Privacy Policy

1Titolare del trattamento

Il titolare non è tenuto alla nomina di un Data Protection Officer (DPO) ai sensi dell'Art. 37 GDPR, in quanto persona fisica che svolge attività di sviluppatore indipendente non su larga scala. Per qualsiasi questione relativa alla protezione dei dati contattare l'indirizzo email indicato sopra.

Il titolare mantiene un Registro delle Attività di Trattamento ai sensi dell'Art. 30 GDPR, disponibile su richiesta dell'Autorità di controllo.

2Cos'è Oravio

Oravio è un'applicazione mobile Android che funge da agente AI personale. Permette di interagire con l'assistente artificiale Orvis, creare skill personalizzate, configurare automazioni e, per i piani avanzati, disporre di un server cloud privato (VPS). Su scelta dell'utente è possibile connettere account di comunicazione (email SMTP/IMAP, Telegram, Google Calendar) per automatizzare attività quotidiane.

3Dati raccolti e finalità

3.1 Identificatore dispositivo (Device ID)

Al primo avvio viene generato un identificatore univoco anonimo per il dispositivo. Non contiene informazioni anagrafiche e non consente l'identificazione diretta dell'utente. Viene usato per associare la sessione demo e il piano abbonamento.

3.2 Credenziali account di comunicazione

Se l'utente sceglie volontariamente di connettere account esterni, vengono raccolti e conservati in forma cifrata:

• Email SMTP/IMAP: indirizzo email, password applicazione, server e porta
• Telegram: token del bot e chat_id (gestiti tramite API Telegram; vedere note sub-responsabile)
• Google Calendar: token OAuth2 di accesso e refresh (nessuna password Google)
• Tuya / Smart Home: device_id, local_key e indirizzo IP locale del dispositivo
• Altre integrazioni: solo i dati strettamente necessari all'integrazione scelta

Tutti i dati sono cifrati con AES-256-GCM prima della memorizzazione. Non vengono mai condivisi con terzi né usati per finalità diverse dall'esecuzione dei comandi impartiti dall'utente.

Uso dei dati Google API: L'utilizzo da parte di Oravio delle informazioni ricevute dalle Google API, e il loro eventuale trasferimento ad altre applicazioni, è conforme alla Google API Services User Data Policy, inclusi i requisiti di uso limitato (Limited Use). I dati ottenuti tramite Google Calendar OAuth2 sono utilizzati esclusivamente per eseguire le azioni richieste dall'utente (lettura, creazione e modifica di eventi) e non vengono usati per scopi pubblicitari, profilazione o condivisi con terze parti.

3.3 Immagini dalla fotocamera o galleria

Alcune funzionalità consentono di caricare immagini che vengono inviate al server per l'analisi tramite API di intelligenza artificiale (Anthropic Claude). Le immagini non vengono conservate dopo l'elaborazione: transitano in memoria RAM e vengono scartate al termine della risposta.

3.4 Messaggi audio e trascrizione

L'applicazione consente di inviare messaggi vocali audio che vengono trasmessi al server e trascritti in testo tramite un sistema di speech-to-text. Il testo trascritto viene quindi elaborato dal modello AI per generare la risposta.

• Il file audio viene trasmesso cifrato via HTTPS/TLS 1.3 e non viene conservato dopo la trascrizione
• Il testo trascritto è trattato come un normale messaggio di chat (vedi §3.5)
• L'utente è sempre libero di non usare la funzione audio e di comunicare esclusivamente per iscritto

3.5 Messaggi di chat e conversazioni

I messaggi inviati nella chat vengono trasmessi al server per essere elaborati dall'intelligenza artificiale. Per gli utenti con abbonamento attivo, la cronologia delle conversazioni può essere conservata per garantire la continuità del contesto tra le sessioni.

3.6 Contenuti generati dalle Skill

I contenuti HTML generati dalle Skill (pagine web, curriculum, report, ecc.) vengono salvati sul server e resi disponibili tramite URL univoco condivisibile. Vengono eliminati su richiesta dell'utente o alla cancellazione dell'account.

