Documento legale

Informativa Privacy e Cookie Policy

Ultimo aggiornamento: 4 settembre 2026

Spesalyze trasforma gli scontrini digitali (PDF e immagini) in un catalogo di prodotti con i prezzi effettivamente pagati. Su questa base offre a ciascun utente un'analisi personalizzata della propria spesa — dove sta spendendo di più, dove potrebbe risparmiare, come migliorare la qualità di ciò che acquista — e pubblica statistiche aggregate e anonime sui trend di acquisto e sulla dinamica dei prezzi, a beneficio di tutti gli utenti. Questa informativa, resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del D.lgs. 196/2003 come modificato dal D.lgs. 101/2018 (Codice Privacy), descrive quali dati trattiamo, per quali finalità, con quali garanzie e quali cookie utilizziamo.

In sintesi. Gli unici dati identificativi che ti chiediamo sono nome, cognome e indirizzo email, indispensabili per creare e gestire l'account. Non chiediamo dati di pagamento, non usiamo cookie di profilazione, non facciamo pubblicità e non vendiamo i tuoi dati. I file degli scontrini non vengono archiviati, salvo per pochi giorni quando il caricamento fallisce e occorre ripeterlo. I dati che estraiamo dai tuoi scontrini servono a due cose, entrambe parte del servizio che accetti registrandoti: analizzare i tuoi acquisti per darti suggerimenti personalizzati su budget e qualità dei prodotti, e alimentare statistiche pubbliche esclusivamente in forma aggregata e anonima. Ai modelli linguistici inviamo solo la descrizione di un singolo prodotto, mai lo scontrino e mai i tuoi dati.

1. Titolare del trattamento

Il titolare del trattamento è il gestore del servizio Spesalyze, contattabile per ogni questione relativa alla protezione dei dati personali all'indirizzo info@spesalyze.com.

Non è stato designato un Responsabile della protezione dei dati (DPO), non ricorrendo i presupposti dell'art. 37 GDPR: le richieste in materia di privacy vanno indirizzate al contatto sopra indicato. Il servizio è offerto in fase beta.

2. Categorie di dati trattati

Il servizio è progettato secondo il principio di minimizzazione (art. 5.1.c GDPR): raccogliamo solo ciò che serve a farlo funzionare. Gli unici dati identificativi trattati sono nome, cognome e indirizzo email. Tutti gli altri dati elencati di seguito riguardano gli acquisti e l'uso del servizio e sono collegati all'account tramite un identificativo interno.

Categoria	Dettaglio	Quando
Account	Nome, cognome e indirizzo email, gestiti tramite il fornitore di identità (Clerk). Le credenziali di accesso sono gestite direttamente da Clerk e non sono conservate da Spesalyze. Non chiediamo numero di telefono, indirizzo postale, data di nascita né dati di pagamento.	Registrazione e gestione del profilo
Scontrini caricati	Il file dello scontrino (PDF o immagine) è elaborato in transito e non viene archiviato quando l'elaborazione va a buon fine: ne restano solo i dati strutturati — esercente, data e ora, importo totale, righe prodotto (descrizione, quantità, prezzo, sconto, peso/volume). Se il caricamento o l'estrazione falliscono per un errore, il file è trattenuto per il tempo strettamente necessario a diagnosticare il problema e ripetere l'import (§ 5).	Al caricamento di uno scontrino
Foto delle etichette	Immagini di etichette o confezioni di prodotto caricate volontariamente, elaborate tramite riconoscimento ottico dei caratteri (OCR) per leggerne il testo. Ti invitiamo a non includere nell'inquadratura persone o elementi identificativi.	All'uso della funzione etichette
Dati inseriti manualmente	Liste della spesa, correzioni di peso/volume, riclassificazioni di prodotto associate ai tuoi scontrini.	Durante l'uso del servizio
Esportazioni da GDO	File di esportazione dei tuoi dati (es. TSV) che scarichi dal tuo account presso un'insegna (es. Esselunga, Lidl) e carichi su Spesalyze; contengono il tuo storico d'acquisto presso quell'insegna.	Se usi l'import da GDO
Dati tecnici	Log applicativi e di errore generati dal server (indirizzo IP, data e ora, pagina richiesta, tipo di browser) per sicurezza e diagnostica, e statistiche di traffico aggregate raccolte senza cookie (§ 10).	Durante la navigazione

