INFORMATIVA SULLA PRIVACY DI GRABLO
Data di entrata in vigore: 7 maggio 2026 (in vigore originariamente dall'8 agosto 2025; disposizioni relative ai dati di fatturazione modificate con effetto dal 1° ottobre 2026)
FINALITÀ DELLA PRESENTE INFORMATIVA
Ci impegniamo a rispettare e tutelare il diritto alla privacy dei nostri utenti. La presente informativa sulla privacy (l'"Informativa") illustra le modalità con cui Grablo Inc. e le sue società affiliate ("Grablo" o "noi") raccolgono, utilizzano, condividono e proteggono i dati personali dell'utente quando questi utilizza i nostri Servizi. I termini con iniziale maiuscola non definiti nella presente Informativa hanno il significato attribuito loro nei nostri Termini di servizio. Grablo è una società costituita ai sensi delle leggi della Repubblica di Corea.
SINTESI
In breve:
- Raccogliamo un insieme minimo di dati personali: principalmente dati dell'account, dati dell'accesso con account social, contenuti creati dall'utente e informazioni necessarie al funzionamento di specifiche funzionalità
- Non facciamo transitare la voce o l'audio dell'utente attraverso i nostri server (le chiamate TTS/STT partono direttamente dal Controller dell'utente verso i fornitori terzi, con le chiavi dell'utente)
- Non memorizziamo l'indirizzo IP, il browser o l'impronta digitale del dispositivo dell'utente nel database dell'applicazione
- Non utilizziamo strumenti di analisi o di tracciamento pubblicitario (nessun Google Analytics, Sentry o strumento analogo)
- Non vendiamo i dati personali dell'utente
- Non conserviamo le credenziali di pagamento in chiaro (numeri di carta o di conto bancario); i pagamenti dei servizi a pagamento sono elaborati da fornitori di servizi di pagamento esterni e conserviamo solo registrazioni minime delle transazioni
- Rispettiamo il Personal Information Protection Act (PIPA) coreano e, ove applicabili, il GDPR dell'UE e del Regno Unito e le leggi statali statunitensi in materia di privacy (CCPA/CPRA e analoghe)
1. AMBITO DI APPLICAZIONE DELLA PRESENTE INFORMATIVA
La presente Informativa si applica a tutti gli utenti dei Servizi Grablo (i "Servizi"), inclusi grablo.co, le nostre applicazioni mobili, il software Grablo Controller e il Servizio Galleria e Community. Accedendo ai Servizi o utilizzandoli, l'utente conferma di aver letto la presente Informativa.
2. DATI PERSONALI RACCOLTI
2.1 Informazioni fornite dall'utente
- Indirizzo email (obbligatorio)
- Nome (obbligatorio)
- Password (obbligatoria per la creazione dell'account con credenziali; memorizzata come hash bcrypt unidirezionale)
- Dati dell'accesso con account social (solo se l'utente sceglie di accedere con Google, Naver, Kakao o Apple): l'identificativo (externalId), l'email e il nome (o nickname) comunicati dal fornitore con il consenso dell'utente, nonché un refresh token, se restituito dal fornitore (utilizzato per mantenere l'accesso dell'utente)
- Facoltativi: immagine del profilo (caricata dall'utente, massimo 5 MB), indicatore del consenso alle comunicazioni di marketing
2.2 Contenuti creati dall'utente
- Dati di progetto: programmi a blocchi, logiche, configurazioni delle dashboard
- Post degli utenti nella Galleria e nella Community: titoli, descrizioni, immagini allegate (copertina/miniatura), commenti, "mi piace", segnalibri
- Condivisione dei progetti: indirizzo email del destinatario, quando l'utente condivide tramite email
- Richieste di assistenza clienti
2.3 Informazioni trattate solo quando si utilizza una funzionalità
- Token push (FCM per Android, APNs per iOS): solo se l'utente installa l'app mobile e consente le notifiche
- Utilizzo del traffico TURN: byte cumulativi (azzerati ogni mese) utilizzati per la gestione della quota quando l'utente utilizza lo streaming video P2P WebRTC
- Contatori della quota: spazio di archiviazione dei file utilizzato / numero di progetti
- Dati di fatturazione: solo se l'utente acquista un servizio a pagamento: prodotto acquistato (piano in abbonamento o modello a pagamento), importo e valuta, data e ora dei pagamenti, tipo di metodo di pagamento, identificativi della transazione e della fatturazione ricorrente del fornitore di servizi di pagamento, nonché registrazioni di rimborsi e annullamenti. Le credenziali di pagamento in chiaro (numeri di carta o di conto bancario) sono gestite dal fornitore di servizi di pagamento e non vengono mai raccolte né conservate da Grablo.
