Bozza per revisione legale · aggiornata il 2 luglio 2026 · non ancora in vigore
Nota: traduzione di cortesia in italiano. In caso di conflitto prevale la versione inglese, legalmente vincolante.
La presente Informativa descrive come Meranex Ltd (società registrata in Inghilterra e Galles, numero di registrazione 13730629, sede legale 4 Hatchlands, Milton Keynes MK8 9DN, Regno Unito) ("Meranex", "noi") raccoglie, utilizza e protegge i tuoi dati personali quando usi Vailto ("Servizio"), la nostra app per gestire scontrini, garanzie, dati di acquisto e spesa e le conversazioni con l'assistente AI, dedicata ai lavoratori autonomi del Regno Unito e agli autonomi italiani. È redatta in conformità al GDPR UE, al UK GDPR e al D.Lgs. 196/2003 (Codice Privacy) come modificato dal D.Lgs. 101/2018.
Il titolare del trattamento è Meranex Ltd (Regno Unito). Per qualsiasi questione relativa alla privacy puoi contattarci a privacy@vailto.com.
Quando siamo titolare e quando siamo responsabile. Per gli utenti persone fisiche e i lavoratori autonomi, Meranex è il titolare del trattamento dei tuoi dati personali. Tuttavia, quando un cliente-business — ad esempio uno studio di commercialisti (piano Pro Studio) — usa Vailto per trattare i dati personali dei propri clienti, è quel cliente-business il titolare di tali dati e Meranex agisce come responsabile del trattamento su sue istruzioni documentate, in base a un accordo sul trattamento dei dati (DPA). In questo scenario è il cliente-business, non Meranex, a determinare le finalità del trattamento ed è responsabile verso i propri clienti (gli interessati). In ogni caso, Vailto è un gateway che ti aiuta ad acquisire, organizzare e spostare i tuoi dati — non è il tuo sistema contabile di registrazione ufficiale.
| Categoria | Dati | Finalità | Base giuridica (GDPR) |
|---|---|---|---|
| Account | Email, nome opzionale, preferenze di lingua e regione fiscale | Creare e gestire il tuo account, autenticarti | Art. 6(1)(b) — esecuzione del contratto |
| I tuoi contenuti | Immagini di scontrini, dettagli di garanzie e prodotti, dati di acquisto / spesa, importi e valuta (originale ed eventuale conversione), date, categorie, note, contatti (destinatari), cronologia chat con l'assistente AI | Fornire il Servizio (archiviare, organizzare, cercare ed esportare i tuoi documenti) | Art. 6(1)(b) — esecuzione del contratto |
| Dati di dettaglio-acquisto (righe dello scontrino) | Quando la funzione è attiva, estraiamo dallo scontrino le singole voci acquistate: descrizione dell'articolo, marca (se stampata), prezzo per voce, quantità, categoria e sotto-categoria. Servono per il dettaglio-spesa, gli insight sui prezzi e l'osservatorio-acquisti. | Fornire le funzioni di analisi-spesa dai tuoi documenti (nulla da inserire a mano) | Art. 6(1)(b) — esecuzione del contratto |
| Rimborsi e condivisione (piani Pro / Pro Studio e Famiglia) | Se usi il flusso rimborsi o condividi con uno studio/una famiglia: stato del rimborso (inviato/approvato/pagato/rifiutato), esiti e motivi, chi ha deciso e quando, e le associazioni della spesa a un gruppo-cliente (studio) o a un pool-famiglia. Questi dati sono visibili ai membri autorizzati di quel gruppo (es. il tuo commercialista-approvatore o i membri della famiglia). | Far funzionare l'approvazione-rimborsi e la condivisione tra collaboratori/famiglia che tu attivi | Art. 6(1)(b) — esecuzione del contratto |
| Log tecnici e di utilizzo | Timestamp delle chiamate API, tracciamento utilizzo/costi AI, log degli errori | Far funzionare, mettere in sicurezza e correggere il Servizio; prevenire abusi | Art. 6(1)(f) — legittimo interesse |
| Analytics di prodotto | Visualizzazioni di pagina e interazioni con le funzioni | Comprendere l'utilizzo e migliorare il prodotto | Art. 6(1)(f) — legittimo interesse |
| Pagamenti (quando attivi) | Stato della sottoscrizione e Paese fiscale/di fatturazione — i dati della carta sono gestiti dal nostro fornitore di pagamenti, mai da noi | Gestire le sottoscrizioni e applicare l'imposta corretta | Art. 6(1)(b) — esecuzione del contratto; Art. 6(1)(c) — obbligo legale (fiscale) |
Quando scansioni uno scontrino o usi l'assistente conversazionale, il contenuto rilevante viene inviato al nostro fornitore AI terzo, che lo elabora per nostro conto come sub-responsabile. Legge i tuoi contenuti solo per estrarre o rispondere (ad es. leggere uno scontrino o rispondere a una domanda); richiediamo che i tuoi contenuti non vengano usati per addestrare i modelli del fornitore. Gli input possono essere conservati brevemente per controlli di trust & safety secondo la policy del fornitore, poi vengono eliminati. Questo fornitore può elaborare dati al di fuori di UE/UK; tali trasferimenti sono coperti da garanzie adeguate (vedi §9).
