Chiostro
Informativa sul trattamento dei dati personali
Versione 2.1 · 13 ottobre 2026. Fa fede la versione pubblicata a questo indirizzo.
Questa informativa spiega come IMANAGER S.R.L. tratta i dati personali di chi visita il sito e di chi usa Chiostro, un assistente di ricerca giuridica basato su un sistema di intelligenza artificiale, destinato a professionisti e imprese. È resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 («GDPR») e del d.lgs. 196/2003 («Codice privacy»).
1. Titolare del trattamento
IMANAGER S.R.L., Viale Monza 256, Milano (MI), P.IVA IT10275570967. Per ogni questione sui dati personali scrivete a ciao@chiostro.algon.one. Il titolare non ha nominato un responsabile della protezione dei dati (DPO).
2. Due ruoli diversi: i vostri dati e i dati dei vostri clienti
- I dati di chi usa il servizio (account, prova, abbonamento, fatturazione, newsletter, dati tecnici): per questi IMANAGER S.R.L. è titolare del trattamento, e valgono le regole di questa informativa.
- I dati dei clienti dello studio e di ogni altro terzo presenti nelle domande, nei documenti caricati e nei fascicoli: per questi il titolare è lo studio o l'impresa che usa il servizio, e IMANAGER S.R.L. li tratta solo per suo conto, come responsabile del trattamento ai sensi dell'art. 28 GDPR, secondo il punto 10 dei Termini e condizioni. Spetta allo studio informare i propri clienti e avere una base giuridica per caricarne i dati, comprese eventuali categorie particolari di dati o dati relativi a condanne penali e reati (artt. 9 e 10 GDPR).
- Se accedete a Chiostro tramite un editore o un'altra organizzazione che lo offre con il proprio marchio, l'informativa di quell'organizzazione indica chi è titolare dei vostri dati di account. Se è un collega del vostro studio ad abilitarvi, riceviamo da lui il vostro nome e la vostra email.
3. Quali dati trattiamo, perché e su quale base
- Account e accesso (nome, email, studio od organizzazione, identificativo dell'utenza): per creare l'accesso personale, mandare i collegamenti d'accesso via email e mantenere la sessione. Base giuridica: esecuzione del contratto o di misure precontrattuali (art. 6.1.b GDPR).
- Prova gratuita (nome, email, città, nazione; la città e la nazione servono a scegliere lingua e fonti e a valutare la richiesta): per attivare la prova e mandare il collegamento di benvenuto. Base giuridica: misure precontrattuali (art. 6.1.b). L'accettazione dei Termini e l'approvazione specifica delle clausole vengono registrate con data, testo e versione, per dimostrare il contratto (art. 6.1.b e c).
- Prevenzione degli abusi della prova: le richieste con un indirizzo email non valido o di un servizio di posta temporanea non vengono attivate; negli altri casi una verifica automatica (più prove dalla stessa casella, dalla stessa rete o dallo stesso studio, dati incompleti) può solo mettere la richiesta in attesa di un controllo umano. Per questo conserviamo un'impronta crittografica della rete di provenienza, calcolata con una chiave segreta: non conserviamo l'indirizzo IP. Potete sempre scriverci per chiedere un riesame. Base giuridica: legittimo interesse a prevenire l'uso fraudolento della prova (art. 6.1.f).
- Abbonamento e fatturazione (denominazione, partita IVA o codice fiscale, codice destinatario o PEC, indirizzo, piano scelto, pagamenti): per gestire il contratto, emettere le fatture elettroniche e adempiere agli obblighi fiscali. Base giuridica: esecuzione del contratto (art. 6.1.b) e obbligo di legge (art. 6.1.c).
- Pagamenti con carta (identificativo del cliente e dell'abbonamento presso Stripe, esito e importo dei pagamenti, marca e ultime quattro cifre della carta, calcolo dell'imposta): per incassare i pagamenti, gestire i rinnovi e la disdetta, tenere la contabilità. Il numero completo della carta lo raccoglie e lo tratta solo Stripe: noi non lo vediamo né lo conserviamo. Base giuridica: esecuzione del contratto (art. 6.1.b) e obbligo di legge (art. 6.1.c).
- Collegamento di un assistente di terzi (nome dell'applicazione collegata, data del collegamento e dell'ultimo uso, impronta crittografica del gettone di accesso, mai il gettone): per permettere il collegamento, mostrarne l'uso e ritirarlo. Il testo delle richieste che l'assistente invia è trattato come quello delle domande fatte dal servizio. Base giuridica: esecuzione del contratto (art. 6.1.b) e legittimo interesse alla sicurezza (art. 6.1.f).
