Informativa sulla privacy

1. Chi siamo

Maguyva è un servizio di intelligenza del codice gestito da UT INTERNATIONAL PTE. LTD., una società registrata a Singapore.

2. Cosa raccogliamo

Raccogliamo quattro categorie di dati:

• Dati dell'account: il tuo nome, l'indirizzo email e il token OAuth di GitHub (usato per accedere ai repository per i quali autorizzi l'accesso)
• Dati del codice: il tuo codice sorgente (memorizzato per servire il contenuto dei file e alimentare la ricerca), alberi di sintassi astratta, grafi di simboli ed embedding semantici derivati dal tuo codice
• Dati di utilizzo: quali strumenti chiami, timestamp e pattern di query aggregati
• Dati sulle prestazioni e sugli errori del sito web: usiamo Grafana Faro, eseguito sulla nostra infrastruttura, per misurare le prestazioni delle pagine e individuare gli errori. Raccoglie il percorso della pagina (senza parametri di query), browser, sistema operativo e tipo di dispositivo, le misurazioni delle prestazioni, gli errori JavaScript e i tempi delle richieste della pagina, collegati da un identificatore di sessione casuale memorizzato nella memoria locale; scade dopo circa 16 minuti di inattività e viene sostituito alla tua visita successiva. Non contiene nome, indirizzo e-mail né identificatore dell'account e non viene combinato con dati dell'account o pubblicitari. Ci basiamo sul nostro legittimo interesse a mantenere il sito funzionante (a Singapore, la finalità di miglioramento dell'attività). I log vengono conservati 30 giorni e le tracce 14 giorni. Per opporti, scrivi a privacy@maguyva.ai.

Archiviazione nel browser. Questo sito web memorizza una piccola quantità di dati nella memoria locale (local storage) del tuo browser per ricordare la tua preferenza relativa alla modalità colore (chiave: "maguyva-color-mode"). Se attivi l'easter egg CRT opzionale, il tema visivo attivo viene memorizzato nella memoria di sessione solo per la scheda corrente. Nessuno di questi dati lascia il tuo browser o raggiunge i nostri server. Se arrivi da una delle nostre inserzioni, anche i parametri della campagna e gli identificatori dei clic pubblicitari presenti su quel link vengono conservati nella memoria di sessione per la scheda corrente (chiave: "maguyva_utm") e trasmessi alla nostra applicazione quando segui un link di registrazione o di accesso; vedi "6. Cookie e pubblicità" più sotto. Cloudflare, il nostro fornitore di infrastruttura, può impostare cookie funzionali per scopi di sicurezza. Per le analisi aggregate dell'utilizzo usiamo Umami, un servizio di analisi senza cookie e rispettoso della privacy che non imposta cookie e non raccoglie informazioni che consentano di identificare una persona. Per le prestazioni delle pagine e il monitoraggio degli errori del browser usiamo Grafana Faro, che memorizza nella memoria locale del tuo browser un identificatore di sessione generato casualmente (chiave: "com.grafana.faro.session"), che scade dopo circa 16 minuti di inattività e viene sostituito alla tua visita successiva, affinché una sequenza di misurazioni sia riconosciuta come un'unica visita; non contiene nome, indirizzo e-mail né identificatore dell'account (vedi "Dati sulle prestazioni e sugli errori del sito web" più sopra). Faro non viene caricato e quella chiave non viene scritta per i visitatori nello Spazio economico europeo, nel Regno Unito o in Svizzera, né quando non possiamo determinare la tua regione - la stessa regola regionale dei cookie pubblicitari descritti in "6. Cookie e pubblicità" più sotto.

3. Come li usiamo

Usiamo i tuoi dati per indicizzare il tuo codice e fornire le funzionalità di intelligenza del codice, elaborare i pagamenti tramite Stripe, inviare email transazionali (conferme dell'account, ricevute di fatturazione) e calcolare statistiche di utilizzo aggregate. Non usiamo il codice dei clienti per addestrare modelli di machine learning. Non vendiamo i tuoi dati.