2.4 Informazioni generate dal funzionamento del servizio
- Sessione di accesso e cookie (si veda la Sezione 14): per mantenere l'accesso dell'utente e memorizzarne le preferenze
- Data e ora delle attività dell'account (ultimo accesso, modifica della password)
- Preferenze dell'utente (lingua, tema, ultimo progetto visitato, preferiti)
2.5 Dati sensibili e dati biometrici
- Non raccogliamo sui nostri server categorie particolari di dati personali (dati sensibili o biometrici).
- Se l'utente utilizza le Funzionalità di analisi AI (riconoscimento facciale, impronte digitali, ecc.) sul proprio Controller, i dati di registrazione biometrica vengono creati e memorizzati in locale sul Controller dell'utente e non vengono trasmessi a Grablo.
2.6 Dati che NON trattiamo
- Dati vocali / audio: le chiamate TTS (sintesi vocale) e STT (riconoscimento vocale) partono direttamente dal Controller dell'utente verso il fornitore terzo (ad esempio Google Cloud, OpenAI, ElevenLabs) utilizzando le chiavi API dell'utente. L'audio non transita mai attraverso i server di Grablo e non viene registrato.
- Indirizzo IP, impronta digitale del browser, identificativo del dispositivo: non vengono memorizzati nel database dell'applicazione.
- Analisi / tracciamento pubblicitario: nessun Google Analytics, Sentry o strumento analogo.
- Dati sulla posizione: non vengono raccolti.
- Credenziali di pagamento in chiaro: i numeri di carta e di conto bancario sono elaborati da fornitori di servizi di pagamento esterni e non vengono mai conservati da Grablo (si veda la Sezione 2.3, Dati di fatturazione).
2.7 Comunicazione tra browser e Controller
I dati di comunicazione tra il browser dell'utente e i dispositivi Controller non transitano né vengono memorizzati sui server di Grablo. Il video P2P WebRTC può essere inoltrato tramite Cloudflare TURN quando la connessione diretta non è disponibile; la segnalazione (metadati SDP/ICE) viene scambiata tramite il nostro broker MQTT (si veda la Sezione 8).
3. MODALITÀ DI RACCOLTA DEI DATI PERSONALI
- Direttamente dall'utente (creazione dell'account, modifica del profilo, accesso con account social, pubblicazione di contenuti, richieste di assistenza)
- Da fornitori terzi di servizi di identità, quando l'utente sceglie l'accesso con account social (Google / Naver / Kakao / Apple)
- Generati dal funzionamento del servizio (sessione, cookie, stato delle preferenze)
4. FINALITÀ E BASI GIURIDICHE DEL TRATTAMENTO
| Finalità | Base giuridica ai sensi dell'art. 6 del GDPR | Base giuridica ai sensi del PIPA coreano |
|---|---|---|
| Creazione e gestione dell'account; identificazione dell'utente; fornitura del servizio (hosting dei Dati di progetto, Galleria, notifiche push, condivisione dei progetti) | Esecuzione di un contratto (6(1)(b)) | Art. 15(1)4 PIPA: contratto |
| Assistenza clienti, comunicazioni relative al servizio | Esecuzione di un contratto (6(1)(b)) | Art. 15(1)4 PIPA |
| Sicurezza del servizio, prevenzione delle frodi, contrasto agli abusi, risoluzione delle controversie | Legittimo interesse (6(1)(f)) / obbligo legale (6(1)(c)) | Art. 15(1)2/6 PIPA |
| Adempimento di obblighi di legge | Obbligo legale (6(1)(c)) | Art. 15(1)2 PIPA |
| Comunicazioni di marketing (newsletter, inviti a eventi) | Consenso (6(1)(a)), raccolto separatamente e revocabile | Art. 15(1)1 PIPA |
Non adottiamo decisioni automatizzate che producano effetti giuridici o effetti analogamente significativi e non effettuiamo profilazione individuale a fini di marketing.