- Contenuti professionali (domande, conversazioni, documenti caricati, fascicoli): per erogare le funzioni del servizio. Restano riservati all'utenza che li ha creati e non sono visibili ad altri utenti. Per i dati di terzi in essi presenti vale il punto 2. Base giuridica: esecuzione del contratto.
- Modulo di contatto (nome, email, messaggio): per rispondere. Base giuridica: misure precontrattuali o, per le richieste generiche, legittimo interesse a rispondere (art. 6.1.f).
- Aggiornamenti su Chiostro (newsletter) (email, nome, lingua): solo se avete spuntato la casella facoltativa, per mandarvi novità, fonti aggiunte e casi d'uso. Base giuridica: consenso (art. 6.1.a GDPR e art. 130 Codice privacy), revocabile in ogni momento dal collegamento presente in ogni email o scrivendo al titolare, senza conseguenze sull'accesso al servizio; la revoca non pregiudica la liceità del trattamento svolto prima. Del consenso conserviamo data, testo spuntato e provenienza, come prova (art. 7.1 GDPR).
- Dati tecnici e di sicurezza (tempi e conteggi delle richieste, esiti tecnici, identificativi di sessione, impronta della rete): per la sicurezza, la prevenzione degli abusi, i limiti d'uso e la diagnosi dei guasti. Non contengono il testo delle domande né dei documenti. Base giuridica: legittimo interesse alla sicurezza e al buon funzionamento del servizio (art. 6.1.f).
I dati contrassegnati come obbligatori nei moduli servono a fornire il servizio: senza, non è possibile attivare la prova o l'abbonamento. La casella della newsletter è sempre facoltativa e non è mai preselezionata.
4. Intelligenza artificiale e decisioni automatizzate
Chiostro genera risposte automaticamente a partire da fonti pubbliche dichiarate e dai documenti che caricate. Le risposte possono contenere errori od omissioni, non costituiscono parere legale e la valutazione professionale resta di chi le usa. Il servizio non prende decisioni basate unicamente su un trattamento automatizzato che producano effetti giuridici o incidano in modo analogo sulle persone (art. 22 GDPR). IMANAGER S.R.L. non usa i contenuti degli utenti per addestrare modelli di intelligenza artificiale.
Trasparenza e controllo umano (Regolamento (UE) 2024/1689). Interagite con un sistema di intelligenza artificiale e il servizio ve lo dice in ogni schermata e in ogni risposta (art. 50, par. 1); i testi esportati portano un'indicazione visibile e una marcatura leggibile da macchina che li identifica come generati con intelligenza artificiale (art. 50, par. 2). Ogni affermazione rimanda alla fonte da cui proviene, perché una persona possa verificarla. Chiostro non è destinato a usi ad alto rischio: sono esclusi quelli giudiziari, di autorità pubbliche, di selezione del personale e di polizia indicati nei Termini (punto 3). Non facciamo profilazione né decisioni automatizzate che producano effetti giuridici sulle persone (art. 22 GDPR); le domande e i documenti non servono ad addestrare i modelli, né i nostri né quelli dei fornitori, che per i servizi a pagamento lo escludono per contratto. Le richieste e le risposte restano nel vostro storico, e le cancellate quando volete.
5. Dove stanno i dati
L'infrastruttura è fornita da Cloudflare. Gli account, i fascicoli, i documenti caricati e le conversazioni sono conservati in archivi Cloudflare con residenza dei dati nell'Unione europea. Fuori da questi archivi esistono solo copie tecniche: gli indici di ricerca semantica dei documenti caricati (rappresentazioni numeriche dei testi), memorie temporanee delle elaborazioni e i dati di lavoro necessari a completare una risposta interrotta. Le elaborazioni avvengono nella rete di Cloudflare, anche in data center fuori dall'UE, e presso i fornitori di modelli indicati al punto 6.
Per i fornitori con sede negli Stati Uniti i trasferimenti avvengono sulla base della decisione di adeguatezza UE-USA (Data Privacy Framework) per i fornitori aderenti o, in mancanza, delle clausole contrattuali tipo approvate dalla Commissione europea (artt. 45 e 46 GDPR). Copia delle garanzie può essere richiesta al titolare.
