Privacy · Estensione per il browser
BiVelio Shield — Informativa sulla privacy
BiVelio Shield («l'estensione») è pubblicata da BiVelio, Inc., società del Delaware (Stati Uniti) operante dall'Andorra. La presente informativa descrive esattamente cosa l'estensione fa e non fa con i tuoi dati. È redatta per rispecchiare il comportamento effettivo del software — se i due dovessero mai discordare, si tratta di un bug; segnalalo a privacy@bivelio.com.
In sintesi
- Gira nel tuo browserRilevazione e oscuramento avvengono sul tuo dispositivo. Con un gateway dei nomi — incluso nel piano Team, o configurato dalla tua organizzazione su qualsiasi piano a pagamento, Pro o Team — il testo di ogni messaggio va inoltre a quel gateway, per trovare nomi, risposti come posizioni e conservati da nessuna parte.
- Nessun account, nessuna analiticaNessuna registrazione, nessun tracker, nessun cookie, nessun SDK pubblicitario. Nulla da rifiutare.
- Nulla di ciò che scrivi viene inviato a BiVelio — con un’eccezione che puoi vedereNel livello gratuito l'estensione non ci invia alcuna richiesta di sua iniziativa; l'unica cosa che fa da sola è aprire una volta, con una nuova installazione senza licenza, una scheda visibile su privacy.bivelio.com/activar, e lì non invia nulla. Pro e Team inviano un controllo di postazione e conteggi senza valori — quanti valori di ciascun tipo sono rimasti dentro — e mai una parola di ciò che hai scritto. L’eccezione: un gateway dei nomi. Con il piano Team è quello che BiVelio gestisce per la tua organizzazione in base a un accordo sul trattamento dei dati, incluso nel piano; su qualsiasi piano a pagamento la tua amministrazione può invece puntare l’estensione a uno proprio. Il testo del messaggio va lì, riceve in risposta posizioni e non viene conservato da nessuna parte.
- La chiave del vault non tocca mai il discoLa mappa valore ↔ token è cifrata con AES-GCM; la sua chiave vive in memoria e viene eliminata quando chiudi il browser.
In breve
- L'unico compito dell'estensione è mantenere i tuoi dati sulla tua macchina. Nel livello gratuito non invia nulla a BiVelio né ad alcun terzo. L’unica cosa che fa di sua iniziativa: con una nuova installazione senza licenza, apre una volta una scheda visibile su privacy.bivelio.com/activar, perché il sito possa restituirti la licenza se lì hai effettuato l’accesso; è una pagina che il tuo browser carica come qualsiasi altra, l’estensione non vi invia nulla e puoi chiuderla.
- I tuoi prompt vengono ispezionati e oscurati in locale, nel tuo browser, prima di raggiungere il provider AI che hai scelto (ChatGPT / Claude, e Gemini dove hai concesso l’accesso all’estensione). Il provider riceve token segnaposto al posto dei tuoi valori sensibili — è proprio questo il punto.
- Nessun account, nessuna registrazione, nessuna analitica, nessuna pubblicità. Non raccogliamo, vendiamo, noleggiamo né condividiamo i tuoi dati personali.
- Un’eccezione, in qualsiasi piano a pagamento — Pro o Team: se la tua organizzazione ha un gateway dei nomi — incluso nel piano Team, o configurato dalla sua amministrazione nel criterio centrale —, il testo di ogni messaggio che invii — e qualsiasi testo di 1.000 caratteri o più che incolli nella casella di scrittura della chat, nel momento in cui lo incolli; e, con il piano Team, il testo di un allegato, già oscurato nel tuo browser — va a quel gateway, che risponde con le posizioni dei dati personali che rileva — nomi e luoghi, e anche recapiti, identificativi, dati finanziari, indirizzi di rete, segreti e termini di categoria particolare dell’art. 9 GDPR — e non conserva nulla.
Ambito: quale documento stai leggendo
- Questa informativa riguarda l'estensione per browser BiVelio Shield e nient'altro. È il documento a cui rimanda la scheda sul Chrome Web Store.
- Il sito web da cui potresti averla scaricata, l'account, il piano team e il Sandbox sono coperti dall'informativa sulla privacy separata del sito web e dell'account.
- I documenti legali su bivelio.com sono a livello di società e descrivono altri prodotti BiVelio. Non descrivono l'estensione.
