← MULYAI website
English · Italiano · עברית · Español

Informativa sulla Privacy di MULYAI

Documento legale della beta controllata.

INFORMATIVA SULLA PRIVACY DI MULYAI — ITALIANO
Versione: MULYAI-PRIVACY-v1.1-2026-09-25
Data di efficacia: 25 settembre 2026
Titolare del trattamento: Gabriel Lagziel, Via Malaga 4, 20143 Milano, Italia
Contatto: gabriellagziel@gmail.com
Telefono: +39 388 748 9687
1. SINTESI
MULYAI è progettato secondo un approccio local-first. La tua Work Memory resta sul tuo dispositivo. MULYAI non riceve per impostazione predefinita i tuoi contenuti di lavoro sensibili.
Il servizio centrale MULYAI tratta tuttavia dati personali limitati necessari per registrazione/gestione dell’account, sicurezza del dispositivo/Control Plane, prova dell’accettazione legale, assistenza, telemetria di affidabilità/valore del prodotto, erogazione del sito e sicurezza. La presente Informativa spiega quali dati vengono trattati, perché, per quanto tempo vengono conservati, chi li riceve e quali sono i tuoi diritti.
2. AMBITO
La presente Informativa si applica al sito MULYAI, al flusso di registrazione/download della beta aperta a livello mondiale, al Control Plane/backend centrale, alla telemetria di prodotto approvata, ai canali di assistenza/contatto, a Investor Wanted / Investor Access, alle email di autenticazione/servizio, alla distribuzione di software/model artefacts e ai sistemi owner/admin. Spiega inoltre il confine tra trattamento centrale e Work Memory locale sul computer dell’utente.
Non autorizza il trattamento del contenuto di lavoro da parte di LLM esterni/cloud nell’attuale beta. Il reasoning AI predefinito è locale. Un futuro cambiamento sostanziale — come AI cloud che riceva contenuti di lavoro, telemetria più ampia, tracking pubblicitario o uso aziendale per monitorare dipendenti — richiede una nuova valutazione privacy/legale prima dell’attivazione.
3. TITOLARE DEL TRATTAMENTO
Gabriel Lagziel
Via Malaga 4
20143 Milano, Italia
Email: gabriellagziel@gmail.com
Telefono: +39 388 748 9687
4. INFORMAZIONI CHE RACCOGLIAMO CENTRALMENTE
A. Registrazione / profilo cliente
Obbligatori: nome e cognome, email, paese, conferma di avere almeno 18 anni e accettazione legale.
Facoltativi: telefono, città, professione/settore, stato occupazionale, nome dell’azienda.
Condizionale: se selezioni “dipendente di un’azienda”, se userai MULYAI per attività connesse al datore di lavoro.
Creiamo inoltre un Customer ID interno e record di account/stato necessari a gestire la beta.
B. Evidenza di accettazione legale
Conserviamo l’evidenza minima dello stato legale presentato/accettato: riferimento cliente interno, timestamp dell’accettazione, versione dei Termini Beta, versione Privacy, lingua/contesto e fatto dell’accettazione/conferma 18+ ove necessario.
C. Dati cliente/dispositivo e autorizzazione
La beta utilizza un Device/Install ID generato dal prodotto associato a un Customer ID pseudonimo, oltre a informazioni limitate su credenziale/chiave pubblica/fingerprint del dispositivo e stato di autorizzazione account/dispositivo. Non utilizziamo fingerprinting invasivo dell’hardware come modello canonico di identità.
D. Telemetria di prodotto/valore/salute rispettosa della privacy
MULYAI può inviare uno snapshot cumulativo aggregato localmente per cliente/dispositivo registrato e giorno locale. Lo schema approvato è limitato a app/build/versione/canale; tempo cumulativo di osservazione/runtime; conteggi di Patterns e Skills; Agents proposti, qualificati e attivi; runs e Verified Results; Time Returned verificato; eventuale Value Returned aggregato e verificato ove esista un calcolo documentato; e campi limitati di salute del prodotto/dispositivo con health code consentiti.
