Privacy Policy

01 Titolare del trattamento

Il Titolare del trattamento dei dati personali raccolti tramite Nardy AI (i siti nardy.it, app.nardy.it e relativi sottodomini, di seguito "il Servizio") è:

Nardy AI è un progetto in fase pre-incorporazione. Entro i prossimi sei mesi è prevista la costituzione di una società a responsabilità limitata (S.r.l.) di diritto italiano: qualunque trasferimento di titolarità sarà comunicato tempestivamente agli utenti con almeno 15 giorni di preavviso, conformemente all'art. 26 GDPR.

Responsabile della Protezione dei Dati (DPO)

Non è stato designato un Responsabile della Protezione dei Dati. Nardy AI, in qualità di micro-impresa con attività che non ricade nei casi di nomina obbligatoria previsti dall'art. 37 GDPR (autorità pubblica, monitoraggio sistematico su larga scala, dati sensibili su larga scala), non è tenuta alla nomina. Per qualsiasi questione relativa alla protezione dei dati, puoi contattare direttamente il Titolare all'indirizzo [email protected].

02 Dati raccolti

Raccogliamo le seguenti categorie di dati personali:

2.1 Dati forniti direttamente dall'utente

• Dati account: indirizzo email, nome (se fornito), password (memorizzata in forma criptata tramite Firebase Authentication)
• Dati di pagamento: i pagamenti sono gestiti da Stripe; Nardy non memorizza dati di carte di credito — riceviamo solo l'ID transazione e lo stato del pagamento
• Contenuti generati: i prompt in linguaggio naturale che invii all'AI per generare i tuoi siti, e il codice HTML/CSS/JavaScript risultante
• Comunicazioni: messaggi inviati al supporto via email ([email protected])

2.2 Dati raccolti automaticamente

• Dati tecnici: indirizzo IP, tipo di browser, sistema operativo, lingua, fuso orario, risoluzione schermo
• Dati di utilizzo: pagine visitate, azioni effettuate (generazioni, modifiche, pubblicazioni), timestamp delle operazioni, crediti consumati
• Log di sistema: richieste HTTP, errori, performance del servizio (anonimizzati dopo 30 giorni)
• Cookie tecnici: session ID, preferenze lingua, stato autenticazione (vedi sezione 7)

2.3 Dati che NON raccogliamo

• Dati sensibili (orientamento sessuale, religione, opinioni politiche, dati sanitari, biometrici)
• Dati di geolocalizzazione precisa (solo paese inferito da IP)
• Dati di carte di credito o coordinate bancarie (gestiti esclusivamente da Stripe)
• Contenuti dei form pubblicati sui siti creati dagli utenti (sono accessibili solo all'utente proprietario del progetto)

03 Finalità e basi giuridiche

Trattiamo i tuoi dati personali per le seguenti finalità, ciascuna con la rispettiva base giuridica ai sensi dell'art. 6 GDPR:

04 Periodo di conservazione

Conserviamo i tuoi dati personali solo per il tempo necessario alle finalità per cui sono stati raccolti, secondo i seguenti termini:

05 Destinatari e sub-processor

I tuoi dati sono trattati esclusivamente dal Titolare e dai seguenti soggetti, debitamente nominati Responsabili del trattamento ex art. 28 GDPR (data processor) o ricevuti da loro come Titolari autonomi:

Possiamo inoltre condividere i tuoi dati con autorità competenti quando richiesto da legge o per la tutela dei nostri diritti legali (es. ordini giudiziari, indagini penali).

Non condividiamo, vendiamo o cediamo i tuoi dati personali a terze parti per finalità di marketing diverse dalle nostre.

06 Trasferimento dati extra-UE

Alcuni dei nostri sub-processor (Anthropic, Stripe, Resend, Vercel, Cloudflare, Netlify, Better Stack, Google) hanno sede legale negli Stati Uniti d'America. Il trasferimento dei tuoi dati personali verso paesi extra-UE avviene esclusivamente sulla base di:

• Clausole Contrattuali Standard (Standard Contractual Clauses) approvate dalla Commissione Europea con Decisione 2021/914 del 4 giugno 2021
• EU-U.S. Data Privacy Framework (per i fornitori certificati), in vigore dal 10 luglio 2023
• Adeguate garanzie supplementari a seguito della sentenza Schrems II (CGUE C-311/18), quali crittografia end-to-end, pseudonimizzazione e contratti di Data Processing Addendum

Per le copie delle Clausole Contrattuali Standard applicabili, puoi farne richiesta scritta a [email protected].

07 Cookie e tecnologie di tracciamento

Nardy utilizza un numero limitato di cookie e tecnologie simili, divisi nelle seguenti categorie:

7.1 Cookie tecnici essenziali (no consenso richiesto)

7.2 Cookie analitici (Google Analytics — anonimizzato)

Utilizziamo Google Analytics 4 in modalità privacy-friendly:

• IP anonimizzato (ultimo ottetto rimosso)
• Cookie domain limitato
• Non viene utilizzato Google Signals
• Non profiliamo gli utenti tramite advertising ID
• Conservazione dati: 14 mesi

I cookie analitici sono considerati strettamente necessari per le statistiche aggregate in conformità con le linee guida del Garante Privacy del 10 giugno 2021. Puoi comunque disabilitarli tramite il banner cookie o installando l'opt-out di Google Analytics.

7.3 Cookie di terze parti su siti pubblicati

I siti creati dagli utenti e pubblicati su *.nardy.it possono includere cookie di terze parti (es. se l'utente integra Google Maps, YouTube embed, ecc.). La responsabilità di tali cookie è dell'utente proprietario del sito, che dovrà rispettare i propri obblighi GDPR.