3.7 Dati di utilizzo e log tecnici

Vengono conservati log di utilizzo anonimi (token AI consumati, timestamp delle sessioni, piano abbonamento) necessari per il corretto funzionamento del servizio, il monitoraggio dei limiti di utilizzo e la risoluzione di problemi tecnici. Prima di basarsi su tale interesse, è stato effettuato il bilanciamento con i diritti degli interessati: i log sono anonimi, a conservazione limitata (90 giorni) e non consentono la profilazione comportamentale.

3.8 Dati di pagamento

I pagamenti sono gestiti interamente da Stripe Inc. tramite Google Play In-App Purchases o checkout web. Oravio non raccoglie né conserva dati di carte di credito o strumenti di pagamento. Si applicano la Privacy Policy di Stripe e le condizioni di Google Play.

3.9 Codici referral

Se l'utente utilizza o genera un codice referral, viene conservata un'associazione anonima tra il codice e il device ID. Nessun dato personale aggiuntivo viene raccolto a tal fine.

3.10 Ascolto microfono in background — Wake Word «Hei Oravio»

Come funziona: l'app cattura frammenti audio di circa 1,6 secondi tramite il microfono del dispositivo e li trasmette cifrati al server VPS privato e dedicato dell'utente (Hetzner Cloud, Germania, UE). Il rilevamento è eseguito interamente sul VPS dell'utente tramite un modello di machine learning locale (openWakeWord, open source). Ogni frammento audio viene analizzato e immediatamente scartato senza alcuna conservazione.

• I frammenti audio non vengono mai trasmessi a Oravio, Nexi-LAB o terze parti — transitano esclusivamente verso il server VPS privato dell'utente
• Nessun frammento audio viene conservato sul VPS o in qualsiasi altra posizione
• Il riconoscimento della parola chiave avviene localmente sul VPS; nessun audio viene inviato a servizi di riconoscimento vocale di terze parti
• Una notifica persistente con pulsante «Disattiva» rimane visibile nella barra delle notifiche per tutta la durata dell'ascolto attivo (requisito Android FOREGROUND_SERVICE)
• La funzione è disponibile esclusivamente per utenti con piano VPS attivo

Come disattivare: in qualsiasi momento dall'app (Impostazioni → Comandi vocali → disattiva il toggle «Hei Oravio») oppure tramite il pulsante «Disattiva» nella notifica persistente. La disattivazione arresta immediatamente l'ascolto e chiude la connessione al VPS.

4Notifiche push

Con il consenso esplicito dell'utente durante l'installazione dell'app, viene registrato un Expo Push Token associato al device. Questo token consente di ricevere notifiche push riguardanti:

• Completamento o errore di automazioni
• Generazione completata di skill
• Avvisi su utilizzo token (soglie 80% e 100%)
• Conferma o cancellazione di pagamenti
• Scadenza imminente dell'abbonamento
• Comunicazioni di servizio dal team Oravio

Il token push viene trasmesso al servizio Expo Push Notifications (Expo Inc., USA) che si occupa della consegna al dispositivo tramite FCM (Android) o APNs (iOS).

5VPS e workspace cloud

Gli utenti con piano VPS Base o VPS Pro ottengono un server cloud dedicato fornito da Hetzner Cloud GmbH (Germania, UE), allocato entro pochi minuti dall'attivazione del piano.

Dati trattati

• File e script Python/Node.js salvati nel workspace (/workspace/{user_id}/)
• Log di esecuzione degli script (conservati nel workspace dell'utente)
• Indirizzo IP pubblico del server Hetzner (associato all'account)
• Identificativo server Hetzner (hetzner_server_id)

Pulizia automatica

I file nel workspace non modificati da oltre 30 giorni vengono rimossi automaticamente ogni notte (cron alle 03:00). L'utente è responsabile del backup dei propri dati.

6Secrets Vault (Cassaforte segreti)

Il Vault è un archivio cifrato per conservare credenziali sensibili (API key, token, password applicazione) che Orvis può usare nelle automazioni senza esporle mai in chiaro.

