Privacy Policy

01Controller

1. Who we are (Data Controller)

The data controller is Profiles S.r.l., VAT IT07494910487, Via Marconi 30, 50131 Firenze, Italy ("AIORA", "we", "us").

Contact for any privacy matter: admin@aiorastudio.com

02Scope

2. Scope

This policy explains how we process personal data when you:

• visit our website aiorastudio.com (the "Website");
• create an account and use the AIORA platform (the "Platform");
• connect and use the AIORA app for ChatGPT or another MCP client (the "ChatGPT App"), which is provided through our MCP server and OAuth sign-in.

Together these are the "Service". This policy is provided under Articles 13 and 14 of Regulation (EU) 2016/679 ("GDPR") and the Italian Personal Data Protection Code (Legislative Decree 196/2003, as amended).

03Data

3. Personal data we process

a) Usage and technical data (Website, Platform, ChatGPT App). Information collected automatically, such as IP address, browser and device type, operating system, pages and features used, date and time of requests, request metadata, response status codes and error logs.

b) Account data. The information you provide when you sign up and sign in through our authentication provider (Clerk), and your account and organization identifiers.

c) Content you provide and content we generate. Images you upload, the instructions, prompts, parameters and product references you submit, and the images generated by the Service.

d) ChatGPT App data. When you connect AIORA to ChatGPT or another MCP client, you sign in with your AIORA account via OAuth. We process: your account and organization identifiers; OAuth tokens (access tokens expire after 1 hour, refresh tokens after 30 days; we keep token records until you disconnect the app or delete the account); the instructions, parameters and product references the client sends to our tools; images you upload and images we generate; credit usage; and technical logs (IP address, request metadata, errors). We never receive your full chat history: we only receive what the client sends to our tools.

e) Credits, purchases and billing data. Credit balance and usage, purchases and related transaction records. Payments are processed by Stripe. We keep invoices and billing data for 10 years because Italian law requires it. This is an explicit exception to account deletion (section 7).

f) Product analytics data. Events describing how the Platform is used, collected through Mixpanel (data stored in the EU).

g) Marketing measurement data (Website). Data collected by the Meta pixel about visits and actions on the Website, used only with your consent (see the Cookie Policy).

h) Communications. The content of messages you send us (e.g. to admin@aiorastudio.com) and our replies, including support and commercial email. We keep them while the account or the relationship exists, then delete them with the account. If you receive a newsletter you can unsubscribe at any time.

Please do not upload images or content containing other people's personal data unless you are entitled to do so: you are responsible for third-party personal data you upload, publish or share through the Service.

04Purposes

4. Purposes and legal bases

Providing account, content and payment data is necessary to use the Platform and the ChatGPT App; without it we cannot provide the Service. Consent-based processing is optional.

AI processing and model training. To generate images we send the relevant content (images, instructions and parameters) to the AI providers listed in section 5. We do not use your images to train AI models. Requests routed through OpenRouter are configured with data collection denied (data_collection: deny), so they are only routed to providers that do not collect the data for their own purposes.

No automated decisions with legal effects. We do not take decisions based solely on automated processing that produce legal effects concerning you or similarly significantly affect you.

05Recipients

5. Recipients and processors

We share personal data only with the providers below, who act as our processors under a data processing agreement, or as independent controllers where stated. Our authorised personnel (administration, development, support) access data only as needed. Data may also be disclosed to public authorities where required by law.

Google (Gemini API). We use Google's Gemini API on a paid plan (paid tier); under Google's terms for paid services, data we send is not used to train Google's models.

An up-to-date list of recipients is available on request at admin@aiorastudio.com.

06Transfers

6. Transfers outside the EEA

Some of the providers above are based in, or may access data from, the United States or other countries outside the European Economic Area. Where this happens, transfers are based on Standard Contractual Clauses and, where applicable, the EU-US Data Privacy Framework, together with the additional safeguards provided in each provider's data processing agreement. You can ask for information on these safeguards, or a copy of them, at admin@aiorastudio.com.

