Privacy Policy

Ultimo aggiornamento: 2026-08-27 — versione 2.0

1. Titolare del trattamento

Il titolare del trattamento dei dati personali è Normo S.r.l., Viale Liguria 51, 20143 Milano (MI), Italia, P.IVA / C.F. 13603090963. Email di contatto: [email protected] · PEC: [email protected].

Non è stato nominato un Data Protection Officer (DPO) in quanto non ricorrono gli obblighi di cui all'art. 37 GDPR. Per ogni richiesta in materia di protezione dei dati personali è possibile scrivere a [email protected].

2. Dati raccolti

• Dati di registrazione: nome, email, password (memorizzata in forma hashata), preferenze professionali.
• Dati di consenso: timestamp del consenso alla privacy policy, indirizzo IP e user-agent al momento del consenso, versione della privacy accettata (onere della prova ex art. 7 GDPR).
• Dati di utilizzo: domande poste all'AI, documenti caricati, progetti creati, messaggi di chat.
• Dati tecnici: indirizzo IP, tipo di browser, sistema operativo, eventi di prodotto.
• Dati di pagamento e fatturazione: ragione sociale/nome, indirizzo, P.IVA o codice fiscale (raccolti da Stripe). I dati della carta di credito sono gestiti esclusivamente da Stripe e non transitano sui nostri server.

3. Finalità del trattamento

• Erogazione del servizio di consultazione normativa e degli strumenti AI di Arcai.
• Gestione dell'account utente, autenticazione, sicurezza informatica.
• Fatturazione, gestione pagamenti e adempimenti fiscali.
• Comunicazioni di servizio (es. conferme account, notifiche tecniche, fatture). Sono inviate sempre, in quanto strettamente necessarie all'esecuzione del contratto.
• Comunicazioni commerciali su servizi analoghi (consigli d'uso, novità di prodotto, offerte su piani Arcai): inviate ai sensi dell'art. 130 comma 4 D.Lgs 196/2003 (c.d. "soft opt-in") in quanto il tuo indirizzo email è stato raccolto nel contesto della registrazione al servizio e le comunicazioni riguardano servizi analoghi a quello utilizzato. Puoi opporti in qualsiasi momento tramite il link "Disiscriviti" presente in ogni email o dalle impostazioni dell'account.
• Analisi statistica e miglioramento del servizio.

4. Base giuridica

• Esecuzione del contratto (art. 6.1.b GDPR): erogazione del servizio, gestione account, fatturazione, comunicazioni di servizio.
• Legittimo interesse / soft opt-in (art. 6.1.f GDPR + art. 130 c.4 D.Lgs 196/2003): comunicazioni commerciali su servizi analoghi (upgrade, funzionalità, offerte Arcai). L'interessato può opporsi in ogni momento senza formalità.
• Legittimo interesse (art. 6.1.f GDPR): sicurezza informatica e monitoraggio errori (Sentry) — valutazione di bilanciamento svolta in conformità al Considerando 49 GDPR; prevale l'interesse alla sicurezza del servizio e degli utenti.
• Consenso (art. 6.1.a GDPR): analytics di marketing (Mixpanel), ove applicabile.
• Obbligo di legge (art. 6.1.c GDPR): conservazione dei documenti fiscali per 10 anni ex art. 2220 c.c.

5. Conservazione dei dati

• Dati di account, chat e progetti: per tutta la durata dell'account.
• Dopo la richiesta di cancellazione: i dati personali sono anonimizzati immediatamente e i record residui sono mantenuti per 12 mesi per finalità di sicurezza e prevenzione frodi, salvo obblighi di legge superiori.
• Documenti fiscali (fatture, ricevute pagamento): 10 anni per obbligo di legge.
• Log di sicurezza Sentry: 30 giorni.
• Eventi analytics Mixpanel: secondo le impostazioni del progetto Mixpanel (massimo 12 mesi).

6. Destinatari dei dati (sub-fornitori)

I dati possono essere comunicati ai seguenti sub-fornitori, ciascuno dei quali agisce in qualità di responsabile del trattamento ex art. 28 GDPR:

• Supabase Inc. — hosting database e autenticazione (UE).
• Amazon Web Services EMEA SARL — Bedrock (modelli AI di Anthropic), S3 (archiviazione documenti). Region utilizzata: eu-west-1 (Irlanda) per Bedrock, eu-central-1 (Francoforte) per S3. I dati non lasciano il territorio UE.
• Anthropic PBC — fornitore dei modelli AI Claude attivati tramite Bedrock. Nei termini contrattuali Bedrock, Anthropic non riceve né conserva i prompt degli utenti.
• Stripe Payments Europe Ltd — gestione pagamenti e fatturazione (UE).
• Vercel Inc. — hosting frontend.
• Twilio SendGrid Inc. — invio email transazionali e marketing.
• Sentry GmbH — monitoraggio errori e sicurezza informatica (UE).
• Mixpanel Inc. — analytics di prodotto. Hosting EU (api-eu.mixpanel.com). Solo previo consenso.

Trasferimenti extra-UE. Quando un sub-fornitore ha sede negli Stati Uniti (Stripe Payments Europe agisce in UE, ma controlla Stripe Inc.; Mixpanel Inc.; Vercel Inc.; Twilio Inc.), il trasferimento dei dati è disciplinato dalle Clausole Contrattuali Standard approvate dalla Commissione Europea (Decisione UE 2021/914) o, ove applicabile, dal Data Privacy Framework EU-USA.

Comunicazioni interne. Una copia di alcune notifiche di servizio (es. conferme nuova iscrizione, ricevute di pagamento) viene ricevuta dal team operativo presso caselle aziendali del titolare per finalità di assistenza clienti e contabilità.

7. Diritti dell'utente

Ai sensi degli artt. 15-22 GDPR, l'utente ha diritto a:

• Accesso ai propri dati personali ed esportazione in formato strutturato (JSON).
• Rettifica dei dati inesatti.
• Cancellazione ("diritto all'oblio").
• Portabilità dei dati verso altro titolare.
• Opposizione al trattamento per finalità di marketing in qualsiasi momento, anche tramite il link "Disiscriviti" presente in ogni email.
• Limitazione del trattamento.
• Revoca del consenso in ogni momento, senza pregiudicare la liceità del trattamento basato sul consenso prestato prima della revoca.
• Reclamo al Garante per la protezione dei dati personali (www.gpdp.it).

I diritti possono essere esercitati direttamente dalle impostazioni del proprio account (sezione "Privacy & Dati") o scrivendo a [email protected]. Il titolare risponde entro 30 giorni.

8. Cookie e tecnologie di tracciamento

Si rinvia all'informativa estesa: Cookie Policy.

9. Modifiche alla presente policy

Ci riserviamo di aggiornare questa privacy policy. La versione corrente è la 2.0 del 2026-08-27. Le modifiche sostanziali saranno comunicate via email e, ove richiesto, sarà raccolto un nuovo consenso.

10. Contatti

Per qualsiasi richiesta relativa al trattamento dei dati: [email protected].