4. Il tuo codice

Quando colleghi un repository, il tuo codice sorgente viene memorizzato nell'infrastruttura del nostro servizio per supportare le funzionalità di intelligenza del codice, inclusi il recupero dei file e la ricerca. Analizziamo la sintassi del codice con tree-sitter, generiamo embedding semantici tramite Voyage AI e costruiamo un grafo dei simboli che rappresenta definizioni e riferimenti. La richiesta di embedding invia frammenti semantici suddivisi tenendo conto della struttura AST, non file o repository completi, ed esclude metadati identificativi del cliente come nomi dei repository, nomi utente, identificatori dell'organizzazione e percorsi dei file. Questi frammenti vengono usati per generare embedding in base a condizioni d'uso dell'API e impostazioni dell'account che non consentono di addestrare modelli sui dati dei clienti. Il codice sorgente e i dati dell'indice da esso derivati sono memorizzati in PostgreSQL nelle forme necessarie per il recupero dei file, la ricerca e l'analisi dei grafi. L'accesso al prodotto è regolato da controlli circoscritti all'organizzazione e al namespace; gli operatori di Maguyva possono accedere ai dati dei repository solo quando necessario per gestire, proteggere o supportare il servizio. Quando scolleghi un repository o chiudi il tuo account, il codice sorgente presente nell'indice attivo e i dati derivati vengono rimossi dai sistemi del servizio, mentre le copie di backup residue scadono entro il periodo di conservazione dei backup.

5. Terze parti

Usiamo i seguenti servizi per gestire Maguyva:

• Supabase (hosting del database, regioni AWS negli Stati Uniti)
• Cloudflare (CDN, elaborazione edge, DNS)
• Voyage AI, ora parte di MongoDB (generazione di embedding - riceve frammenti di codice suddivisi tenendo conto della struttura AST, senza identificatori del cliente, non file o repository completi)
• Stripe (elaborazione dei pagamenti)
• GitHub (autenticazione OAuth e accesso ai repository)
• Umami (analisi dell'utilizzo del sito web senza cookie - solo metriche aggregate, nessuna informazione che consenta di identificare una persona)
• Railway (hosting, a Singapore, del sistema di monitoraggio che gestiamo direttamente con il software open source di Grafana - conserva i dati sulle prestazioni e sugli errori del sito web descritti in "2. Cosa raccogliamo", che vi arrivano solo tramite il nostro collector su faro.synacy.xyz; Grafana Labs non riceve questi dati. Lo script di monitoraggio non viene caricato affatto per i visitatori nello Spazio economico europeo, nel Regno Unito o in Svizzera, né quando non possiamo determinare la tua regione)
• Google Ads (misurazione delle conversioni - riceve i parametri di campagna e gli identificatori di clic pubblicitario quando crei un account, non dati dell'account o del codice)

6. Cookie e pubblicità

Promuoviamo Maguyva tramite Google Ads e misuriamo quali annunci portano a registrazioni. Il tag di Google (gtag.js) si carica sia su maguyva.ai sia su app.maguyva.ai. Dove l'archiviazione pubblicitaria è consentita, imposta cookie della famiglia "_gcl_" (per esempio "_gcl_aw", conservato fino a 90 giorni) che registrano il clic pubblicitario precedente alla tua visita, e l'applicazione segnala una conversione a Google Ads quando crei un account. Su entrambi i domini impostiamo anche un cookie nostro, "maguyva_first_touch", che registra il primo link pubblicitario da cui sei arrivato, così possiamo sapere quale pubblicità ha prodotto un account. A parte i cookie di consenso e di regione descritti di seguito, non impostiamo altri cookie pubblicitari sui nostri domini.