• Ogni segreto è cifrato con AES-256-GCM usando una chiave derivata da un segreto server
• I valori cifrati non vengono mai restituiti in chiaro tramite API — solo la lista dei nomi è visibile
• I segreti vengono eliminati insieme all'account su richiesta dell'utente

7Decisioni automatizzate e sistema AI

7.1 Trattamento automatizzato (Art. 22 GDPR)

Il servizio utilizza un sistema di intelligenza artificiale (Anthropic Claude) per elaborare i messaggi degli utenti e generare risposte. Tale elaborazione non produce decisioni automatizzate con effetti giuridici o di analoga significativa incidenza sulla persona dell'utente ai sensi dell'Art. 22 GDPR: le risposte AI sono suggerimenti e assistenza, non decisioni vincolanti.

Le uniche decisioni automatizzate con effetti concreti sull'utente sono:

• Applicazione dei limiti di utilizzo: blocco automatico quando si raggiunge la soglia mensile di token prevista dal piano (base giuridica: esecuzione del contratto)
• Rate limiting: limitazione automatica delle richieste in caso di utilizzo anomalo (base giuridica: interesse legittimo — sicurezza del servizio)

In entrambi i casi l'utente può contattare il supporto per contestare o richiedere revisione della decisione.

7.2 Conformità al Regolamento UE 2024/1689 (AI Act)

Oravio si avvale del modello AI Claude di Anthropic PBC, classificato come sistema AI per scopi generali (General-Purpose AI — GPAI) ai sensi dell'Art. 3(63) del Reg. UE 2024/1689. Le obbligazioni di trasparenza del GPAI ricadono su Anthropic in qualità di provider del modello; Oravio, in qualità di deployer, adempie agli obblighi previsti dall'Art. 26:

• Informazione agli utenti dell'interazione con un sistema AI (vedi §2)
• Supervisione umana: l'utente può ignorare, modificare o non seguire qualsiasi risposta generata dall'AI
• Nessun utilizzo del sistema per pratiche vietate dall'Art. 5 AI Act (manipolazione, sfruttamento vulnerabilità, social scoring)
• Nessun utilizzo per sistemi ad alto rischio elencati nell'Allegato III del Reg. UE 2024/1689

7.3 Trasparenza e marcatura dei contenuti generati (Art. 50)

Gli obblighi di trasparenza dell'Art. 50 si applicano dal 2 agosto 2026; l'obbligo di marcatura in formato leggibile dalla macchina dei contenuti sintetici (Art. 50(2)) si applica, per i sistemi già sul mercato, dal 2 dicembre 2026. Il rinvio degli obblighi sui sistemi ad alto rischio (Allegato III → 2 dicembre 2027; Allegato I → 2 agosto 2028) è previsto dal regolamento di semplificazione ("Digital Omnibus") approvato in via definitiva dal Consiglio UE il 29 giugno 2026.

Oravio adempie alla trasparenza sui contenuti generati dall'AI come segue:

• Immagini: riportano la marcatura leggibile dalla macchina apposta dai fornitori del modello — SynthID (Google, per le immagini generate tramite Gemini) e Content Credentials C2PA (OpenAI, per le immagini generate tramite DALL·E/GPT-Image); Oravio preserva tali marcatori e non li rimuove.
• Tutti i contenuti generati (immagini, video, audio/musica, pagine web) sono accompagnati da un'etichetta visibile "Generato con AI" nell'interfaccia; le pagine pubblicate riportano la dicitura "Contenuto generato con l'AI di Oravio".
• Per i formati privi di marcatura del fornitore, la trasparenza è assicurata dall'etichetta visibile.

L'utente che pubblica o diffonde contenuti generati con Oravio resta responsabile del rispetto dei propri obblighi di trasparenza (es. Art. 50(4) per i contenuti "deepfake" e per i testi di pubblico interesse).

8Dove vengono conservati i dati

I dati principali (account, conversazioni, automazioni, skill, log) vengono conservati su server dedicati gestiti tramite Oracle Cloud Infrastructure, localizzati in Italia (Milan region). Il server è protetto da firewall, accesso SSH con chiave, e cifratura a riposo.

I dati VPS (workspace file, script) risiedono su server Hetzner Cloud nell'area Europa (Falkenstein/Norimberga), all'interno dello Spazio Economico Europeo.

I messaggi e le immagini vengono elaborati da Anthropic PBC (San Francisco, USA) tramite API sicura TLS 1.3. Il trasferimento è coperto da Clausole Contrattuali Standard (SCC) ai sensi dell'Art. 46 GDPR (Decisione CE 2021/914).