La telemetria è associata a un Customer ID pseudonimo + Device/Install ID generato dal prodotto. Campi diretti del profilo come nome, email, telefono o azienda non sono inclusi nel payload di telemetria.
Lo schema vieta contenuto libero del lavoro, metadati arbitrari e descrizioni semantiche di ciò che fai.
E. Assistenza/contatto
Il flusso standard raccoglie email di risposta + messaggio. Se servono diagnostiche, le richiediamo separatamente affinché tu possa decidere cosa inviare. Le diagnostiche non devono essere automaticamente incluse con la Work Memory. Non inviare password, chiavi private, credenziali o dati sensibili non necessari.
F. Dati sito / server / sicurezza
Quando usi il sito/backend, i provider infrastrutturali possono trattare normali informazioni tecniche necessarie a fornire e proteggere il servizio, come indirizzo IP, timestamp, metadati di richiesta/route, informazioni browser/user-agent ed eventi di sicurezza/rate-limit.
G. Evidenza admin/sicurezza
I log di accesso privilegiato e audit di sicurezza possono contenere identità admin, riferimenti azione/target, timestamp e metadati di sicurezza limitati. Non devono contenere Work Memory o semantica privata del lavoro.
H. Dati release/download/distribuzione modello
Possiamo trattare versione/canale release, identificatori/hash/stato firma artefatti, grant/token di download limitati e stato update/release necessari a fornire e proteggere la beta. Artefatti software/model condivisi possono essere archiviati in Cloudflare R2. L’attuale bucket R2 di MULYAI è privato ed è configurato nella location Cloudflare Eastern Europe (EEUR).
I. Investor Wanted / Investor Access
Se richiedi accesso a materiali privati per investitori, possiamo raccogliere nome, email, eventuale company/fund, eventuale URL LinkedIn, eventuale nota, stato di verifica email, stato di accesso/revoca, informazioni di autenticazione/sessione e metadati limitati di sicurezza/audit. Investor Access è distinto dalla registrazione cliente beta ed è utilizzato per valutare, fornire e proteggere l’accesso privato per investitori.
J. Autenticazione ed email di servizio
Trattiamo indirizzo email e metadati limitati di delivery/autenticazione necessari a inviare conferme, sign-in, comunicazioni di sicurezza, download, avvisi necessari di servizio/legali e assistenza richiesta dall’utente. La policy attuale è service-only: le email di registrazione non sono utilizzate per newsletter, vendite o marketing promozionale.
5. DATI CHE RESTANO LOCALI PER IMPOSTAZIONE PREDEFINITA
La Work Memory di MULYAI e il contesto sostanziale del lavoro osservato restano per impostazione predefinita sul dispositivo. Nell’attuale beta Windows la Work Memory è cifrata localmente con SQLCipher e il materiale della chiave è protetto per l’utente Windows corrente mediante Windows DPAPI.
I sistemi centrali di MULYAI non devono ricevere, attraverso la normale telemetria beta, contenuto della Work Memory; nomi file/path; contenuti di documenti/testo estratto; prompt o messaggi privati; screenshot/pixel; clipboard; dati completi di keystroke/keylogging; cronologia browser/URL; contenuti di account/applicazioni; nomi Pattern/Skill/Agent o semantica dei task; autorità di esecuzione locale; password, API key o chiavi private.
MULYAI può trattare tali informazioni localmente sul computer come parte della funzione di assistente personale. Il trattamento locale resta rilevante per la privacy ed è soggetto ai controlli utente, AI locale e controlli locali di cancellazione/reset effettivamente implementati. Il fornitore non riceve centralmente tali dati per impostazione predefinita.
6. FINALITÀ E BASI GIURIDICHE
Registrazione cliente/account/download/fornitura del servizio: art. 6(1)(b) GDPR, misure/contratto necessari per fornire la beta, oltre all’art. 6(1)(c) ove si applichi uno specifico obbligo legale.