6. A chi comunichiamo i dati
a) Responsabili del trattamento, che agiscono per conto del titolare e solo per le finalità indicate:
- Cloudflare, Inc. (USA, con infrastruttura nell'UE) — infrastruttura di calcolo e archiviazione, modelli di intelligenza artificiale eseguiti sull'infrastruttura del fornitore, gateway verso i modelli di terzi, invio delle email di servizio (collegamenti d'accesso, benvenuto, avvisi) e protezione anti-bot dei moduli (Turnstile).
- Anthropic, PBC e Google LLC (USA) — modelli di intelligenza artificiale raggiunti tramite il gateway di Cloudflare, che ne gestisce l'accesso per nostro conto, per alcune fasi della risposta: scomposizione della domanda, ricerca e ordinamento delle fonti e, per Google, la stesura della risposta. Ricevono il testo della domanda e i brani delle fonti necessari a quella fase; Google, che scrive la risposta, riceve anche i brani dei documenti caricati quando servono a rispondere. Le condizioni che questi fornitori applicano ai servizi API a pagamento escludono l'uso di questi dati per addestrare i modelli; i dati possono essere conservati per un periodo limitato a fini di sicurezza e prevenzione degli abusi.
- Brevo (Sendinblue SAS, Francia) — invio della newsletter, solo per chi ha dato il consenso: riceve email, nome e lingua, in un account dedicato a Chiostro e separato da ogni altra attività del titolare. Mai contenuti professionali.
- Make — inoltra al personale del titolare i campi del modulo di contatto e di richiesta di prova (nome, studio, email, messaggio). Non riceve contenuti professionali.
b) Servizi che scegliete voi — Google Drive, Agenda e Gmail; Dropbox; Microsoft OneDrive: li usate in base al vostro rapporto con quei fornitori, che restano titolari autonomi dei dati del vostro account presso di loro (punti 7 e 8).
Assistenti di terzi che collegate voi. Se collegate a Chiostro un assistente di intelligenza artificiale di un altro fornitore (per esempio Claude di Anthropic) tramite il connettore, quel fornitore riceve le fonti e le risposte che Chiostro restituisce alle vostre richieste e le tratta secondo la propria informativa, come titolare autonomo: non è un nostro responsabile del trattamento. Lo scegliete voi, e lo scollegate in ogni momento dalle sue impostazioni; potete anche chiederci di revocare l'accesso scrivendo a ciao@chiostro.algon.one.
c) Notifiche di assistenza — per le richieste di assistenza il personale riceve su Telegram un avviso con il solo codice del ticket e riferimenti tecnici: mai il testo della richiesta, né nomi, email o contenuti dei fascicoli. Le risposte che il personale scrive da Telegram transitano su Telegram: per questo non vi riporta dati personali né contenuti dei fascicoli.
d) Altri destinatari — consulenti contabili e fiscali, il fornitore della fatturazione elettronica e della conservazione, l'Agenzia delle Entrate tramite il Sistema di Interscambio, e le autorità quando la legge lo impone. Il personale del titolare accede ai contenuti professionali solo su richiesta dell'utente per assistenza, o quando lo impone la legge.
e) Pagamenti — Stripe Payments Europe, Ltd. (Irlanda), con la capogruppo Stripe, Inc. (USA): incassa i pagamenti con carta, gestisce gli abbonamenti e calcola l'imposta. Per l'esecuzione dei pagamenti, per la prevenzione delle frodi e per gli obblighi in materia di antiriciclaggio Stripe agisce come titolare autonomo e vi dà la sua informativa (stripe.com/it/privacy); per la parte di gestione dell'abbonamento che fa per nostro conto è nostro responsabile del trattamento. I trasferimenti verso gli Stati Uniti avvengono come descritto al punto 5.
7. Documenti importati da archivi di terzi
Potete allegare un documento prendendolo da Google Drive, Dropbox o OneDrive, oltre che dal vostro computer. In quel caso il file non passa dai nostri server: è il vostro browser a parlare direttamente con il fornitore scelto, a scaricare il documento indicato e a caricarlo qui come se fosse preso dal disco. Da quel momento quel documento segue le regole di ogni altro contenuto professionale.
- Il permesso di accesso resta nel vostro browser. Non lo riceviamo, non lo conserviamo e non possiamo usarlo.
- Vediamo il documento che indicate, non l'archivio. A Google chiediamo il permesso più stretto che esista (drive.file): vale per i soli file che aprite voi in quel momento.