07Retention

7. How long we keep data

• Account, personal data, uploaded content and generated images: kept for as long as the account exists, even if you cancel the subscription. Cancelling the subscription does not delete the account.
• Account deletion: if you ask us by email at admin@aiorastudio.com, we delete the account within 30 days of the request.
• OAuth tokens (ChatGPT App): access tokens expire after 1 hour and refresh tokens after 30 days. We keep token records until you disconnect the app or delete the account. Disconnecting AIORA in ChatGPT revokes access.
• Technical logs at our providers: Fly.io 7 days, Vercel 30 days, Supabase 7 days.
• Invoices and billing data: 10 years, because Italian law requires it. This is an explicit exception to account deletion. Credit and purchase records that are part of those billing records follow the same period.
• Product analytics (Mixpanel): analytics data (Mixpanel, EU region) is kept for up to 2 years from the date of the event and then deleted automatically. Mixpanel user profiles can be deleted on request and are in any case deleted together with the account.
• Communications (support and commercial email): kept while the account or the relationship exists, then deleted with the account. If you receive a newsletter you can unsubscribe at any time.

Data may be kept longer where required by law or to establish, exercise or defend legal claims. After that, it is deleted or anonymised.

08Image links

8. Generated image links

Images generated on the Platform and through the ChatGPT App are stored in the Supabase bucket generated-images and returned as public links. The ChatGPT App path uploads the finished image and sends back that public link (/object/public/). The link does not expire. The file name includes a random identifier, so it is not intended to be guessed, but anyone who has the link can view the image until you delete it. The App also receives a smaller JPEG preview inside the tool response. These images are not protected by expiring signed URLs. The storage policy in this repository sets the generated-images bucket to public.

09Rights

9. Your rights

Under Articles 15–22 GDPR you have the right to:

• access your personal data and receive a copy;
• rectify inaccurate or incomplete data;
• erase your data ("right to be forgotten");
• restrict processing;
• data portability – receive data you provided in a structured, commonly used, machine-readable format and have it transmitted to another controller;
• object at any time to processing based on legitimate interest, on grounds relating to your particular situation, and to direct marketing at any time without giving reasons;
• withdraw consent at any time, without affecting the lawfulness of processing before withdrawal.

ChatGPT App controls: you can disconnect AIORA at any time from your ChatGPT settings, which revokes access. We keep OAuth token records until you disconnect the app or delete the account. You can delete images in your AIORA workspace.

Account deletion: we keep your account, your personal data, content you upload and images we generate for as long as the account exists, even if you cancel the subscription. Cancelling the subscription does not delete the account. To delete the account, email admin@aiorastudio.com. We delete it within 30 days of the request. Invoices and billing data are an explicit exception: we keep them for 10 years because Italian law requires it. Support and commercial emails are kept while the account or the relationship exists, then deleted with the account. If you receive a newsletter you can unsubscribe at any time.

To exercise your rights write to admin@aiorastudio.com. Requests are free of charge and we respond without undue delay and in any case within one month (extendable by two further months for complex requests, in which case we will tell you). We may ask you to verify your identity. We will inform any recipients of rectification, erasure or restriction unless this proves impossible or involves disproportionate effort.

Complaint: you have the right to lodge a complaint with the Italian supervisory authority, the Garante per la protezione dei dati personali (www.garanteprivacy.it), or with the supervisory authority of the EU country where you live or work or where the alleged infringement took place.

10Security

10. Security

We apply appropriate technical and organisational measures to protect personal data against unauthorised access, disclosure, alteration or destruction, including authentication through a dedicated provider, OAuth sign-in for the ChatGPT App with short-lived access tokens, access restricted to authorised personnel, and processors bound by data processing agreements. No system is completely secure: please note the public accessibility of generated image links described in section 8.

11Children

11. Children

The Service is intended for users aged 18 or over and is not directed at minors. We do not knowingly collect personal data of persons under 18. If you believe a minor has provided us with personal data, contact admin@aiorastudio.com and we will delete it.

12Cookies

12. Cookies and similar technologies

Until you choose, the site uses only cookies required to run it, including the sign-in session. Statistics and marketing stay off.

You can accept all, reject all, or set two choices. Statistics covers Mixpanel (EU) and Vercel Analytics / Speed Insights. Marketing covers the Meta pixel, which measures visits and actions on the website.

The choice is stored for 6 months in the first-party cookie aiora_consent. The full list is in the Cookie Policy. We also keep a record of that choice: an anonymous identifier, the policy version, the two flags, and the time. That record does not include your IP address or your account. You can change the choice at any time from Cookie preferences in the footer.

13Changes

13. Changes to this policy

We may update this policy, for example when we add features or providers. The "Last updated" date at the top shows the latest version. We will notify material changes on this page and, where appropriate, by email or within the Service. Where a change requires your consent, we will ask for it.

