Privacy-policy templates for Vevee customers

Drop-in privacy-policy text for any product that integrates Vevee. Available in English and Italian. Adaptto your specific use case before publishing - these are templates, not legal advice. If you're unsure, have your DPO or counsel review.

Download as Markdown (.md) · DPA · Sub-processors · LIA template · Signup guard LIA

English version

Product analytics

We use Vevee S.r.l.(hereinafter “APL”), an Italian company, to analyse how our users interact with our product. This helps us identify usability issues, measure adoption of features, and improve the overall experience.

What is collected.For visitors who have not signed up yet: anonymous, aggregate events (pages visited, actions taken). No persistent identifier is stored in your browser for this purpose. For users who have signed up: events linked to your account (feature usage, onboarding progress, etc.). Your real user ID is the only identifier used.

Legal basis. Legitimate interest of the Controller (Art. 6(1)(f) GDPR) in improving the service. Recognised by the Italian Data Protection Authority (Garante Privacy) under Cookie Guidelines Provv. 231/2021 as falling within statistical purposes when implemented with data minimisation.

Your rights.You can opt out of product analytics at any time from your account settings → “Disable product analytics”. You can also request access to or deletion of your data by contacting [your privacy email].

Retention. Events are retained for 24 months from collection.

Sub-processor.APL acts as Data Processor (Art. 28 GDPR). A Data Processing Agreement is in place. APL's sub-processors list: [link to your sub-processors page].

Data location. EU (Frankfurt, Germany).

Service usage and entitlements (metering)

We use Vevee to track your usage of paid features (e.g. AI generations) and enforce subscription limits.

What is collected. Counters of feature use linked to your account.

Legal basis.Performance of the contract (Art. 6(1)(b) GDPR). This processing is necessary to provide the paid features you've subscribed to.

Retention. For the duration of your subscription plus 12 months for billing and contestation purposes.

Sub-processor. APL acts as Data Processor (Art. 28 GDPR).

Signup guard (include only if you use vevee.guard)

When you create an account we check that the email address is real and deliverable, and that the same person is not creating many accounts to obtain the free quota again. We use Vevee S.r.l.(“APL”), an Italian company, as our processor for this check.

What is collected. Your email address (checked and stored only as a one-way keyed hash), your IP address (used briefly to derive a coarse network prefix, stored only as a hash, never in clear), and characteristics of your browser and device, plus a random identifier stored in your browser (localStorage, key vv_g), stored only as hashes. The domain of your email is stored in clear only when it is public: a disposable email service, a known throwaway mail server, a relay service or a large consumer provider (for example gmail.com). Private and company domains are never stored. We do not combine this with any other service or use it for advertising or analytics.

Legal basis. Legitimate interest in preventing abuse of the service (Art. 6(1)(f) GDPR). [Choose one: the browser identifier is strictly necessary to secure the signup you requested (ePrivacy Art. 5(3) exemption), or we ask for your consent before reading it.] You can object at any time at [your privacy email].

Retention. The hashes are deleted 180 days after your signup. If you ask us to delete your account, they are deleted with it. [Include only if you call deletePerson with keepGuard: true, or with keepMetering: true, which implies it: we instead keep the hashes, no longer linked to you, until that original 180 day date and never longer, so that a deleted account cannot be recreated to obtain the free quota again. The email domain is not kept on those rows.]

Automated decisions. The check can lead us to refuse the free quota or an account, or to review it. [Describe your human review and how to contest.]

Third parties. APL acts as processor (Art. 28 GDPR). The hashes are not shared between our app and any other app. Looking up an email domain uses DNS over HTTPS and domain registration data; only the domain, never your address, is sent.

Versione italiana

Analisi dell'uso del prodotto

Utilizziamo Vevee S.r.l.(di seguito “APL”), società italiana, per analizzare come gli utenti interagiscono con il nostro prodotto. Questo ci permette di identificare problemi di usabilità, misurare l'adozione delle funzionalità e migliorare l'esperienza complessiva.

Cosa viene raccolto.Per i visitatori non registrati: eventi anonimi aggregati (pagine visitate, azioni intraprese). Nessun identificatore persistente viene memorizzato nel browser per questa finalità. Per gli utenti registrati: eventi collegati al tuo account (utilizzo delle funzionalità, progresso nell'onboarding, ecc.). L'unico identificatore utilizzato è il tuo ID utente reale.

Base giuridica. Legittimo interesse del Titolare (art. 6.1.f GDPR) a migliorare il servizio. Riconosciuto dal Garante per la Protezione dei Dati Personali nelle Linee Guida Cookie Provv. 231/2021 come finalità statistica con misure di minimizzazione dei dati.

