Informativa sulla privacy — Cosa conserva Mentioned

Cosa raccogliamo

Dati del controllo. Il brand e la categoria che inserisci, le 5 domande d'acquisto generate, le risposte dell'AI e il tuo punteggio risultante. Sono ciò che alimenta i tuoi risultati e qualsiasi link condivisibile che crei.
Un indirizzo IP sottoposto a hash. Applichiamo l'hash (SHA-256) al tuo indirizzo IP prima di conservarlo e lo usiamo solo per far rispettare il limite di raffica al minuto e il tetto giornaliero globale dei controlli. Non conserviamo mai il tuo indirizzo IP in chiaro.
Un'email salvata con il risultato di un controllo, solo se ce la dai. Se lasci il tuo indirizzo insieme al risultato di un controllo, conserviamo l'indirizzo email che inserisci e, facoltativamente, un riferimento al controllo a cui si riferisce. Al di fuori di questo, del tuo account e del modulo di contatto, non raccogliamo indirizzi email.
Cosa invii tramite il modulo di contatto. Il tuo nome, indirizzo email, il campo facoltativo dell'azienda, l'argomento e il messaggio ci vengono inviati via email così possiamo rispondere. Non vengono scritti nel nostro database; l'email nella nostra casella è l'unica copia che conserviamo.
Analytics. Usiamo Google Tag Manager per caricare tag di analytics che ci dicono quali pagine vengono visitate e come le persone trovano il sito. Contiamo anche due cose che fai: che un controllo è terminato e che un'email è stata salvata. Questi due conteggi non portano alcun dettaglio su di te — l'evento del controllo include solo una fascia approssimativa del punteggio (nessuna, alcune, la maggior parte o tutte le 5 domande), e nessuno dei due porta il tuo brand, la tua categoria, il tuo indirizzo email, il link al tuo risultato o alcuna risposta dell'AI. Questo non influisce sui dati descritti sopra — i tuoi controlli, l'IP sottoposto a hash e qualsiasi email sono trattati allo stesso modo in ogni caso.
Da dove arrivi, se un link ce lo ha detto. Se arrivi tramite un link che porta un tag di provenienza (per esempio uno di un partner come Hire Alvin, con valori ref o utm_ nell'indirizzo), conserviamo quei tag e il percorso della pagina in cui sei atterrato in un cookie proprio chiamato mnt_ref per un massimo di 30 giorni. Il cookie contiene solo quei brevi tag, nulla su di te, e gli script del tuo browser non possono leggerlo. Anche i nostri pulsanti di registrazione e “Fai un controllo gratuito” portano un tag, che indica solo dove si trova il pulsante (come nav o footer); cliccarne uno salva quel tag e il percorso della pagina di questo sito da cui l'hai cliccato, nello stesso cookie, a meno che non ci sia già il tag di un partner. Se crei un account mentre è presente, salviamo i tag con il tuo account così possiamo vedere quali partner e quali dei nostri pulsanti portano persone a Mentioned. Se non arrivi tramite un link con tag e non clicchi uno di quei pulsanti, non viene impostato né salvato nulla.
Il tuo account. Per fare un controllo ne serve uno. Conserviamo il tuo indirizzo email e la tua password — la password solo come hash argon2id con un salt casuale per account, da cui non c'è modo di risalire a ciò che hai digitato. Gli account creati prima di argon2id vengono verificati con il loro hash PBKDF2-SHA256 precedente e passati ad argon2id al tuo prossimo accesso. Una sessione di accesso è un token casuale in un cookie; ne conserviamo solo lo SHA-256, così una copia del nostro database non può essere riutilizzata come accesso.