9Terze parti coinvolte

10Trasferimenti extra-UE

I trasferimenti di dati verso paesi terzi (USA) avvengono sulla base delle seguenti garanzie:

• Clausole Contrattuali Standard (SCC) approvate dalla Commissione Europea (Decisione 2021/914) — per Anthropic, Expo
• EU-US Data Privacy Framework (DPF) (Decisione CE 2023/1795) — per Stripe e Google, entrambi certificati DPF
• Misure supplementari implementate dai fornitori a seguito della sentenza Schrems II (CGUE C-311/18, 16 luglio 2020): cifratura in transito e a riposo, minimizzazione dei dati, accesso limitato al personale autorizzato

11Diritti dell'interessato

Ai sensi degli articoli 15–22 del Regolamento UE 2016/679 e degli artt. 2-bis e ss. del D.Lgs. 196/2003, hai il diritto di:

Diritti degli eredi (Art. 2-terdecies D.Lgs. 196/2003)

I diritti dell'interessato possono essere esercitati, dopo la morte dell'utente, da chi ha un interesse proprio, o agisce a tutela dell'interessato o per ragioni familiari meritevoli di protezione. L'interessato può tuttavia limitare tale esercizio tramite dichiarazione scritta inviata a privacy@nexi-lab.com durante la vita. Tali disposizioni prevalgono sulle richieste degli eredi.

12Sicurezza

Adottiamo misure tecniche e organizzative adeguate alla tipologia e al volume dei dati trattati (Art. 32 GDPR):

• Cifratura AES-256-GCM di tutte le credenziali a riposo
• Comunicazioni cifrate HTTPS/TLS 1.3 tra client e server
• Accesso al server limitato via chiave SSH — nessun accesso con password
• Architettura multi-worker con PM2 cluster e avvio automatico al reboot
• Nessuna memorizzazione di immagini o audio dopo l'elaborazione AI
• Pulizia automatica dei log oltre 90 giorni
• Sandbox di esecuzione script con blocco path traversal e pattern pericolosi
• Rate limiting su tutti gli endpoint pubblici (protezione DDoS e brute force)
• Sessioni web panel con scadenza (JWT a breve durata)

13Cookie e tracciamento web

Le pagine web accessorie (landing page, web panel, pagine skill) non utilizzano cookie di profilazione o tracciamento pubblicitario. Viene utilizzato un cookie tecnico per il referral code (referral_code, durata 7 giorni, flag HttpOnly) ai fini del programma inviti.

Non è presente Google Analytics, Facebook Pixel o qualsiasi altro strumento di tracciamento di terze parti sulle pagine servite da questo dominio.

14Minori

Oravio non è destinata a persone di età inferiore a 16 anni (soglia minima ai sensi dell'Art. 8 GDPR e dell'Art. 2-quinquies D.Lgs. 196/2003). Non raccogliamo consapevolmente dati di minori. Se vieni a conoscenza di un account riconducibile a un minore, contattaci immediatamente a privacy@nexi-lab.com per la cancellazione immediata dei dati.

15Digital Services Act e trasparenza digitale

In quanto fornitore di servizi digitali nell'Unione Europea, Oravio rientra nel campo di applicazione del Regolamento UE 2022/2065 (Digital Services Act — DSA). In qualità di micro-fornitore (numero di utenti attivi mensili nell'UE inferiore a 45 milioni), beneficia delle esenzioni previste per i fornitori di piccole dimensioni (Art. 19 DSA), fatto salvo il rispetto degli obblighi di base applicabili a tutti i fornitori di servizi intermediari.

• Punto di contatto unico DSA: privacy@nexi-lab.com
• Nessun algoritmo di raccomandazione basato su profilazione comportamentale
• Nessuna pubblicità comportamentale o targeting su dati personali
• Contenuti generati dall'AI: i contenuti prodotti dal sistema AI sono chiaramente identificati come tali (Art. 50 AI Act)

16Legge applicabile e foro competente

La presente informativa e il rapporto contrattuale tra l'utente e il titolare sono disciplinati dalla legge italiana, fermo restando quanto inderogabilmente previsto dalla normativa del paese di residenza dell'utente consumatore ai sensi del Regolamento UE 593/2008 (Roma I).