7.4 Come gestire i cookie

Puoi modificare le tue preferenze cookie in qualsiasi momento:

• Tramite il banner cookie visibile alla prima visita
• Dalle impostazioni del tuo browser (eliminazione/blocco)
• Tramite l'apposito link "Gestisci preferenze cookie" in fondo a ogni pagina

08 Diritti dell'interessato

Ai sensi degli articoli 15-22 del GDPR, hai diritto di:

• Accesso (art. 15): ottenere conferma che i tuoi dati siano trattati e ricevere una copia degli stessi
• Rettifica (art. 16): correggere dati inesatti o incompleti
• Cancellazione / oblio (art. 17): ottenere la cancellazione dei tuoi dati nei casi previsti
• Limitazione del trattamento (art. 18): richiedere la sospensione temporanea del trattamento
• Portabilità dei dati (art. 20): ricevere i tuoi dati in formato strutturato (JSON) e trasmetterli a un altro titolare
• Opposizione (art. 21): opporti al trattamento basato sul legittimo interesse o per marketing diretto
• Non essere sottoposto a decisioni automatizzate (art. 22): chiedere intervento umano su decisioni che ti riguardano
• Revoca del consenso (art. 7.3): revocare in qualsiasi momento il consenso prestato (per finalità che lo richiedono)

09 Cancellazione account e diritto all'oblio

Puoi cancellare il tuo account in qualsiasi momento dalla dashboard utente (sezione "Impostazioni → Cancella account") oppure inviando richiesta a [email protected].

9.1 Cosa succede alla cancellazione

• I tuoi dati personali (email, nome, password hash, preferenze) vengono eliminati entro 30 giorni dalla richiesta
• I tuoi progetti (bozze + pubblicati) vengono eliminati dai nostri server
• I tuoi siti pubblicati su *.nardy.it vengono messi offline immediatamente e cancellati dopo 30 giorni
• I crediti non utilizzati non sono rimborsabili (vedi Termini di Servizio)
• L'abbonamento attivo viene interrotto a fine del periodo già pagato

9.2 Dati che potrebbero essere conservati

Alcuni dati possono essere conservati anche dopo la cancellazione, esclusivamente per motivi previsti dalla legge:

• Dati di fatturazione: 10 anni (obbligo fiscale art. 2220 c.c.)
• Log di sicurezza pseudonimizzati: 6 mesi (legittimo interesse antifrode)
• Backup automatici: rotazione 30 giorni dopo cancellazione

10 Sicurezza dei dati

Adottiamo misure tecniche e organizzative adeguate per proteggere i tuoi dati da accessi non autorizzati, perdita, distruzione o divulgazione:

• Crittografia in transito: tutte le comunicazioni via HTTPS/TLS 1.3
• Crittografia at-rest: database Supabase e Hetzner crittografati a riposo
• Password hashing: Firebase Authentication utilizza scrypt + salt
• Row Level Security (RLS): isolamento dati a livello database per multi-tenancy
• Rate limiting: protezione anti-abuso su tutti gli endpoint API (Redis-based)
• DDoS protection: Cloudflare in modalità proxy
• Backup automatici: giornalieri, conservati 30 giorni
• Accesso limitato: solo il Titolare ha accesso ai dati di produzione
• Monitoring 24/7: alert automatici via Telegram in caso di anomalie
• Aggiornamenti di sicurezza: patch dipendenze applicate tempestivamente

11 Notifica violazioni dati (data breach)

In caso di violazione dei dati personali che presenti un rischio per i tuoi diritti e libertà, ti informeremo entro 72 ore dalla scoperta della violazione, conformemente agli articoli 33 e 34 GDPR, fornendoti:

• Descrizione della natura della violazione
• Categorie e numero approssimativo di interessati coinvolti
• Probabili conseguenze della violazione
• Misure adottate o proposte per attenuare i possibili effetti negativi
• Contatti per ulteriori informazioni

Notificheremo inoltre la violazione al Garante per la Protezione dei Dati Personali italiano entro lo stesso termine.

12 Età minima

Il Servizio è destinato a utenti che abbiano compiuto 16 anni, età del consenso digitale prevista in Italia dall'art. 2-quinquies del Codice Privacy (D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018).

Non raccogliamo intenzionalmente dati personali da minori di 16 anni. Se sei un genitore o tutore e ritieni che tuo figlio abbia fornito dati personali a Nardy, contattaci a [email protected] per richiederne la cancellazione immediata.

13 Modifiche alla Privacy Policy

Possiamo aggiornare questa Privacy Policy per riflettere modifiche normative, nuove funzionalità del servizio o miglioramenti delle nostre pratiche di privacy.

• In caso di modifiche sostanziali (es. nuove finalità di trattamento, nuovi sub-processor critici), ti informeremo via email con almeno 15 giorni di preavviso
• Modifiche minori (correzioni redazionali, chiarimenti) saranno pubblicate qui senza notifica specifica
• La data "Ultimo aggiornamento" in cima a questa pagina indica quando la policy è stata modificata l'ultima volta

L'uso continuato del Servizio dopo la pubblicazione delle modifiche costituisce accettazione delle stesse. Se non accetti le modifiche, puoi cancellare il tuo account come descritto nella sezione 9.

14 Reclami al Garante

Se ritieni che il trattamento dei tuoi dati personali violi il GDPR o il Codice Privacy italiano, hai diritto di proporre reclamo all'Autorità di Controllo competente:

Ti incoraggiamo comunque a contattarci prima a [email protected]: cercheremo di risolvere qualsiasi preoccupazione in modo rapido e trasparente.

15 Contatti