BiVelio Shield — Informativa sulla privacy

1. In breve

• L'unico compito dell'estensione è mantenere i tuoi dati sulla tua macchina. Nel livello gratuito non invia nulla a BiVelio né ad alcun terzo.
• I tuoi prompt vengono ispezionati e oscurati in locale, nel tuo browser, prima di raggiungere il provider AI che hai scelto (ChatGPT / Claude). Il provider riceve token segnaposto al posto dei tuoi valori sensibili — è proprio questo il punto.
• Nessun account, nessuna registrazione, nessuna analitica, nessuna pubblicità. Non raccogliamo, vendiamo, noleggiamo né condividiamo i tuoi dati personali.
• Un’eccezione, in qualsiasi piano a pagamento — Pro o Team: se la tua organizzazione ha un gateway dei nomi — incluso nel piano Team, o configurato dalla sua amministrazione nel criterio centrale —, il testo di ogni messaggio che invii — e qualsiasi testo di 1.000 caratteri o più che incolli nella casella di scrittura della chat, nel momento in cui lo incolli — va a quel gateway, che risponde con le posizioni dei dati personali che rileva — nomi e luoghi, e anche recapiti, identificativi, dati finanziari, indirizzi di rete, segreti e termini di categoria particolare dell’art. 9 GDPR — e non conserva nulla.

Ambito: quale documento stai leggendo

• Questa informativa riguarda l'estensione per browser BiVelio Shield e nient'altro. È il documento a cui rimanda la scheda sul Chrome Web Store.
• Il sito web da cui potresti averla scaricata, l'account, il piano team e il Sandbox sono coperti dall'informativa sulla privacy separata del sito web e dell'account.
• I documenti legali su bivelio.com sono a livello di società e descrivono altri prodotti BiVelio. Non descrivono l'estensione.

2. Quali dati tratta l'estensione, e dove restano

Quando chiudi completamente il browser, la chiave di cifratura in memoria viene eliminata, il vault archiviato diventa indecifrabile e le conversazioni più vecchie si de-identificano tornando a token opachi. È intenzionale.

3. Cosa oscura in locale il livello gratuito

Prima che il tuo prompt lasci il browser, il motore deterministico rileva e sostituisce:

• Email e numeri di telefono
• Numeri di carte di credito (validati con Luhn)
• IBAN e coordinate bancarie (validati con mod-97)
• Documenti d'identità nazionali — DNI / NIE / CIF spagnoli, SSN statunitense e altri
• Chiavi API e segreti — OpenAI, AWS, GitHub, Stripe, Slack e altri
• Indirizzi IP
• Termini sanitari, religiosi, biometrici e genetici — un lessico multilingue curato (categorie particolari dell'art. 9 del GDPR)

Ambito onesto: per mantenere alta la precisione, gli identificatori strutturati sono validati dal loro codice di controllo, quindi un valore ben formato ma non valido può passare a meno che non attivi “Oscura per forma” (sotto). Il livello gratuito oscura i termini dell'art. 9 del suo lessico curato, ma NON rimuove nomi di persone, indirizzi né testo libero in generale — non esiste uno schema fisso, e una formulazione dell'art. 9 non presente nel lessico passerà ugualmente. Nomi e contesto vengono cercati su una sola via: quando la tua organizzazione ha un gateway dei nomi — incluso nel piano Team, o impostato dalla sua amministrazione nel criterio centrale su qualsiasi piano a pagamento, Pro o Team —, il testo di ogni messaggio viene inviato a quel gateway, che risponde con le posizioni dei dati personali che rileva — un livello che riduce la fuga dei nomi e che, misurato, non la elimina (vedi «Nomi tramite il gateway della tua organizzazione», sotto). Senza gateway per nessuna delle due vie l’estensione non cerca nomi in nessun livello. Il difetto opposto non dipende da quell'interruttore: un identificatore viene validato dopo la rimozione dei separatori, quindi una corrispondenza con codice di controllo valido può inghiottire le parole vicine — misurato, «BTW NL123456789B01 on file» porta sei caratteri della tua frase dentro il segnaposto. Al fornitore non arriva nulla in più (vede meno di quanto hai scritto), ma il prompt è alterato senza avviso.

4. L'impostazione facoltativa «Oscura in base alla forma»

Puoi attivare «Oscura in base alla forma» nel popup per nascondere anche gli identificatori che assomigliano a un IBAN, una carta o un documento ma non superano il loro checksum (ad esempio un numero digitato male). È disattivata per impostazione predefinita, gira comunque interamente in locale, e ti diciamo chiaramente che potrebbe oscurare in eccesso elementi come numeri d'ordine, marche temporali o codici di tracciamento. La scelta è tua.

