Privacy Policy

1. Ambito di applicazione

La presente Policy riguarda due elementi distinti gestiti da Fraway:

• Il sito Fraway — il sito vetrina pubblico fraway.io e le relative sottopagine. Le regole per il sito sono indicate nella Parte A.
• Il prodotto DevFlow — il servizio di sviluppo software assistito da IA di Fraway, in cui gli utenti accedono tramite magic link, collegano repository Git e inviano istruzioni in linguaggio naturale che vengono eseguite da agenti IA automatici. Le regole per DevFlow sono indicate nella Parte B.

Le sezioni comuni (trasferimenti internazionali, diritti, modalità di esercizio, modifiche e contatti) si applicano a entrambi, salvo ove diversamente indicato.

Per DevFlow, i Termini d'Uso e l'Accordo sul Trattamento dei Dati (il "DPA", disponibile su https://fraway.io/devflow/dpa) disciplinano il rapporto contrattuale; la presente Policy descrive il relativo trattamento e va letta in modo coerente con essi.

2. Titolare del trattamento e nostri ruoli

Il titolare del trattamento è:

Fraway S.r.l.
Sede legale: Via Fiume Giallo 275, Roma, Italia
P.IVA: IT01635990888
Email: info@fraway.io

Fraway non ha nominato un Responsabile della Protezione dei Dati (DPO). Le richieste in materia di privacy e i diritti degli interessati vanno inviati a info@fraway.io.

Il nostro ruolo dipende dai dati:

• Titolare: Per il sito e per i dati di account e operativi di DevFlow (Sezione 7), Fraway agisce come titolare del trattamento.
• Responsabile: Per i contenuti che invii a DevFlow (Sezione 8), tu — utente o la tua organizzazione — sei il titolare del trattamento e Fraway agisce come responsabile del trattamento sulla base delle tue istruzioni documentate. I fornitori terzi di IA e infrastruttura agiscono come sub-responsabili.

3. Dati che raccogliamo (sito)

Raccogliamo e trattiamo le seguenti categorie di dati personali tramite il sito:

4. Finalità e base giuridica (sito)

Trattiamo i dati del sito per le seguenti finalità:

5. Responsabili terzi (sito)

Condividiamo i dati del sito con i seguenti fornitori, che li trattano per nostro conto:

6. Conservazione dei dati (sito)

Conserviamo i dati del sito per i seguenti periodi:

7. Dati di account e operativi di DevFlow (Fraway titolare)

Per i dati necessari a fornire, proteggere e gestire DevFlow stesso, Fraway è il titolare del trattamento. Tra questi:

• Indirizzo email del magic link usato per accedere
• Sessioni di autenticazione ed eventi di accesso/sicurezza
• Dati di workspace e membership (organizzazioni, team, ruoli, accessi)
• Metadati dei task (identificativi, stato, timestamp — non il contenuto del task, trattato nella Sezione 8)
• Dati di costo e di utilizzo dei token (consumo e misurazione ai fini di fatturazione)
• Log degli eventi degli agenti (registri delle esecuzioni, eventi di sistema, telemetria operativa)

Trattiamo questi dati sulle seguenti basi giuridiche:

8. Contenuti inviati dall'utente (tu titolare, Fraway responsabile)

Per utilizzare DevFlow invii o colleghi dei contenuti, che possono includere: descrizioni dei task, prompt, messaggi in chat, allegati, contenuti dei repository collegati, codice sorgente e qualsiasi dato in essi contenuto (insieme, i "contenuti inviati").

Ripartizione titolare/responsabile. Per qualsiasi dato personale che scegli di includere nei contenuti inviati, tu (l'utente, o l'organizzazione per cui agisci) sei il titolare del trattamento, e Fraway agisce come responsabile del trattamento, trattando tali contenuti esclusivamente sulla base delle tue istruzioni documentate. I fornitori terzi di IA e infrastruttura che trattano i contenuti inviati per eseguire i tuoi task agiscono come sub-responsabili.

Tale trattamento è disciplinato da un accordo sul trattamento dei dati ai sensi dell'art. 28 GDPR, disponibile su https://fraway.io/devflow/dpa. In caso di contrasto tra la presente Sezione e il DPA in merito ai contenuti inviati, prevale il DPA.

Poiché sei il titolare dei dati personali contenuti nei contenuti inviati, sei responsabile di disporre di una valida base giuridica per tali dati e per le istruzioni che ci impartisci, inclusi eventuali trasferimenti internazionali (Sezione 13) e i limiti descritti nella Sezione 10.

9. Sub-responsabili e destinatari di DevFlow

Per eseguire i task che invii, i contenuti inviati vengono trasmessi a e trattati da fornitori terzi che agiscono come sub-responsabili. La tabella seguente elenca i sub-responsabili e i destinatari su cui ci basiamo, dove trattano i dati e la garanzia di trasferimento applicata; il trattamento può avvenire al di fuori del SEE (vedi Sezione 13). L'elenco aggiornato e autoritativo è tenuto nel registro dei sub-responsabili indicato nel DPA.

Fraway non utilizza i contenuti inviati per addestrare i propri modelli.

Selezioniamo i fornitori di IA e i tier API con l'intento di evitare l'addestramento dei modelli sui contenuti inviati ove tale opzione sia disponibile presso il fornitore. Tuttavia, Fraway non controlla, e non garantisce, le pratiche di conservazione, logging o addestramento dei modelli di alcun fornitore terzo.