Quali dati tratta l'estensione, e dove restano
| Dato | Di cosa si tratta | Dove risiede | Lascia il tuo dispositivo? |
|---|---|---|---|
| Testo del prompt | Ciò che digiti in ChatGPT / Claude — e in Gemini, dove hai concesso l’accesso all’estensione | Elaborato nella memoria del tuo browser | Solo la versione tokenizzata raggiunge il provider AI — e BiVelio non ne vede nulla, salvo che la tua organizzazione sia sulla via dei nomi verso un gateway che BiVelio gestisce per essa, per il piano Team o perché la sua amministrazione vi ha puntato l’estensione (riga successiva) |
| Testo del messaggio inviato al gateway dei nomi della tua organizzazione (con il piano Team, o per criterio centrale su Pro e Team); con il piano Team, anche il testo di un allegato, già oscurato | Il testo di ogni messaggio che invii, esattamente come l’hai scritto e prima che venga eseguito l’oscuramento locale — così gli identificativi, i segreti e i termini dell’art. 9 che il livello deterministico avrebbe rimosso prima del fornitore di IA arrivano intatti al gateway, tranne i termini del tuo elenco di termini riservati o di quello della tua organizzazione, che prima vengono sostituiti da asterischi della stessa lunghezza —, fino a 20.000 caratteri nel piano Pro e 50.000 nel piano Team, in blocchi da non più di 4.000 controllati in parallelo, ogni volta che la tua organizzazione è sulla rotta dei nomi: il piano Team porta l’indirizzo di quel gateway firmato dentro la propria licenza, e in qualsiasi piano a pagamento l’amministrazione può fissarne uno nel criterio centrale gestito, che ha la precedenza su quello della licenza; e qualsiasi testo di 1.000 caratteri o più che incolli nella casella di scrittura della chat, nel momento in cui lo incolli. Con il piano Team gli arriva anche il testo di un allegato che l’estensione legge (un file di testo, o un PDF, Word, Excel, PowerPoint o OpenDocument), ma DOPO l’oscuramento locale: gli identificativi che rileva sono già token [BV:…]; fino a 50.000 caratteri per allegato, negli stessi frammenti di massimo 4.000 — di un allegato più lungo si controlla l’inizio e un avviso te lo dice. È tutto il testo che l’estensione vi legge — commenti, note, intestazioni e piè di pagina, revisioni, testo nascosto e proprietà del documento compresi —, tranne i campi dell’autore, che vengono sostituiti nel tuo browser e non vengono mai inviati. Il file in sé, le immagini e le scansioni non gli vengono mai inviati. | Inviato via TLS dal tuo browser a quel gateway — il BiVelio Privacy Gateway della tua stessa organizzazione oppure, in base a un accordo sul trattamento dei dati con la tua organizzazione, un servizio che BiVelio gestisce in Germania. Risponde con le posizioni — e il testo corrispondente — dei dati personali che rileva: nomi e luoghi, e anche recapiti, identificativi, dati finanziari, indirizzi di rete, segreti e termini di categoria particolare dell’art. 9 GDPR. Non conserva nulla: nessuna memorizzazione, nessun log del testo. La sostituzione e il vault restano nel tuo browser. La richiesta porta come credenziale il token di licenza della tua organizzazione e, per un messaggio abbastanza lungo da essere diviso in frammenti, il codice di lingua che la pagina della chat dichiara. | Sì, solo a quel gateway, e solo finché la tua organizzazione è su quella via. Se il gateway non risponde entro il budget di tempo, o se il testo supera quanto consente il tuo piano, il messaggio parte con il solo livello deterministico; se alcuni blocchi rispondono in tempo e altri no, vengono applicati anche i nomi trovati in quelli che hanno risposto. In ogni caso un avviso ti dice ogni volta che i nomi non sono stati controllati del tutto. Senza gateway per nessuna delle due vie non viene inviato nulla e questa riga non si applica. |
| Mappa valore ↔ token (il «vault») | ad es. un'email ↔ [BV:EMAIL:…] | chrome.storage.local, cifrata con AES-GCM; la chiave è conservata solo nella session storage in memoria e non viene mai scritta su disco | No — i valori grezzi non sono mai recuperabili dal solo disco, e non vengono mai trasmessi |
| Impostazioni | L'interruttore on/off e l'opzione facoltativa «Oscura in base alla forma», e se la tua organizzazione ha bloccato la protezione su attiva (`locked`, un sì/no che rispecchia la sua policy gestita) | chrome.storage.local | No |
| Contatore «Elementi protetti» | Un numero di oscuramenti eseguiti | chrome.storage.local | Il numero resta sul tuo dispositivo. Con Pro e Team ne esce la RIPARTIZIONE come conteggi: quanti valori di ogni famiglia sono rimasti dentro. Nessun testo, nessun valore, nessun token — e nulla che dica chi, quando al minuto o in quale conversazione. |
| Marca temporale «protezione interrotta» | L'ora dell'ultimo blocco fail-closed (`lastBlock`); il popup la usa per avvisarti che un invio è stato fermato | chrome.storage.local | No — solo un'ora; non contiene alcun testo del prompt, valore o token |
| Marcatori diagnostici | La versione dello schema di archiviazione e quando l'estensione ha notato l'ultima volta che un sito aveva cambiato forma | chrome.storage.local | No — un numero di versione e una marca temporale; nessun testo e nessun valore |
| Token di licenza Pro | L'abilitazione BVLIC1… incollata da Dashboard → Fatturazione (solo piano e scadenza — nessun dato personale) | chrome.storage.local, verificato offline con la chiave pubblica di BiVelio | Su Pro e Team, il token e un id dispositivo casuale vengono inviati a BiVelio in un controllo periodico delle postazioni (il token è un documento pubblico, non un segreto; l'id nomina una postazione, non una persona). Il tier gratuito non invia nessuno dei due — e nessuno trasporta mai testo, valori o token del vault. E se un controllo risponde che la licenza è stata revocata — dopo un cambio di piano, per esempio — il token, e soltanto lui, va una volta a privacy.bivelio.com, che risponde con la licenza che la tua organizzazione ha ora: al massimo una richiesta del genere per licenza revocata al giorno, e mai alcun contenuto. Lo stesso token è anche la credenziale del report aggregato e delle richieste al gateway dei nomi: identifica la licenza della tua organizzazione, non te. |