5. MODALITÀ DI CONDIVISIONE DEI DATI PERSONALI
5.1 Non vendiamo dati personali
Non vendiamo, noleggiamo né scambiamo i dati personali dell'utente. Ai sensi del California Consumer Privacy Act (CCPA/CPRA) e di analoghe leggi statali statunitensi, non "vendiamo" né "condividiamo" dati personali per finalità di pubblicità comportamentale cross-context.
5.2 Fornitori di servizi (responsabili del trattamento)
Condividiamo informazioni con i responsabili del trattamento terzi elencati nella Sezione 8 per il funzionamento dei Servizi. Ciascuno di essi è contrattualmente vincolato a trattare i dati personali esclusivamente secondo le nostre istruzioni e a proteggerli.
5.3 Comunicazioni imposte dalla legge
Possiamo comunicare dati personali quando ciò sia richiesto dalla legge, da un provvedimento giudiziario o da una richiesta delle autorità di regolamentazione, oppure per tutelare diritti, sicurezza e beni.
5.4 Operazioni societarie
Qualora Grablo sia coinvolta in una fusione, un'acquisizione, una cessione di beni o un'operazione analoga, i dati personali possono essere trasferiti nel rispetto degli obblighi di riservatezza e della legge applicabile.
5.5 Informazioni aggregate / anonimizzate
Possiamo condividere informazioni aggregate o anonimizzate che non consentono di identificare alcuna persona.
6. PERIODO DI CONSERVAZIONE DEI DATI PERSONALI
| Categoria | Conservazione |
|---|---|
| Informazioni dell'account | Fino all'eliminazione dell'account, dopodiché vengono eliminate senza ritardo |
| Dati di progetto e Post degli utenti | Fino alla loro eliminazione da parte dell'utente o alla chiusura dell'account |
| Token push | Fino alla scadenza del token o alla sua revoca all'uscita dall'account |
| Immagine del profilo / immagini dei post (Cloudflare R2) | Fino all'eliminazione del record a cui si riferiscono |
| Contatore di utilizzo TURN | Cumulativo; azzerato ogni mese alla data di anniversario dell'account |
| Registrazioni per la prevenzione degli abusi | Fino a 1 anno dall'eliminazione dell'account |
| Copie di backup | Fino a 90 giorni dall'eliminazione del record a cui si riferiscono |
| Registrazioni di reclami dei consumatori e controversie | 3 anni (Act on the Consumer Protection in Electronic Commerce della Corea) |
| Registrazioni di contratti e di revoche delle offerte | 5 anni (Act on the Consumer Protection in Electronic Commerce della Corea) |
| Registrazioni di pagamenti e di fornitura di beni/servizi | 5 anni (Act on the Consumer Protection in Electronic Commerce della Corea) |
| Registrazioni di transazioni finanziarie elettroniche | 5 anni (Electronic Financial Transactions Act della Corea) |
7. DIRITTI DELL'UTENTE
Nei limiti previsti dalla legge applicabile (PIPA coreano, GDPR dell'UE e del Regno Unito, CCPA/CPRA e normative analoghe):
- Accesso: ricevere una copia dei dati personali che conserviamo sull'utente
- Rettifica: correggere dati inesatti o incompleti
- Cancellazione: eliminare i propri dati, fatte salve le eccezioni di conservazione previste dalla legge
- Limitazione: limitare il trattamento in determinate circostanze
- Opposizione: opporsi al trattamento basato sul legittimo interesse, incluso il marketing diretto
- Portabilità: ricevere i propri dati in un formato strutturato, di uso comune e leggibile da dispositivo automatico
- Revoca del consenso: in qualsiasi momento, quando il consenso costituisce la base giuridica (senza pregiudicare il trattamento precedente)
- Nessuna decisione automatizzata: non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato che produca effetti giuridici o effetti analogamente significativi (al momento non adottiamo tali processi decisionali automatizzati)
- Diritto di proporre reclamo all'autorità di controllo del paese di residenza (in Corea: PIPC, www.pipc.go.kr)
Per esercitare i propri diritti, l'utente può contattarci all'indirizzo support@grablo.co. Rispondiamo entro i termini previsti dalla legge applicabile (in genere 10 giorni ai sensi del PIPA coreano, 30 giorni ai sensi del GDPR). Possiamo verificare l'identità dell'utente.
