Informativa sulla privacy

Chi è responsabile

MCP for PADI su padi.mcp.visin.ch è gestito da Marco Visin, Lugano, Svizzera. Marco Visin è responsabile dei tuoi dati personali: è il titolare del trattamento ai sensi della legge federale svizzera sulla protezione dei dati (LPD) e, ove applicabile, del regolamento generale dell'UE sulla protezione dei dati (GDPR).

Per qualsiasi domanda sui tuoi dati, o per esercitare i tuoi diritti, scrivi a marco@visin.ch.

Cosa memorizziamo e perché

Memorizziamo solo ciò che serve al funzionamento del servizio:

• Il tuo account. Il tuo indirizzo e-mail e la password che hai scelto per MCP for PADI. La password viene memorizzata solo come hash scrypt, quindi non possiamo vederla. Memorizziamo anche quando hai creato l'account e quando hai eseguito l'ultimo accesso, e se l'account è disattivato o è un account amministratore. Questi dati ci servono per fornirti un account e proteggerlo.
• La tua richiesta di accesso. Se richiedi l'accesso, il messaggio che scrivi all'amministratore, così che possa decidere. Viene eliminato quando la tua richiesta viene approvata. Se per questo servizio è configurato un server di posta e l'amministratore non ha disattivato le notifiche via e-mail, riceve anche per e-mail il tuo indirizzo e-mail e questo messaggio (vedi "Chi riceve i tuoi dati").
• Codici di invito. Se ti registri con un codice di invito, l'invito conserva il tuo indirizzo e-mail e il momento in cui l'hai usato.
• Il tuo collegamento con PADI. Il tuo indirizzo e-mail PADI, il token di accesso (un refresh token) che PADI rilascia quando accedi qui, l'ID del tuo account PADI (l'affiliate id), il tuo nome come risulta a PADI e le tue impostazioni: unità di misura, modalità sola lettura e fuso orario, insieme al momento in cui hai eseguito l'accesso. Sono memorizzati in forma crittografata con AES-256-GCM. La tua password PADI viene usata una sola volta per accedere e non viene mai memorizzata. Questi dati ci servono per raggiungere il tuo logbook PADI per tuo conto.
• La tua foto del profilo. Se il tuo account PADI ha una foto del brevetto approvata (la foto sulle tue eCard PADI, che il sito di PADI mostra come immagine del profilo), ne conserviamo una copia da mostrare come immagine del profilo in queste pagine. Viene conservata solo questa foto. La foto viene ricontrollata circa una volta al giorno, quando apri la pagina del tuo account.
• App di IA collegate. Quando colleghi un'app di IA, memorizziamo la registrazione dell'app (il nome e gli indirizzi web che l'app indica per sé) e i token che le permettono di agire per il tuo account. I token sono memorizzati solo come hash. Memorizziamo anche quando è stato creato ogni collegamento e quando è stato usato l'ultima volta, così puoi vederlo e revocarlo.
• Registro delle attività. Per ogni azione di un'app di IA (una chiamata a uno strumento, ad esempio logbook_list_dives), registriamo l'ora, l'app, lo strumento, la durata e se ha funzionato. Non registriamo cosa è stato letto o scritto: niente immersioni, siti di immersione, compagni di immersione, note o brevetti. Le voci più recenti le vedi nella pagina App collegate. Noi usiamo il registro per individuare errori e abusi.
• Sessioni del browser. Quando accedi, il tuo browser riceve in un cookie un codice di sessione casuale. Ne memorizziamo solo un hash, insieme al momento in cui è stato creato e alla sua scadenza.
• Indirizzo IP. Come ogni sito web, il server vede l'indirizzo IP di ogni richiesta. MCP for PADI lo conserva solo in memoria, al massimo per un giorno, per limitare i tentativi ripetuti, ad esempio troppi accessi. Non lo salva nel suo database né nel suo registro.
• Registro del server. Il server scrive un breve registro tecnico di eventi come un accesso non riuscito, un nuovo account o un errore. Non contiene password, token di accesso, indirizzi IP né contenuti del tuo logbook. Tuttavia, quando un'azione non riesce, il messaggio di errore può includere un breve dettaglio, come un valore rifiutato da PADI.

Il tuo logbook non viene memorizzato

Quando un'app di IA chiede le tue immersioni, MCP for PADI le prende da PADI e le passa all'app. Restano in memoria solo finché la richiesta è in corso e non vengono salvate nel database né su disco. Questo vale anche per le foto delle immersioni e per i brevetti. L'unica eccezione è la tua foto del profilo, descritta sopra. Il registro del server contiene solo i brevi dettagli sugli errori descritti sopra. L'impostazione delle unità di misura del tuo logbook PADI resta in memoria per qualche minuto, così le richieste ripetute sono più veloci.

