modifiche sostanziali via email prima della loro entrata in vigore. La versione corrente e la relativa data sono indicate in cima a questa pagina. Le versioni precedenti sono disponibili su richiesta.

15. Contatti

RMX Tek Ltd, Bulgaria

Richieste sulla privacy: privacy@tidybox.eu · Comunicazioni legali: legal@tidybox.eu · Segnalazioni di abusi: abuse@tidybox.eu

Sede legale: Via Sveti Ivan 4, A-27, 2770 Bansko, Bulgaria

Cookie

Questo sito utilizza i seguenti cookie:

Nome del cookie	Scopo	Tipo	Durata
PHPSESSID	Autenticazione dell'utente	Essenziale	Sessione del browser
lang	Lingua dell'interfaccia	Essenziale	1 anno
tidybox_guest_id	Identificazione anonima degli ospiti che scansionano codici e modificano scatole non rivendicate	Essenziale	1 anno
consent_choice	Memorizza la tua scelta sul consenso ai cookie	Essenziale	1 anno
_ga, _ga_*	Google Analytics — statistiche di utilizzo anonime (solo con il suo consenso)	Analisi (consenso)	2 anni
_fbp	Meta Pixel — misurazione pubblicitaria (solo con il suo consenso)	Marketing (consenso)	3 mesi