| Rapporto aggregato sulla privacy (Pro e Team) | Solo conteggi: quanti valori di ogni famiglia sono rimasti dentro, quanti invii sono stati bloccati e quanti sono usciti senza protezione per scelta, e quanti sono usciti con i nomi non controllati o controllati in parte perché il gateway dei nomi non ha risposto in tempo o il testo superava il limite del piano; e, per un invio che hai scelto di fare senza protezione, quale di cinque motivi fissi hai scelto (o nessuno) — un codice, mai parole che scrivi; e, per ogni invio in cui è stata mostrata la scheda che propone di inviarlo senza protezione, che è stata mostrata, sia che tu abbia poi inviato sia che tu abbia annullato; e, per un invio oltre il limite di persone per messaggio della tua organizzazione che hai scelto di inviare come token, quale di quegli stessi cinque motivi hai scelto e che quella scheda è stata mostrata | chrome.storage.local (una coda con un tetto), inviata a BiVelio circa una volta all'ora | Sì, con Pro e Team — e sono solo conteggi. Nessun testo, nessun valore, nessun token, nessun nome, nessuna e-mail, nessun identificativo; gli orari sono tenuti all'ORA, e nulla registra chat, strumento o thread. Il livello gratuito non ne invia nulla. Viene inviato con il token di licenza della tua organizzazione, che dice di chi è il report, e con il numero di righe andate perse prima di poter essere inviate. |
| Mappa dei percorsi firmata (piani a pagamento) | Un elenco degli indirizzi dei siti di chat IA supportati a cui un messaggio può essere inviato — sito, tipo di richiesta, percorso e se l'estensione deve proteggerlo o bloccarlo —, firmato da BiVelio e ricevuto con la risposta al controllo periodico delle postazioni (`bv_routes`), più, per ogni chiave di firma, la versione più recente accettata finora, così che un elenco più vecchio non sostituisca mai uno più recente (`bv_routes_floor`). Descrive i siti di chat, non te: nessun dato personale. | chrome.storage.local, conservato soltanto dopo la verifica offline con una chiave pubblica di BiVelio integrata nell'estensione | No — arriva soltanto, e nulla che lo riguardi viene inviato. Si riceve con un piano a pagamento, nella risposta al controllo che la licenza fa già; il tier gratuito non ne riceve mai. Può soltanto aggiungere protezione a un percorso di invio che l'estensione non conosce ancora, e non può togliere né indebolire alcuna protezione che l'estensione ha già. |
| I tuoi termini riservati (`personalTerms`) — in tutti i piani, Gratuito incluso | L’elenco di termini — nomi di clienti, pratiche o progetti, nomi in codice — che scrivi nella pagina delle opzioni dell’estensione perché ciascuno venga sostituito da un token prima che un messaggio parta, come un IBAN. L’elenco della tua organizzazione, quando la sua policy centrale ne fissa uno (`confidentialTerms`), viene letto dall’area delle policy gestite del browser, non ti viene mostrato nella pagina delle opzioni e può leggerlo chiunque apra chrome://policy su quel computer. | chrome.storage.local, conservato esattamente come l’hai scritto e NON cifrato: a differenza del vault deve esserci ancora dopo la chiusura del browser, quindi chiunque abbia accesso al tuo profilo del browser può leggerlo — un nome in codice protegge quanto un nome reale. | No — nessuno dei due elenchi viene mai inviato da nessuna parte. Un termine trovato in un messaggio parte come token. Dove la tua organizzazione è sulla rotta dei nomi, il gateway riceve, al posto di ogni termine, asterischi della stessa lunghezza: sa dove si trova un termine e quanto è lungo, mai il suo testo. Su Pro e Team un termine sostituito viene contato nel report aggregato come un numero, come qualsiasi altro valore. |
| Revisione prima dell’invio (`reviewBeforeSend`, `reviewFamilies`) — dove la policy della tua organizzazione la attiva | Dove la policy centrale della tua organizzazione rende la revisione facoltativa: se l’hai attivata nella pagina delle opzioni, e su quali famiglie di valori rilevati vuoi decidere tu. Con la revisione attiva — per tua scelta o perché la policy la richiede — una scheda ti mostra ciò che è stato trovato in un messaggio prima che parta, e scegli, valore per valore, se mantenerlo come l’hai scritto o lasciarlo sostituire da un token. Si possono mantenere solo le famiglie che la tua organizzazione consente; i segreti mai. | chrome.storage.local: un sì/no e un elenco di nomi di famiglia — né testo né valori. L’elenco della scheda non viene conservato. | Le due impostazioni, no. Un valore che scegli di mantenere parte come l’hai scritto, in chiaro, verso il provider AI — è una tua decisione. Tutto il resto del messaggio parte come token; annullare o chiudere la scheda non invia nulla. |
Quando chiudi completamente il browser, la chiave di cifratura in memoria viene eliminata, il vault archiviato diventa indecifrabile e le conversazioni più vecchie si de-identificano tornando a token opachi. È intenzionale.
Cosa oscura in locale il livello gratuito
Prima che il tuo prompt lasci il browser, il motore deterministico rileva e sostituisce:
- Email e numeri di telefono
- Numeri di carte di credito (validati con Luhn)
- IBAN e coordinate bancarie (validati con mod-97)
- Documenti d'identità nazionali — DNI / NIE / CIF spagnoli, SSN statunitense e altri
- Chiavi API e segreti — OpenAI, AWS, GitHub, Stripe, Slack e altri
- Indirizzi IP
- Termini sanitari, religiosi, biometrici e genetici — un lessico multilingue curato (categorie particolari dell'art. 9 del GDPR)
Ambito onesto: per mantenere alta la precisione, gli identificatori strutturati sono validati dal loro codice di controllo, quindi un valore ben formato ma non valido può passare a meno che non attivi “Oscura per forma” (sotto). Il livello gratuito oscura i termini dell'art. 9 del suo lessico curato, ma NON rimuove nomi di persone, indirizzi né testo libero in generale — non esiste uno schema fisso, e una formulazione dell'art. 9 non presente nel lessico passerà ugualmente. Nomi e contesto vengono cercati su una sola via: quando la tua organizzazione ha un gateway dei nomi — incluso nel piano Team, o impostato dalla sua amministrazione nel criterio centrale su qualsiasi piano a pagamento, Pro o Team —, il testo di ogni messaggio viene inviato a quel gateway, che risponde con le posizioni dei dati personali che rileva — un livello che riduce la fuga dei nomi e che, misurato, non la elimina (vedi «Nomi tramite il gateway della tua organizzazione», sotto). Senza gateway per nessuna delle due vie l’estensione non cerca nomi in nessun livello. Il difetto opposto non dipende da quell'interruttore: un identificatore viene validato dopo la rimozione dei separatori, quindi una corrispondenza con codice di controllo valido può inghiottire le parole vicine — misurato, «BTW NL123456789B01 on file» porta sei caratteri della tua frase dentro il segnaposto. Al fornitore non arriva nulla in più (vede meno di quanto hai scritto), ma il prompt è alterato senza avviso.
