Ultimo aggiornamento 13 settembre 2026

Informativa sulla privacy

Prendiamo la privacy sul serio. Questa informativa descrive quali dati raccogliamo, su quale base giuridica, per quanto tempo li conserviamo, chi li tratta per nostro conto e come può esercitare i Suoi diritti ai sensi del Regolamento generale sulla protezione dei dati dell'UE (Regolamento 2016/679, il GDPR).

  1. 01Titolare del trattamento
  2. 02Quali dati raccogliamo
  3. 03Base giuridica per ciascuna finalità di trattamento
  4. 04Periodi di conservazione
  5. 05Trattamento automatizzato (art. 13(2)(f) e art. 22)
  6. 06Sub-responsabili e destinatari
  7. 07Trasferimenti internazionali
  8. 08I Suoi diritti ai sensi del GDPR
  9. 09Dati biometrici — Chiromanzia
  10. 10Cookie
  11. 11Dati di altre persone
  12. 12Minori
  13. 13Sicurezza
  14. 14Modifiche a questa informativa
  15. 15Contatti

01Titolare del trattamento

Il titolare del trattamento dei dati personali trattati tramite karmogram.com è CyGuru Pharm SRL, registrata in Romania (Registro del Commercio registration pending, codice fiscale RO52437696), con sede legale in Branesti, str. Horia 33c, jud. Ilfov. Contatto generale: karmogram@karmogram.com. Richieste in materia di privacy e protezione dei dati (inclusa la casella del DPO): karmogram@karmogram.com. Rispondiamo a tutte le richieste di esercizio dei diritti entro trenta (30) giorni, conformemente all'articolo 12(3) del GDPR.

02Quali dati raccogliamo

(a) Identificazione + dati della lettura: nome completo, e-mail, data di nascita, ora e luogo di nascita facoltativi, dati del partner o dei membri del team che scegli di inserire, la tua domanda scritta o la descrizione del sogno. (b) Dati biometrici (solo per la Chiromanzia): una fotografia del tuo palmo. (c) Account/autenticazione: e-mail, token del magic link, data dell’ultimo accesso. (d) Metadati di pagamento restituiti da Stripe (circuito della carta, ultime quattro cifre, paese, ID transazione — non vediamo mai il numero completo). (e) Dati tecnici: il tuo indirizzo IP e lo user-agent sono trattati in modo transitorio dal nostro provider di hosting (Vercel) per servire la pagina e proteggere il servizio dagli abusi; alla prima visita il paese derivato dal tuo IP serve solo a scegliere la lingua del sito, che puoi cambiare in qualsiasi momento dal menu lingue. La nostra analisi di prodotto (PostHog, regione UE) non riceve mai il tuo IP e funziona solo se la accetti nel banner cookie; se attiva, registra classe del dispositivo, lingua, referrer e parametri UTM. (f) Comunicazioni che ci invii (testo dell’e-mail, allegati).

03Base giuridica per ciascuna finalità di trattamento

Generazione e consegna della lettura — esecuzione del contratto che concludi con l’ordine (GDPR art. 6(1)(b)). Creazione dell’account e autenticazione via magic link — esecuzione del contratto (GDPR art. 6(1)(b)). Prevenzione delle frodi, contrasto agli abusi e monitoraggio degli errori — il nostro legittimo interesse a mantenere il servizio sicuro e funzionante (GDPR art. 6(1)(f)); usa solo dati tecnici transitori e non ti profila mai. Scelta della lingua del sito alla prima visita in base al paese del tuo IP — il nostro legittimo interesse a mostrarti una pagina che puoi leggere (GDPR art. 6(1)(f)); il risultato è conservato solo per la sessione e il menu lingue prevale. Analisi di prodotto (PostHog) — il tuo consenso, dato nel banner cookie e revocabile in qualsiasi momento da «Impostazioni cookie» nel piè di pagina (GDPR art. 6(1)(a); ePrivacy art. 5(3)); senza di esso nessuna analisi è attiva. Comunicazioni di marketing — il tuo consenso esplicito e libero all’iscrizione alla newsletter, confermato tramite il link che ti inviamo per e-mail (double opt-in) (GDPR art. 6(1)(a)), revocabile in qualsiasi momento tramite il link di disiscrizione in ogni e-mail o scrivendo a karmogram@karmogram.com. Fotografie del palmo (Chiromanzia) — il tuo consenso esplicito al trattamento di dati biometrici ai sensi del GDPR art. 9(2)(a). Registri fiscali e contabili — adempimento dei nostri obblighi di legge secondo il diritto fiscale rumeno (GDPR art. 6(1)(c)).