14Contact

14. Contact

Profiles S.r.l. – Via Marconi 30, 50131 Firenze, Italy – VAT IT07494910487

Email: admin@aiorastudio.com

01Titolare

1. Chi siamo (Titolare del trattamento)

Il titolare del trattamento è Profiles S.r.l., P.IVA IT07494910487, Via Marconi 30, 50131 Firenze, Italia ("AIORA", "noi").

Contatto per qualsiasi questione privacy: admin@aiorastudio.com

02Ambito

2. Ambito

La presente informativa spiega come trattiamo i dati personali quando:

• visiti il nostro sito aiorastudio.com (il "Sito");
• crei un account e utilizzi la piattaforma AIORA (la "Piattaforma");
• colleghi e utilizzi l'app AIORA per ChatGPT o un altro client MCP (l'"App ChatGPT"), fornita tramite il nostro server MCP e l'accesso OAuth.

Nel loro insieme, il "Servizio". L'informativa è resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del Codice in materia di protezione dei dati personali (D.Lgs. 196/2003 e successive modifiche).

03Dati

3. Dati personali trattati

a) Dati di utilizzo e tecnici (Sito, Piattaforma, App ChatGPT). Informazioni raccolte automaticamente, come indirizzo IP, tipo di browser e dispositivo, sistema operativo, pagine e funzioni utilizzate, data e ora delle richieste, metadati delle richieste, codici di risposta e log di errore.

b) Dati dell'account. Le informazioni che fornisci in fase di registrazione e accesso tramite il nostro fornitore di autenticazione (Clerk), e gli identificativi del tuo account e della tua organizzazione.

c) Contenuti forniti da te e contenuti generati. Le immagini che carichi, le istruzioni, i prompt, i parametri e i riferimenti prodotto che invii, e le immagini generate dal Servizio.

d) Dati dell'App ChatGPT. Quando colleghi AIORA a ChatGPT o a un altro client MCP, accedi con il tuo account AIORA tramite OAuth. Trattiamo: gli identificativi del tuo account e della tua organizzazione; i token OAuth (i token di accesso scadono dopo 1 ora, i token di aggiornamento dopo 30 giorni; conserviamo i record dei token finché non scolleghi l'app o non cancelli l'account); le istruzioni, i parametri e i riferimenti prodotto che il client invia ai nostri strumenti; le immagini che carichi e quelle che generiamo; l'utilizzo dei crediti; i log tecnici (indirizzo IP, metadati delle richieste, errori). Non riceviamo mai la tua cronologia chat completa: riceviamo solo ciò che il client invia ai nostri strumenti.

e) Dati su crediti, acquisti e fatturazione. Saldo e consumo dei crediti, acquisti e relative registrazioni delle transazioni. I pagamenti sono gestiti da Stripe. Conserviamo fatture e dati di fatturazione per 10 anni per obbligo di legge italiano. È un'eccezione esplicita alla cancellazione dell'account (sezione 7).

f) Dati di analisi del prodotto. Eventi che descrivono l'uso della Piattaforma, raccolti tramite Mixpanel (dati conservati nell'UE).

g) Dati di misurazione pubblicitaria (Sito). Dati raccolti dal pixel di Meta su visite e azioni sul Sito, utilizzati solo con il tuo consenso (vedi la Cookie Policy).

h) Comunicazioni. Il contenuto dei messaggi che ci invii (ad es. a admin@aiorastudio.com) e le nostre risposte, incluse le email di supporto e quelle commerciali. Le conserviamo finché esiste l'account o il rapporto, poi le cancelliamo insieme all'account. Chi riceve la newsletter può disiscriversi in qualsiasi momento.

Ti chiediamo di non caricare immagini o contenuti con dati personali di altre persone se non ne hai titolo: sei responsabile dei dati personali di terzi che carichi, pubblichi o condividi tramite il Servizio.

04Finalità

4. Finalità e basi giuridiche

Il conferimento dei dati dell'account, dei contenuti e dei dati di pagamento è necessario per usare la Piattaforma e l'App ChatGPT; senza di essi non possiamo fornire il Servizio. I trattamenti basati sul consenso sono facoltativi.

Trattamento con IA e addestramento dei modelli. Per generare le immagini inviamo i contenuti necessari (immagini, istruzioni e parametri) ai fornitori di IA elencati nella sezione 5. Non usiamo le tue immagini per addestrare modelli di IA. Le richieste instradate tramite OpenRouter sono configurate con raccolta dati negata (data_collection: deny), quindi vengono inviate solo a fornitori che non raccolgono i dati per finalità proprie.