Accedere con Google, solo se lo usi. “Continua con Google” chiede a Google gli ambiti openid email profile e nient'altro. Dalla risposta firmata di Google usiamo il tuo indirizzo email verificato, per trovare o creare il tuo account, e l'ID stabile che Google dà al tuo account Google, che conserviamo collegato al tuo account Mentioned con le date di collegamento e dell'ultimo utilizzo. Non conserviamo il tuo nome né la foto del profilo e non teniamo alcuna autorizzazione da Google: questo accesso non dà a Mentioned alcun accesso ai tuoi dati Google ed è separato dalla connessione ad Analytics e Search Console descritta più sotto. Colleghiamo Google a un account esistente solo quando sia Google sia Mentioned hanno verificato l'indirizzo. Un account creato così non ha una password finché non ne imposti una con un link di reimpostazione.
Passkey, solo se ne aggiungi una. Per ogni passkey conserviamo il suo ID credenziale, la sua chiave pubblica, un contatore di firme, i suggerimenti di trasporto che il tuo browser riporta (come “internal” o “usb”), il nome che le dai e quando è stata aggiunta e usata l'ultima volta. La chiave privata non lascia mai il tuo dispositivo o gestore di password, e il controllo di impronta, volto o PIN avviene sul tuo dispositivo: non riceviamo mai dati biometrici. Ogni accesso o configurazione usa una sfida monouso che conserviamo per al massimo cinque minuti.
Chiavi API dei provider, solo quelle che salvi deliberatamente. Se salvi una chiave nella pagina Impostazioni, la conserviamo cifrata. Vedi la sezione qui sotto per sapere esattamente da cosa ti protegge e da cosa no.
Una connessione Google, solo se ne colleghi una. Se colleghi Google Analytics e Search Console, conserviamo un'autorizzazione di accesso Google cifrata e la proprietà e il sito che hai scelto. I dati di analytics non vengono conservati. Vedi Dati utente Google più sotto.
Una chiave Bing Webmaster Tools, solo se ne salvi una. È cifrata allo stesso modo di una chiave provider salvata, con solo gli ultimi quattro caratteri leggibili così la pagina può mostrare quale chiave è salvata. Nessun report la legge ancora. Rimuoverla in Impostazioni la elimina.
App che colleghi al tuo account. Se colleghi Claude o un altro client MCP, con un token API o approvandolo nella nostra schermata di consenso, conserviamo l'hash SHA-256 del token invece del token stesso, il nome che gli hai dato o il nome e l'indirizzo di ritorno dell'app, e quando è stato creato (e, per un token creato da te, quando è stato usato l'ultima volta). Vedi App collegate più sotto per cosa può fare una tale app.
Cookie di preferenza. mnt_theme ricorda chiaro o scuro per un anno, e gli script del sito lo leggono così ogni pagina si apre nel tema che hai scelto. mnt_rail ricorda se hai compresso la barra laterale dell'app e mnt_ws quale workspace hai aperto per ultimo. Cookie di breve durata portano anche un tentativo di accesso o connessione tra un passaggio e l'altro e scadono nel giro di minuti. Nessuno di questi è usato per pubblicità o tracciamento.
Gli strumenti gratuiti. Il verificatore dei crawler AI, il validatore di llms.txt e il verificatore dei dati strutturati recuperano dal nostro server l'indirizzo che inserisci e ti mostrano cosa hanno trovato. Non conserviamo l'indirizzo, la pagina né il risultato. Ogni richiesta conta rispetto a un limite di frequenza a breve termine legato al tuo indirizzo IP, gestito dal rate limiter di Cloudflare e non dal nostro database, e ogni richiesta che recupera una pagina supera prima un controllo Turnstile. Il testo che incolli nel validatore di llms.txt viene controllato e scartato. Il generatore di llms.txt e il generatore di domande d'acquisto funzionano interamente nel tuo browser e non ci inviano nulla.