Impostazione predefinita — i tuoi dati restano nell'UE. Per impostazione predefinita, i tuoi scontrini e tutti i dati dell'account sono archiviati presso il nostro provider cloud in una regione UE (Irlanda). Con questa configurazione predefinita i tuoi dati archiviati non lasciano l'UE. Alcuni sub-responsabili (come l'elaborazione AI e i pagamenti) possono elaborare dati limitati al di fuori di UE/UK con le garanzie descritte nella §9.
BYOS — Bring Your Own Storage (opt-in). In alternativa al Vailto Cloud, puoi conservare le tue ricevute in uno spazio di archiviazione che controlli tu. Questa opzione è già disponibile oggi sui nostri piani a pagamento tramite Google Drive (un provider cloud) oppure un'archiviazione locale sul tuo dispositivo, e prevediamo di aggiungere altre opzioni nel tempo (ad esempio storage S3-compatible o self-hosted come un NAS). Se scegli un provider cloud, i file risiederanno nell'infrastruttura di quel provider, che può includere regioni al di fuori dell'UE, e saranno regolati dai termini di quel provider; se scegli l'archiviazione locale sul dispositivo, i tuoi file restano sul tuo dispositivo e non vengono trasferiti a noi né a terzi. Questa opzione è strettamente facoltativa (opt-in) e richiede il tuo consenso esplicito prima che qualsiasi dato venga spostato. Al collegamento di Google Drive vedrai il seguente avviso e dovrai prestare il consenso per proseguire:
"Selezionando Google Drive — i tuoi dati saranno archiviati nell'infrastruttura di Google, che può includere regioni al di fuori dell'UE. È necessario il tuo consenso per procedere."
Una volta che i tuoi dati raggiungono un provider o una persona che scegli tu, sono fuori dal nostro controllo. Se attivi il BYOS, o comunque inoltri o esporti i tuoi dati verso un provider di archiviazione, un commercialista o un altro servizio che scegli, Meranex non è responsabile del modo in cui quel provider, servizio o persona conserva, mette in sicurezza o utilizza i tuoi dati — ciò è regolato dal tuo rapporto con loro e dai loro termini. Meranex resta responsabile solo dei dati personali che tratta all'interno dei propri sistemi.
Condividiamo i dati solo con i fornitori fidati elencati di seguito, ciascuno dei quali agisce come responsabile / sub-responsabile in base a un accordo sul trattamento dei dati, ed esclusivamente per far funzionare il Servizio. Per ognuno indichiamo la funzione e la regione in cui opera:
| Fornitore | Funzione | Regione |
|---|---|---|
| Supabase | Database, archiviazione file e autenticazione | UE (Irlanda) |
| Vercel | Hosting applicazione e web analytics (metriche di pagina/prestazioni senza cookie) | Edge UE; CDN globale |
| Anthropic | Elaborazione AI di scontrini e chat — legge i contenuti solo per estrarre / rispondere; non usati per addestrare i modelli | USA — SCC / adeguatezza |
| Stripe | Pagamenti e calcolo imposte — i dati della carta sono gestiti direttamente da Stripe, mai conservati da noi | UE + USA — SCC |
| Resend | Email transazionali in uscita | UE + USA |
| Postmark | Email transazionali in entrata (scontrini inoltrati nell'app) | USA — SCC |
| PostHog | Analytics di prodotto (utilizzo funzioni; nessun dato personale, nessuna registrazione di sessione) | UE (Francoforte) |
| Sentry | Monitoraggio errori (lato client; testi/media mascherati, IP non raccolti) | UE |
| Cloudflare Turnstile | Protezione anti-bot all'accesso e alla registrazione | Edge globale |
| Backblaze B2 | Backup cifrati per il ripristino in caso di guasto | UE |
| Loops | Email di ciclo-vita dell'account | USA — SCC |
| Attio | CRM (email e nome del contatto) | UE / USA |
| Upstash | Rate-limiting anti-abuso (memorizza brevemente un IP) | UE |
| Plain | Ticket di supporto in-app | UK |
| Slack | Avvisi operativi interni — solo region/source/id, nessun dato identificativo e nessun contenuto utente | USA |
| Postcodes.io | Lookup indirizzo dal CAP digitato | UK |
| DVLA / gov.uk | Lookup veicolo dalla targa digitata | UK (governo) |
| Google (Accedi con Google) | Autenticazione e profilo base (nome, email, foto) quando scegli questo accesso | USA |
Questo elenco può cambiare. Possiamo aggiungere o sostituire fornitori con l'evoluzione del Servizio. Quando lo facciamo, aggiorniamo questo elenco e ne pubblichiamo qui la versione corrente; per i clienti-business con un DPA diamo preavviso di ogni modifica e la possibilità di opporsi. Fa fede la versione dell'elenco di volta in volta pubblicata qui.