Per la risoluzione di controversie relative al servizio, l'utente ha diritto di ricorrere alla piattaforma di risoluzione alternativa delle controversie online (ODR) messa a disposizione dalla Commissione Europea ai sensi del Regolamento UE 524/2013: ec.europa.eu/consumers/odr.

In assenza di risoluzione extragiudiziale, il foro competente per gli utenti consumatori residenti in Italia è quello del luogo di residenza o domicilio del consumatore (Art. 66-bis Codice del Consumo). Per utenti professionisti, il foro esclusivo è quello di Pescara (PE).

17Modifiche alla Privacy Policy

In caso di modifiche sostanziali al trattamento dei dati, gli utenti saranno informati tramite:

• Notifica push nell'app (per utenti con push attive)
• Banner informativo alla riapertura dell'app
• Email (per gli utenti che hanno collegato un account email)

La data "Ultimo aggiornamento" in cima alla pagina indica sempre la versione più recente. Per modifiche che richiedono un nuovo consenso (es. nuove finalità di trattamento), il servizio non sarà utilizzabile fino all'espresso rinnovo del consenso. L'utilizzo continuato del servizio dopo la notifica vale come accettazione per le sole modifiche non sostanziali.

Le versioni precedenti della privacy policy sono disponibili su richiesta scrivendo a privacy@nexi-lab.com.

18Contatti

1Data Controller

The controller is not required to appoint a Data Protection Officer (DPO) under Art. 37 GDPR, as they operate as an individual independent developer not processing data on a large scale. For any data protection matter contact the email address above.

The controller maintains a Record of Processing Activities pursuant to Art. 30 GDPR, available on request from the supervisory authority.

2What is Oravio

Oravio is an Android mobile application acting as a personal AI agent. It allows interaction with the Orvis AI assistant, creation of custom skills, automation configuration, and — for advanced plans — access to a private cloud server (VPS). Users may optionally connect communication accounts (SMTP/IMAP email, Telegram, Google Calendar) to automate daily tasks.

3Data Collected and Purposes

3.1 Device Identifier

At first launch, an anonymous unique identifier is generated for the device. It contains no personally identifiable information and is used to associate the demo session and subscription plan.

3.2 Third-party Account Credentials

If the user voluntarily connects external accounts, the following is collected and stored in encrypted form: SMTP/IMAP email credentials, Telegram bot token and chat_id, Google Calendar OAuth2 tokens, Tuya smart device credentials, and other integration-specific tokens. All data is encrypted with AES-256-GCM before storage. Never shared with third parties or used for purposes other than executing user commands.

Google API Data Use: Oravio's use and transfer to any other app of information received from Google APIs will adhere to the Google API Services User Data Policy, including the Limited Use requirements. Data obtained via Google Calendar OAuth2 is used solely to perform actions requested by the user (reading, creating, and modifying calendar events) and is not used for advertising, profiling, or shared with any third party.

3.3 Images

Images uploaded for AI analysis are transmitted to the server, processed via Anthropic API, and immediately discarded — not persisted after processing.

3.4 Audio Messages and Transcription

The app allows sending voice audio messages, which are transmitted to the server and converted to text via a speech-to-text system. The transcribed text is then processed by the AI model to generate a response.

• Audio files are transmitted encrypted via HTTPS/TLS 1.3 and not retained after transcription
• The transcribed text is treated as a standard chat message (see §3.5)
• Users are always free to communicate by text only and not use the audio feature

3.5 Chat Messages

Chat messages are transmitted to the server for AI processing. Conversation history may be retained for active subscribers to maintain context continuity.

3.6 Skill-generated Content

HTML content generated by Skills is stored on the server and accessible via unique URL. Deleted upon user request or account deletion.

3.7 Usage Logs

Anonymous usage logs (AI tokens consumed, session timestamps, plan) are retained for service operation, limit monitoring and technical troubleshooting. A balancing test confirms that logs are anonymous, limited in retention (90 days), and do not enable behavioural profiling.

3.8 Payment Data

Payments are handled entirely by Stripe Inc. and Google Play. Oravio does not collect or store card or payment instrument data.