Non trattiamo categorie particolari di dati (art. 9 GDPR) e non richiediamo la geolocalizzazione del dispositivo. La posizione dei punti vendita è ricavata dall'indirizzo stampato sullo scontrino, non dal tuo dispositivo. Se uno scontrino o un'etichetta che carichi contiene informazioni non necessarie al servizio, queste non vengono estratte né utilizzate.

3. Finalità e basi giuridiche

Finalità	Base giuridica (art. 6 GDPR)
Erogazione del servizio: account, elaborazione degli scontrini, catalogo prodotti, storico prezzi, liste della spesa	Esecuzione del contratto (6.1.b)
Analisi personalizzata dei tuoi acquisti e suggerimenti su come gestire il budget in modo più efficiente e migliorare la qualità dei prodotti che compri (§ 3, «Analisi personalizzata»)	Esecuzione del contratto (6.1.b)
Conservazione temporanea del file dello scontrino in caso di errore di caricamento, per consentire diagnosi e ripetizione dell'import	Esecuzione del contratto (6.1.b)
Integrazione e correzione delle descrizioni dei prodotti tramite modelli linguistici (LLM) di terze parti	Esecuzione del contratto (6.1.b) e legittimo interesse al miglioramento della qualità del catalogo (6.1.f)
Anonimizzazione e aggregazione dei dati di prodotto e prezzo per produrre e pubblicare le statistiche sui trend di acquisto e sulla dinamica dei prezzi (§ 4)	Esecuzione del contratto (6.1.b): il contributo ai dati collettivi è un elemento essenziale del servizio, che esiste solo perché alimentato dagli utenti; il risultato pubblicato è costituito da dati anonimi
Email di sistema e di autenticazione	Esecuzione del contratto (6.1.b)
Sicurezza, prevenzione di abusi e usi impropri	Legittimo interesse (6.1.f)
Adempimento di obblighi di legge	Obbligo legale (6.1.c)

Elaborazione tramite modelli linguistici (LLM)

Per riconoscere, integrare e correggere i nomi dei prodotti, Spesalyze può inviare a fornitori terzi di modelli linguistici (attualmente OpenAI e Anthropic) esclusivamente il singolo descrittivo del prodotto, uno alla volta (ad esempio «BARILLA SPAGHETTI N.5 500G»). Ai fornitori LLM non vengono mai trasmessi lo scontrino completo o l'immagine dello stesso, l'insieme delle righe di uno stesso scontrino, l'importo totale, l'esercente, la data, né alcun dato identificativo o identificativo interno dell'utente: il descrittivo è inviato isolato e non è in alcun modo abbinabile a una persona o a un acquisto specifico. I fornitori operano come responsabili o sub-responsabili del trattamento sulla base dei rispettivi termini per uso business, che escludono l'utilizzo dei dati trasmessi via API per l'addestramento dei loro modelli.

Ai fini di trasparenza previsti dal Regolamento (UE) 2024/1689 (AI Act) e dalla legge italiana n. 132 del 2025 in materia di intelligenza artificiale, ti informiamo che parte delle descrizioni, delle classificazioni e degli abbinamenti dei prodotti presenti nel catalogo è generata o corretta con l'ausilio di sistemi di intelligenza artificiale, sotto la supervisione e la responsabilità editoriale di Spesalyze. Nessun sistema di intelligenza artificiale è impiegato per assumere decisioni che ti riguardino (§ 3).