8. RESPONSABILI DEL TRATTAMENTO
| Responsabile del trattamento | Finalità | Categorie di dati trattati | Paese | Conservazione |
|---|---|---|---|---|
| Cloudflare, Inc. | Archiviazione delle immagini (R2) e inoltro WebRTC TURN | Immagini caricate (immagine del profilo, copertine dei post); metadati delle sessioni TURN | Stati Uniti / rete edge globale | R2: fino all'eliminazione del record / TURN: non conservati oltre il trattamento |
| Google LLC (Firebase) | Notifiche push Android (FCM) | Token push, metadati delle notifiche | Stati Uniti | Fino alla scadenza o alla revoca del token |
| Apple Inc. (APNs) | Notifiche push iOS | Token push, metadati delle notifiche | Stati Uniti | Fino alla scadenza o alla revoca del token |
| Namecheap, Inc. (PrivateEmail) | Email in uscita da Grablo (verifica alla creazione dell'account, reimpostazione della password, ecc.) | Indirizzo del destinatario, corpo del messaggio | Stati Uniti | Non conservati oltre il recapito |
| Google LLC | Accesso con Google | Identificativo OAuth, email, nome, refresh token | Stati Uniti | Fino all'eliminazione dell'account o allo scollegamento dell'accesso con account social |
| NAVER Corp. | Accesso con Naver | Identificativo OAuth, email, nome | Repubblica di Corea | Fino all'eliminazione dell'account o allo scollegamento dell'accesso con account social |
| Kakao Corp. | Accesso con Kakao | Identificativo OAuth, email, nickname | Repubblica di Corea | Fino all'eliminazione dell'account o allo scollegamento dell'accesso con account social |
| Apple Inc. | Accedi con Apple | Identificativo OAuth, email (anche tramite indirizzo di inoltro), nome | Stati Uniti | Fino all'eliminazione dell'account o allo scollegamento dell'accesso con account social |
L'elaborazione dei pagamenti e la fatturazione ricorrente dei servizi a pagamento sono affidate a un fornitore di servizi di pagamento esterno, che sarà aggiunto alla presente tabella al momento dell'incarico. I pagamenti degli utenti al di fuori della Corea possono essere gestiti da un merchant of record, che sarà parimenti indicato qui al momento della sua introduzione.
Aggiorniamo la presente tabella quando aggiungiamo, rimuoviamo o cambiamo responsabili del trattamento.
Nota sui servizi di terzi che l'utente utilizza direttamente tramite il proprio Controller (ad esempio Google Cloud / OpenAI / ElevenLabs per TTS/STT, bot Telegram gestiti dall'utente, Home Assistant): si tratta di servizi con cui l'utente stipula direttamente un contratto e che richiama con le proprie credenziali; non sono responsabili del trattamento di Grablo e il relativo trattamento è disciplinato dai loro termini e dalle loro informative sulla privacy.
9. TRASFERIMENTI INTERNAZIONALI
Alcuni dei responsabili del trattamento sopra indicati hanno sede al di fuori del paese di residenza dell'utente. Quando trasferiamo dati personali al di fuori della Corea o del SEE/Regno Unito, ci avvaliamo di:
- Decisioni di adeguatezza, ove applicabili
- Clausole contrattuali tipo (SCC) approvate dalla Commissione europea, con misure supplementari ove necessario
- Consenso esplicito dell'utente per trasferimenti specifici, quando richiesto dall'art. 28-8 del PIPA coreano
L'utente può opporsi ai trasferimenti internazionali; in tal caso, la relativa funzionalità (notifiche push, accesso con account social, caricamento di immagini, video P2P) potrebbe non essere disponibile.
10. MISURE DI SICUREZZA
Ai sensi dell'art. 29 del PIPA coreano e dell'art. 30 del relativo decreto attuativo:
- Amministrative: responsabile della protezione dei dati personali, piano di gestione interna, formazione periodica del personale, principio dell'accesso minimo necessario
- Tecniche: hash bcrypt unidirezionale delle password, crittografia TLS dei dati in transito, controlli degli accessi, monitoraggio del malware, crittografia AES-256 delle credenziali memorizzate sul Controller
- Fisiche: controlli degli accessi e dispositivi di chiusura protetti presso le strutture che ospitano i server
Nessuna trasmissione via Internet è completamente sicura; non possiamo garantire una sicurezza assoluta, ma applichiamo misure di protezione conformi agli standard di settore.