Evidenza di accettazione/versione legale: art. 6(1)(f), legittimo interesse a provare lo stato contrattuale/legale e difendere pretese, e art. 6(1)(c) ove applicabile.
Sicurezza, autenticazione, autorizzazione account/dispositivo, prevenzione abusi e audit: art. 6(1)(f), interessi legittimi a proteggere utenti/servizio e, ove applicabile, art. 6(1)(c).
Telemetria di prodotto/valore/salute: art. 6(1)(f), interessi legittimi relativi ad affidabilità, supporto, funzionamento del prodotto e verifica del valore restituito da MULYAI, bilanciati mediante aggregazione locale, uno snapshot giornaliero, allowlist rigorosa, assenza di semantica del lavoro, retention limitata e meccanismo di opposizione ove si applichi l’art. 21.
Informazioni facoltative su professione/occupazione/azienda: art. 6(1)(f) per ricerca limitata cliente/prodotto e comprensione GTM, con raccolta facoltativa trasparente. Non sono necessarie per fornire MULYAI e non costituiscono consenso generale al marketing.
Assistenza: art. 6(1)(b) e/o art. 6(1)(f), secondo la richiesta.
Email di autenticazione/servizio: art. 6(1)(b), art. 6(1)(f) e/o art. 6(1)(c), a seconda dei casi, per funzionamento account, sicurezza, comunicazioni necessarie di servizio/legali e assistenza.
Richieste Investor Access e sicurezza della private investor room: art. 6(1)(f), legittimo interesse a rispondere alle richieste, gestire relazioni con investitori e proteggere materiali non pubblici; l’art. 6(1)(b) può applicarsi quando il trattamento è necessario per misure precontrattuali richieste.
Il marketing diretto non è autorizzato dalla presa visione/accettazione di Termini e Privacy. L’attuale beta non utilizza le email di registrazione per marketing promozionale.
7. PERCHÉ LA TELEMETRIA NON È SORVEGLIANZA DEL LAVORO
Abbiamo bisogno di dati centrali limitati per sapere se il prodotto funziona correttamente, supportare un dispositivo/cliente, comprendere l’andamento nel tempo di prodotto/valore e, in futuro, comprovare la fatturazione approvata degli Agents. Il monitoraggio evento-per-evento del lavoro non è necessario a tali scopi. Per questo la beta usa un unico snapshot giornaliero aggregato localmente e vieta semantica del lavoro, nomi di file, contenuti e telemetria in forma libera.
8. DESTINATARI / RESPONSABILI DEL TRATTAMENTO
L’infrastruttura attualmente nota include:
- Supabase, Inc. — PostgreSQL gestito, Storage, Auth ed Edge Functions/backend Control Plane. Regione primaria verificata del progetto MULYAI: eu-west-1 (Irlanda).
- Vercel, Inc. — hosting web, CDN/edge globale, deployment e layer same-origin di rewrite/proxy API.
- Cloudflare, Inc. — storage/delivery privato R2 per artefatti software/model condivisi. Il bucket corrente mulyai-releases è configurato nella location Cloudflare Eastern Europe (EEUR); accesso pubblico e Public Development URL sono disabilitati.
- Resend — servizio email transazionale/autenticazione usato per email di servizio MULYAI.
- Amazon Web Services / Amazon SES — infrastruttura di delivery email utilizzata da Resend per la posta transazionale MULYAI.
- Google/Gmail — se la corrispondenza di assistenza/servizio è gestita tramite l’indirizzo Gmail pubblicato.
- GitHub — integrazione source/CI/deployment; non è destinato a ricevere Work Memory dei clienti né telemetria ordinaria dell’app.
L’attuale beta non approva OpenAI, Anthropic, Google Gemini o altro LLM esterno come responsabile del trattamento della Work Memory/contenuto di lavoro.