L'impostazione facoltativa «Oscura in base alla forma»
Puoi attivare «Oscura in base alla forma» nel popup per nascondere anche gli identificatori che assomigliano a un IBAN, una carta o un documento ma non superano il loro checksum (ad esempio un numero digitato male). È disattivata per impostazione predefinita, gira comunque interamente in locale, e ti diciamo chiaramente che potrebbe oscurare in eccesso elementi come numeri d'ordine, marche temporali o codici di tracciamento. La scelta è tua.
Cosa l'estensione NON fa
- Non invia a BiVelio i tuoi messaggi, i valori che oscura né i token che li sostituiscono — con un’eccezione dichiarata: quando la tua organizzazione è sulla via dei nomi verso un gateway che BiVelio gestisce per essa in base a un accordo sul trattamento dei dati — incluso nel piano Team, o perché la sua amministrazione vi ha puntato l’estensione —, il testo di ogni messaggio raggiunge quel servizio esattamente come l’hai scritto, prima che venga eseguito l’oscuramento locale (tranne i termini del tuo elenco di termini riservati o di quello della tua organizzazione, che prima vengono sostituiti da asterischi), e risponde con le posizioni e il testo corrispondente dei dati personali che rileva — termini di categoria particolare dell’art. 9 GDPR inclusi — e non conserva nulla. I valori restano nel tuo browser su ogni via. Anche i token, tranne con il piano Team, dove il testo di un allegato raggiunge quel servizio DOPO l’oscuramento locale, con i token che già sostituiscono i suoi identificativi.
- Non utilizza tracker, cookie, SDK di analitica o pubblicità.
- Non legge né interviene su alcun sito web diverso dai siti di chat AI supportati (vedi Autorizzazioni). Solo tre indirizzi possono ricevere qualcosa da essa: l’endpoint di licenza dove vanno il controllo della postazione di Pro e Team e il rapporto aggregato orario — licensing.bivelio.com, a meno che la tua licenza non porti il proprio indirizzo di control plane, nel qual caso vanno lì —; privacy.bivelio.com, e solo dopo che un controllo ha risposto che la licenza è revocata, per scambiare quel token revocato con la licenza che la tua organizzazione ha ora — viene inviato soltanto il token revocato, e al massimo una volta al giorno —; e il gateway dei nomi della tua organizzazione — l’indirizzo che porta la sua licenza Team, o quello che la sua amministrazione ha impostato nel criterio centrale —, e solo per inviare il testo del messaggio e ricevere posizioni. Con una nuova installazione senza licenza — né fornita da un’organizzazione né già presente nell’estensione — apre inoltre, una volta, una scheda visibile su https://privacy.bivelio.com/activar, perché il sito possa restituirti la licenza se lì hai effettuato l’accesso (rimuovere l’estensione cancella la licenza che conteneva); l’estensione non invia nulla in quella scheda e, senza licenza, funziona semplicemente nel livello gratuito. Non accede alla tua cronologia di navigazione, ad altre schede o ai tuoi file.
- Non vende né condivide dati personali, e non usa mai i tuoi dati per determinare l'affidabilità creditizia o per la concessione di prestiti.
- Non protegge la modalità vocale né il tempo reale. Redige il testo che digiti; un turno parlato in ChatGPT Advanced Voice o nella voce di Claude viaggia su una connessione audio dal vivo separata che l'estensione non vede mai — e uno strumento testuale non può redigere l'audio. Scrivi, non parlare, quando un turno contiene dati sensibili.
- Non copre il compositore «Cowork» di Claude. L'estensione oscura l'invio normale della chat di Claude; Cowork scrive su un endpoint diverso (`PUT /v1/code/sessions/…`) che l'estensione lascia intenzionalmente intatto, perché quel payload è codice e configurazione di sessione, non prosa. Considera non protetto tutto ciò che scrivi in Cowork.
- Non ispeziona file, immagini o allegati nei piani Gratis e Pro: un documento caricato, un PDF o un passaporto fotografato arrivano al provider così come sono, e un avviso te lo segnala. Il piano Team redige i file di testo e i documenti PDF / Word / Excel / PowerPoint nel tuo browser prima del caricamento; scansioni, immagini e altri file illeggibili chiedono sempre prima di uscire senza protezione. Su Gemini questo trattamento degli allegati non è mai stato misurato sul percorso di caricamento del sito: considera non protetto un file che alleghi in Gemini, con qualsiasi piano.
Autorizzazioni, e perché l'estensione ne ha bisogno
- storage
- per conservare l'interruttore on/off, l'impostazione «Oscura in base alla forma», il contatore privo di valori, il vault cifrato (chiave conservata in memoria, mai su disco), il tuo elenco di termini riservati e le impostazioni della revisione prima dell’invio descritti sopra.
- scripting
- per reiniettare lo script di redazione locale in una scheda di chat IA già aperta quando l'estensione è stata installata o aggiornata. Senza questo permesso quelle schede resterebbero non protette finché non le ricarichi a mano. Può essere eseguito solo sui siti autorizzati elencati qui sotto.
- Accesso agli host chatgpt.com, chat.openai.com, claude.ai
- per eseguire l'oscuramento locale solo su quei siti di chat AI.