04Periodi di conservazione

Cookie di sessione (iron-session, firmati): 30 giorni dall’ultima attività. Token di accesso via magic link: 15 minuti (monouso). Dati dell’intervista e della lettura (le tue risposte e la lettura generata): 3 anni dalla consegna, poi anonimizzati o eliminati, in linea con il termine di prescrizione delle azioni civili nel diritto rumeno. Fotografie del palmo: 30 giorni dal caricamento (cifrate a riposo, eliminate da un processo giornaliero alle 04:00 Europe/Bucharest). Log di consegna e-mail (Resend): 30 giorni. Registrazioni delle transazioni e fatture Stripe: 7 anni (imposti dalla Legge rumena 227/2015 sul Codice fiscale e dalla Legge 82/1991 sulla contabilità). Eventi di analisi di prodotto (PostHog, regione UE, solo con il tuo consenso): 12 mesi. Eventi di errore (Sentry): non attivo oggi; se lo attiveremo, 90 giorni, e questa informativa lo dirà. Corrispondenza di supporto: fino a 3 anni.

05Trattamento automatizzato (art. 13(2)(f) e art. 22)

Your reading is generated by an automated natural-language processing system (OpenAI; palm-reading uses Anthropic). The data we send to the system is the interview fields you submitted (name, birth data, your question, partner or team data if relevant) together with our editorial guidelines. Data sent to OpenAI's API is not used to train or improve any model and is retained by OpenAI for up to 30 days for abuse monitoring before deletion; palm-reading is processed by Anthropic. Generation is fully automated, but it does not produce decisions that have a legal or similarly significant effect on you (a Karmogram reading is reflective entertainment, not a legal, medical, financial, employment or insurance decision). You may at any time request human review of a delivered reading by writing to karmogram@karmogram.com; we will respond within 30 days.

06Sub-responsabili e destinatari

We share data only with the processors strictly needed to operate the service. Stripe Payments Europe (Ireland; processing servers in the United States) — payment processing. Transfer mechanism: EU Standard Contractual Clauses 2021/914 plus Stripe's adherence to the EU–US Data Privacy Framework. Resend (United States) — transactional and marketing email delivery. Transfer mechanism: SCC 2021/914 plus EU–US Data Privacy Framework. PostHog (European Union, eu.posthog.com) — product analytics; no international transfer. Sentry (United States, only when enabled) — error tracking. Transfer mechanism: SCC 2021/914 plus EU–US DPF. Vercel Inc. (United States, with EU edge regions) — application hosting. Transfer mechanism: SCC 2021/914 plus EU–US DPF. OpenAI, L.L.C. (United States) — automated natural-language generation of your reading, accessed through our backend; data sent via the OpenAI API is not used to train OpenAI's models and is retained by OpenAI for up to 30 days for abuse monitoring before deletion. Transfer mechanism: SCC 2021/914. Anthropic PBC (United States) — natural-language processing for palm-reading, accessed through our backend. Transfer mechanism: SCC 2021/914 plus EU–US DPF. If you give explicit consent to store your answers, your customer record, purchase and reading are held in a managed PostgreSQL database located in the European Union. We do not sell your data and we do not share it with advertising networks.

07Trasferimenti internazionali

Where personal data leaves the European Economic Area (Stripe, Resend, Sentry, Vercel, OpenAI, Anthropic) the transfer is governed by the European Commission's Standard Contractual Clauses (Decision 2021/914) and, where applicable, by the recipient's certification under the EU–US Data Privacy Framework. You may obtain a copy of the safeguards by writing to karmogram@karmogram.com.