5. Cosa l'estensione NON fa

• Non invia a BiVelio i tuoi messaggi, i valori che oscura né i token che li sostituiscono — con un’eccezione dichiarata: quando la tua organizzazione è sulla via dei nomi verso un gateway che BiVelio gestisce per essa in base a un accordo sul trattamento dei dati — incluso nel piano Team, o perché la sua amministrazione vi ha puntato l’estensione —, il testo di ogni messaggio raggiunge quel servizio esattamente come l’hai scritto, prima che venga eseguito l’oscuramento locale, e risponde con le posizioni e il testo corrispondente dei dati personali che rileva — termini di categoria particolare dell’art. 9 GDPR inclusi — e non conserva nulla. I valori e i token restano nel tuo browser su ogni via.
• Non utilizza tracker, cookie, SDK di analitica o pubblicità.
• Non legge né interviene su alcun sito web diverso dai siti di chat AI supportati (vedi Autorizzazioni). Solo tre indirizzi possono ricevere qualcosa da essa: l’endpoint di licenza dove vanno il controllo della postazione di Pro e Team e il rapporto aggregato orario — licensing.bivelio.com, a meno che la tua licenza non porti il proprio indirizzo di control plane, nel qual caso vanno lì —; privacy.bivelio.com, e solo dopo che un controllo ha risposto che la licenza è revocata, per scambiare quel token revocato con la licenza che la tua organizzazione ha ora — viene inviato soltanto il token revocato, e al massimo una volta al giorno —; e il gateway dei nomi della tua organizzazione — l’indirizzo che porta la sua licenza Team, o quello che la sua amministrazione ha impostato nel criterio centrale —, e solo per inviare il testo del messaggio e ricevere posizioni. Non accede alla tua cronologia di navigazione, ad altre schede o ai tuoi file.
• Non vende né condivide dati personali, e non usa mai i tuoi dati per determinare l'affidabilità creditizia o per la concessione di prestiti.
• Non protegge la modalità vocale né il tempo reale. Redige il testo che digiti; un turno parlato in ChatGPT Advanced Voice o nella voce di Claude viaggia su una connessione audio dal vivo separata che l'estensione non vede mai — e uno strumento testuale non può redigere l'audio. Scrivi, non parlare, quando un turno contiene dati sensibili.
• Non copre il compositore «Cowork» di Claude. L'estensione oscura l'invio normale della chat di Claude; Cowork scrive su un endpoint diverso (`PUT /v1/code/sessions/…`) che l'estensione lascia intenzionalmente intatto, perché quel payload è codice e configurazione di sessione, non prosa. Considera non protetto tutto ciò che scrivi in Cowork.
• Non ispeziona file, immagini o allegati nei piani Gratis e Pro: un documento caricato, un PDF o un passaporto fotografato arrivano al provider così come sono, e un avviso te lo segnala. Il piano Team redige i file di testo e i documenti PDF / Word / Excel / PowerPoint nel tuo browser prima del caricamento; scansioni, immagini e altri file illeggibili chiedono sempre prima di uscire senza protezione.

6. Autorizzazioni, e perché l'estensione ne ha bisogno

storage

per conservare l'interruttore on/off, l'impostazione «Oscura in base alla forma», il contatore privo di valori e il vault cifrato (chiave conservata in memoria, mai su disco) descritti sopra.

scripting

per reiniettare lo script di redazione locale in una scheda di chat IA già aperta quando l'estensione è stata installata o aggiornata. Senza questo permesso quelle schede resterebbero non protette finché non le ricarichi a mano. Può essere eseguito solo sui siti autorizzati elencati qui sotto.

Accesso agli host chatgpt.com, chat.openai.com, claude.ai

per eseguire l'oscuramento locale solo su quei siti di chat AI.

alarms

(Pro) per pianificare il controllo periodico della postazione descritto sotto, circa due volte al giorno. Inutilizzato nel livello gratuito.

Accesso host a licensing.bivelio.com

(Pro e Team) dove vanno il controllo della postazione e il rapporto aggregato orario: licensing.bivelio.com, a meno che la tua licenza non porti il proprio indirizzo di control plane, nel qual caso vanno a quell’indirizzo. L’estensione non chiede autorizzazioni per nessun altro sito — nemmeno per il gateway dei nomi: il suo worker in background chiama l’indirizzo su cui si trova la tua organizzazione — quello che porta la sua licenza Team, o quello impostato dalla sua amministrazione —, e risponde solo un gateway che accetta esplicitamente l’estensione. Lo stesso vale per privacy.bivelio.com, che non richiede alcuna autorizzazione di sito: quando un controllo risponde che la licenza è revocata, il worker in background gli chiede una volta la licenza che la tua organizzazione ha ora, inviando soltanto il token revocato — così un upgrade o un cambio di piano non va riattivato a mano su ogni macchina.