Natura del conferimento

Il conferimento di nome, cognome ed email è necessario per creare l'account: senza di essi non è possibile fornire il servizio. Il caricamento di scontrini, foto di etichette ed esportazioni da GDO è sempre facoltativo e dipende dalle funzioni che scegli di usare: puoi avere un account senza caricare nulla.

Le due finalità per cui i dati caricati vengono elaborati — l'analisi personalizzata della tua spesa e il contributo alle statistiche aggregate e anonime — non sono invece separabili l'una dall'altra: costituiscono un'unica prestazione contrattuale, descritta nei Termini e Condizioni che accetti al momento della registrazione. Se scegli di caricare uno scontrino, i dati di prodotto e prezzo che ne ricaviamo confluiscono negli aggregati anonimi: non è prevista un'opzione per usare la sola analisi personale, così come non ti è chiesto alcun corrispettivo in denaro. Se questo modello non ti convince, puoi non registrarti oppure cancellare l'account in qualsiasi momento (§ 8).

Analisi personalizzata e decisioni automatizzate

Il servizio elabora automaticamente i dati estratti dai tuoi scontrini per restituirti un'analisi della tua spesa: quanto e dove spendi, come cambiano nel tempo i prezzi dei prodotti che acquisti abitualmente, presso quale insegna avresti speso meno per lo stesso paniere, quali abitudini incidono di più sul totale. Questa elaborazione costituisce profilazione ai sensi dell'art. 4, n. 4 del GDPR, perché analizza in modo automatizzato aspetti che ti riguardano — abitudini e preferenze di acquisto, andamento della tua spesa. La svolgiamo per la sola finalità di erogarti il servizio che hai richiesto: i risultati sono visibili unicamente a te all'interno del tuo account, non vengono comunicati a terzi, non alimentano attività pubblicitarie e non sono utilizzati per selezionarti come destinatario di offerte commerciali.

Non adottiamo invece decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici nei tuoi confronti o incidano in modo analogamente significativo sulla tua persona (art. 22 GDPR): i suggerimenti che ricevi sono informazioni, non decisioni, e nulla cambia per te a seconda che tu li segua o li ignori. La classificazione automatica dei prodotti riguarda invece il catalogo, non gli utenti.

4. Statistiche aggregate e anonime pubblicate

I dati di prodotto e prezzo estratti dagli scontrini caricati dagli utenti alimentano statistiche pubbliche — ad esempio il prezzo di un prodotto presso un'insegna, il suo andamento nel tempo, il confronto tra insegne o aree geografiche — consultabili sul sito a beneficio di tutti gli utenti.

Le statistiche pubblicate sono aggregate e anonime: riguardano prodotti, prezzi, insegne, punti vendita e date, mai persone.
Prima dell'aggregazione ogni collegamento con l'account è rimosso; il risultato pubblicato non consente, con mezzi ragionevolmente utilizzabili, di risalire a un utente, a un singolo scontrino o a un singolo acquisto. Ai dati così resi anonimi non si applica il GDPR (Considerando 26).
Non pubblichiamo mai il tuo storico di spesa, la composizione dei tuoi scontrini, né dati che ti riguardino individualmente. Le analisi personali sul tuo storico sono visibili solo a te, all'interno del tuo account.
Il contributo a queste statistiche è un elemento essenziale del servizio, non una funzione accessoria: Spesalyze è gratuito e ha senso solo perché ogni utente mette a disposizione della collettività, in forma anonima, i prezzi che ha effettivamente pagato. Per questa ragione il trattamento si fonda sull'esecuzione del contratto (art. 6.1.b GDPR) e non su un consenso separato né sul legittimo interesse: non è previsto un diritto di opposizione riferito a questa specifica finalità. Puoi in ogni momento smettere di caricare scontrini oppure cancellare l'account (§ 8), interrompendo così ogni contributo futuro.
I dati già confluiti negli aggregati anonimi non sono tecnicamente reversibili né estraibili, non essendo più riconducibili a te né ad alcun altro utente: restano disponibili anche dopo la cancellazione dell'account.