Nessun provider di crash analytics/session replay/pubblicità è approvato per l’attuale beta. Stripe/pagamenti non è attivo durante la beta gratuita.
9. TRASFERIMENTI INTERNAZIONALI
La regione primaria del progetto MULYAI in Supabase è Irlanda. Supabase è un provider con sede negli USA e può utilizzare sub-responsabili/supporto autorizzati fuori dal SEE nel rispetto del relativo DPA e delle garanzie applicabili.
Vercel utilizza infrastruttura distribuita globalmente e può trattare dati di richiesta negli Stati Uniti e in altre regioni.
L’attuale bucket Cloudflare R2 è configurato nella location Eastern Europe (EEUR) di Cloudflare. Cloudflare può comunque utilizzare infrastruttura corporate/supporto/subprocessor globale soggetta alle relative garanzie contrattuali e di trasferimento.
Le email transazionali/autenticazione sono inviate tramite Resend e infrastruttura Amazon SES/AWS e possono comportare trattamenti fuori dal SEE soggetti alle garanzie applicabili dei provider.
Quando dati personali SEE sono trasferiti verso un paese senza decisione di adeguatezza, devono applicarsi DPA, Clausole Contrattuali Standard o altra garanzia lecita del Capo V GDPR. Riduciamo al minimo i dati trasmessi e manteniamo un registro di responsabili/trasferimenti.
10. CONSERVAZIONE
Non utilizziamo un unico periodo di conservazione per tutto.
Profilo cliente ordinario: conservato finché necessario per il rapporto account/beta; dopo chiusura/cancellazione account, i campi ordinari del profilo sono eliminati dal backend attivo entro 30 giorni, salvo una specifica base legale/sicurezza che richieda di più.
Snapshot giornalieri di telemetria: rolling 12 mesi finché attribuibili. Dopo chiusura/cancellazione account, entro 30 giorni dobbiamo separare irreversibilmente Customer ID e Device/Install ID così che l’eventuale storico residuo sia realmente anonimo. Se l’anonimizzazione irreversibile non può essere dimostrata, la telemetria interessata viene eliminata entro 30 giorni.
Evidenza di accettazione/versione legale: record minimo per il periodo applicabile di prescrizione/difesa. Per l’Italia, la regola operativa attuale è 10 anni dopo chiusura/cancellazione account, salvo diversa previsione di legge.
Investor Access: richieste incomplete/abbandonate possono essere eliminate dopo fino a 90 giorni di inattività. I dati degli accessi approvati sono conservati finché l’accesso resta attivo. Dopo revoca/chiusura, record limitati di richiesta/accesso/sicurezza possono essere conservati fino a 12 mesi per sicurezza, audit e difesa da pretese, salvo legal hold o periodo obbligatorio più lungo.
Email di autenticazione/servizio: stato account/autenticazione conservato quanto necessario per il rapporto account e la sicurezza. I log di delivery/provider seguono il ciclo operativo/provider documentato più breve ragionevolmente necessario per sicurezza e troubleshooting e non sono usati per marketing.
Assistenza/contatto: record ordinari chiusi rimossi entro 90 giorni dalla chiusura salvo legal/security hold specifico; diagnostica utente solo per il tempo ragionevolmente necessario alla finalità.
Log operativi/sicurezza server/CDN: periodo pratico più breve; target MULYAI non oltre 30 giorni per log ordinari, con maggiore retention solo per incidente/necessità legale concreta o lifecycle provider inevitabile e documentato.
Artefatti R2 condivisi: software/model condivisi non sono record del profilo cliente e possono essere conservati finché necessari alla distribuzione delle release supportate. I metadati limitati di grant/download sono soggetti alle regole di retention account/sicurezza applicabili. Gli attuali Data Access Logs object-level di R2 sono disabilitati.
Logici accessi di amministratori di sistema in Italia: periodo congruo non inferiore a sei mesi; MULYAI usa sei mesi come minimo operativo di compliance, salvo altre regole o specifiche esigenze di indagine/legal hold/claims.
