NOVAInformativa sulla privacy
Versione del 26 ottobre 2026.
Questa informativa, resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR) e del d.lgs. 196/2003 (Codice in materia di protezione dei dati personali), spiega come Navigo Srl tratta i dati personali di chi usa NOVA: chi crea un account e chi fa parte del suo team, chi visita le pagine pubbliche di NOVA o chiede un invito, chi gestisce il sito di un cliente e riceve da NOVA un link o un’email, chi viene invitato in un team e chi ci scrive.
Le conversazioni tra l’assistente e i visitatori del sito di un cliente sono un’altra cosa: per quei dati il titolare del trattamento è il cliente, e NOVA li tratta per suo conto come responsabile, secondo l’accordo sul trattamento dei dati. Se hai scritto all’assistente sul sito di un’attività, l’informativa che ti riguarda è quella dell’attività; puoi comunque scriverci e ti indirizziamo a chi può risponderti.
1. Titolare del trattamento
Il titolare è Navigo Srl, con sede in Via Brecce Bianche, 60131 Ancona (AN), Italia, partita IVA IT03015160421. Per qualsiasi domanda o richiesta sulla privacy scrivi a info@navigoai.it indicando «Privacy» nell’oggetto. Non abbiamo nominato un responsabile della protezione dei dati (DPO), perché non ricorrono i presupposti dell’art. 37 del GDPR.
2. Quali dati trattiamo
Se hai un account o fai parte di un team
- Dati dell’account: nome e cognome, email, ruolo nel team (titolare, amministratore, operatore), lingua scelta, data di creazione, data e ora degli accessi. La password è conservata solo come hash, non in chiaro.
- Dati dell’attività: nome e sito dell’attività, i contenuti che dai all’assistente (pagine del sito, documenti, risposte che scrivi), le sue impostazioni e le versioni pubblicate, le caselle email che colleghi (le credenziali sono cifrate), le chiavi API che crei.
- Fatturazione: piano scelto, ragione sociale, indirizzo, partita IVA o codice fiscale, fatture e stato dei pagamenti. I dati della carta li raccoglie Stripe nella sua pagina di pagamento: NOVA non li vede e non li conserva.
- Uso del servizio: il registro delle attività dell’account (chi ha pubblicato, invitato, cancellato, creato una chiave, chiuso l’account e quando), i passi completati nella configurazione guidata e nell’installazione, le notifiche e le preferenze, le accettazioni dei termini e dell’accordo sul trattamento dei dati.
- Dati tecnici: indirizzo IP, browser e sistema operativo, pagine e richieste al server, con data e ora, nei log che servono a far funzionare il servizio, a difenderlo dagli abusi e a trovare gli errori; le segnalazioni di errore contengono solo identificativi interni (dell’account e dell’utente), mai i contenuti.
- Segnalazioni: quello che scrivi con «Segnala un problema», insieme alla pagina in cui eri e al browser.
- Beta: il codice invito con cui hai creato l’account.
Se visiti le pagine pubbliche o chiedi un invito
- Sulle pagine pubbliche contiamo solo quante volte vengono aperte, per giorno, senza cookie e senza identificare nessuno; i log tecnici del server registrano l’indirizzo IP delle richieste come per ogni sito.
- Se chiedi un invito alla beta: l’email, il sito della tua attività se lo scrivi, la lingua della pagina.
Se gestisci il sito di un cliente di NOVA (dati che non riceviamo da te)
Ai sensi dell’art. 14 del GDPR: un cliente può mandarti il link con le istruzioni per installare l’assistente, o chiederci di contattarti per farlo al suo posto. In questi casi i tuoi dati ci arrivano dal cliente, che ha confermato di poterceli dare, oppure dalle pagine pubbliche del suo sito (per esempio i crediti «sito realizzato da»):
- Link per chi gestisce il sito: il cliente lo manda dal suo telefono o dalla sua email; NOVA non riceve il tuo indirizzo. Quando apri il link contiamo che è stato aperto e, se scarichi un pacchetto, l’identificativo della richiesta, senza il tuo indirizzo IP né il browser.
- «Lo mettiamo noi»: nome, email o telefono e, se il cliente li ha indicati, il nome della tua agenzia e il suo sito, insieme a chi ci ha autorizzato a contattarti. Li usiamo solo per scriverti dell’installazione; non ti chiederemo mai password.
Se vieni invitato in un team
La tua email ce la dà chi ti invita; la usiamo per mandarti l’invito (valido 7 giorni) e, se lo accetti, diventa l’email del tuo account.
Se ci scrivi
Il tuo indirizzo e quello che ci scrivi, per risponderti.
