Informativa sulla Privacy
Questa informativa descrive come Exanova (Andrea Zurini, Titolare del trattamento) raccoglie e tratta i dati personali degli utenti di SINTESI, la piattaforma di AI-readiness assessment, Knowledge Builder e governance dell'adozione AI in azienda, raggiungibile su questo dominio (di seguito il "Servizio"), in conformità al Regolamento (UE) 2016/679 ("GDPR") e al D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018.
1. Titolare del trattamento
Titolare del trattamento è Andrea Zurini, titolare dell'attività Exanova (AI Operating Layer). Per qualsiasi richiesta relativa al trattamento dei dati personali, l'utente può contattare il Titolare all'indirizzo info@andreazurini.it. Non è nominato un Responsabile della Protezione dei Dati (DPO) in quanto non ricorrono i presupposti di nomina obbligatoria di cui all'art. 37 GDPR (il Titolare non effettua trattamenti su larga scala di categorie particolari di dati né monitoraggio sistematico su larga scala).
2. Quali dati raccogliamo
Nell'uso del Servizio trattiamo le seguenti categorie di dati:
- Dati account:indirizzo email, nome e cognome (display name), ruolo aziendale (responsabile/consulente/dipendente), azienda di appartenenza (tenant), lingua e preferenze d'interfaccia (tema chiaro/scuro).
- Dati di accesso e sicurezza: identificativo del servizio di autenticazione e della persona, email verificata, parametri temporanei del flusso di accesso, identificativo di sessione, indirizzo IP e user-agent al momento del login (per rate-limiting anti-abuso e prevenzione frodi), log di audit delle azioni compiute in piattaforma (chi ha fatto cosa e quando).
- Contenuti aziendali caricati dall'utente:risposte all'assessment di maturità AI (70 indicatori su 7 dimensioni), documenti e materiali caricati nel Knowledge Builder (policy, procedure, casi d'uso), contenuti generati con assistenza AI (bozze di documenti, policy, materiali formativi) e relativo stato di revisione umana (draft/approvato).
- Dati di utilizzo:metriche di interazione con il Servizio (assessment completati, moduli formativi seguiti, attività del team), necessarie per calcolare l'indice di maturità AI ("SINTESI Index™") e generare la roadmap di adozione.
- Dati di fatturazione:se il piano dell'azienda prevede un abbonamento a pagamento, i dati di pagamento sono trattati direttamente dal fornitore del servizio di pagamento (Stripe); Exanova non memorizza numeri di carta di credito.
Non raccogliamo consapevolmente dati appartenenti a categorie particolari (art. 9 GDPR: dati sanitari, religiosi, di orientamento sessuale, ecc.). Se l'utente inserisce volontariamente tali dati nei contenuti caricati (es. in un documento aziendale), resta sua responsabilità la base giuridica di quel trattamento specifico; Exanova tratta tali contenuti come dati aziendali generici, senza estrarne o profilarne categorie particolari.
3. Finalità e base giuridica del trattamento
| Finalità | Base giuridica |
|---|---|
| Erogazione del Servizio: autenticazione, assessment, Knowledge Builder, governance, reportistica | Esecuzione del contratto (art. 6.1.b GDPR) tra Exanova e l'azienda cliente |
| Sicurezza informatica: rate-limiting, prevenzione abusi, audit log | Legittimo interesse del Titolare (art. 6.1.f GDPR) alla sicurezza dei sistemi |
| Invio di comunicazioni transazionali (magic link, inviti, notifiche di approvazione, solleciti) | Esecuzione del contratto (art. 6.1.b GDPR) |
| Generazione assistita da intelligenza artificiale di documenti e contenuti (report, policy, pillole formative) | Esecuzione del contratto, su richiesta esplicita dell'utente che avvia la generazione |
| Cookie funzionali non essenziali (persistenza tema, consenso) | Consenso dell'utente (art. 6.1.a GDPR), revocabile in ogni momento |
| Comunicazioni commerciali/marketing (se attivate in futuro) | Consenso specifico, richiesto separatamente e mai preselezionato |
| Adempimenti fiscali e contabili (fatturazione) | Obbligo legale (art. 6.1.c GDPR) |
4. Uso dell'intelligenza artificiale
SINTESI utilizza modelli di intelligenza artificiale generativa (Anthropic Claude) per assistere nella generazione di documenti, report e contenuti formativi a partire dai dati aziendali caricati dall'utente. Questo trattamento è governato da un principio "human-in-the-loop": ogni output generato dall'AI nasce con stato "bozza" e non ha effetto operativo finché una persona autorizzata non lo rivede e approva esplicitamente, azione che viene registrata nel log di audit. I contenuti inviati al fornitore del modello AI sono trattati come dati, non come istruzioni di sistema, e non vengono utilizzati da Exanova per addestrare modelli propri. Per l'uso che Anthropic fa dei dati elaborati tramite la propria API, si rimanda all'informativa privacy del fornitore (si veda il paragrafo "Trasferimento dei dati extra-UE").