Billing/tax: non attivi durante la beta gratuita. Se attivati, si applicano separatamente le retention contabili/fiscali previste dalla legge.
Backup: la cancellazione nei sistemi attivi deve propagarsi nel ciclo documentato dei backup. Account eliminati non devono essere ripristinati per uso ordinario; dati ripristinati devono essere nuovamente eliminati/soppressi prima del trattamento normale.
11. CHIUSURA ACCOUNT E WORK MEMORY LOCALE
La chiusura/cancellazione dell’account cliente revoca l’autorizzazione centrale account/dispositivo e avvia cancellazione/anonimizzazione centrale secondo le regole sopra. Non cancella silenziosamente la Work Memory locale sul tuo computer.
La Work Memory locale resta sotto il controllo dell’utente. Usa i controlli locali di delete/reset/uninstall se vuoi cancellare anche i dati locali. Una revoca commerciale/account centrale non deve mai rendere la Work Memory locale ostaggio o inaccessibile.
12. I TUOI DIRITTI GDPR
Fatto salvo il diritto applicabile, puoi avere diritto a:
- accedere ai dati personali e alle informazioni sul trattamento;
- rettificare dati di profilo inesatti;
- cancellare dati personali quando il diritto si applica;
- limitare il trattamento;
- opporti ai trattamenti basati sul legittimo interesse;
- portabilità dei dati quando si applica l’art. 20;
- presentare reclamo a un’autorità di controllo competente, incluso il Garante italiano ove applicabile.
Per esercitare un diritto, contatta gabriellagziel@gmail.com o usa un eventuale percorso privacy disponibile in prodotto/account. Possiamo verificare la tua identità in modo proporzionato. Rispondiamo normalmente senza ingiustificato ritardo ed entro un mese, salve proroghe consentite dalla legge.
In caso di opposizione alla telemetria/segmentazione basata sul legittimo interesse, valuteremo se esistono motivi legittimi cogenti prevalenti o se il trattamento deve cessare. Il marketing diretto, se introdotto, verrebbe interrotto a seguito di valida opposizione secondo la normativa applicabile.
13. PROCESSI DECISIONALI AUTOMATIZZATI / PROFILAZIONE
La beta approvata non è destinata ad adottare decisioni unicamente automatizzate che producano effetti giuridici o analogamente significativi su di te ai sensi dell’art. 22 GDPR. MULYAI può apprendere localmente lavoro ricorrente e proporre automazioni, ma la beta approvata non è un sistema del datore di lavoro per scoring dipendenti/hiring/credito/assicurazioni/servizi essenziali. Se ciò cambia, il modello privacy/legale deve essere riaperto prima dell’attivazione.
14. SICUREZZA
Il design attuale della beta usa minimizzazione dei dati, TLS, accesso controllato al backend, identità admin separata/minimo privilegio, identificatori pseudonimi, AI locale, allowlist rigorose di telemetria ed evidenza di audit.
Nell’attuale beta Windows la Work Memory è cifrata localmente con SQLCipher e il materiale della chiave è protetto per l’utente Windows corrente tramite Windows DPAPI. Work Memory e semantica privata del lavoro sono deliberatamente mantenute fuori dal sistema centrale per impostazione predefinita.
L’attuale installer beta Windows può essere privo di firma Authenticode. MULYAI comunica tale stato prima del download e non presenta l’installer come firmato. Restano richiesti controlli di integrità/versione e delivery sicuro; la firma del codice sarà rivalutata prima di una distribuzione generale/a pagamento più ampia.
Nessun sistema di sicurezza è perfetto. In caso di personal-data breach, MULYAI segue il relativo runbook e i requisiti di notifica applicabili, incluse le comunicazioni all’autorità e agli interessati ove richieste.