I tuoi diritti.Puoi opporti all'analisi del prodotto in qualsiasi momento dalle impostazioni del tuo account → “Disattiva analisi del prodotto”. Puoi anche richiedere l'accesso o la cancellazione dei tuoi dati contattando [tua email privacy].

Conservazione. Gli eventi sono conservati per 24 mesi dalla raccolta.

Responsabile del trattamento. APL agisce in qualità di Responsabile del trattamento (art. 28 GDPR). È in essere un accordo sul trattamento dei dati (DPA). Elenco sub-responsabili APL: [link alla tua pagina sub-responsabili].

Localizzazione dati. UE (Francoforte, Germania).

Utilizzo del servizio e gestione abbonamento (metering)

Utilizziamo Vevee per tracciare l'utilizzo delle funzionalità a pagamento (es. generazioni AI) e applicare i limiti dell'abbonamento.

Cosa viene raccolto. Contatori di utilizzo delle funzionalità collegati al tuo account.

Base giuridica. Esecuzione del contratto (art. 6.1.b GDPR). Questo trattamento è necessario per fornire le funzionalità a pagamento a cui ti sei abbonato.

Conservazione. Per la durata del tuo abbonamento più 12 mesi per finalità fiscali e contestazioni.

Responsabile del trattamento. APL agisce in qualità di Responsabile del trattamento (art. 28 GDPR).

Protezione dalla registrazione abusiva (da includere solo se usi vevee.guard)

Quando crei un account verifichiamo che l'indirizzo email sia reale e raggiungibile e che la stessa persona non stia creando più account per ottenere di nuovo la quota gratuita. Per questo controllo ci avvaliamo di Vevee S.r.l. (“APL”), società italiana, come responsabile del trattamento.

Cosa viene raccolto. Il tuo indirizzo email (verificato e conservato solo come hash unidirezionale con chiave), il tuo indirizzo IP (usato per breve tempo per ricavare un prefisso di rete approssimativo, conservato solo come hash, mai in chiaro), le caratteristiche del tuo browser e dispositivo e un identificativo casuale salvato nel browser (localStorage, chiave vv_g), conservati solo come hash. Il dominio della tua email viene conservato in chiaro solo se è pubblico: un servizio di email usa e getta, un server di posta usa e getta noto, un servizio di inoltro o un grande provider di posta (per esempio gmail.com). I domini privati e aziendali non vengono mai conservati. Non li combiniamo con altri servizi né li usiamo per pubblicità o analisi.

Base giuridica.Legittimo interesse a prevenire l'abuso del servizio (art. 6.1.f GDPR). [Scegli: l'identificativo nel browser è strettamente necessario a proteggere la registrazione richiesta (esenzione art. 5(3) ePrivacy), oppure chiediamo il consenso prima di leggerlo.] Puoi opporti in qualsiasi momento scrivendo a [tua email privacy].

Conservazione.Gli hash vengono cancellati 180 giorni dopo la registrazione. Se chiedi la cancellazione dell'account, vengono cancellati con esso. [Da includere solo se chiami deletePerson con keepGuard: true, oppure con keepMetering: true, che lo implica: conserviamo invece gli hash, non più collegati a te, fino a quella data originale di 180 giorni e mai oltre, affinché un account cancellato non possa essere ricreato per ottenere di nuovo la quota gratuita. Il dominio email non viene conservato su quelle righe.]

Decisioni automatizzate. Il controllo può portarci a rifiutare la quota gratuita o un account, oppure a sottoporlo a verifica. [Descrivi la verifica umana e come contestare.]

Terze parti. APL agisce come responsabile (art. 28 GDPR). Gli hash non sono condivisi tra la nostra app e altre app. La verifica del dominio email usa DNS over HTTPS e dati di registrazione del dominio; viene inviato solo il dominio, mai il tuo indirizzo.

When you also need a cookie banner

The text above assumes you're running APL Analytics in the default hybrid mode without the anonymous-merge feature. Two additional sections apply when you change that:

1. identified mode - APL writes a persistent anonymous identifier inlocalStorage. You need a cookie banner disclosing this and acquiring consent before the SDK is initialised.
2. Anonymous→identified merge in hybrid mode - linking a pre-signup browsing session to the new account requires explicit user consent acquired at signup.

Boilerplate disclaimer

These templates are provided as a starting point and do not constitute legal advice. Your privacy policy must accurately reflect your specific processing activities and data flows. Have a qualified DPO or legal counsel review the final text before publishing.