Nessuna decisione automatizzata con effetti giuridici. Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici che ti riguardano o che incidano in modo analogo significativamente sulla tua persona.

05Destinatari

5. Destinatari e responsabili del trattamento

Condividiamo i dati personali solo con i fornitori sotto indicati, che agiscono come nostri responsabili del trattamento in base a un accordo sul trattamento dei dati (DPA), o come titolari autonomi dove indicato. Il nostro personale autorizzato (amministrazione, sviluppo, assistenza) accede ai dati solo se necessario. I dati possono inoltre essere comunicati alle autorità pubbliche quando richiesto dalla legge.

Google (Gemini API). Utilizziamo la Gemini API di Google con un piano a pagamento (paid tier); in base ai termini di Google per i servizi a pagamento, i dati inviati non vengono utilizzati per addestrare i modelli di Google.

L'elenco aggiornato dei destinatari è disponibile su richiesta a admin@aiorastudio.com.

06Trasferimenti

6. Trasferimenti fuori dal SEE

Alcuni dei fornitori sopra indicati hanno sede negli Stati Uniti o in altri paesi fuori dallo Spazio Economico Europeo, o possono accedere ai dati da tali paesi. In questi casi i trasferimenti si basano sulle Clausole Contrattuali Standard e, ove applicabile, sull'EU-US Data Privacy Framework, insieme alle ulteriori garanzie previste nell'accordo sul trattamento dei dati di ciascun fornitore. Puoi chiedere informazioni su queste garanzie, o una loro copia, a admin@aiorastudio.com.

07Conservazione

7. Per quanto tempo conserviamo i dati

• Account, dati personali, contenuti caricati e immagini generate: conservati finché l'account esiste, anche se l'abbonamento viene disdetto. Disdire l'abbonamento non equivale a cancellare l'account.
• Cancellazione dell'account: su richiesta via email a admin@aiorastudio.com, cancelliamo l'account entro 30 giorni dalla richiesta.
• Token OAuth (App ChatGPT): i token di accesso scadono dopo 1 ora e i token di aggiornamento dopo 30 giorni. Conserviamo i record dei token finché non scolleghi l'app o non cancelli l'account. Scollegando AIORA in ChatGPT l'accesso viene revocato.
• Log tecnici presso i fornitori: Fly.io 7 giorni, Vercel 30 giorni, Supabase 7 giorni.
• Fatture e dati di fatturazione: 10 anni, per obbligo di legge italiano. È un'eccezione esplicita alla cancellazione dell'account. Le registrazioni di crediti e acquisti che fanno parte di questi dati di fatturazione seguono lo stesso periodo.
• Analisi del prodotto (Mixpanel): i dati di analisi (Mixpanel, regione UE) sono conservati fino a 2 anni dalla data dell'evento e poi cancellati automaticamente. I profili utente su Mixpanel possono essere cancellati su richiesta e vengono comunque eliminati insieme all'account.
• Comunicazioni (email di supporto e commerciali): conservate finché esiste l'account o il rapporto, poi cancellate insieme all'account. Chi riceve la newsletter può disiscriversi in qualsiasi momento.

I dati possono essere conservati più a lungo se richiesto dalla legge o per accertare, esercitare o difendere un diritto in sede giudiziaria. Successivamente vengono cancellati o anonimizzati.

08Link immagini

8. Link alle immagini generate

Le immagini generate sulla Piattaforma e tramite l'App ChatGPT sono archiviate nel bucket Supabase generated-images e restituite come link pubblici. Il percorso dell'App ChatGPT carica l'immagine finita e rimanda quel link pubblico (/object/public/). Il link non scade. Il nome del file include un identificatore casuale, quindi non è pensato per essere indovinato, ma chiunque abbia il link può vedere l'immagine finché non la elimini. L'App riceve anche un'anteprima JPEG più piccola nella risposta dello strumento. Queste immagini non sono protette da URL firmati a scadenza. La policy di storage in questo repository imposta il bucket generated-images come pubblico.

