Home → Documenti legali → Privacy

Informativa Privacy

App: Iridai (iOS) Ultima revisione: 11 maggio 2026 Versione documento: 1.1

Ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 (Codice Privacy), come modificato dal D.Lgs. 101/2018.

1. Titolare del Trattamento

RAVENG by CE4U S.r.l. Sede legale: Via Gioacchino Rossini 29/2, 37012 Bussolengo (VR), Italia P.IVA / C.F.: 04731920239 Contatto privacy: privacy@raveng.it Contatto generale: c.tenca@raveng.it

Non è stato nominato un Data Protection Officer (DPO) in quanto non ricorrono i presupposti dell'art. 37 GDPR. L'Utente può comunque rivolgere ogni quesito privacy al contatto sopra indicato.

2. Dati Personali Trattati

L'App tratta le seguenti categorie di dati, esclusivamente sul dispositivo dell'Utente salvo dove diversamente indicato.

2.1 Dati raccolti e conservati localmente

2.2 Dati trasmessi al provider AI selezionato dall'Utente

Quando l'Utente esegue un'analisi AI in cloud (pulsanti "Descrivi", "Analisi CE", "Audit Sicurezza", "Verifica I40", ecc.) o utilizza la voce vocale conversazionale, i seguenti dati vengono trasmessi al provider scelto dall'Utente:

• Foto scattata (codificata base64, JPEG ~150-500 KB)
• Testo della richiesta (vocale trascritta o digitata)
• Prompt di sistema (configurazione contestuale dell'analisi)
• Eventuali ultimi turni della conversazione

I provider AI attualmente supportati sono:

Alternativa zero-cloud: l'Utente può utilizzare il modello AI locale (MLX) scaricabile dall'app (es. SmolVLM2, Qwen2-VL, Llama 3.2 Vision). In tal caso nessun dato viene trasmesso a server esterni — l'inferenza avviene interamente sul dispositivo.

2.3 Dati trasmessi a integrazioni opzionali

Solo se l'Utente attiva esplicitamente l'integrazione corrispondente:

2.4 Servizi Apple intrinseci al sistema iOS

L'app utilizza framework Apple che possono trasmettere dati a Apple Inc. nei limiti delle policy di sistema iOS:

• SFSpeechRecognizer: per default le richieste vocali vengono trasmesse ai server Apple per il riconoscimento; l'Utente può attivare il riconoscimento on-device dalle Impostazioni iOS quando supportato. (https://www.apple.com/legal/privacy/)
• CLGeocoder: traduce coordinate GPS in indirizzi via server Apple.
• PHPhotoLibrary, EventKit, HKHealthStore, HomeKit: accessi gestiti dai meccanismi di consenso iOS.

2.5 Servizi Meta intrinseci al SDK Wearables DAT

L'app utilizza il Meta Wearables Device Access Toolkit (DAT) SDK versione 0.6.0 per la connessione agli occhiali Ray-Ban Meta. Per l'utilizzo della camera dell'occhiale, il SDK richiede pairing/registrazione tramite l'app Meta AI dell'Utente. Le comunicazioni avvengono via Bluetooth localmente; nessun dato applicativo di Iridai viene trasmesso ai server Meta dal nostro SDK. Per dettagli: https://www.meta.com/legal/privacy-policy/

3. Finalità del Trattamento

I dati sono trattati esclusivamente per:

a) Erogazione del servizio: fornire le funzionalità dell'app (analisi AI, sopralluoghi, verbali, integrazioni); b) Adempimenti legali: nei limiti previsti dalla legge italiana ed europea; c) Sicurezza: protezione del Titolare e degli Utenti da accessi non autorizzati o attività fraudolente; d) Miglioramento del servizio: nei limiti dei log diagnostici locali (non profilanti).