- alarms
- (Pro e Team) per pianificare il controllo periodico della postazione descritto sotto — circa due volte al giorno, oppure ogni ora quando la licenza della tua organizzazione porta l’indirizzo del gateway dei nomi — e il report aggregato orario. Inutilizzato nel livello gratuito.
- Accesso host a licensing.bivelio.com
- (Pro e Team) dove vanno il controllo della postazione e il rapporto aggregato orario: licensing.bivelio.com, a meno che la tua licenza non porti il proprio indirizzo di control plane, nel qual caso vanno a quell’indirizzo. L’estensione non chiede autorizzazioni per nessun altro sito — nemmeno per il gateway dei nomi: il suo worker in background chiama l’indirizzo su cui si trova la tua organizzazione — quello che porta la sua licenza Team, o quello impostato dalla sua amministrazione —, e risponde solo un gateway che accetta esplicitamente l’estensione. Lo stesso vale per privacy.bivelio.com, che non richiede alcuna autorizzazione di sito: quando un controllo risponde che la licenza è revocata, il worker in background gli chiede una volta la licenza che la tua organizzazione ha ora, inviando soltanto il token revocato — così un upgrade o un cambio di piano non va riattivato a mano su ogni macchina.
- Accesso host facoltativo a gemini.google.com
- richiesto solo se attivi Gemini nel popup, e Chrome te lo chiede prima. Finché non lo concedi, l’estensione non viene eseguita su Gemini; una volta concesso, l’oscuramento locale funziona lì come sui siti sopra, e puoi revocarlo dalle impostazioni delle estensioni di Chrome.
I provider AI che utilizzi
Quando invii un messaggio, l'estensione inoltra il prompt oscurato al provider AI che hai scelto (OpenAI per ChatGPT, Anthropic per Claude, Google per Gemini). Il tuo utilizzo di quei servizi è disciplinato dalle rispettive informative sulla privacy e condizioni — l'estensione non modifica il tuo rapporto con loro; si limita a ridurre i dati sensibili che ricevono.
Nomi tramite il gateway della tua organizzazione (Pro e Team)
Il livello Gratuito è interamente locale, come descritto sopra, e non cerca mai nomi di persone. Nel piano Team il gateway arriva con il piano: l’indirizzo del servizio dei nomi gestito da BiVelio arriva firmato dentro la licenza della tua stessa organizzazione, quindi non c’è nulla da installare né alcun URL da digitare. In qualsiasi piano a pagamento — Pro come Team — l’amministrazione della tua organizzazione può invece impostare un indirizzo di gateway nel criterio centrale gestito, e quell’indirizzo prevale: ciò che l’estensione verifica prima di chiamare il gateway è che tu abbia una licenza a pagamento, non quale dei piani a pagamento sia. La tua dashboard genera quel criterio nel piano Team; in Pro un’amministrazione può comunque scrivere a mano lo stesso indirizzo nel criterio gestito di Chrome. Da quel momento il testo di ogni messaggio che invii va dal tuo browser a quel gateway esattamente come l’hai scritto, prima che venga eseguito l’oscuramento locale — così gli identificativi, i segreti e i termini dell’art. 9 che il livello deterministico avrebbe rimosso prima del fornitore di IA vi arrivano intatti, tranne i termini del tuo elenco di termini riservati o di quello della tua organizzazione, che prima vengono sostituiti da asterischi della stessa lunghezza — e il gateway risponde con le posizioni e il testo corrispondente dei dati personali che rileva: nomi e luoghi, e anche recapiti, identificativi, dati finanziari, indirizzi di rete, segreti e termini di categoria particolare dell’art. 9 GDPR; la sostituzione e il vault restano nel tuo browser, e il gateway non conserva nulla. Con il piano Team anche il testo di un allegato va a quel gateway, ma solo DOPO l’oscuramento locale, con gli identificativi già sostituiti da token: tutto il testo che l’estensione vi legge — commenti, note, intestazioni e piè di pagina, revisioni, testo nascosto e proprietà del documento compresi — tranne i campi dell’autore, che vengono sostituiti nel tuo browser e non vengono mai inviati; fino a 50.000 caratteri per allegato, e di uno più lungo solo l’inizio. Se il gateway non risponde entro il suo tempo massimo (fino a 16 secondi), l’allegato viene caricato comunque con gli identificativi sostituiti, e un avviso ti dice che i suoi nomi non sono stati verificati del tutto. Incollare 1.000 caratteri o più nella casella di scrittura della chat invia quel testo incollato allo stesso gateway nel momento in cui lo incolli — prima che tu invii il messaggio, e anche se poi lo modifichi o non lo invii mai. Un messaggio viene controllato alla ricerca di nomi fino a 20.000 caratteri nel piano Pro e fino a 50.000 nel piano Team: un testo di oltre 4.000 caratteri viene diviso in blocchi da non più di 4.000, con una piccola sovrapposizione perché un nome a cavallo di un taglio non vada perso, e i blocchi vanno al gateway in parallelo. Oltre il limite del tuo piano il gateway non viene chiamato affatto. Quel gateway è il BiVelio Privacy Gateway della tua stessa organizzazione, oppure il servizio che BiVelio gestisce in Germania in base all’accordo sul trattamento dei dati che fa parte delle condizioni del piano Team; al di fuori di questo, a BiVelio non viene inviato nulla. Se il gateway non risponde entro il budget di tempo — irraggiungibile, troppo lento o con il suo livello dei nomi spento — o se il testo supera il limite del tuo piano, il messaggio parte con il solo livello deterministico; se alcuni blocchi rispondono in tempo e altri no, vengono applicati anche i nomi trovati in quelli che hanno risposto. In ogni caso viene mostrato un avviso ogni volta; quegli invii sono contati nel rapporto aggregato della tua organizzazione come «inviati senza controllo dei nomi». Questo livello riduce la fuga dei nomi, e non promettiamo che li elimini. Il 4,875 % di docs/BENCHMARKS.md va letto per quello che è: quella cifra misura lo stack SENZA questo livello (i rilevatori deterministici più Presidio). Misurato sullo stesso corpus con il modello che il gateway esegue davvero, nessuno degli 800 valori è sfuggito. Quel corpus è sintetico e valuta solo nomi e luoghi — non dice nulla su indirizzi stradali o termini sanitari — quindi uno zero lì non è una promessa di zero qui. Non esiste un interruttore per utente. Quando l’indirizzo arriva con il piano Team, chi è proprietario o amministratore spegne il livello per tutta l’organizzazione dal pannello, e questo impiega fino a un’ora per raggiungere un browser; quando arriva dalla policy gestita centrale — sempre con Pro, e con Team ovunque un’amministrazione ne abbia impostata una —, quell’indirizzo ha la precedenza, come detto sopra, e il livello si spegne togliendolo da quella policy. Senza gateway per nessuna delle due vie, su questa via non succede assolutamente nulla.