Cosa non raccogliamo

Nessun indirizzo IP in chiaro — solo la forma sottoposta a hash descritta sopra.
Nessuna password in forma leggibile — vedi sopra.
Nessuna chiave API da un controllo singolo. Se incolli la tua chiave per ChatGPT, Gemini, DeepSeek, Groq o Perplexity nel verificatore della home page, viene inviata con quel solo controllo, usata per porre le domande e scartata alla fine della richiesta. Non viene mai scritta nel nostro database e mai scritta in un log, a nessun livello, compresi i log degli errori. Questo non è cambiato. Le chiavi che salvi deliberatamente in Impostazioni sono un'altra cosa, facoltativa, descritta di seguito.

Provider con la tua chiave

Il controllo gratuito usa Claude con la nostra chiave Anthropic, ChatGPT tramite il nostro account OpenRouter e Gemini tramite il nostro account OpenRouter (o la nostra chiave Google quando OpenRouter non è disponibile). Puoi facoltativamente aggiungere la tua chiave API per un altro provider per confrontare le risposte. Quando lo fai:

La chiave viaggia con quel singolo controllo su HTTPS, viene usata come intestazione di autorizzazione per le richieste a quel provider e viene scartata. Non conserviamo nulla di essa — né la chiave, né un hash, né un'impronta.
Se spunti “Ricorda queste chiavi in questo browser”, le chiavi vengono salvate nel local storage del tuo browser sul tuo dispositivo così non devi incollarle ogni volta. È una comodità con un compromesso reale: qualsiasi cosa in esecuzione in quel browser può leggerle. La casella è disattivata di default e “Dimentica le chiavi salvate” le cancella.
Il tuo brand, la categoria e le domande generate vengono inviati ai provider che selezioni. Per un provider per cui hai fornito una chiave, quella richiesta è trattata secondo i suoi termini API e il tuo account con loro. Per Claude, ChatGPT e Gemini in un controllo gratuito, è trattata sotto i nostri account — vedi la nota su Google più sotto.

Le chiavi che salvi in Impostazioni

Se hai un account, puoi salvare la chiave API di un provider così non devi incollarla ogni volta. È facoltativo, non è richiesto per nulla e ogni esecuzione settimanale funziona senza. Ecco esattamente cosa succede a una chiave salvata:

Viene cifrata (AES-256-GCM) prima di essere scritta nel nostro database, con una chiave che non è conservata in quel database. Quindi una copia del database da sola non contiene chiavi utilizzabili.
Il limite di tutto questo, detto chiaramente: questo sito può decifrare ciò che conserva, perché deve farlo per usare la chiave. Quindi la cifratura ti protegge se il nostro database viene sottratto. Non ti protegge da noi, e non diremo il contrario. Se non è un compromesso che vuoi, non salvare una chiave — incollarla in un controllo singolo funziona comunque e non conserva nulla.
Conserviamo in chiaro gli ultimi quattro caratteri così la pagina può dirti quale chiave è salvata. Non mostriamo mai più la chiave e non la restituiamo mai da alcuna API.
Una chiave salvata è usata solo per due cose: un'esecuzione che avvii esplicitamente con le tue chiavi dalla pagina di una parola chiave e ogni esecuzione di una parola chiave che hai impostato su giornaliera. Entrambe spendono il tuo budget con quel provider. Un'esecuzione settimanale non la tocca mai — quella è sulla nostra chiave, come sempre — e non viene mai usata per il controllo di nessun altro.
OpenRouter. Se salvi una chiave OpenRouter ed elenchi dei modelli, un'esecuzione su uno di essi invia le tue domande a OpenRouter, che le passa all'azienda dietro il modello che hai scelto — OpenAI, xAI, Meta, Mistral e così via — sotto il tuo account OpenRouter e i suoi termini. L'elenco di modelli che salvi è conservato come testo semplice; è un elenco di nomi di modelli, non un segreto.
Rimuovere una chiave nella pagina Impostazioni elimina la riga conservata.

Dati utente Google

Collegare Google è facoltativo. Se lo fai, da Impostazioni, ecco esattamente cosa fa Mentioned con l'accesso che concedi.