7. I provider AI che utilizzi

Quando invii un messaggio, l'estensione inoltra il prompt oscurato al provider AI che hai scelto (OpenAI per ChatGPT, Anthropic per Claude). Il tuo utilizzo di quei servizi è disciplinato dalle rispettive informative sulla privacy e condizioni — l'estensione non modifica il tuo rapporto con loro; si limita a ridurre i dati sensibili che ricevono.

8. Nomi tramite il gateway della tua organizzazione (Pro e Team)

Il livello Gratuito è interamente locale, come descritto sopra, e non cerca mai nomi di persone. Nel piano Team il gateway arriva con il piano: l’indirizzo del servizio dei nomi gestito da BiVelio arriva firmato dentro la licenza della tua stessa organizzazione, quindi non c’è nulla da installare né alcun URL da digitare. In qualsiasi piano a pagamento — Pro come Team — l’amministrazione della tua organizzazione può invece impostare un indirizzo di gateway nel criterio centrale gestito, e quell’indirizzo prevale: ciò che l’estensione verifica prima di chiamare il gateway è che tu abbia una licenza a pagamento, non quale dei piani a pagamento sia. La tua dashboard genera quel criterio nel piano Team; in Pro un’amministrazione può comunque scrivere a mano lo stesso indirizzo nel criterio gestito di Chrome. Da quel momento il testo di ogni messaggio che invii — mai gli allegati — va dal tuo browser a quel gateway esattamente come l’hai scritto, prima che venga eseguito l’oscuramento locale — così gli identificativi, i segreti e i termini dell’art. 9 che il livello deterministico avrebbe rimosso prima del fornitore di IA vi arrivano intatti — e il gateway risponde con le posizioni e il testo corrispondente dei dati personali che rileva: nomi e luoghi, e anche recapiti, identificativi, dati finanziari, indirizzi di rete, segreti e termini di categoria particolare dell’art. 9 GDPR; la sostituzione e il vault restano nel tuo browser, e il gateway non conserva nulla. Incollare 1.000 caratteri o più nella casella di scrittura della chat invia quel testo incollato allo stesso gateway nel momento in cui lo incolli — prima che tu invii il messaggio, e anche se poi lo modifichi o non lo invii mai. Oltre i 4.000 caratteri il gateway non viene chiamato affatto. Quel gateway è il BiVelio Privacy Gateway della tua stessa organizzazione, oppure il servizio che BiVelio gestisce in Germania in base all’accordo sul trattamento dei dati che fa parte delle condizioni del piano Team; al di fuori di questo, a BiVelio non viene inviato nulla. Se il gateway non risponde entro il budget di tempo — irraggiungibile, troppo lento o con il suo livello dei nomi spento — o se il testo supera i 4.000 caratteri, il messaggio parte con il solo livello deterministico e ogni volta viene mostrato un avviso; quegli invii sono contati nel rapporto aggregato della tua organizzazione come «inviati senza controllo dei nomi». Questo livello riduce la fuga dei nomi, e non promettiamo che li elimini. Il 4,875 % di docs/BENCHMARKS.md va letto per quello che è: quella cifra misura lo stack SENZA questo livello (i rilevatori deterministici più Presidio). Misurato sullo stesso corpus con il modello che il gateway esegue davvero, nessuno degli 800 valori è sfuggito. Quel corpus è sintetico e valuta solo nomi e luoghi — non dice nulla su indirizzi stradali o termini sanitari — quindi uno zero lì non è una promessa di zero qui. Non esiste un interruttore per utente. Quando l’indirizzo arriva con il piano Team, chi è proprietario o amministratore spegne il livello per tutta l’organizzazione dal pannello, e questo impiega fino a un’ora per raggiungere un browser; quando arriva dalla policy gestita centrale — sempre con Pro, e con Team ovunque un’amministrazione ne abbia impostata una —, quell’indirizzo ha la precedenza, come detto sopra, e il livello si spegne togliendolo da quella policy. Senza gateway per nessuna delle due vie, su questa via non succede assolutamente nulla.

9. Base giuridica

L'estensione tratta il tuo prompt sul tuo dispositivo, su tua istruzione, per fare l'unica cosa per cui l'hai installata. Dove si applica il GDPR, si tratta dell'esecuzione del contratto che hai accettato installandola (art. 6, par. 1, lett. b). BiVelio stessa non tratta quei dati: nel livello gratuito nessun dato personale ci raggiunge, quindi non c'è alcun trattamento da parte di BiVelio da giustificare. In Pro, la verifica della postazione — il tuo token di licenza e un identificatore casuale del dispositivo — viene trattata per far rispettare le postazioni che hai acquistato, anch'essa ai sensi dell'art. 6, par. 1, lett. b. Quando la tua organizzazione è sulla rotta dei nomi — perché la sua licenza Team porta l’indirizzo del gateway, oppure perché un’amministrazione ha configurato un gateway nella policy centrale gestita — il testo inviato lì è trattato su istruzione della tua organizzazione: la tua organizzazione è il titolare, e chi gestisce il gateway — l’organizzazione stessa, oppure BiVelio in base a un accordo sul trattamento dei dati con essa (art. 28) — agisce come suo responsabile del trattamento.