Base giuridica
L'estensione tratta il tuo prompt sul tuo dispositivo, su tua istruzione, per fare l'unica cosa per cui l'hai installata. Dove si applica il GDPR, si tratta dell'esecuzione del contratto che hai accettato installandola (art. 6, par. 1, lett. b). BiVelio stessa non tratta quei dati: nel livello gratuito nessun dato personale ci raggiunge, quindi non c'è alcun trattamento da parte di BiVelio da giustificare. In Pro, la verifica della postazione — il tuo token di licenza e un identificatore casuale del dispositivo — viene trattata per far rispettare le postazioni che hai acquistato, anch'essa ai sensi dell'art. 6, par. 1, lett. b. Quando la tua organizzazione è sulla rotta dei nomi — perché la sua licenza Team porta l’indirizzo del gateway, oppure perché un’amministrazione ha configurato un gateway nella policy centrale gestita — il testo inviato lì è trattato su istruzione della tua organizzazione: la tua organizzazione è il titolare, e chi gestisce il gateway — l’organizzazione stessa, oppure BiVelio in base a un accordo sul trattamento dei dati con essa (art. 28) — agisce come suo responsabile del trattamento.
Per quanto tempo vengono conservati i dati
Sul tuo dispositivo: il vault cifrato, le impostazioni e i contatori senza valori restano nell'archiviazione delle estensioni del tuo browser finché non chiudi il browser (la chiave di cifratura viene eliminata e il vault diventa indecifrabile) o disinstalli l'estensione (tutto viene rimosso). Il tuo elenco di termini riservati e le impostazioni della revisione prima dell’invio fanno eccezione alla chiusura del browser: restano finché non li cambi nella pagina delle opzioni o disinstalli l’estensione. Sui server di BiVelio: nulla di nulla nel livello gratuito. In Pro, il record di verifica della postazione — identificatore del dispositivo e giorno dell'ultimo contatto — viene conservato finché la postazione è attiva e contrassegnato come disattivato quando ritiri il dispositivo; oggi non esiste una cancellazione automatica, come dichiara anche l'informativa del sito web e dell'account. Su un gateway dei nomi, sia quello della tua organizzazione sia il servizio gestito da BiVelio: il testo di un messaggio, o quello di un allegato già oscurato nel tuo browser, esiste in memoria per la durata della richiesta e non viene mai scritto su disco né in un log.
Trasferimenti internazionali
Il prompt tokenizzato va al provider AI che hai scelto, secondo la policy di quel provider; OpenAI e Anthropic trattano i dati negli Stati Uniti. Per Gemini il provider è Google, secondo le sue condizioni e ovunque tratti i dati. BiVelio non è parte di quel trasferimento e non lo modifica — l'estensione riduce soltanto ciò che la richiesta contiene. In Pro, la verifica della postazione raggiunge il server di licenze di BiVelio in Germania (Hetzner Online GmbH) e resta nell'UE. Quando la tua organizzazione è sulla rotta dei nomi — perché la sua licenza Team porta l’indirizzo del gateway, oppure perché un’amministrazione ha configurato un gateway nella policy centrale gestita — il testo del messaggio — e, con il piano Team, quello di un allegato, già oscurato — va a quel gateway: ovunque la tua organizzazione lo esegua oppure, per il servizio gestito da BiVelio, a Hetzner Online GmbH in Germania, all’interno dell’UE.
Decisioni automatizzate
L’estensione non prende alcuna decisione su di te ai sensi dell’art. 22 e non costruisce alcun profilo. Ogni decisione di oscuramento nel tuo browser è una regola deterministica — schema, codice di controllo, azione — che puoi esaminare nel Playground di questo sito. I nomi che un gateway trova provengono da un modello statistico, al meglio delle possibilità e non esaustivo; anch’essi decidono solo che cosa viene sostituito nel tuo testo, mai qualcosa su di te.
I tuoi diritti
Poiché l’estensione non memorizza alcun dato personale sui nostri server — un servizio dei nomi gestito da BiVelio, dove la tua organizzazione lo ha scelto, tiene il testo di un messaggio solo in memoria e solo per la durata della richiesta —, in genere non vi è nulla che possiamo consultare, esportare o cancellare per tuo conto. I dati locali (vault, impostazioni, contatore) sono interamente sotto il tuo controllo: l'interruttore e il contatore si modificano o azzerano dal popup, il vault si de-identifica da solo quando chiudi il browser (la sua chiave di cifratura non lascia mai la memoria), e disinstallando l'estensione si rimuove tutto. Il tuo elenco di termini riservati e le impostazioni della revisione si modificano o si svuotano in qualsiasi momento dalla pagina delle opzioni dell’estensione. Ai sensi del GDPR e di leggi analoghe, puoi comunque contattarci per qualsiasi domanda o richiesta.