- Il fornitore registra l'accesso secondo le proprie regole: il rapporto fra voi e Google, Dropbox o Microsoft resta governato dalle loro informative.
- Per Drive non è un collegamento permanente, e lo stesso vale per Dropbox e OneDrive: ogni importazione è un gesto singolo, che parte da voi e finisce con il file caricato. Il collegamento continuativo esiste solo per Agenda e Gmail, se lo attivate voi (punto 8).
8. Collegamenti facoltativi con Google Agenda e Gmail
Su vostra richiesta, Chiostro può collegarsi alla vostra agenda e alla vostra posta Google. Il collegamento è facoltativo e si interrompe quando volete dalla pagina Connettori («Stacca») o dal vostro account Google.
- Che cosa chiediamo. Per l'agenda il permesso di leggere e scrivere eventi (calendar.events): serve a mostrare le scadenze del fascicolo e a scriverle in agenda. Per la posta il solo permesso di lettura (gmail.readonly): serve a elencare i messaggi con allegati e a portare in un fascicolo l'allegato scelto. Non inviamo, non modifichiamo, non cancelliamo messaggi.
- Che cosa conserviamo. L'autorizzazione di accesso differito rilasciata da Google (refresh token), cifrata, nel nostro archivio europeo, finché non staccate il collegamento. Dei messaggi conserviamo solo l'allegato che avete deciso di portare nel fascicolo; il corpo dei messaggi non viene salvato.
- Che cosa non facciamo. I dati ottenuti dalle API di Google non vengono usati per pubblicità, non vengono venduti né ceduti, e non vengono usati per addestrare modelli. L'uso e il trasferimento a Chiostro delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, inclusi i requisiti di Limited Use.
- Chi li vede. Solo voi, dentro la vostra utenza; il personale di Chiostro non vi accede, salvo vostra richiesta di assistenza.
9. Quanto conserviamo i dati
- Account e contenuti professionali: per tutta la durata del contratto; alla sua cessazione restano esportabili per 30 giorni e vengono poi cancellati dai sistemi attivi.
- Prova gratuita non diventata abbonamento: l'utenza e i contenuti caricati vengono cancellati entro 30 giorni dalla fine della prova, che dura al massimo 3 mesi.
- Richieste di prova e richieste dal modulo di contatto: 12 mesi, poi si cancellano automaticamente; servono anche a impedire prove ripetute.
- Collegamenti d'accesso via email: valgono 30 minuti (24 ore il benvenuto della prova) e una volta sola; se ne conserva solo l'impronta, cancellata 30 giorni dopo la scadenza.
- Dati tecnici e di sicurezza: 12 mesi, poi si cancellano automaticamente.
- Dati di fatturazione: 10 anni, come impone la legge (art. 2220 c.c.).
- Newsletter: fino alla revoca del consenso. Il registro dei consensi e delle accettazioni dei Termini si conserva finché serve a dimostrarli.
- Copie di sicurezza: i dati cancellati restano nelle copie di sicurezza al massimo 30 giorni; se una copia viene ripristinata, le cancellazioni già fatte vengono riapplicate.
10. I vostri diritti
In ogni momento potete chiedere l'accesso ai vostri dati, la rettifica, la cancellazione, la limitazione del trattamento e la portabilità (artt. 15-20 GDPR), e revocare il consenso dato per la newsletter. Scrivete a ciao@chiostro.algon.one: rispondiamo entro un mese, prorogabile di due nei casi complessi (art. 12 GDPR).
Diritto di opposizione. Potete opporvi in qualsiasi momento, per motivi connessi alla vostra situazione particolare, ai trattamenti basati sul legittimo interesse, come la sicurezza e la prevenzione degli abusi (art. 21 GDPR).
Avete sempre il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma — garanteprivacy.it) o all'autorità del Paese in cui vivete o lavorate. Per i dati dei clienti dello studio (punto 2) le richieste vanno rivolte allo studio, che ne è titolare: se ci arrivano direttamente, le inoltriamo allo studio senza ritardo.
11. Minori
Il servizio è destinato a professionisti e imprese e non è rivolto a minori di 18 anni.
12. Modifiche
Questa informativa può essere aggiornata. La versione in vigore è quella pubblicata a questo indirizzo, con la data in alto; le modifiche rilevanti vengono comunicate agli utenti via email o all'interno del servizio prima che si applichino.