5. Conservazione

Dati dell'account (nome, cognome, email): per la durata dell'account. Alla cancellazione gli identificativi sono rimossi e i dati degli scontrini associati vengono anonimizzati, cioè mantenuti senza alcun collegamento con l'utente.
File dello scontrino (PDF o immagine): non viene archiviato quando l'elaborazione va a buon fine — è elaborato in transito e scartato al termine dell'estrazione, restano unicamente i dati strutturati. In caso di esito negativo per un errore di caricamento o di elaborazione, il file è trattenuto per pochi giorni e comunque per non oltre 30 giorni, al solo scopo di diagnosticare l'errore e ripetere l'import, poi è cancellato automaticamente.
Foto delle etichette: conservate per il tempo necessario all'estrazione dei dati di prodotto e alla verifica dell'abbinamento con l'acquisto; i dati estratti confluiscono nel catalogo in forma anonima.
Catalogo, storico prezzi e statistiche: conservati senza limiti di tempo in forma aggregata e anonima (prodotto, prezzo, esercente, data), non riconducibile all'utente.

I dati non espressamente elencati sopra sono conservati per il tempo strettamente necessario alle finalità per cui sono trattati (§ 3) e successivamente cancellati o resi anonimi.

6. Responsabili e destinatari

Spesalyze si avvale di responsabili del trattamento selezionati, vincolati da accordi sul trattamento dei dati (DPA) ai sensi dell'art. 28 GDPR e da misure di sicurezza adeguate. Le categorie sono:

Hosting e infrastruttura: Google Cloud Platform — database gestito (Cloud SQL), archiviazione delle foto delle etichette e dei file trattenuti temporaneamente in caso di errore (Cloud Storage), raccolta dei log applicativi (Cloud Logging). I dati sono trattati e conservati su server situati all'interno dell'Unione Europea.
Identità e autenticazione: Clerk, Inc. (San Francisco, USA), che tratta nome, cognome, indirizzo email e credenziali di accesso in qualità di responsabile del trattamento, sulla base di un accordo sul trattamento dei dati. Clerk dichiara di essere certificata nell'ambito dell'EU-US Data Privacy Framework — oggetto della decisione di adeguatezza della Commissione europea del 10 luglio 2023 — nonché degli analoghi programmi per il Regno Unito e la Svizzera, e ha designato VeraSafe quale proprio rappresentante nell'Unione Europea e nel Regno Unito ai sensi dell'art. 27 GDPR. Le informazioni fornite da Clerk in materia di conformità al GDPR sono consultabili alla pagina clerk.com/legal/gdpr.
Riconoscimento ottico dei caratteri (OCR): Google Cloud Vision per le foto delle etichette e componenti OCR eseguiti sull'infrastruttura del servizio per le immagini degli scontrini.
Modelli linguistici (LLM): OpenAI e Anthropic (USA), nei soli limiti descritti al § 3.
Statistiche di traffico: Umami, servizio di analisi senza cookie e senza profilazione (§ 10).
Autorità e organi di controllo: quando la comunicazione è imposta da un obbligo di legge o da un provvedimento dell'autorità.

Vendita dei dati: non cediamo, non vendiamo e non concediamo in licenza i tuoi dati personali a terzi per finalità di marketing o pubblicitarie.

Trasferimenti extra-UE: i dati sono trattati e conservati su server situati nell'Unione Europea. Fanno eccezione i fornitori di identità (Clerk), di modelli linguistici (OpenAI, Anthropic) e di statistiche di traffico, con sede negli Stati Uniti. Per Clerk il trasferimento è coperto dalla decisione di adeguatezza della Commissione europea del 10 luglio 2023 relativa all'EU-US Data Privacy Framework, cui la società dichiara di aderire; per gli altri fornitori il trasferimento avviene sulla base della medesima decisione di adeguatezza, ove il fornitore vi aderisca, oppure delle Clausole Contrattuali Standard (SCC) approvate dalla Commissione europea, con misure supplementari ove necessario. Ai fornitori LLM è trasmesso unicamente il singolo descrittivo di prodotto (§ 3). Puoi richiedere copia delle garanzie adottate scrivendo a info@spesalyze.com.