10. Per quanto tempo vengono conservati i dati

Sul tuo dispositivo: il vault cifrato, le impostazioni e i contatori senza valori restano nell'archiviazione delle estensioni del tuo browser finché non chiudi il browser (la chiave di cifratura viene eliminata e il vault diventa indecifrabile) o disinstalli l'estensione (tutto viene rimosso). Sui server di BiVelio: nulla di nulla nel livello gratuito. In Pro, il record di verifica della postazione — identificatore del dispositivo e giorno dell'ultimo contatto — viene conservato finché la postazione è attiva e contrassegnato come disattivato quando ritiri il dispositivo; oggi non esiste una cancellazione automatica, come dichiara anche l'informativa del sito web e dell'account. Su un gateway dei nomi, sia quello della tua organizzazione sia il servizio gestito da BiVelio: il testo di un messaggio esiste in memoria per la durata della richiesta e non viene mai scritto su disco né in un log.

11. Trasferimenti internazionali

Il prompt tokenizzato va al provider AI che hai scelto, secondo la policy di quel provider; OpenAI e Anthropic trattano i dati negli Stati Uniti. BiVelio non è parte di quel trasferimento e non lo modifica — l'estensione riduce soltanto ciò che la richiesta contiene. In Pro, la verifica della postazione raggiunge il server di licenze di BiVelio in Germania (Hetzner Online GmbH) e resta nell'UE. Quando la tua organizzazione è sulla rotta dei nomi — perché la sua licenza Team porta l’indirizzo del gateway, oppure perché un’amministrazione ha configurato un gateway nella policy centrale gestita — il testo del messaggio va a quel gateway: ovunque la tua organizzazione lo esegua oppure, per il servizio gestito da BiVelio, a Hetzner Online GmbH in Germania, all’interno dell’UE.

12. Decisioni automatizzate

L’estensione non prende alcuna decisione su di te ai sensi dell’art. 22 e non costruisce alcun profilo. Ogni decisione di oscuramento nel tuo browser è una regola deterministica — schema, codice di controllo, azione — che puoi esaminare nel Playground di questo sito. I nomi che un gateway trova provengono da un modello statistico, al meglio delle possibilità e non esaustivo; anch’essi decidono solo che cosa viene sostituito nel tuo testo, mai qualcosa su di te.

13. I tuoi diritti

Poiché l’estensione non memorizza alcun dato personale sui nostri server — un servizio dei nomi gestito da BiVelio, dove la tua organizzazione lo ha scelto, tiene il testo di un messaggio solo in memoria e solo per la durata della richiesta —, in genere non vi è nulla che possiamo consultare, esportare o cancellare per tuo conto. I dati locali (vault, impostazioni, contatore) sono interamente sotto il tuo controllo: l'interruttore e il contatore si modificano o azzerano dal popup, il vault si de-identifica da solo quando chiudi il browser (la sua chiave di cifratura non lascia mai la memoria), e disinstallando l'estensione si rimuove tutto. Ai sensi del GDPR e di leggi analoghe, puoi comunque contattarci per qualsiasi domanda o richiesta.

14. Reclami e autorità di controllo

Se ritieni che l'estensione o BiVelio abbia trattato i tuoi dati in modo illecito, puoi proporre reclamo a un'autorità di controllo — in particolare nello Stato membro dell'UE in cui risiedi abitualmente, lavori o in cui si è verificata la presunta violazione (art. 77). Il Comitato europeo per la protezione dei dati tiene l'elenco di tutte le autorità e dei loro recapiti. Preferiremmo che ci scrivessi prima, ma non sei obbligato. edpb.europa.eu ↗

15. Responsabile della protezione dei dati

BiVelio non ha designato un responsabile della protezione dei dati: l’estensione mantiene il suo trattamento sul tuo dispositivo oppure, con un gateway dei nomi, su istruzione della tua organizzazione, e la piccola quantità di dati senza valori che Pro invia non costituisce il monitoraggio su larga scala o sistematico per cui l'art. 37 ne richiede uno. Tutte le questioni di privacy sono gestite direttamente a privacy@bivelio.com, e questa sezione cambierà il giorno in cui ciò cambierà.

16. Minori

BiVelio Shield non è rivolto a minori di 16 anni e non ne tratta consapevolmente i dati.

17. Modifiche alla presente informativa

Aggiorneremo questa pagina e la relativa data di «Ultimo aggiornamento» quando cambierà il comportamento dell'estensione in materia di dati. Le modifiche sostanziali saranno riportate qui prima di entrare in vigore in una versione rilasciata.

18. Contatti