4. Base Giuridica

5. Categorie di Destinatari

I dati personali possono essere comunicati a:

• Provider AI scelti dall'Utente (Anthropic, OpenAI, Google) — quando l'Utente attiva l'analisi cloud
• Provider integrazioni opzionali (Twilio, n8n, eventuale RAVENG portal) — solo se attivati
• Apple Distribution International Ltd. e gruppo Apple — per la gestione dell'abbonamento Iridai Pro Mensile (€ 9,90/mese, vedi §5.bis sotto) e per i servizi iOS di sistema
• Forze dell'ordine e autorità competenti — su richiesta legittima e previo riscontro normativo

Nessun dato è venduto, ceduto o monetizzato a terzi per finalità di marketing, profilazione pubblicitaria o data brokering.

5.bis Apple come Titolare Autonomo per il Pagamento dell'Abbonamento

L'App Iridai è distribuita esclusivamente tramite Apple App Store. L'abbonamento auto-rinnovabile "Iridai Pro Mensile" (€ 9,90/mese, 3 giorni di prova gratuita per nuovi utenti idonei) è gestito interamente da Apple come parte dei servizi In-App Purchase. In questo flusso:

a) Apple Distribution International Ltd. (Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda) — entità Apple competente per l'Area Economica Europea — agisce come Titolare Autonomo del trattamento dei dati di pagamento dell'Utente (nome del titolare carta, numero carta, scadenza, CVV, indirizzo di fatturazione, cronologia transazioni Apple ID); b) Il Titolare NON riceve, NON conserva e NON tratta in alcun modo i dati di pagamento dell'Utente. Riceve da Apple unicamente report aggregati di vendita anonimi (numero di subscriber, valuta, valore lordo) tramite il dashboard di App Store Connect, senza alcuna informazione personale identificativa sui singoli abbonati; c) Il trattamento dei dati di pagamento da parte di Apple è disciplinato dalla Apple Privacy Policy (https://www.apple.com/legal/privacy/) e dai Apple Media Services Terms (https://www.apple.com/legal/internet-services/itunes/), che l'Utente accetta accedendo all'App Store con il proprio Apple ID; d) Per richieste relative ai dati di pagamento (consultazione, rettifica, cancellazione, portabilità), l'Utente deve rivolgersi direttamente ad Apple Privacy (https://www.apple.com/legal/privacy/contact/), in quanto Titolare di tale trattamento. Il Titolare di Iridai non ha facoltà tecnica né legale di intervenire sui dati di pagamento conservati da Apple.

L'unica informazione che il Titolare conosce relativa all'abbonamento di ciascun Utente è lo stato locale on-device della subscription (attiva, in trial, in grace period, scaduta), calcolato dall'App tramite il framework Apple StoreKit 2 sulla base della firma crittografica della transazione (JWS verification) trasmessa da Apple stessa. Tale informazione resta esclusivamente sul dispositivo dell'Utente e non viene mai trasmessa a server RAVENG (RAVENG non opera alcun backend di subscription management).

6. Trasferimenti Extra-UE

I provider AI cloud principali (Anthropic, OpenAI, Google) hanno sede negli Stati Uniti d'America. Il trasferimento dei dati avviene sulla base delle seguenti garanzie:

• Standard Contractual Clauses (SCC) approvate dalla Commissione UE (Decisione di esecuzione 2021/914) sottoscritte dai provider stessi;
• EU-US Data Privacy Framework (adequacy decision UE 2023/1795 del 10 luglio 2023) per i provider certificati nel framework;
• Consenso esplicito dell'Utente al momento dell'attivazione del provider, di cui l'Utente prende atto inserendo la propria chiave API.

L'Utente può azzerare ogni trasferimento extra-UE utilizzando esclusivamente il modello locale MLX e disattivando le integrazioni esterne.