Le immersioni che la tua app di IA aggiunge, modifica o elimina vengono modificate nel tuo logbook su PADI, come se lo facessi tu sul sito web di PADI. Quando invii un'immersione per la verifica, PADI inoltra la richiesta al PADI Pro che indichi.

Basi giuridiche

Trattiamo i tuoi dati in conformità con la LPD svizzera. Dove si applica il GDPR, il trattamento si fonda su queste basi giuridiche:

• Contratto (art. 6 par. 1 lett. b GDPR): per fornirti il servizio per cui hai creato un account, cioè il tuo account, il tuo collegamento con PADI e la tua foto del profilo, le tue app collegate e il tuo registro delle attività.
• Legittimo interesse (art. 6 par. 1 lett. f GDPR): per mantenere il servizio sicuro e funzionante, con limiti ai tentativi ripetuti, il registro del server, i backup e la protezione dagli abusi.
• Obbligo legale (art. 6 par. 1 lett. c GDPR): quando la legge ci obbliga a conservare o a consegnare dei dati.

Per quanto tempo conserviamo i dati

• Account: finché non lo elimini tu o l'amministratore.
• Collegamento con PADI e foto del profilo: finché non rimuovi il collegamento nella pagina Account PADI, non colleghi un altro account PADI o non elimini il tuo account. A quel punto il token di accesso e la foto vengono eliminati da questo server, e il token scade da solo presso PADI. Se il tuo account PADI non ha più una foto approvata, la copia viene eliminata al controllo successivo.
• Richieste di accesso: eliminate subito se rifiutate, e dopo 30 giorni se nessuno risponde. Il messaggio all'amministratore viene eliminato quando la richiesta viene approvata. Un'e-mail di notifica su una richiesta resta nella casella di posta dell'amministratore finché non la elimina.
• Sessioni del browser: finché non esci, al massimo 14 giorni.
• Collegamenti delle app: un token di accesso è valido per 60 minuti. Un collegamento termina quando lo revochi, oppure dopo 60 giorni senza utilizzo. Ogni token viene eliminato un giorno dopo la sua scadenza.
• Registrazioni delle app (non collegate al tuo account): eliminate dopo un giorno se nessuno ha approvato l'app, altrimenti quando nessun collegamento la usa più, ma non prima di 90 giorni dalla prima approvazione.
• Registro delle attività: 90 giorni.
• Inviti: finché l'amministratore non elimina l'invito. L'eliminazione del tuo account non rimuove il tuo indirizzo e-mail da un invito che hai usato: scrivici e lo elimineremo.
• Registro del server: conservato in file di dimensione limitata (50 MB in totale). Le voci più vecchie vengono sovrascritte.
• Backup: viene fatta una copia del database prima di ogni aggiornamento del software o ritorno a una versione precedente, oppure manualmente, e vengono conservate solo le 10 copie più recenti. Le copie si trovano sullo stesso server. I dati che elimini possono restare in queste copie finché non vengono sostituite. Il tuo collegamento con PADI vi resta crittografato.

Chi riceve i tuoi dati

Non vendiamo i tuoi dati, non li condividiamo con inserzionisti e non li usiamo per addestrare modelli di IA. I tuoi dati vanno solo a:

• PADI. Per raggiungere il tuo logbook, MCP for PADI accede una volta ai server di PADI con l'indirizzo e-mail e la password che inserisci, e poi invia a PADI le richieste che fai tu o le tue app di IA: leggere, aggiungere, modificare ed eliminare immersioni, leggere i tuoi brevetti, la tua foto del profilo e le foto delle immersioni, cercare un PADI Pro e inviare un'immersione a un PADI Pro per la verifica. PADI gestisce l'accesso tramite Amazon Web Services (AWS Cognito). PADI fornisce la foto del profilo tramite un link temporaneo a un servizio di archiviazione, che può essere gestito da un fornitore cloud per conto di PADI; MCP for PADI non vi invia alcun dato di accesso. PADI tratta questi dati secondo la propria informativa sulla privacy.
• Le app di IA che colleghi. Ogni app che approvi, ad esempio Claude di Anthropic o ChatGPT di OpenAI, riceve i dati del logbook e dei brevetti che chiede e i risultati delle sue azioni. Ciò che l'app fa con questi dati è regolato dalle sue condizioni, dalla sua informativa sulla privacy e dalle tue impostazioni in quell'app. Non abbiamo alcun controllo su questo.
• Il nostro fornitore di hosting. MCP for PADI funziona su un server noleggiato da un fornitore di cloud hosting. Il fornitore conserva i dati per nostro conto e non può usarli per scopi propri.
• L'amministratore. L'amministratore di MCP for PADI vede un elenco degli account con l'indirizzo e-mail, lo stato, se PADI è collegato, l'ultimo accesso, il numero di chiamate a strumenti negli ultimi 7 giorni e i messaggi delle richieste di accesso. Le pagine di amministrazione non mostrano mai il tuo collegamento con PADI né il tuo token di accesso. Se per questo servizio è configurato un server di posta e l'amministratore non ha disattivato le notifiche via e-mail sulle richieste di accesso (sono attive per impostazione predefinita), riceve anche per e-mail l'indirizzo e-mail e il messaggio di ogni nuova richiesta, inviati tramite il server di posta di questo servizio.
• Autorità, solo quando la legge lo richiede.