3.9 Referral Codes

An anonymous association between code and device ID is stored if the user uses or generates a referral code. No additional personal data is collected.

3.10 Background Microphone — Wake Word "Hei Oravio"

How it works: the app captures ~1.6-second audio fragments from the device microphone and transmits them encrypted to the user's own dedicated private VPS server (Hetzner Cloud, Germany, EU). Detection runs entirely on the user's VPS using a local machine-learning model (openWakeWord, open source). Each audio fragment is analysed and immediately discarded with no retention.

• Audio fragments are never transmitted to Oravio, Nexi-LAB or any third party — they transit only to the user's own private VPS
• No audio fragment is retained on the VPS or anywhere else
• Keyword recognition is performed locally on the user's VPS; no audio is sent to third-party speech recognition services
• A persistent notification with a "Disable" button remains visible in the notification bar for the entire duration of active listening (Android FOREGROUND_SERVICE requirement)
• The feature is available exclusively to users with an active VPS plan

How to disable: at any time from the app (Settings → Voice Commands → disable the "Hei Oravio" toggle) or via the "Disable" button in the persistent notification. Disabling immediately stops all listening and closes the VPS connection.

4Push Notifications

With explicit user consent, an Expo Push Token is registered to deliver notifications about: automation completion/errors, skill generation, token usage alerts (80%/100%), payment confirmations, subscription expiry, and service communications. Tokens are transmitted to Expo Inc. (USA) for delivery via FCM (Android) or APNs (iOS).

5VPS & Cloud Workspace

VPS Base and VPS Pro subscribers receive a dedicated cloud server provided by Hetzner Cloud GmbH (Germany, EU). Files, scripts and data in the workspace are under the user's direct control. The data controller does not access VPS workspace contents except for extraordinary, pre-notified technical maintenance.

Files not modified for over 30 days are automatically removed nightly. Users are responsible for their own backups.

6Secrets Vault

The Vault is an encrypted store for sensitive credentials (API keys, tokens, passwords) that Orvis uses in automations without ever exposing them in plaintext. All secrets are encrypted with AES-256-GCM. Only secret names (not values) are returned via API. Secrets are deleted upon account deletion.

7Automated Processing & AI

7.1 Automated Decision-making (Art. 22 GDPR)

The service uses an AI system (Anthropic Claude) to process user messages and generate responses. This processing does not produce automated decisions with legal or similarly significant effects on the user under Art. 22 GDPR: AI responses are suggestions and assistance, not binding decisions. The only automated decisions with concrete effects are:

• Usage limit enforcement: automatic blocking when the monthly token quota is reached (legal basis: performance of contract)
• Rate limiting: automatic request throttling on abnormal usage (legal basis: legitimate interest — service security)

In both cases the user may contact support to challenge or request review of any such decision.

7.2 EU AI Act Compliance (Reg. EU 2024/1689)

Oravio uses Anthropic Claude, classified as a General-Purpose AI (GPAI) model under Art. 3(63) AI Act. As deployer, Oravio fulfils Art. 26 obligations:

• Users are informed they interact with an AI system (see §2)
• Human oversight: users may ignore, modify or disregard any AI-generated response
• No use for practices prohibited under Art. 5 AI Act (manipulation, vulnerability exploitation, social scoring)
• No use for high-risk AI systems listed in Annex III of Reg. EU 2024/1689

7.3 Transparency and marking of generated content (Art. 50)

The Art. 50 transparency obligations apply from 2 August 2026; the obligation to mark synthetic content in a machine-readable format (Art. 50(2)) applies, for systems already on the market, from 2 December 2026. The deferral of high-risk obligations (Annex III → 2 December 2027; Annex I → 2 August 2028) is provided for by the simplification regulation ("Digital Omnibus") formally approved by the EU Council on 29 June 2026.

Oravio fulfils transparency for AI-generated content as follows:

• Images: they carry the machine-readable marking applied by the model providers — SynthID (Google, for images generated via Gemini) and C2PA Content Credentials (OpenAI, for images generated via DALL·E/GPT-Image); Oravio preserves these markers and does not remove them.
• All generated content (images, video, audio/music, web pages) is accompanied by a visible "AI-generated" label in the interface; published pages bear the notice "Content generated with Oravio AI".
• For formats lacking provider marking, transparency is ensured by the visible label.