A cosa accediamo. Due ambiti Google in sola lettura, richiesti insieme in un'unica schermata di consenso: https://www.googleapis.com/auth/analytics.readonly (Google Analytics 4) e https://www.googleapis.com/auth/webmasters.readonly (Google Search Console). Con essi leggiamo l'elenco delle proprietà GA4 e dei siti Search Console che il tuo account Google può vedere, così puoi sceglierne uno per tipo. Poi, per la proprietà e il sito che hai scelto, leggiamo gli ultimi 28 giorni di clic, impressioni, percentuale di clic, posizione media e query di ricerca principali di Search Console, e le sessioni e gli utenti di GA4, comprese le sessioni la cui fonte è un assistente AI come chatgpt.com o perplexity.ai. Non possiamo modificare nulla nel tuo account Google. Questi ambiti sono in sola lettura.
Come li usiamo. Solo per mostrarti quei dati, nella pagina Ricerca & traffico del tuo account, accanto alle cifre di visibilità AI che Mentioned già monitora per te. Vengono recuperati da Google ogni volta che apri quella pagina e non sono conservati nel nostro database. Per contrassegnare le query che menzionano il tuo brand, confrontiamo il testo della query con i nomi di brand che monitori. È una semplice corrispondenza di testo sul nostro server, non un modello AI.
Non condivisi, venduti o trasferiti. Non vendiamo i dati utente Google, non li condividiamo né trasferiamo a nessun altro e non li usiamo per pubblicità, retargeting o qualsiasi tipo di profilazione. Gli altri utenti di Mentioned, compresi i colleghi di un workspace condiviso, non possono vedere i tuoi dati Google.
Non inviati ai provider AI e non usati per addestrare modelli. I dati di Google Analytics e Search Console non vengono mai inviati ad Anthropic (Claude), Google Gemini o qualsiasi altro provider AI, mai inclusi in un prompt e mai usati per sviluppare, migliorare o addestrare alcun modello di AI o di machine learning, nostro o di altri.
Come sono protetti. Ciò che conserviamo è l'autorizzazione di accesso di lunga durata che Google emette (un refresh token), più l'ID della proprietà, il nome della proprietà e l'URL del sito che hai scelto. Il refresh token è cifrato con AES-256-GCM prima di essere scritto nel nostro database, con una chiave che non è conservata in quel database, e non viene mai mostrato a te né a nessun altro, mai restituito da alcuna API e mai scritto in un log. I limiti di quella cifratura sono gli stessi descritti per le chiavi API salvate qui sopra. Tutto il traffico verso Google e verso questo sito usa HTTPS.
Conservazione ed eliminazione. La connessione è conservata solo finché non la scolleghi. Scollega Google in Impostazioni revoca l'autorizzazione presso Google ed elimina la connessione conservata. Eliminare il tuo account fa lo stesso: revoca l'autorizzazione presso Google ed elimina la connessione conservata. Puoi anche rimuovere l'accesso di Mentioned in qualsiasi momento dal tuo account Google su https://myaccount.google.com/permissions. Dopo di che, il report smette di funzionare e ti chiede di ricollegare. Poiché i dati di analytics vengono recuperati in tempo reale e non conservati, non c'è altro da eliminare.

Uso limitato. L'uso e il trasferimento a qualsiasi altra app delle informazioni ricevute dalle API di Google da parte di Mentioned rispetteranno la Google API Services User Data Policy (https://developers.google.com/terms/api-services-user-data-policy), compresi i requisiti di Limited Use.

App collegate

Collegare Claude o un altro client MCP è facoltativo e solo tu puoi farlo. Un'app collegata può leggere i dati del tuo account: parole chiave monitorate, punteggi e andamenti, e le domande, i concorrenti, i modelli, le fonti e le risposte salvate che stanno dietro. Quando glielo chiedi, può anche rieseguire una parola chiave monitorata, il che spende un'esecuzione della tua quota giornaliera, o aggiungere una parola chiave da monitorare, entro i limiti del tuo piano. Non può leggere la tua password né le tue chiavi API salvate. Ciò che legge viene inviato a quell'app e al provider AI che c'è dietro, secondo il tuo accordo con loro, non il nostro. Puoi revocare un token o scollegare un'app in qualsiasi momento sotto Collega Claude in Impostazioni, e smette di funzionare subito.