Reclami e autorità di controllo
Se ritieni che l'estensione o BiVelio abbia trattato i tuoi dati in modo illecito, puoi proporre reclamo a un'autorità di controllo — in particolare nello Stato membro dell'UE in cui risiedi abitualmente, lavori o in cui si è verificata la presunta violazione (art. 77). Il Comitato europeo per la protezione dei dati tiene l'elenco di tutte le autorità e dei loro recapiti. Preferiremmo che ci scrivessi prima, ma non sei obbligato. edpb.europa.eu ↗
Responsabile della protezione dei dati
BiVelio non ha designato un responsabile della protezione dei dati: l’estensione mantiene il suo trattamento sul tuo dispositivo oppure, con un gateway dei nomi, su istruzione della tua organizzazione, e la piccola quantità di dati senza valori che Pro invia non costituisce il monitoraggio su larga scala o sistematico per cui l'art. 37 ne richiede uno. Tutte le questioni di privacy sono gestite direttamente a privacy@bivelio.com, e questa sezione cambierà il giorno in cui ciò cambierà.
Minori
BiVelio Shield non è rivolto a minori di 16 anni e non ne tratta consapevolmente i dati.
Modifiche alla presente informativa
Aggiorneremo questa pagina e la relativa data di «Ultimo aggiornamento» quando cambierà il comportamento dell'estensione in materia di dati. Le modifiche sostanziali saranno riportate qui prima di entrare in vigore in una versione rilasciata.
Contatti
Domande o richieste sulla privacy: privacy@bivelio.com
BiVelio, Inc., 131 Continental Dr, Suite 305, Newark, DE 19713, Stati Uniti · operante dall'Andorra 🇦🇩 · +1 302 208 5841
Cronologia delle versioni
Ogni modifica a ciò che questo documento dichiara è elencata qui con la sua data. Le formulazioni precedenti sono conservate nella cronologia del repository pubblico.
- v1.13
Ora anche gli allegati passano per il livello dei nomi. Fino alla 1.12 un allegato non veniva mai inviato al gateway dei nomi, quindi il nome di una persona dentro un documento raggiungeva in chiaro il fornitore di IA. Da questa versione, con il piano Team, il testo di un allegato che l’estensione legge (un file di testo, o un PDF, Word, Excel, PowerPoint o OpenDocument) va anche al gateway dei nomi su cui si trova la tua organizzazione — l’indirizzo che porta la sua licenza Team, o quello che un’amministrazione fissa nel criterio centrale —, ma DOPO l’oscuramento locale: gli identificativi che rileva sono già token [BV:…], e il gateway legge le parole intorno. Fino a 50.000 caratteri per allegato, negli stessi frammenti di massimo 4.000; di un allegato più lungo si controlla l’inizio e un avviso lo dice. Il destinatario, il responsabile del trattamento, ciò che torna e ciò che si conserva — nulla: il testo esiste in memoria per la durata della richiesta — non cambiano rispetto alla 1.12; il file in sé, le immagini e le scansioni continuano a non essere mai inviati. Nei piani Gratis e Pro l’estensione non apre gli allegati, quindi lì non cambia nulla. Questa versione dichiara anche una scheda che l’estensione apre: con una nuova installazione senza licenza — né fornita da un’organizzazione né già presente nell’estensione, e non installata dall’organizzazione — apre una volta una scheda visibile su privacy.bivelio.com/activar, perché il sito restituisca la licenza a chi vi ha effettuato l’accesso (rimuovere l’estensione cancella la licenza che conteneva); l’estensione non invia nulla in quella scheda, e il livello gratuito continua a non fare alcuna richiesta di sua iniziativa.
- v1.12
Dichiara, prima della pubblicazione, ciò che aggiunge la prossima versione dell’estensione. Gemini: dove concedi all’estensione l’accesso a gemini.google.com, il testo dei tuoi messaggi Gemini viene oscurato nel tuo browser come su ChatGPT e Claude e, dove la tua organizzazione è sulla rotta dei nomi — l’indirizzo che porta la sua licenza Team, o quello che un’amministrazione fissa nella policy centrale su Pro o Team —, va a quel gateway come negli altri due siti. Due nuovi dati conservati solo sul tuo dispositivo: il tuo elenco di termini riservati (`personalTerms`), conservato come l’hai scritto e non cifrato, mai inviato; e le impostazioni della revisione prima dell’invio (`reviewBeforeSend`, `reviewFamilies`) — un valore che mantieni su quella scheda parte verso il provider AI come l’hai scritto. Registra inoltre tre passaggi aggiunti al testo della 1.11 dopo il 25 settembre senza un nuovo numero di versione: i termini riservati arrivano al gateway dei nomi come asterischi della stessa lunghezza (28 settembre); il report aggregato porta il codice di un motivo da un elenco chiuso di cinque, e se la scheda di decisione è stata mostrata, per un invio fatto senza protezione (28 settembre) o inviato come token oltre il limite di persone per messaggio dell’organizzazione (29 settembre). E dice espressamente che il token di licenza è anche la credenziale del report aggregato e delle richieste dei nomi, che il controllo della postazione avviene su Pro e su Team, e qual è il permesso facoltativo di Gemini. Nessun nuovo destinatario dal lato di BiVelio; ciò che il gateway dei nomi restituisce e conserva non cambia.