5. Con chi condividiamo i dati (sub-responsabili del trattamento)
Per erogare il Servizio ci avvaliamo di fornitori terzi che agiscono come Responsabili del trattamento ai sensi dell'art. 28 GDPR, vincolati da accordi contrattuali (Data Processing Agreement) che impongono obblighi di riservatezza e sicurezza equivalenti a quelli di Exanova:
| Fornitore | Ruolo | Dati trattati | Localizzazione |
|---|---|---|---|
| Vercel Inc. | Hosting dell'applicazione web ed esecuzione delle funzioni serverless | Tutti i dati transitano attraverso l'infrastruttura di hosting | Stati Uniti (infrastruttura globale con edge network) |
| Railway Corp. | Hosting del database applicativo (PostgreSQL) | Tutti i dati persistiti dal Servizio (account, assessment, contenuti aziendali) | Regione selezionabile in fase di provisioning; verificare la regione attiva nel pannello Railway del progetto |
| Anthropic PBC | Fornitore del modello di intelligenza artificiale (API Claude) per la generazione assistita di contenuti | Testo dei prompt e dei documenti sottoposti a generazione AI (non l'intero database) | Stati Uniti |
| Resend Inc. | Invio delle email transazionali (magic link, inviti, notifiche) | Indirizzo email, nome del destinatario, contenuto dell'email inviata | Stati Uniti |
| Stripe Inc. (se il piano prevede fatturazione) | Elaborazione dei pagamenti dell'abbonamento | Dati di fatturazione e pagamento (non transitano né sono conservati sui server di Exanova) | Stati Uniti / Unione Europea (infrastruttura Stripe distribuita) |
L'elenco aggiornato dei sub-responsabili può essere richiesto in ogni momento scrivendo a info@andreazurini.it. Non vendiamo né cediamo dati personali a terzi per finalità di marketing di terze parti.
6. Trasferimento dei dati extra-UE
Alcuni dei fornitori indicati (Vercel, Anthropic, Resend, Stripe) sono società con sede negli Stati Uniti e possono trattare i dati anche al di fuori dello Spazio Economico Europeo. Tali trasferimenti sono effettuati sulla base delle Clausole Contrattuali Standard(Standard Contractual Clauses, SCC) approvate dalla Commissione Europea con decisione di esecuzione (UE) 2021/914, integrate — ove applicabile — dalle misure supplementari previste dalle raccomandazioni EDPB 01/2020, e/o sull'adesione del fornitore al Data Privacy Framework UE-USA, ove certificata. L'utente può richiedere copia delle garanzie contrattuali applicate scrivendo a info@andreazurini.it.
7. Periodo di conservazione
- Dati account e contenuti aziendali:per tutta la durata del rapporto contrattuale con l'azienda cliente (tenant), più il periodo necessario alla gestione di eventuali contestazioni (fino a 10 anni per obblighi civilistici/fiscali sui documenti rilevanti).
- Log di audit e di sicurezza: 12 mesi, salvo necessità di conservazione più lunga per indagini di sicurezza in corso.
- Flussi di accesso: validi dieci minuti e consumati una sola volta; sessione SINTESI valida otto ore. I token monouso del percorso legacy, quando abilitato, sono validi 30 minuti, poi eliminati o resi inutilizzabili automaticamente.
- Dati di un tenant cancellato:rimossi entro 30 giorni dalla richiesta di cancellazione dell'account amministratore, salvo obblighi legali di conservazione più estesi (es. documenti fiscali).
8. Diritti dell'interessato
In qualità di interessato, hai diritto di richiedere in ogni momento, scrivendo a info@andreazurini.it:
- Accesso ai tuoi dati personali (art. 15 GDPR);
- Rettifica di dati inesatti o incompleti (art. 16 GDPR);
- Cancellazione ("diritto all'oblio", art. 17 GDPR), salvo obblighi legali di conservazione;
- Limitazione del trattamento in specifici casi previsti dalla legge (art. 18 GDPR);
- Portabilità dei dati forniti, in formato strutturato e leggibile da dispositivo automatico (art. 20 GDPR) — il Servizio offre già una funzione di esportazione dati del tenant;
- Opposizione al trattamento basato su legittimo interesse (art. 21 GDPR);
- Revoca del consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente alla revoca (art. 7.3 GDPR);
- Reclamo al Garante per la protezione dei dati personali (www.garanteprivacy.it), qualora si ritenga che il trattamento violi la normativa applicabile.
Rispondiamo alle richieste entro 30 giorni dalla ricezione, come previsto dall'art. 12 GDPR.
9. Sicurezza dei dati
Adottiamo misure tecniche e organizzative adeguate al rischio, tra cui: isolamento dei dati tra aziende clienti a livello di database (Row-Level Security, ogni tenant vede esclusivamente i propri dati), cifratura delle connessioni in transito (HTTPS/TLS), cookie di sessione HttpOnly non accessibili da script client-side, autenticazione centralizzata e verifica crittografica dell’identità, rate-limiting sulle rotte di autenticazione e sulle chiamate AI per prevenire abusi, log di audit delle azioni sensibili (approvazioni, modifiche a policy, gestione utenti).
10. Minori
Il Servizio è rivolto a un pubblico business (B2B) e non è destinato a persone di età inferiore ai 18 anni. Non raccogliamo consapevolmente dati di minori.
11. Modifiche a questa informativa
Questa informativa può essere aggiornata per riflettere cambiamenti normativi o del Servizio. In caso di modifiche sostanziali, ne daremo comunicazione agli utenti registrati tramite email o avviso in piattaforma prima dell'entrata in vigore. La data di "ultimo aggiornamento" in cima a questa pagina indica la versione corrente.
12. Contatti
Per qualsiasi domanda su questa informativa o sul trattamento dei tuoi dati personali, scrivi a info@andreazurini.it. Vedi anche i Termini di Servizio, la Cookie Policy e il Data Processing Agreement.