7. Sicurezza

Adottiamo misure tecniche e organizzative adeguate al rischio (art. 32 GDPR): trasmissione cifrata tramite HTTPS, cifratura dei dati a riposo sull'infrastruttura cloud, controllo degli accessi basato su ruoli e limitato al personale strettamente necessario, registrazione delle operazioni amministrative, minimizzazione dei dati inviati a terzi. Nessun sistema è però sicuro in modo assoluto: in caso di violazione dei dati personali che comporti un rischio elevato per i tuoi diritti, provvederemo alle notifiche previste dagli artt. 33 e 34 GDPR.

8. I tuoi diritti

Puoi esercitare in ogni momento i diritti previsti dagli articoli 15-22 del GDPR: accesso, rettifica, cancellazione, limitazione del trattamento, portabilità dei dati e opposizione ai trattamenti fondati sul legittimo interesse — che sono la sicurezza del servizio e il miglioramento della qualità del catalogo (§ 3). L'analisi personalizzata della tua spesa e il contributo alle statistiche aggregate e anonime si fondano invece sull'esecuzione del contratto: rispetto a queste due finalità il rimedio a tua disposizione non è l'opposizione, ma la cessazione del rapporto tramite cancellazione dell'account. Le richieste vanno inviate a info@spesalyze.com e ricevono riscontro entro un mese, prorogabile di due mesi in casi complessi (art. 12 GDPR).

La cancellazione dell'account è disponibile dalla pagina del profilo o via email. La cancellazione comporta la rimozione dei dati identificativi e l'anonimizzazione irreversibile dei dati di acquisto associati, che restano nel catalogo senza collegamento con te.

Hai inoltre diritto di proporre reclamo al Garante per la protezione dei dati personali o di ricorrere all'autorità giudiziaria.

9. Minori

Il servizio è riservato a chi ha almeno 16 anni. Si tratta di un requisito contrattuale stabilito da Spesalyze, più restrittivo del limite fissato dalla legge italiana: l'art. 2-quinquies del Codice Privacy consente infatti al minore che ha compiuto 14 anni di prestare autonomamente il consenso in relazione ai servizi della società dell'informazione. Non raccogliamo consapevolmente dati di minori di 16 anni: qualora venissimo a conoscenza di averne raccolti, procederemo alla cancellazione senza ingiustificato ritardo. Chi esercita la responsabilità genitoriale può segnalare il caso scrivendo a info@spesalyze.com.

I cookie sono piccoli file di testo che i siti salvano sul dispositivo di chi naviga. Questa sezione, resa ai sensi dell'art. 122 del Codice Privacy e delle Linee guida del Garante sui cookie e altri strumenti di tracciamento del 10 giugno 2021, descrive gli strumenti utilizzati da Spesalyze. Le stesse regole si applicano alle tecnologie equivalenti che memorizzano informazioni nel browser, come local storage e session storage.

Cookie utilizzati

Spesalyze utilizza esclusivamente cookie tecnici, necessari a erogare il servizio esplicitamente richiesto dall'utente. Per questi cookie la normativa non richiede il consenso preventivo, ma solo la presente informativa: per questo il sito non presenta alcun banner di consenso. Non utilizziamo cookie di profilazione, cookie pubblicitari, cookie di social network né strumenti che ricostruiscano il tuo comportamento di navigazione tra siti diversi.