• Cosa viene inviato a Google: solo i parametri di campagna e gli identificatori di clic pubblicitario. Il resto dell'indirizzo della pagina, incluso qualsiasi indirizzo email trasportato da un link di invito, viene rimosso prima che il report raggiunga Google.
• I segnali di personalizzazione degli annunci sono disattivati, quindi questo misura le conversioni anziché costruire audience pubblicitarie.
• Cosa contiene "maguyva_first_touch": i parametri di campagna presenti sul link da cui sei arrivato (utm_source, utm_medium, utm_campaign, utm_content, utm_term), l'identificatore di clic pubblicitario che trasportava (gclid, gbraid, wbraid, dclid, twclid o rdt_cid), l'indirizzo della pagina che ti ha inviato, il percorso su cui sei atterrato inclusi i suoi parametri e l'ora di quell'arrivo. Viene impostato dai nostri server, non è leggibile dagli script in esecuzione sulla pagina ed è conservato fino a 90 giorni.
• Registra solo il tuo primo accesso proveniente da un annuncio pubblicitario - un clic successivo su un annuncio non sostituisce questa informazione. Se crei un account, questi valori vengono copiati nell'account per consentirci di attribuirne la creazione alla pubblicità che l'ha generata; il cookie viene poi eliminato. Se non crei mai un account, il cookie scade automaticamente.
• Il nostro sito di marketing all'indirizzo maguyva.ai conserva inoltre gli identificatori di clic pubblicitario del tuo arrivo nella memoria di sessione per la scheda corrente, così possono essere trasmessi all'applicazione quando segui un link di registrazione o di accesso, come descritto in "2. Cosa raccogliamo". Quella copia viene eliminata quando chiudi la scheda.
• Dove chiediamo prima: per i visitatori nello Spazio economico europeo, nel Regno Unito o in Svizzera, e ovunque non possiamo determinare la tua regione, il tag si carica con l'archiviazione pubblicitaria disattivata e gli identificatori di clic pubblicitario rimossi da ciò che invia, e te lo chiediamo prima di impostare qualsiasi cookie pubblicitario. Finché non rispondi, Google riceve solo un segnale senza cookie che indica che una pagina è stata visualizzata. Se acconsenti, i cookie "_gcl_" e "maguyva_first_touch" vengono impostati come descritto sopra. Se rifiuti, non ne viene impostato nessuno dei due e non viene raccolto alcun registro di primo contatto.
• La tua risposta viene conservata per 12 mesi in un cookie chiamato "maguyva_ad_consent", condiviso tra maguyva.ai e app.maguyva.ai, che contiene solo la risposta e la versione della presente informativa in base alla quale è stata data. Viene impostato sia che tu acconsenta sia che rifiuti, così non te lo chiediamo di nuovo. Puoi modificarla in qualsiasi momento dal link "Preferenze sui cookie" nel piè di pagina di maguyva.ai o da Settings > Security nell'applicazione; passare al rifiuto interrompe ogni ulteriore archiviazione pubblicitaria, e i cookie che Google ha già impostato scadono secondo le loro tempistiche.
• Su maguyva.ai, un cookie della durata di un'ora chiamato "maguyva_ad_region" registra solo se la tua regione è una di quelle in cui chiediamo il consenso. Non contiene alcun dato personale.
• Google può impostare cookie sui propri domini quando la conversione viene segnalata; quelli sono regolati dall'informativa sulla privacy di Google.

7. Sicurezza dei dati

I dati vengono trasmessi tramite HTTPS/TLS. I dati indicizzati dei repository sono memorizzati su infrastruttura gestita con crittografia dei dati a riposo a livello di storage. Il codice sorgente e i dati dell'indice da esso derivati restano leggibili dal servizio quando necessario per la ricerca, il recupero dei file, il supporto e le operazioni di sicurezza. L'accesso ai repository è regolato da controlli circoscritti all'organizzazione e al namespace. Le chiavi API vengono validate rispetto ai metadati memorizzati e alle restrizioni di accesso ai repository.

8. I tuoi diritti

Ai sensi del PDPA di Singapore e del GDPR UE (dove applicabile), hai il diritto di:

• Accedere ai dati personali che deteniamo su di te
• Correggere dati inesatti
• Richiedere la cancellazione dei tuoi dati e dei repository indicizzati
• Esportare i dati del tuo account
• Opporti al trattamento o revocare il consenso

9. Conservazione dei dati

Account attivi: i dati vengono conservati finché il tuo account è attivo. Repository rimossi e account cancellati: il codice sorgente presente nell'indice attivo e i dati derivati vengono rimossi entro 30 giorni, mentre le copie di backup residue scadono entro 90 giorni. I registri di fatturazione vengono conservati per 7 anni come richiesto dalla legge. Dati sulle prestazioni e sugli errori del sito web descritti in "2. Cosa raccogliamo": i log vengono conservati 30 giorni e le tracce 14 giorni, poi eliminati automaticamente; per opporti alla loro raccolta, scrivi a privacy@maguyva.ai.

10. Modifiche e contatti

Ti invieremo un'email in caso di modifiche sostanziali a questa informativa. Per domande o richieste sui dati, contatta privacy@maguyva.ai.