3. Perché trattiamo i dati e su quale base
| Finalità | Base giuridica (art. 6 GDPR) |
|---|---|
| Creare e gestire l’account, fornire il servizio (l’assistente, la dashboard, le app, l’API, le email di servizio come «un cliente aspetta una persona» o «l’assistente è sul sito»), rispondere alle richieste di assistenza. | Esecuzione del contratto, par. 1, lett. b). |
| Rispondere a chi chiede un invito alla beta e, se c’è posto, mandare il codice. | Misure precontrattuali adottate su tua richiesta, par. 1, lett. b). |
| Fatture, contabilità e adempimenti fiscali. | Obbligo di legge, par. 1, lett. c). |
| Sicurezza del servizio: log tecnici, limiti alle richieste, blocco degli abusi, segnalazione degli errori, copie di sicurezza, registro delle attività. | Legittimo interesse, par. 1, lett. f), a proteggere il servizio e i dati dei clienti (considerando 49 del GDPR). |
| Capire come viene usata la configurazione guidata (quanti arrivano a pubblicare, a mettere l’assistente sul sito), per migliorarla: numeri per passo, senza profilare nessuno. | Legittimo interesse, par. 1, lett. f), a migliorare il servizio. |
| Contattare chi gestisce il sito di un cliente, su richiesta e con l’autorizzazione del cliente, solo per l’installazione. | Legittimo interesse di NOVA e del cliente, par. 1, lett. f), a completare l’installazione che il cliente ha chiesto. |
| Avvisarti delle modifiche ai termini, all’informativa e all’accordo sul trattamento dei dati, e dei promemoria mentre l’assistente non è ancora sul sito (i promemoria si disattivano in Account → Notifiche). | Esecuzione del contratto e legittimo interesse, par. 1, lett. b) e f). |
| Far valere o difendere un diritto, rispondere a un’autorità. | Legittimo interesse, par. 1, lett. f), o obbligo di legge, lett. c). |
Non vendiamo i tuoi dati, non li usiamo per pubblicità e non ti mandiamo email promozionali. Non usiamo i tuoi contenuti né le conversazioni per addestrare modelli di intelligenza artificiale, e i fornitori dei modelli non lo fanno per i nostri contratti. Dove la base è il legittimo interesse hai il diritto di opporti (sezione 7).
4. A chi affidiamo i dati
I dati sono trattati dalle persone autorizzate di Navigo Srl, vincolate alla riservatezza, e dai fornitori che seguono, nominati responsabili del trattamento ai sensi dell’art. 28 del GDPR, ciascuno per il suo compito:
| Fornitore | Cosa fa | Dove |
|---|---|---|
| Supabase, Inc. | Database, accesso con email e password, archiviazione dei file. | Server nell’Unione europea (Irlanda); società statunitense. |
| Aruba S.p.A. | I server che eseguono NOVA (dashboard, assistente, invio delle email). | Italia. |
| Anthropic, PBC | Il modello di intelligenza artificiale che genera le risposte e legge il tuo sito per preparare l’assistente. | Stati Uniti. |
| OpenAI OpCo, LLC | Il modello di riserva quando il primo non risponde, i suggerimenti di risposta per il team, la preparazione dei contenuti per la ricerca. | Stati Uniti. |
| Resend, Inc. | Invio delle email (conferme, avvisi, inviti, promemoria). | Stati Uniti. |
| Functional Software, Inc. (Sentry) | Segnalazione degli errori tecnici, con gli identificativi interni dell’account e dell’utente, senza contenuti. | Server nell’Unione europea (Germania); società statunitense. |
| Cloudflare, Inc. | La copia di sicurezza notturna del database, cifrata prima dell’invio con una chiave che solo NOVA possiede. | Archiviazione limitata all’Unione europea; società statunitense. |
Trattano i dati come titolari autonomi, secondo le loro informative: Stripe (Stripe Payments Europe, Ltd., Irlanda, e Stripe, Inc., Stati Uniti) per i pagamenti, le fatture e la prevenzione delle frodi; la banca e il commercialista di Navigo Srl per la contabilità; le autorità pubbliche quando la legge lo richiede. Se chiedi «Lo mettiamo noi», il tuo nome e il tuo sito arrivano a chi gestisce il tuo sito, che tratta i dati per conto suo.
L’elenco aggiornato dei fornitori che trattano i dati dei tuoi clienti è nell’allegato 3 dell’accordo sul trattamento dei dati; ti avvisiamo con 30 giorni di anticipo prima di aggiungerne o sostituirne uno.
5. Trasferimenti fuori dall’Unione europea
Anthropic, OpenAI e Resend trattano i dati negli Stati Uniti; Supabase, Sentry e Cloudflare tengono i dati nell’Unione europea ma sono società statunitensi, che possono accedervi per assistenza. Per questi trasferimenti applichiamo le clausole contrattuali standard approvate dalla Commissione europea (decisione (UE) 2021/914), con le misure supplementari del caso (cifratura in transito e a riposo, cifratura delle copie di sicurezza con una chiave che il fornitore non ha, accesso limitato) e, per i fornitori che vi aderiscono, la decisione di adeguatezza sull’EU-U.S. Data Privacy Framework. Puoi chiederci una copia delle garanzie scrivendo all’indirizzo della sezione 1.