Cookie	Titolarità	Finalità	Durata
`sessionid`	Prima parte (tecnico)	Mantiene attiva la sessione di accesso all'applicazione	Fino a 30 giorni
`csrftoken`	Prima parte (tecnico)	Protegge i moduli del sito dagli attacchi di falsificazione delle richieste (CSRF)	Fino a 12 mesi
Cookie di sessione di Clerk (es. `__session`, `__client_uat`)	Terza parte (tecnico) — Clerk, Inc.	Autenticazione, mantenimento e sicurezza della sessione di accesso	Da poche ore a 30 giorni se la sessione resta attiva
Preferenze locali (local storage)	Prima parte (tecnico)	Memorizza nel browser impostazioni dell'interfaccia scelte da te (es. preferenze di visualizzazione)	Fino a cancellazione da parte dell'utente

Spesalyze è utilizzabile anche come applicazione installabile (PWA): in tal caso il browser può conservare localmente file dell'interfaccia per consentire il funzionamento offline. Si tratta di memorizzazione tecnica, priva di finalità di tracciamento.

Statistiche di traffico senza cookie

Per conoscere l'andamento generale delle visite utilizziamo Umami, uno strumento di analisi che non installa cookie, non applica fingerprinting del dispositivo e non ricostruisce percorsi di navigazione tra siti diversi. Secondo quanto dichiarato dal fornitore, l'indirizzo IP non viene conservato: è utilizzato solo in forma cifrata per il tempo necessario a calcolare il traffico unico della giornata e scartato subito dopo. Le informazioni raccolte — pagine viste, provenienza, browser, sistema operativo, paese — sono aggregate e non ci consentono di identificarti. Il nostro sito utilizza esclusivamente la rilevazione automatica delle pagine visitate: non impieghiamo le funzioni di Umami che consentirebbero di allegare dati identificativi dell'utente (es. email, identificativo account) agli eventi raccolti. Su questa base lo utilizziamo come strumento di sola misurazione statistica, secondo i criteri indicati dalle Linee guida del Garante del 10 giugno 2021 per gli strumenti di misurazione assimilabili a quelli tecnici, lette alla luce delle Linee guida EDPB 2/2023 sull'ambito tecnico di applicazione dell'art. 5, par. 3, della direttiva ePrivacy. Le informazioni complete fornite da Umami sulla propria conformità al GDPR sono consultabili alla pagina umami.is/blog/gdpr-compliant-website-analytics. Qualora in futuro adottassimo strumenti di analisi che comportino tracciamento o profilazione, ti sarà richiesto un consenso preventivo tramite apposito banner.

Risorse di terze parti caricate dalle pagine

Alcune componenti dell'interfaccia (librerie JavaScript, fogli di stile e set di icone) sono caricate da reti di distribuzione di contenuti di terzi — attualmente Google Fonts, unpkg e jsDelivr. Questi fornitori non installano cookie di profilazione tramite il nostro sito, ma per consegnare il file ricevono necessariamente il tuo indirizzo IP e le informazioni tecniche del browser, con possibile trasferimento verso Paesi extra-UE nei limiti descritti al § 6. Si tratta di risorse tecniche indispensabili alla corretta visualizzazione delle pagine.

Come gestire o disattivare i cookie

Puoi bloccare o eliminare i cookie in ogni momento dalle impostazioni del tuo browser. La disattivazione dei cookie tecnici e di autenticazione impedisce però l'accesso all'area riservata e il corretto funzionamento del servizio. Istruzioni per i browser più diffusi:

11. Aggiornamenti

Questa informativa può essere aggiornata per riflettere modifiche del servizio, della normativa o dei fornitori utilizzati. Le modifiche sostanziali sono pubblicate in questa pagina con aggiornamento della data indicata in apertura e, quando richiesto dalla legge, comunicate agli utenti registrati. Ti invitiamo a consultare periodicamente questa pagina.

12. Contatti

Per qualsiasi richiesta relativa a questa informativa, alla cookie policy o all'esercizio dei tuoi diritti: info@spesalyze.com. Le condizioni d'uso del servizio sono descritte nei Termini e Condizioni.