Un provider cloud BYOS (es. Google Drive) diventa responsabile del trattamento solo se attivi quell'opzione; l'archiviazione locale sul dispositivo non comporta alcun responsabile del trattamento terzo.
Clienti-business (Pro Studio) — Accordo sul trattamento dei dati. Quando usi Vailto come impresa per trattare i dati personali dei tuoi clienti, Meranex agisce come tuo responsabile del trattamento. È disponibile un accordo sul trattamento dei dati (DPA), che incorpora le Clausole Contrattuali Standard UE e l'UK International Data Transfer Addendum ove pertinente, e che forma parte dei tuoi termini.
I nostri backup servono al nostro disaster recovery, non sostituiscono i tuoi. I backup che conserviamo esistono per permetterci di ripristinare il Servizio dopo un guasto; non sono un servizio di backup personale per te e non possono essere usati per annullare una cancellazione da te richiesta. Resti responsabile di conservare una tua copia dei dati tramite Impostazioni → Esporta i miei dati (vedi Termini §4).
In base al GDPR hai il diritto di:
Per esercitare un diritto, scrivi a privacy@vailto.com. Rispondiamo entro 30 giorni.
Quando un sub-responsabile elabora dati al di fuori di UE/UK (ad esempio l'elaborazione AI e i pagamenti negli USA, o servizi distribuiti a livello globale), ci basiamo su meccanismi di trasferimento leciti — le decisioni di adeguatezza UE/UK e le Clausole Contrattuali Standard (SCC) con l'Addendum UK per il trasferimento internazionale dei dati, oltre al EU-US Data Privacy Framework ove applicabile. Se attivi il BYOS con un provider cloud, i trasferimenti verso le regioni del provider da te scelto avvengono sulla base del tuo consenso esplicito (vedi §5); se scegli l'archiviazione locale sul dispositivo, non avviene alcun trasferimento a terzi.
L'app utilizza cookie minimi di prima parte per l'autenticazione di sessione. Per gli analytics web e di prodotto usiamo Vercel Analytics (privacy-friendly, senza cookie — metriche di pagina e prestazioni, nessun dato personale, nessun tracciamento cross-site) e PostHog (hosting UE, Francoforte) per gli analytics d'uso delle funzioni (nessun dato personale, nessuna registrazione di sessione). Gli errori applicativi sono monitorati tramite Sentry (UE, lato client; testi e media mascherati). Questi strumenti si basano sul nostro legittimo interesse a migliorare e mettere in sicurezza il Servizio; PostHog rispetta l'impostazione "Do Not Track" (DNT) del tuo browser — attivala per disattivare il tracciamento. Nell'app non usiamo profilazione comportamentale e non vendiamo mai i tuoi dati.
Attualmente non usiamo alcun pixel pubblicitario o di conversione (come Meta, Google Ads o LinkedIn) sulle nostre pagine, quindi non c'è alcun cookie pubblicitario da consentire. Se in futuro introdurremo misurazioni pubblicitarie, saranno soggette al tuo previo consenso ai cookie e aggiorneremo questa informativa. I pixel pubblicitari non sono comunque mai presenti nel cuore dell'app (gestione scontrini e dati).
Meranex ha sede nel Regno Unito, pertanto la nostra autorità di controllo capofila è l'Information Commissioner's Office (ICO) del Regno Unito. Se ritieni che non abbiamo gestito correttamente i tuoi dati, puoi presentare reclamo all'ICO su ico.org.uk. Puoi inoltre avere il diritto di presentare reclamo all'autorità di controllo del tuo Paese di residenza (in Italia, il Garante per la protezione dei dati personali).
Vailto non è destinato a minori di 18 anni. Non raccogliamo consapevolmente dati da minori. Se ritieni che lo abbiamo fatto, contattaci e li cancelleremo.
Possiamo aggiornare questa Informativa. Per modifiche sostanziali ti notificheremo via email e tramite banner in-app almeno 30 giorni prima dell'entrata in vigore della nuova versione.
Domande sulla privacy, o per esercitare i tuoi diritti: privacy@vailto.com.