6. Per quanto tempo conserviamo i dati
| Dati | Durata |
|---|---|
| Account, team, dati e contenuti dell’attività, impostazioni, chiavi API | Finché l’account è attivo. Quando lo chiudi (Account → Privacy e dati), si cancellano subito e in ogni caso entro 30 giorni, compresi gli utenti del team; chi viene rimosso dal team è cancellato entro 30 giorni. |
| Conversazioni dei clienti con l’assistente, richieste e schede dei clienti | Per il tempo che scegli in Account → Privacy e dati, da 3 a 24 mesi dall’ultimo messaggio; poi perdono messaggi, allegati e recapiti. Puoi cancellare prima una singola chat o un singolo cliente dalla dashboard. |
| Fatture e dati contabili | 10 anni dalla chiusura dell’esercizio (art. 2220 del codice civile). |
| Registro delle attività dell’account | Finché l’account è attivo. Dopo la chiusura resta solo la voce che la registra (chi l’ha chiuso e quando), per 10 anni, il termine di prescrizione ordinaria, a prova della cancellazione. |
| Accettazioni dei termini e dell’accordo sul trattamento dei dati | Finché l’account è attivo, poi con il registro delle attività. |
| Log tecnici del server (indirizzi IP, richieste) | 30 giorni. |
| Segnalazioni di errori tecnici (Sentry) | Fino a 90 giorni. |
| Avvisi di abuso (indirizzi che martellano il servizio) nella casella del team | 12 mesi. |
| Copie di sicurezza del database | 30 giorni, cifrate; poi si cancellano da sole. Quello che cancelli sparisce anche dalle copie entro 30 giorni. |
| Richieste di invito alla beta | Finché mandiamo l’invito e comunque fino alla fine della beta, al massimo 12 mesi. |
| Segnalazioni con «Segnala un problema», passi della configurazione guidata | Finché l’account è attivo. |
| Recapiti di chi gestisce il sito (richieste «Lo mettiamo noi») | Finché l’account del cliente è attivo; si cancellano con l’account. |
| Inviti al team non accettati | Scadono dopo 7 giorni; l’email resta finché l’account che ha invitato è attivo. |
| Email che ci scrivi | Per il tempo necessario a risponderti e, se riguarda un contratto, 10 anni. |
7. I tuoi diritti
Ai sensi degli articoli da 15 a 22 del GDPR puoi chiederci in ogni momento di accedere ai tuoi dati, correggerli, cancellarli, limitarne il trattamento, riceverli in un formato strutturato e leggibile da una macchina (portabilità) e opporti ai trattamenti fondati sul legittimo interesse. Scrivi a info@navigoai.it con «Privacy» nell’oggetto: rispondiamo entro un mese, prorogabile di due mesi nei casi complessi, dopo aver verificato che la richiesta venga da te. Molte cose le fai da solo in Account → Privacy e dati: esportare tutti i dati dell’account in JSON, leggere il registro delle attività, scegliere quanto tenere le chat, cancellare una chat o un cliente, chiudere l’account; se fai parte di un team, chiedi al titolare dell’account di rimuoverti.
Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it) o all’autorità dello Stato dell’Unione europea in cui vivi o lavori.
8. Se non vuoi darci i dati
I dati dell’account e della fatturazione servono per il contratto: senza, non possiamo creare l’account o fatturare. Il sito della tua attività nella richiesta di invito, il nome di chi gestisce il tuo sito e le segnalazioni sono facoltativi.
9. Decisioni automatizzate
Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o incidano in modo significativo su di te (art. 22 del GDPR). L’assistente risponde ai visitatori del sito dei clienti; le risposte non sono decisioni su chi usa la dashboard.
10. Sicurezza
I dati viaggiano cifrati (TLS) e sono cifrati a riposo nel database, nei file e nelle copie di sicurezza. I dati di ogni cliente sono separati nel database da regole che il database stesso applica (row-level security), gli accessi sono limitati a chi ne ha bisogno, le credenziali delle caselle email sono cifrate con una chiave separata, le azioni rilevanti restano nel registro delle attività. Le misure sono descritte nell’allegato 2 dell’accordo sul trattamento dei dati. In caso di violazione dei dati che comporti un rischio elevato per i tuoi diritti te lo comunichiamo senza ingiustificato ritardo (art. 34 del GDPR).
11. Cookie
Usiamo solo cookie e memorie tecniche, senza consenso: l’elenco è nell’informativa sui cookie.
12. Minori
NOVA è un servizio per attività professionali: non è rivolto a minori di 18 anni e non raccogliamo consapevolmente i loro dati.
13. Modifiche
Se cambiamo questa informativa pubblichiamo la nuova versione qui, con la data; se le modifiche riguardano le finalità, i fornitori o le durate te le comunichiamo per email con almeno 30 giorni di anticipo. Le versioni precedenti si possono chiedere scrivendoci.