11. NOTIFICA DELLE VIOLAZIONI DEI DATI PERSONALI
In caso di violazione dei dati personali che interessi le informazioni dell'utente, informeremo gli utenti interessati senza ingiustificato ritardo (entro 72 ore, ove richiesto dagli artt. 33-34 del GDPR o dall'art. 34 del PIPA coreano) e, ove richiesto, ne daremo notifica all'autorità di controllo competente. La comunicazione indicherà le categorie di dati interessate, il momento e le circostanze della violazione, le azioni consigliate agli utenti, le misure da noi adottate e i punti di contatto.
12. PRIVACY DEI MINORI
Applichiamo le seguenti soglie di età in base al paese di residenza:
- Repubblica di Corea: minori di 14 anni; la raccolta richiede il consenso del tutore legale (art. 22-2 PIPA)
- Stati Uniti (COPPA): minori di 13 anni; non raccogliamo consapevolmente dati personali
- UE/SEE (art. 8 GDPR): minori di 16 anni (o dell'età inferiore stabilita dal relativo Stato membro, comunque non inferiore a 13 anni); la raccolta richiede il consenso del genitore
Chi ritiene che il proprio figlio ci abbia fornito dati personali senza un consenso valido può contattare support@grablo.co: provvederemo a eliminare i dati senza ritardo.
13. AUTORIZZAZIONI DELL'APP MOBILE
Ai sensi dell'art. 22-2 dell'Information and Communications Network Act della Corea:
- Obbligatorie: notifiche (invio delle notifiche push)
- Facoltative: fotocamera (foto del profilo), foto / archiviazione (immagine del profilo e immagini dei post), microfono (streaming audio con il Controller)
L'utente può revocare in qualsiasi momento le autorizzazioni facoltative dalle impostazioni del dispositivo; la relativa funzionalità verrà di conseguenza disattivata.
14. COOKIE E TECNOLOGIE SIMILI
Utilizziamo cookie per la gestione essenziale della sessione (stato di accesso) e per memorizzare le preferenze dell'utente (lingua, tema, banner chiusi). Non utilizziamo cookie di analisi o di tracciamento pubblicitario.
L'utente può gestire i cookie dalle impostazioni del browser. Il blocco dei cookie essenziali limita l'accesso alle funzionalità che richiedono l'accesso all'account.
Istruzioni per i singoli browser:
- Edge: Impostazioni > Cookie e autorizzazioni sito > Gestisci ed elimina cookie e dati del sito
- Chrome: Impostazioni > Privacy e sicurezza > Cookie e altri dati dei siti
- Firefox: Impostazioni > Privacy e sicurezza > Cookie e dati dei siti web
- Safari: Preferenze > Privacy > Gestisci dati siti web
- Whale: Impostazioni > Privacy > Cookie e altri dati dei siti
15. MODIFICHE ALLA PRESENTE INFORMATIVA
Possiamo modificare la presente Informativa. Per le modifiche sostanziali daremo comunicazione sul Sito Grablo, via email o tramite notifica all'interno del Servizio almeno 30 giorni prima della data di entrata in vigore (o 7 giorni per le modifiche non sostanziali). Qualora la legge locale richieda un preavviso più lungo o procedure specifiche, prevalgono tali requisiti.
16. RESPONSABILE DELLA PROTEZIONE DEI DATI PERSONALI E CONTATTI
Grablo Inc. Responsabile della protezione dei dati personali: Young-Min Kim (CEO) Indirizzo: 8, Dunsan-ro, Seo-gu, Daejeon, Repubblica di Corea Email: support@grablo.co Sito web: grablo.co
17. AUTORITÀ DI CONTROLLO
Per i residenti in Corea:
- Personal Information Protection Commission (PIPC): www.pipc.go.kr
- Personal Information Dispute Mediation Committee: 1833-6972 (www.kopico.go.kr)
- Privacy Infringement Report Center della Korea Internet & Security Agency (KISA): 118 (privacy.kisa.or.kr)
Gli utenti nell'UE/SEE possono rivolgersi alla propria autorità nazionale per la protezione dei dati.
Ultimo aggiornamento: 7 maggio 2026