15. COOKIE / LOCAL STORAGE / TRACKING
Policy beta approvata: solo storage strettamente necessario/funzionale; niente Google Analytics, Meta Pixel, advertising pixel, retargeting, session replay, heatmap o behavioral advertising profiling.
Lo storage browser attualmente identificato include:
- chiave localStorage “mulyai-language” per la preferenza lingua;
- sessionStorage per l’attuale token Investor Access durante la sessione browser;
- cookie Investor refresh denominato “mulyaiInvestorRefresh” con attributi HttpOnly, Secure, SameSite=Lax e durata massima di 30 giorni.
L’infrastruttura di autenticazione/sicurezza può inoltre usare meccanismi tecnici strettamente necessari al servizio richiesto.
L’attuale homepage live mulyai.com non carica Google Fonts da fonts.googleapis.com/fonts.gstatic.com.
Secondo le linee guida del Garante, un banner di consenso non è richiesto esclusivamente per cookie/storage tecnici o strettamente necessari; resta necessaria informazione trasparente. Se in futuro saranno aggiunti tracking non essenziali o tecnologie marketing, saranno bloccati/soggetti alle regole di consenso applicabili.
16. MINORI
La beta aperta è destinata a persone di almeno 18 anni. Non offriamo intenzionalmente la registrazione beta ai minori e non raccogliamo la data di nascita. Se veniamo a conoscenza di un account creato in violazione del requisito di età, possiamo chiuderlo e trattare i dati secondo la legge applicabile.
17. DATI DEL DATORE DI LAVORO / TERZI
Se usi MULYAI per lavoro connesso a un datore di lavoro, sei responsabile di avere diritti/autorizzazioni necessari per l’uso locale. MULYAI non contatta il tuo datore di lavoro per impostazione predefinita e non riceve centralmente i contenuti sostanziali del tuo lavoro per impostazione predefinita. Ciò non elimina gli obblighi propri di MULYAI per i dati che effettivamente riceve.
18. TRASPARENZA DELL’IA
MULYAI è un sistema di IA. Nella beta utilizza IA locale per apprendere/ragionare sul lavoro ricorrente ed è destinato all’assistenza personale di produttività/lavoro.
Quando gli utenti interagiscono direttamente con funzionalità di IA, MULYAI dovrebbe rendere chiara la natura IA dell’interazione quando non è già evidente dalle circostanze. MULYAI mantiene misure proporzionate di AI literacy adeguate al contesto operativo/di utilizzo.
La beta non è offerta per scoring/valutazione delle prestazioni dei dipendenti, ranking assunzioni, analisi biometrica/emotiva, idoneità credito/assicurazioni/servizi essenziali, decisioni di law enforcement/migrazione/giustizia o altre finalità decisionali automatizzate ad alto impatto. Se ciò cambia, il modello privacy/legale deve essere riaperto prima dell’attivazione.
19. MODIFICHE
Modifiche sostanziali a categorie di dati, finalità, AI cloud, telemetria, responsabili, tracking, trattamento Investor Access o architettura di esecuzione/controllo richiedono una privacy impact review e, ove necessario, un’Informativa aggiornata prima dell’attivazione.
Le revisioni legali sostanziali ricevono una nuova versione/data di efficacia e una nuova accettazione ove richiesta. Le versioni già accettate e la relativa evidenza vengono conservate e non sovrascritte silenziosamente.
20. LINGUA
La presente Informativa è destinata a essere allineata per versione in inglese, italiano, ebraico e spagnolo. Per gli utenti in Italia, in caso di conflitto prevale la versione italiana nei limiti consentiti dalla legge; fuori dall’Italia l’inglese è la versione di riferimento salvo norme imperative locali.
21. AUTORITÀ DI CONTROLLO
Puoi presentare reclamo a un’autorità competente per la protezione dei dati. In Italia: Garante per la protezione dei dati personali. Le informazioni aggiornate su contatti/reclami sono disponibili sul sito ufficiale del Garante.
© 2026 Gabriel Lagziel. Tutti i diritti riservati.