- v1.11
I messaggi lunghi vengono ora controllati a blocchi. Fino alla 1.10 un messaggio andava al gateway dei nomi fino a 4.000 caratteri, e oltre il gateway non veniva chiamato affatto. Da questa versione il livello dei nomi controlla un messaggio fino a 20.000 caratteri nel piano Pro e fino a 50.000 nel piano Team: un testo di oltre 4.000 caratteri viene diviso in blocchi da non più di 4.000, con una piccola sovrapposizione, che vanno allo stesso gateway in parallelo. Oltre il limite del piano il gateway continua a non essere chiamato affatto. Se alcuni blocchi non rispondono in tempo, vengono applicati i nomi trovati negli altri e l’avviso continua a dire che i nomi non sono stati controllati del tutto. Ora arriva al gateway più testo di ogni messaggio lungo; il destinatario, le categorie di dati, ciò che torna e ciò che viene conservato non cambiano rispetto alla 1.10.
- v1.10
Una correzione alla 1.9, e questa riguarda la DICHIARAZIONE e non l’interruttore: la base dell’art. 6 e il trasferimento dell’art. 44 descrivevano solo l’organizzazione che configura un gateway, così un’organizzazione Team — la cui licenza porta quell’indirizzo firmato, senza che nessuno configuri nulla — non vi leggeva né la propria base giuridica né il proprio trasferimento in Germania. Entrambe le sezioni nominano ora le due vie dentro la frase che le condiziona: l’indirizzo che una licenza Team porta firmato, e quello che un’amministrazione scrive nella policy centrale gestita, su qualsiasi piano a pagamento, Pro o Team. Ciò che viaggia, ciò che torna e ciò che viene conservato sono invariati rispetto alla 1.9; nessun nuovo destinatario e nessuna nuova categoria di dati.
- v1.9
Una correzione in giornata alla 1.8, e riguarda lo spegnimento, non ciò che viaggia: dove questo documento descriveva una sola via per spegnere il livello dei nomi, ora le nomina entrambe nella stessa frase. Con Team lo spegne dal pannello chi è proprietario o amministratore; con Pro, e su qualsiasi installazione il cui gateway venga da una policy gestita, comanda quella policy e il livello si spegne togliendole l’indirizzo. Ciò che viaggia, ciò che torna e ciò che viene conservato non cambiano rispetto alla 1.8; nessun nuovo destinatario e nessuna nuova categoria di dati.
- v1.8
La via dei nomi ora è inclusa nel piano Team. Fino a oggi esisteva solo dove un’amministrazione aveva scritto un indirizzo di gateway nella policy centrale; con Team l’indirizzo del servizio gestito da BiVelio viaggia firmato dentro la licenza della tua stessa organizzazione, quindi non si installa nulla e non si digita alcun URL, e chi è proprietario o amministratore spegne il livello per tutta l’organizzazione dal pannello — uno spegnimento che impiega fino a un’ora per raggiungere un browser; con Pro, e su qualsiasi installazione il cui gateway venga da una policy gestita, comanda quella policy e il livello si spegne togliendole l’indirizzo. Ciò che viaggia, ciò che torna e ciò che viene conservato non cambiano rispetto alla 1.7. Questa versione allinea anche l’intestazione al corpo: lo scambio della licenza revocata verso privacy.bivelio.com è stato scritto in questa informativa il 19-09 e la versione è rimasta 1.7, così la pagina nominava tre indirizzi dichiarandosi il documento che ne nominava due.
- v1.7
Dichiarati i nomi tramite il gateway dell’organizzazione: quando l’amministrazione imposta un indirizzo di gateway nel criterio centrale (qualsiasi piano a pagamento — Pro o Team), il testo di ogni messaggio — fino a 4.000 caratteri, mai gli allegati — e qualsiasi incollaggio di 1.000 caratteri o più vanno a quel gateway, quello dell’organizzazione stessa o un servizio che BiVelio gestisce in Germania in base a un accordo sul trattamento dei dati, e tornano come posizioni; non viene conservato nulla. Gli invii senza controllo dei nomi (gateway che non risponde in tempo, testo troppo lungo) sono segnalati ogni volta e contati nel rapporto aggregato. Il 4,875 % pubblicato misura lo stack SENZA quel livello; con esso, nessuno degli 800 valori del corpus è sfuggito. Il corpus è sintetico, quindi non si promette zero.
- v1.6
La redazione degli allegati passa al piano Team: nei piani Gratis e Pro un allegato viene caricato senza ispezione, con un avviso, esattamente come prima.
- v1.5
Layout a livelli con un indice e un riepilogo in sintesi. Aggiunti base giuridica, conservazione, trasferimenti internazionali, decisioni automatizzate, reclami e la dichiarazione sul DPO, così che l'informativa copra da sola ogni punto dell'art. 13.
- v1.4
Dichiarata la verifica della postazione Pro: il token di licenza e un identificatore casuale del dispositivo vengono inviati periodicamente; il livello gratuito continua a non inviare nulla.
- v1.3
Dichiarato l'oscuramento degli allegati Pro: i file di testo e i documenti PDF, Word, Excel e PowerPoint vengono riscritti nel browser prima del caricamento; scansioni e immagini chiedono prima.
- v1.2
Tabella di archiviazione completata con la marca temporale del blocco e i marcatori diagnostici. Dichiarati tre limiti di copertura: le modalità vocale e in tempo reale, gli allegati non ispezionati nel livello gratuito e il compositore Cowork di Claude. Dichiarato il sovra-oscuramento accanto a un identificatore con codice di controllo valido.
- v1.1
Titolare identificato per intero con l'indirizzo postale e il telefono riportati nella dichiarazione di operatore commerciale del Chrome Web Store. Dichiarato il lessico delle categorie particolari dell'art. 9 del GDPR come parte di ciò che il livello gratuito oscura.
- v1.0
Prima pubblicazione.