Ultimo aggiornamento April 28, 2026

Informativa sulla privacy

Prendiamo la privacy sul serio. Questa informativa descrive quali dati raccogliamo, su quale base giuridica, per quanto tempo li conserviamo, chi li tratta per nostro conto e come può esercitare i Suoi diritti ai sensi del Regolamento generale sulla protezione dei dati dell'UE (Regolamento 2016/679, il GDPR).

  1. 01Titolare del trattamento
  2. 02Quali dati raccogliamo
  3. 03Base giuridica per ciascuna finalità di trattamento
  4. 04Periodi di conservazione
  5. 05Trattamento automatizzato (art. 13(2)(f) e art. 22)
  6. 06Sub-responsabili e destinatari
  7. 07Trasferimenti internazionali
  8. 08I Suoi diritti ai sensi del GDPR
  9. 09Dati biometrici — Chiromanzia
  10. 10Cookie
  11. 11Dati di altre persone
  12. 12Minori
  13. 13Sicurezza
  14. 14Modifiche a questa informativa
  15. 15Contatti

01Titolare del trattamento

Il titolare del trattamento dei dati personali trattati tramite karmogram.com è CyGuru Pharm SRL, registrata in Romania (Registro del Commercio registration pending, codice fiscale RO52437696), con sede legale in Branesti, str. Horia 33c, jud. Ilfov. Contatto generale: hello@karmogram.com. Richieste in materia di privacy e protezione dei dati (inclusa la casella del DPO): privacy@karmogram.com. Rispondiamo a tutte le richieste di esercizio dei diritti entro trenta (30) giorni, conformemente all'articolo 12(3) del GDPR.

02Quali dati raccogliamo

(a) Identificazione e dati per la lettura: nome e cognome, email, data di nascita, ora e luogo di nascita facoltativi, dati del partner o dei membri del team che sceglie di inserire, la Sua domanda scritta o la descrizione del sogno. (b) Dati biometrici (solo per la Chiromanzia): una fotografia del Suo palmo. (c) Account/autenticazione: email, token magic-link, data e ora dell'ultimo accesso. (d) Metadati di pagamento restituiti da Stripe (circuito della carta, ultime quattro cifre, paese, ID della transazione — non vediamo mai il numero completo della carta). (e) Dati tecnici raccolti per sicurezza, prevenzione delle frodi e analisi: indirizzo IP (troncato per le analisi), user-agent, classe di dispositivo, lingua, referrer, parametri UTM. (f) Le comunicazioni che ci invia (testo dell'email, allegati).

03Base giuridica per ciascuna finalità di trattamento

Generazione e consegna della lettura — esecuzione del contratto che stipula al momento dell'ordine (art. 6(1)(b) GDPR). Creazione dell'account e autenticazione tramite magic-link — esecuzione di un contratto (art. 6(1)(b) GDPR). Prevenzione delle frodi, contrasto degli abusi e analisi aggregate di prodotto — il nostro legittimo interesse a mantenere il servizio sicuro, protetto e migliorabile (art. 6(1)(f) GDPR); abbiamo svolto un test di bilanciamento e concluso che l'impatto su di Lei è minimo perché usiamo IP troncati, conserviamo i dati analitici per periodi brevi (12 mesi) e non li usiamo mai per targeting individuale. Comunicazioni di marketing — il Suo consenso esplicito e liberamente prestato al momento della compilazione del modulo (art. 6(1)(a) GDPR), che può revocare in qualsiasi momento tramite il link di disiscrizione presente in ogni email o scrivendo a privacy@karmogram.com. Fotografie del palmo (Chiromanzia) — il Suo consenso esplicito al trattamento di dati biometrici ai sensi dell'art. 9(2)(a) GDPR. Registrazioni fiscali e contabili — adempimento dei nostri obblighi di legge secondo la normativa fiscale rumena (art. 6(1)(c) GDPR).

04Periodi di conservazione

Cookie di sessione (iron-session, firmati): 30 giorni dall'ultima attività. Token magic-link di accesso: 15 minuti (monouso). Dati del modulo e della lettura (i Suoi input e la lettura generata): 3 anni dalla consegna, poi anonimizzati o cancellati, in linea con il termine di prescrizione delle azioni civili secondo la legge rumena. Fotografie del palmo: 30 giorni dal caricamento (cifrate a riposo, cancellate da un processo di pulizia giornaliero alle 04:00 Europe/Bucharest). Log di consegna delle email (Resend): 30 giorni. Registrazioni delle transazioni e fatture Stripe: 7 anni (previsti dalla Legge rumena 227/2015 sul Codice fiscale e dalla Legge 82/1991 sulla contabilità). Eventi analitici di prodotto (PostHog, regione UE): 12 mesi. Eventi di errore (Sentry, se attivo): 90 giorni. Corrispondenza di assistenza: fino a 3 anni.

05Trattamento automatizzato (art. 13(2)(f) e art. 22)

Your reading is generated by an automated natural-language processing system (OpenAI; palm-reading uses Anthropic). The data we send to the system is the interview fields you submitted (name, birth data, your question, partner or team data if relevant) together with our editorial guidelines. Data sent to OpenAI's API is not used to train or improve any model and is retained by OpenAI for up to 30 days for abuse monitoring before deletion; palm-reading is processed by Anthropic. Generation is fully automated, but it does not produce decisions that have a legal or similarly significant effect on you (a Karmogram reading is reflective entertainment, not a legal, medical, financial, employment or insurance decision). You may at any time request human review of a delivered reading by writing to privacy@karmogram.com; we will respond within 30 days.