7. Periodo di Conservazione

8. Diritti dell'Interessato

L'Utente può esercitare in qualsiasi momento i diritti garantiti dagli artt. 15-22 GDPR:

• Accesso ai dati (art. 15): conoscere quali dati sono trattati e per quali finalità
• Rettifica (art. 16): correzione di dati inesatti o incompleti
• Cancellazione "diritto all'oblio" (art. 17): eliminazione dei dati. Nota: i dati locali si cancellano disinstallando l'app o tramite la funzione "Annulla sopralluogo" in-app
• Limitazione del trattamento (art. 18)
• Portabilità dei dati (art. 20): ricezione dei dati in formato strutturato e leggibile
• Opposizione al trattamento (art. 21), in particolare per i trattamenti basati su legittimo interesse
• Revoca del consenso in qualsiasi momento (art. 7.3), senza pregiudicare la liceità del trattamento precedente. La revoca avviene operativamente disinstallando l'app o disattivando le funzionalità opt-in
• Reclamo all'Autorità di controllo (art. 77): Garante per la Protezione dei Dati Personali, Piazza Venezia 11, 00187 Roma — https://www.garanteprivacy.it

Per esercitare i propri diritti l'Utente può scrivere a privacy@raveng.it allegando copia di un documento di identità. RAVENG risponderà entro 30 giorni dalla richiesta (estensibili a 60 in casi complessi ex art. 12.3 GDPR).

9. Decisioni Automatizzate, Profilazione e RISCHI INTRINSECI DELL'AI

9.1 Inquadramento ex art. 22 GDPR

L'app utilizza modelli di intelligenza artificiale (LLM e VLM) per generare analisi di conformità normativa tecnica basate su fotografie e prompt forniti dall'Utente. Si dichiara espressamente che tali analisi:

• NON producono effetti giuridici diretti sull'Utente o su terzi;
• NON costituiscono perizia tecnica firmata né atto avente valore legale;
• NON costituiscono decisione automatizzata ai sensi dell'art. 22 GDPR, in quanto sono strumento di supporto alla decisione professionale e richiedono sempre validazione da parte dell'ingegnere/consulente Utente.

9.2 Errori, allucinazioni e inesattezze (rischio noto)

L'Utente prende atto e accetta che i modelli AI utilizzati — sia cloud (Anthropic, OpenAI, Google) sia locali MLX — sono sistemi probabilistici che per natura intrinseca possono:

• Generare errori, omissioni, "allucinazioni" (informazioni inventate) anche significative;
• Citare riferimenti normativi inesatti, abrogati o inventati;
• Stimare distanze, dimensioni, severità in modo approssimativo o errato;
• Classificare erroneamente la conformità a una direttiva.

Tali caratteristiche non costituiscono difetto del prodotto ma proprietà strutturale dei modelli AI al momento della distribuzione dell'app. L'Utente è e rimane unico responsabile della verifica e validazione di ogni output prima di utilizzarlo nel proprio lavoro professionale. Per il dettaglio completo delle limitazioni di responsabilità e degli obblighi di manleva si rimanda integralmente ai Termini di Utilizzo §§ 7, 8, 9, 10.

10. Conferimento dei Dati e Conseguenze del Rifiuto

Il conferimento dei permessi e dei dati richiesti dall'app è necessario per fruire delle funzionalità. Il rifiuto può limitare specifiche funzionalità ma non impedisce l'utilizzo di base:

11. Sicurezza

Il Titolare adotta misure tecniche e organizzative idonee alla protezione dei dati (art. 32 GDPR):

• Crittografia delle credenziali API nel Keychain iOS con protezione Secure Enclave dove disponibile;
• Comunicazioni HTTPS / TLS 1.2+ verso tutti i provider cloud;
• App firmata digitalmente da Apple via certificato di distribuzione (Team ID JKFG2JR5RX);
• Disponibilità del modello AI locale (MLX) per scenari zero-cloud / massima riservatezza;
• Nessun server proprietario di RAVENG riceve dati dall'app nella versione attuale.

12. Modifiche alla Presente Informativa

Il Titolare si riserva il diritto di modificare la presente informativa a fronte di:

• Modifiche normative;
• Introduzione di nuove funzionalità che modificano il trattamento;
• Variazioni nei fornitori di servizi terzi.

Le modifiche saranno pubblicate in-app nella sezione Impostazioni → Informazioni → Documenti legali, con indicazione della data di ultimo aggiornamento. Per modifiche sostanziali il Titolare richiederà una nuova accettazione esplicita.

Data di efficacia: 11 maggio 2026 RAVENG by CE4U S.r.l. — Titolare del trattamento