09Diritti

9. I tuoi diritti

Ai sensi degli artt. 15–22 GDPR hai diritto di:

• accedere ai tuoi dati personali e riceverne copia;
• rettificare dati inesatti o incompleti;
• ottenere la cancellazione dei tuoi dati ("diritto all'oblio");
• ottenere la limitazione del trattamento;
• portabilità dei dati – ricevere i dati che ci hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico e trasmetterli a un altro titolare;
• opporti in qualsiasi momento, per motivi connessi alla tua situazione particolare, ai trattamenti basati sul legittimo interesse, e in qualsiasi momento e senza motivazione al marketing diretto;
• revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento effettuato prima della revoca.

Controlli dell'App ChatGPT: puoi scollegare AIORA in qualsiasi momento dalle impostazioni di ChatGPT, revocando così l'accesso. Conserviamo i record dei token OAuth finché non scolleghi l'app o non cancelli l'account. Puoi eliminare le immagini nel tuo spazio di lavoro AIORA.

Cancellazione dell'account: conserviamo l'account, i dati personali, i contenuti caricati e le immagini generate finché l'account esiste, anche se disdici l'abbonamento. Disdire l'abbonamento non equivale a cancellare l'account. Per cancellare l'account scrivi a admin@aiorastudio.com. Lo cancelliamo entro 30 giorni dalla richiesta. Fatture e dati di fatturazione sono un'eccezione esplicita: li conserviamo per 10 anni per obbligo di legge italiano. Le email di supporto e quelle commerciali sono conservate finché esiste l'account o il rapporto, poi cancellate insieme all'account. Chi riceve la newsletter può disiscriversi in qualsiasi momento.

Per esercitare i tuoi diritti scrivi a admin@aiorastudio.com. Le richieste sono gratuite e rispondiamo senza ingiustificato ritardo e comunque entro un mese (prorogabile di ulteriori due mesi per richieste complesse, nel qual caso te lo comunicheremo). Potremmo chiederti di verificare la tua identità. Comunicheremo eventuali rettifiche, cancellazioni o limitazioni ai destinatari, salvo che ciò si riveli impossibile o implichi uno sforzo sproporzionato.

Reclamo: hai il diritto di proporre reclamo all'autorità di controllo italiana, il Garante per la protezione dei dati personali (www.garanteprivacy.it), oppure all'autorità di controllo del paese UE in cui risiedi o lavori o in cui è avvenuta la presunta violazione.

10Sicurezza

10. Sicurezza

Adottiamo misure tecniche e organizzative adeguate per proteggere i dati personali da accessi, divulgazioni, modifiche o distruzioni non autorizzate, tra cui l'autenticazione tramite un fornitore dedicato, l'accesso OAuth all'App ChatGPT con token di accesso a breve durata, l'accesso limitato al personale autorizzato e responsabili vincolati da accordi sul trattamento dei dati. Nessun sistema è completamente sicuro: tieni presente l'accessibilità pubblica dei link alle immagini generate descritta nella sezione 8.

11Minori

11. Minori

Il Servizio è destinato a utenti di almeno 18 anni e non è rivolto ai minori. Non raccogliamo consapevolmente dati personali di persone di età inferiore a 18 anni. Se ritieni che un minore ci abbia fornito dati personali, scrivi a admin@aiorastudio.com e li cancelleremo.

12Cookie

12. Cookie e tecnologie simili

Finché non scegli, il sito usa solo i cookie necessari al funzionamento, inclusa la sessione di accesso. Statistiche e marketing restano spenti.

Puoi accettare tutto, rifiutare tutto, o impostare due scelte. Statistiche copre Mixpanel (UE) e Vercel Analytics / Speed Insights. Marketing copre il pixel di Meta, che misura visite e azioni sul sito.

La scelta resta per 6 mesi in un cookie di prima parte, nome aiora_consent. L'elenco completo è nella Cookie Policy. Conserviamo anche un registro di quella scelta: un identificativo anonimo, la versione dell'informativa, le due opzioni e l'ora. Quel registro non include il tuo indirizzo IP né il tuo account. Puoi modificare la scelta in qualsiasi momento da Preferenze cookie nel footer.

13Modifiche

13. Modifiche alla presente informativa

Possiamo aggiornare questa informativa, ad esempio quando aggiungiamo funzioni o fornitori. La data di "Ultimo aggiornamento" in alto indica la versione più recente. Comunicheremo le modifiche rilevanti su questa pagina e, ove opportuno, via email o all'interno del Servizio. Se una modifica richiede il tuo consenso, te lo chiederemo.

14Contatti

14. Contatti

Profiles S.r.l. – Via Marconi 30, 50131 Firenze, Italia – P.IVA IT07494910487

Email: admin@aiorastudio.com