Integrazioni configurate dal cliente

Se attivi integrazioni opzionali come il monitoraggio degli errori (Sentry) o fonti di dati sulle vulnerabilità, le configuri e le controlli in qualità di titolare, e tali servizi ricevono i dati secondo la tua configurazione e i loro termini. Fraway non è titolare del trattamento che avvii tramite tali integrazioni.

10. Minimizzazione dei dati — cosa non inviare

DevFlow è uno strumento di uso generale e non è concepito per ricevere dati sensibili o trattati illecitamente. Coerentemente con i Termini d'Uso di DevFlow, non devi inviare, collegare o includere nei contenuti inviati:

• Categorie particolari di dati personali (art. 9 GDPR — es. dati su salute, origine razziale o etnica, opinioni politiche, convinzioni religiose, dati biometrici o genetici, orientamento sessuale) o dati relativi a condanne penali e reati (art. 10 GDPR);
• Segreti o credenziali — password di produzione, chiavi API, token di accesso, chiavi private o simili (utilizza segnaposto o un gestore di segreti);
• Qualsiasi dato personale per cui non disponi di una base giuridica per il trattamento o per la comunicazione a responsabili e sub-responsabili.

Resti responsabile, in qualità di titolare, di assicurare che i contenuti inviati siano conformi alla presente Sezione.

11. Sicurezza dei dati di prodotto

Adottiamo misure tecniche e organizzative adeguate a proteggere i dati di prodotto, tenuto conto dello stato dell'arte e dei rischi, tra cui:

• Cifratura a riposo delle credenziali e degli altri segreti sensibili in nostro possesso;
• Isolamento delle copie di lavoro in cui gli agenti leggono, generano e modificano il codice, in modo che il trattamento di un workspace sia separato da quello di un altro;
• Controlli di accesso basati sul principio del minimo privilegio, che limitano l'accesso al personale e ai sistemi autorizzati.

Nessun metodo di trasmissione su internet o di archiviazione elettronica è completamente sicuro e non possiamo garantire una sicurezza assoluta. Ulteriori dettagli sono indicati nelle misure tecniche e organizzative richiamate nel DPA.

12. Conservazione dei dati (prodotto DevFlow)

Conserviamo i dati di prodotto solo per il tempo necessario alle finalità descritte nella presente Policy o richiesto dalla legge:

Per i contenuti inviati, la cancellazione e la restituzione alla cessazione sono disciplinate dal DPA e dalle tue istruzioni in qualità di titolare. Ove agiamo come responsabili, cancelliamo o restituiamo i contenuti inviati al termine del servizio conformemente al DPA, salvo che la conservazione sia richiesta dalla legge.

13. Trasferimenti internazionali di dati

Alcuni trattamenti comportano trasferimenti di dati personali al di fuori del SEE. Per ciascun trasferimento ci basiamo su una garanzia adeguata ai sensi del Capo V del GDPR.

Fornitori del sito

Alcuni fornitori del sito (Sezione 5) hanno sede negli Stati Uniti. Garantiamo tutele adeguate tramite le Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea.

Contenuti del prodotto DevFlow

I trasferimenti dei contenuti inviati ai sub-responsabili di IA/LLM e infrastruttura (Sezione 9) possono avvenire al di fuori del SEE. Ciascuno di tali trasferimenti si basa su una garanzia adeguata ai sensi del Capo V — una decisione di adeguatezza o le Clausole Contrattuali Standard (SCC) — trasposta al sub-responsabile interessato. Poiché sei il titolare dei dati personali contenuti nei contenuti inviati, sei responsabile di autorizzare tali trasferimenti nelle istruzioni che ci impartisci; le garanzie applicabili sono descritte più in dettaglio nel DPA.

Notifiche opzionali via Telegram (attivate dall'utente)

Se attivi le notifiche Telegram, DevFlow invia le notifiche dei task a Telegram (Telegram FZ-LLC), che le tratta negli Emirati Arabi Uniti — al di fuori del SEE e in assenza di una decisione di adeguatezza dell'UE. Poiché per questo destinatario non sono disponibili garanzie adeguate quali le SCC, tale trasferimento avviene esclusivamente sulla base del tuo consenso esplicito e informato a quello specifico trasferimento (art. 49(1)(a) GDPR), che presti al momento dell'attivazione della funzione e che puoi revocare in qualsiasi momento disattivandola. Per mantenere il trasferimento proporzionato, queste notifiche contengono solo il titolo del task, il suo stato e un link per aprire il task in DevFlow — mai codice, diff, prompt, segreti o dati personali di terzi. Telegram è un destinatario opzionale, attivato dall'utente, e non fa parte dei sub-responsabili sempre attivi necessari al funzionamento di DevFlow.

14. I tuoi diritti

Ai sensi del GDPR, hai i seguenti diritti:

15. Come esercitare i tuoi diritti

Per esercitare uno qualsiasi dei tuoi diritti, contattaci a info@fraway.io. Risponderemo entro 30 giorni (prorogabili ai sensi del GDPR per richieste complesse, con comunicazione all'interessato). Potremmo dover verificare la tua identità prima di dare seguito a una richiesta. Se non sei soddisfatto del nostro riscontro, hai il diritto di proporre reclamo all'autorità di controllo. In Italia è il Garante per la protezione dei dati personali (www.garanteprivacy.it). La legge applicabile alla presente Policy è quella italiana.

16. Modifiche alla presente Policy

Potremmo aggiornare di tanto in tanto la presente Privacy Policy. La data di 'Ultimo aggiornamento' e il numero di versione in alto indicano quando è stata rivista l'ultima volta. In caso di modifiche sostanziali, ti avviseremo tramite avviso sul sito e/o, per DevFlow, tramite il servizio o via email.