08I Suoi diritti ai sensi del GDPR

Ha il diritto di accesso (art. 15), rettifica (art. 16), cancellazione / diritto all'oblio (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20 — può chiedere i Suoi dati in un file JSON strutturato e leggibile da dispositivo automatico) e opposizione (art. 21). Quando il trattamento si basa sul consenso (art. 6(1)(a) o art. 9(2)(a)), ha il diritto di revocarlo in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato in precedenza. Per esercitare qualsiasi diritto, usi il modulo su /privacy/erase o scriva a karmogram@karmogram.com. Rispondiamo entro 30 giorni. Ha inoltre il diritto di presentare reclamo all'autorità di controllo rumena (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro) o all'autorità di controllo del Suo luogo di residenza abituale.

09Dati biometrici — Chiromanzia

Le fotografie del palmo caricate per la lettura di Chiromanzia sono dati biometrici ai sensi dell'art. 4(14) e dell'art. 9 del GDPR. Le trattiamo esclusivamente sulla base del Suo consenso esplicito (art. 9(2)(a)) e solo allo scopo di generare la Sua lettura di Chiromanzia. Rimuoviamo i metadati EXIF e di geolocalizzazione dalla Sua immagine sia lato client (nel browser, prima del caricamento) sia lato server (difesa in profondità). I file sono cifrati a riposo con AES-256, non sono mai esposti tramite URL pubblici, sono accessibili al motore di lettura solo tramite URL firmati di breve durata (≤ 5 minuti) e vengono cancellati entro 30 giorni da un processo di pulizia giornaliero. Può richiedere la cancellazione immediata su /privacy/erase o scrivendo a karmogram@karmogram.com.

11Dati di altre persone

Se invia dati personali di un'altra persona (un partner per una lettura di Compatibilità, fondatori, membri del team per una lettura di Compatibilità di Team o chiunque sia nominato nella Sua domanda), conferma di aver informato tale persona del trattamento e di avere una base giuridica per condividere con noi i suoi dati. Su richiesta di tale persona, daremo seguito ai suoi diritti previsti dal GDPR ai sensi dell'articolo 14 allo stesso modo in cui lo facciamo per i nostri utenti diretti.

12Minori

Karmogram è destinato esclusivamente ad adulti di 18 anni o più. Non trattiamo consapevolmente dati personali di minori. Se ritiene che un minore abbia inviato dati tramite il servizio, lo segnali immediatamente a karmogram@karmogram.com e cancelleremo i dati senza indugio.

13Sicurezza

Data in transit is protected by TLS 1.2+. The application runs on Vercel's infrastructure; where we store customer records and readings, they are held in a managed PostgreSQL database in the European Union, encrypted in transit. Secrets are managed through the hosting platform's encrypted environment and never committed to source control. Access to production data is restricted to named personnel and logged. We notify the supervisory authority and affected users within 72 hours of becoming aware of a personal-data breach, in line with GDPR Art. 33–34.

14Modifiche a questa informativa

Quando apportiamo modifiche sostanziali a questa informativa, ne diamo comunicazione via email a tutti i titolari di account e ai clienti recenti almeno quindici (15) giorni prima che le modifiche entrino in vigore. Le modifiche non sostanziali sono pubblicate con una data di revisione aggiornata in cima a questa pagina. La versione corrente è datata 13 settembre 2026.

15Contatti

Titolare del trattamento: CyGuru Pharm SRL, Branesti, str. Horia 33c, jud. Ilfov. Casella generale: karmogram@karmogram.com. Casella per la protezione dei dati (DPO): karmogram@karmogram.com. Autorità di controllo rumena: ANSPDCP, dataprotection.ro.

Gestito da CyGuru Pharm SRL (registration pending, CUI RO52437696), Branesti, str. Horia 33c, jud. Ilfov. Contratto nr. 1/17.04.2026.