06Sub-responsabili e destinatari

We share data only with the processors strictly needed to operate the service. Stripe Payments Europe (Ireland; processing servers in the United States) — payment processing. Transfer mechanism: EU Standard Contractual Clauses 2021/914 plus Stripe's adherence to the EU–US Data Privacy Framework. Resend (United States) — transactional and marketing email delivery. Transfer mechanism: SCC 2021/914 plus EU–US Data Privacy Framework. PostHog (European Union, eu.posthog.com) — product analytics; no international transfer. Sentry (United States, only when enabled) — error tracking. Transfer mechanism: SCC 2021/914 plus EU–US DPF. Vercel Inc. (United States, with EU edge regions) — application hosting. Transfer mechanism: SCC 2021/914 plus EU–US DPF. OpenAI, L.L.C. (United States) — automated natural-language generation of your reading, accessed through our backend; data sent via the OpenAI API is not used to train OpenAI's models and is retained by OpenAI for up to 30 days for abuse monitoring before deletion. Transfer mechanism: SCC 2021/914. Anthropic PBC (United States) — natural-language processing for palm-reading, accessed through our backend. Transfer mechanism: SCC 2021/914 plus EU–US DPF. If you give explicit consent to store your answers, your customer record, purchase and reading are held in a managed PostgreSQL database located in the European Union. We do not sell your data and we do not share it with advertising networks.

07Trasferimenti internazionali

Where personal data leaves the European Economic Area (Stripe, Resend, Sentry, Vercel, OpenAI, Anthropic) the transfer is governed by the European Commission's Standard Contractual Clauses (Decision 2021/914) and, where applicable, by the recipient's certification under the EU–US Data Privacy Framework. You may obtain a copy of the safeguards by writing to privacy@karmogram.com.

08I Suoi diritti ai sensi del GDPR

Ha il diritto di accesso (art. 15), rettifica (art. 16), cancellazione / diritto all'oblio (art. 17), limitazione del trattamento (art. 18), portabilità dei dati (art. 20 — può chiedere i Suoi dati in un file JSON strutturato e leggibile da dispositivo automatico) e opposizione (art. 21). Quando il trattamento si basa sul consenso (art. 6(1)(a) o art. 9(2)(a)), ha il diritto di revocarlo in qualsiasi momento senza pregiudicare la liceità del trattamento effettuato in precedenza. Per esercitare qualsiasi diritto, usi il modulo su /privacy/erase o scriva a privacy@karmogram.com. Rispondiamo entro 30 giorni. Ha inoltre il diritto di presentare reclamo all'autorità di controllo rumena (ANSPDCP — Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal, dataprotection.ro) o all'autorità di controllo del Suo luogo di residenza abituale.

09Dati biometrici — Chiromanzia

Le fotografie del palmo caricate per la lettura di Chiromanzia sono dati biometrici ai sensi dell'art. 4(14) e dell'art. 9 del GDPR. Le trattiamo esclusivamente sulla base del Suo consenso esplicito (art. 9(2)(a)) e solo allo scopo di generare la Sua lettura di Chiromanzia. Rimuoviamo i metadati EXIF e di geolocalizzazione dalla Sua immagine sia lato client (nel browser, prima del caricamento) sia lato server (difesa in profondità). I file sono cifrati a riposo con AES-256, non sono mai esposti tramite URL pubblici, sono accessibili al motore di lettura solo tramite URL firmati di breve durata (≤ 5 minuti) e vengono cancellati entro 30 giorni da un processo di pulizia giornaliero. Può richiedere la cancellazione immediata su /privacy/erase o scrivendo a privacy@karmogram.com.

11Dati di altre persone

Se invia dati personali di un'altra persona (un partner per una lettura di Compatibilità, fondatori, membri del team per una lettura di Compatibilità di Team o chiunque sia nominato nella Sua domanda), conferma di aver informato tale persona del trattamento e di avere una base giuridica per condividere con noi i suoi dati. Su richiesta di tale persona, daremo seguito ai suoi diritti previsti dal GDPR ai sensi dell'articolo 14 allo stesso modo in cui lo facciamo per i nostri utenti diretti.

12Minori

Karmogram è destinato esclusivamente ad adulti di 18 anni o più. Non trattiamo consapevolmente dati personali di minori. Se ritiene che un minore abbia inviato dati tramite il servizio, lo segnali immediatamente a privacy@karmogram.com e cancelleremo i dati senza indugio.

13Sicurezza

Data in transit is protected by TLS 1.2+. The application runs on Vercel's infrastructure; where we store customer records and readings, they are held in a managed PostgreSQL database in the European Union, encrypted in transit. Secrets are managed through the hosting platform's encrypted environment and never committed to source control. Access to production data is restricted to named personnel and logged. We notify the supervisory authority and affected users within 72 hours of becoming aware of a personal-data breach, in line with GDPR Art. 33–34.

14Modifiche a questa informativa

Quando apportiamo modifiche sostanziali a questa informativa, ne diamo comunicazione via email a tutti i titolari di account e ai clienti recenti almeno quindici (15) giorni prima che le modifiche entrino in vigore. Le modifiche non sostanziali sono pubblicate con una data di revisione aggiornata in cima a questa pagina. La versione corrente è datata April 28, 2026.

15Contatti

Titolare del trattamento: CyGuru Pharm SRL, Branesti, str. Horia 33c, jud. Ilfov. Casella generale: hello@karmogram.com. Casella per la protezione dei dati (DPO): privacy@karmogram.com. Autorità di controllo rumena: ANSPDCP, dataprotection.ro.

Gestito da CyGuru Pharm SRL (registration pending, CUI RO52437696), Branesti, str. Horia 33c, jud. Ilfov. Contratto nr. 1/17.04.2026.