Non usiamo servizi di analisi, pubblicità o tracciamento, e queste pagine non caricano nulla da altri siti web.

Dati in altri Paesi

I dati che MCP for PADI memorizza sono conservati sul suo server e nei suoi backup, presso il fornitore di hosting. PADI e le app di IA che colleghi possono trattare i tuoi dati in altri Paesi, tra cui gli Stati Uniti, dove funziona il servizio di accesso di PADI. Questo avviene perché scegli di usare i loro servizi. Se richiedi l'accesso, il tuo indirizzo e-mail e il tuo messaggio possono essere inviati per e-mail all'amministratore, quindi anche il fornitore del server di posta può trattarli. Le loro informative sulla privacy spiegano dove trattano i dati e come li proteggono.

Come proteggiamo i tuoi dati

• Il tuo collegamento con PADI, con il relativo token di accesso, è crittografato con AES-256-GCM. Le password di MCP for PADI sono memorizzate come hash scrypt, e codici di sessione, token e codici di invito sono memorizzati solo come hash.
• Le connessioni a MCP for PADI usano HTTPS, e anche le connessioni a PADI usano HTTPS.
• I moduli sono protetti contro le richieste falsificate, le pagine usano una rigorosa politica di sicurezza dei contenuti (Content Security Policy) e i tentativi ripetuti sono limitati.
• Il servizio funziona in un container isolato senza privilegi aggiuntivi, e il suo file system è di sola lettura, tranne la cartella dei dati.

Poiché MCP for PADI comunica con PADI per tuo conto, il server detiene la chiave di crittografia e può decrittografare il tuo token di accesso. Per questo non memorizza mai la tua password PADI, ma solo il token, che puoi rimuovere in qualsiasi momento nella pagina Account PADI.

Nessun sistema è perfettamente sicuro. Se trovi un problema di sicurezza, segnalalo a marco@visin.ch. Ti risponderemo il prima possibile e correggeremo i problemi confermati.

I tuoi diritti

Hai il diritto di sapere quali dati conserviamo su di te, di riceverne una copia, di farli correggere o cancellare, di limitarne l'uso o di opporti a esso, e di trasferirli altrove. Molte di queste cose puoi farle direttamente tu:

• Modifica o rimuovi il tuo collegamento con PADI nella pagina Account PADI.
• Consulta le tue app collegate e il registro delle attività, e revoca l'accesso di qualsiasi app, nella pagina App collegate.
• Elimina il tuo account nella pagina Sicurezza. In questo modo vengono eliminati subito il tuo account, il tuo collegamento con PADI, la tua foto del profilo, le tue sessioni, i collegamenti delle tue app e il tuo registro delle attività. Le copie nei backup scompaiono man mano che i backup vengono sostituiti. Il tuo logbook su PADI resta intatto.

Per qualsiasi altra richiesta, scrivi a marco@visin.ch. Rispondiamo entro 30 giorni.

Puoi anche presentare un reclamo a un'autorità per la protezione dei dati: in Svizzera l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT), nell'UE l'autorità del Paese in cui vivi o lavori.

Cookie

MCP for PADI usa solo i cookie necessari al suo funzionamento. Non ci sono cookie di tracciamento o pubblicitari. I cookie vengono inviati solo a questo sito, non possono essere letti dagli script della pagina e non vengono condivisi con nessuno.

• __Host-pdm_session mantiene attivo il tuo accesso. Viene eliminato quando esci e dura al massimo 14 giorni.
• __Host-pdm_pre protegge i moduli di accesso e di registrazione contro le richieste falsificate. Dura 12 ore.
• __Host-pdm_lang ricorda la lingua che hai scelto nel menu delle lingue. Dura 365 giorni.

Minori

MCP for PADI non è pensato per i minori. Per usarlo devi avere almeno 16 anni. Se pensi che un minore abbia creato un account, scrivici e lo elimineremo.

Modifiche a questa informativa

Aggiorniamo questa informativa quando cambiano il servizio o la legge. La data in alto indica l'ultima modifica. Se una modifica riguarda il modo in cui vengono usati i tuoi dati, lo segnaleremo su questo sito.