Chi altro vede questi dati

Fare un controllo richiede di inviare il tuo brand, la categoria e le domande generate ad Anthropic (il produttore di Claude) e a Google (il produttore di Gemini) per ottenere le risposte dell'AI — è il cuore del prodotto. Le nostre richieste a Claude e Gemini possono passare da OpenRouter, che le inoltra ad Anthropic o Google e restituisce la risposta; il controllo gratuito interroga anche OpenAI (il produttore di ChatGPT), tramite OpenRouter allo stesso modo. Ciascuno tratta quella richiesta secondo i propri termini API. Il sito stesso funziona su Cloudflare (Workers, database D1 e Turnstile per la protezione dai bot), che tratta il traffico e conserva dati per nostro conto come nostro fornitore di infrastruttura. I messaggi del modulo di contatto e le email dell'account, come le reimpostazioni della password, sono consegnati da Resend, che li gestisce solo per inviarli.

Se sottoscrivi un piano a pagamento, Stripe elabora il pagamento. I dati della tua carta vanno direttamente a Stripe e non raggiungono mai i nostri server — conserviamo solo gli identificativi di cliente e abbonamento che Stripe ci restituisce, che è ciò che dice all'app quale piano hai. Non possiamo vedere il numero della tua carta e non addebitiamo mai un account gratuito.

Google è diverso dagli altri, e devi sapere come. La nostra chiave Gemini è sul piano gratuito di Google, e Google dichiara che i contenuti inviati su quel piano sono usati per migliorare i suoi prodotti. I termini API di Anthropic non lo fanno. Quindi un controllo gratuito invia il tuo brand e la categoria a due aziende con due patti diversi: Anthropic li tratta per rispondere e non oltre, mentre Google può anche imparare da essi. Se per te è importante, aggiungi la tua chiave API Gemini in Impostazioni — un controllo con la tua chiave viene eseguito sotto il tuo account e i tuoi termini con Google, non i nostri.

Non vendiamo dati e non li condividiamo con nessun altro per scopi pubblicitari o di marketing.

Perché conserviamo i risultati dei controlli

Conservare ogni controllo è ciò che fa funzionare i link "Copia il verdetto" / "Condividi su X" e la pagina dei risultati /r/<id> — se non conservassimo il record, un link condiviso non avrebbe nulla da caricare. Ci permette anche di far rispettare i limiti di uso corretto.

Per quanto tempo li conserviamo

I record dei controlli e gli IP sottoposti a hash sono conservati per far funzionare il prodotto (pagine dei risultati, limite di frequenza e prevenzione degli abusi). Se vuoi che un controllo o un'email conservata vengano rimossi, contattaci — vedi sotto.

Le tue scelte

Per fare un controllo serve un account gratuito, quindi conserviamo l'indirizzo email con cui ti registri e i modi in cui accedi: una password che conserviamo solo come hash argon2id (i vecchi hash PBKDF2 vengono sostituiti al tuo prossimo accesso), un collegamento al tuo account Google e le passkey che aggiungi. Puoi rimuovere una passkey dalla pagina Sicurezza in qualsiasi momento.

Puoi eliminare il tuo account da solo, da Impostazioni. Rimuove il tuo account, ogni query monitorata e il suo storico delle esecuzioni, ogni controllo che hai eseguito, qualsiasi chiave provider salvata, le tue connessioni Google e Bing, il collegamento di accesso con Google e le passkey, i tuoi token API e le app collegate. I link ai risultati condivisi smettono di funzionare, perché le risposte che stanno dietro fanno parte di ciò che viene eliminato. Se hai un piano a pagamento viene prima annullato con Stripe, e se l'annullamento fallisce non viene eliminato nulla — non ti lasceremo con un addebito per un account in cui non puoi più accedere. Conserviamo una cosa: un record del fatto che Stripe ci ha inviato un evento di fatturazione, con il tuo identificativo di account rimosso.

Se vuoi solo che un indirizzo email venga rimosso, o che un singolo risultato condiviso venga tolto senza eliminare l'account, inviaci un messaggio tramite il modulo di contatto e ce ne occuperemo.

Modifiche a questa informativa

Se ciò che conserviamo cambia, questa pagina verrà aggiornata per prima e la data di "ultimo aggiornamento" in alto lo rifletterà.

Fai un controllo gratuito