Users who publish or distribute content generated with Oravio remain responsible for complying with their own transparency obligations (e.g. Art. 50(4) for "deepfake" content and for text on matters of public interest).

8Data Storage Location

Primary data is stored on Oracle Cloud Infrastructure, Italy (Milan region). VPS workspace data resides on Hetzner Cloud, Europe (Falkenstein/Nuremberg) — both within the EU/EEA. Messages and images are processed by Anthropic PBC (San Francisco, USA) via TLS 1.3 API covered by Standard Contractual Clauses (Decision 2021/914).

9Third Parties

10International Data Transfers

Transfers to third countries (USA) rely on:

• Standard Contractual Clauses (SCCs) — Commission Decision 2021/914 — for Anthropic, Expo
• EU-US Data Privacy Framework (DPF) — Commission Decision 2023/1795 — for Stripe and Google, both DPF-certified
• Supplementary measures per Schrems II ruling (CJEU C-311/18): encryption in transit and at rest, data minimisation, limited access

11Your Rights

Under Articles 15–22 of EU Regulation 2016/679 and applicable Italian law, you have the right to:

Rights of deceased data subjects (Art. 2-terdecies D.Lgs. 196/2003)

Following a user's death, rights under the GDPR may be exercised by persons with a legitimate interest or acting for family protection reasons. The user may restrict such exercise by written declaration to privacy@nexi-lab.com during their lifetime; such instructions take precedence over heirs' requests.

12Security

We adopt technical and organisational measures appropriate to the type and volume of data processed (Art. 32 GDPR):

• AES-256-GCM encryption of all credentials at rest
• HTTPS/TLS 1.3 for all client-server communications
• SSH key-only server access — no password login
• PM2 cluster with automatic restart on reboot
• No image or audio persistence after AI processing
• Automated log cleanup after 90 days
• Script execution sandbox with path traversal and dangerous pattern blocking
• Rate limiting on all public endpoints
• Short-lived JWT tokens for web panel sessions

13Cookies & Tracking

Our web pages do not use profiling or advertising tracking cookies. A single technical cookie (referral_code, 7-day duration, HttpOnly flag) is used for the referral programme. No Google Analytics, Facebook Pixel, or third-party tracking tools are present on this domain.

14Minors

Oravio is not intended for persons under 16 years of age (minimum age under Art. 8 GDPR and Art. 2-quinquies of Italian D.Lgs. 196/2003). We do not knowingly collect data from minors. If you become aware of a minor's account, contact us immediately at privacy@nexi-lab.com for immediate deletion. Data found to belong to a minor under 16 collected without valid parental consent will be deleted immediately without further request.

15Digital Services Act & Digital Transparency

As a digital service provider in the EU, Oravio falls within the scope of EU Regulation 2022/2065 (Digital Services Act — DSA). As a micro-provider (EU monthly active users below 45 million), it benefits from exemptions for small providers (Art. 19 DSA), while complying with baseline obligations applicable to all intermediary service providers.

• DSA single point of contact: privacy@nexi-lab.com
• No recommendation algorithm based on behavioural profiling
• No behavioural advertising or personal data-based targeting
• AI-generated content is clearly identified as such (Art. 50 AI Act)

16Governing Law & Jurisdiction

This policy and the contractual relationship between the user and the controller are governed by Italian law, without prejudice to mandatory provisions of the consumer's country of residence under EU Regulation 593/2008 (Rome I).

For disputes relating to the service, EU consumers may use the European Commission's online dispute resolution platform under Regulation EU 524/2013: ec.europa.eu/consumers/odr.

Absent alternative dispute resolution, consumer users resident in Italy shall have jurisdiction at their place of residence or domicile (Art. 66-bis Italian Consumer Code). For business users, exclusive jurisdiction is Pescara (PE), Italy.

17Changes to This Policy

For material changes, users will be notified via push notification, in-app banner, or email. For changes requiring fresh consent (e.g. new processing purposes), the service will not be accessible until consent is expressly renewed. Continued use after notification constitutes acceptance of non-material changes only. Previous versions of this policy are available on request at privacy@nexi-lab.com.

18Contact