Privacy Policy

1. Titolare del trattamento dei dati personali

Il Titolare del trattamento dei dati personali ai sensi del Regolamento (UE) 2016/679 (GDPR) è:

• Ion Samoila (operatore individuale)
• Sede operativa: Como, Italia
• Contatto privacy: privacy@nexgenion.com

I pagamenti sono processati da Paddle.com Market Limited (UK), che agisce come Merchant of Record. Per dettagli sul trattamento dei dati di pagamento vedi la sezione 5 (Sub-processor) e i Paddle Checkout Buyer Terms.

Per esercitare i tuoi diritti GDPR scrivi a privacy@nexgenion.com.

2. Dati raccolti

Raccogliamo le seguenti categorie di dati personali:

• Dati account: email, nome, cognome, ruolo, dipartimento, telefono (se fornito)
• Dati di utilizzo: contenuti creati nel workspace (ticket, asset, budget, ecc.)
• Log tecnici: indirizzo IP, user-agent, timestamp accessi (per sicurezza)
• Cookie tecnici: solo quelli strettamente necessari al funzionamento del servizio

3. Finalità del trattamento

• Erogazione del servizio NexGenion
• Sicurezza, prevenzione di abusi e debugging
• Comunicazioni di servizio (notifiche, conferme, alerting)
• Adempimenti legali e fiscali

Non utilizziamo i tuoi dati per profilazione, marketing diretto o cessione a terzi senza consenso esplicito.

4. Base giuridica

Il trattamento si basa sull'esecuzione di un contratto con l'utente (Art. 6.1.b GDPR), su obblighi legali (Art. 6.1.c) e su legittimo interesse al funzionamento sicuro del servizio (Art. 6.1.f).

5. Sub-processor

Per erogare il servizio NexGenion si avvale di fornitori terzi che agiscono come Sub-processor ai sensi dell'Art. 28 GDPR. Tutti i fornitori sono vincolati da contratti DPA (Data Processing Agreement) e implementano misure di sicurezza adeguate.

• Supabase — Database e autenticazione (USA/EU, SCC + DPF)
• Railway — Hosting backend (USA, SCC)
• Resend — Invio email transazionali (USA/EU)
• Cloudflare — CDN, R2 object storage e protezione DDoS (Global)
• Sentry — Monitoring errori applicativi (USA/EU, SCC)
• Paddle.com Market Limited — Merchant of Record per pagamenti (UK, GDPR compliant + SCC)
• Microsoft Clarity — Session replay e analytics UX (Microsoft Ireland Operations Ltd, EU). Privacy · Termini

L'elenco completo aggiornato è incluso nel DPA.

6. Diritti dell'interessato

Ai sensi del GDPR (Reg. UE 2016/679) hai diritto a:

• Art. 15 — Accesso ai tuoi dati
• Art. 16 — Rettifica
• Art. 17 — Cancellazione (diritto all'oblio)
• Art. 18 — Limitazione del trattamento
• Art. 20 — Portabilità dei dati
• Art. 21 — Opposizione
• Art. 77 — Reclamo all'Autorità Garante

Puoi esercitare l'export dei tuoi dati e la cancellazione dell'account direttamente dalla pagina Settings → Privacy.

7. Conservazione dei dati

I dati account sono conservati per la durata della relazione contrattuale. In caso di cancellazione account i dati personali vengono anonimizzati entro 30 giorni; i contenuti creati nel workspace sono mantenuti in forma anonima per integrità referenziale.

• Log applicativi e di sicurezza (audit log: accessi, mutazioni di dati, eventi GDPR): 24 mesi, poi cancellazione automatica ai sensi dell'Art. 5(1)(e) GDPR.
• Log tecnici di sistema (errori, performance via Sentry): 30 giorni.
• Session replay anonimizzati (Microsoft Clarity): 13 mesi (default Microsoft).
• Dati fiscali (fatture, ricevute): 10 anni come da obblighi di legge.

8. Cookie e strumenti di analisi

NexGenion utilizza cookie tecnici strettamente necessari al funzionamento (autenticazione, sessione, preferenze tema/lingua). Non utilizziamo cookie di profilazione o marketing. L'uso dei cookie tecnici non richiede consenso. Un'informativa breve è mostrata al primo accesso ed è ricordata via localStorage per evitare ripetizioni.

Utilizziamo Microsoft Clarity per registrare sessioni anonimizzate degli utenti al fine di migliorare l'esperienza d'uso della piattaforma. Clarity raccoglie dati su interazioni (click, scroll, navigazione) ma non registra password o dati sensibili. I dati sono conservati da Microsoft per 13 mesi. Informativa privacy Microsoft Clarity: https://clarity.microsoft.com/privacy

9. Sicurezza

Adottiamo misure tecniche e organizzative adeguate: cifratura in transito (TLS 1.3), cifratura at-rest sul database, accesso granulare via Row-Level Security, audit logging delle operazioni sensibili, rate limiting, hashing password gestito da Supabase Auth.

10. Modifiche alla policy

Eventuali modifiche saranno comunicate tramite email o avviso in app almeno 30 giorni prima dell'entrata in vigore.

11. Contatti

Privacy / DPO: privacy@nexgenion.com
Per reclami: Garante Privacy (www.garanteprivacy.it)