Informativasulla privacy

NAKO Agency (di seguito «noi», «nostro», «Società») agisce in qualità di titolare del trattamento dei dati personali raccolti attraverso il presente sito web.

Sito web: nakoagency.com.

La presente Informativa sulla Privacy si applica a tutti gli utenti a livello globale, indipendentemente dalla loro ubicazione.

Operiamo nelle seguenti giurisdizioni: Moldavia, Romania, Ucraina, Polonia, Germania, Italia, Russia e Kazakistan.

Le normative applicabili in materia di protezione dei dati personali comprendono: il Regolamento Generale sulla Protezione dei Dati (GDPR) per l'Unione Europea; la Legge n. 195/2024 sulla Protezione dei Dati Personali (Moldavia); la Legge n. 2297-VI sulla Protezione dei Dati Personali (Ucraina).

Dati personali forniti tramite moduli: nome, indirizzo email, numero di telefono, nome utente Telegram, nome dell'azienda e descrizione del progetto.

Dati raccolti automaticamente: indirizzo IP (troncato da Google per gli utenti nell'UE — il troncamento riduce la precisione, ma i dati restano dati personali), tipo di browser, informazioni sul dispositivo, pagine visitate e URL di provenienza.

Cookie: utilizziamo cookie necessari e, solo con il Suo consenso, cookie di analisi. Non utilizziamo cookie di marketing. Per i dettagli, consultare la nostra Informativa sui Cookie.

Servizi di terze parti che possono raccogliere dati: Google Analytics 4 e Microsoft Clarity (solo con il Suo consenso all'analisi) e Cloudflare Turnstile (verifica anti-bot all'accesso).

Trattamento degli invii dei moduli, per rispondere alla Sua richiesta — base giuridica: misure precontrattuali adottate su Sua richiesta (art. 6, par. 1, lett. b, GDPR). Il consenso alle comunicazioni di marketing è separato (vedi sotto) e non è una condizione per la nostra risposta.

Comunicazione relativa a progetti e servizi — base giuridica: necessità contrattuale (Art. 6, par. 1, lett. b, GDPR).

L'analisi di come viene usato il sito, per migliorarlo — base giuridica: il Suo consenso (Art. 6, par. 1, lett. a, GDPR). Senza il Suo consenso l'analisi non parte, e può revocarlo in qualsiasi momento, con la stessa facilità con cui l'ha dato.

Adempimento degli obblighi di legge — base giuridica: obbligo legale (Art. 6, par. 1, lett. c, GDPR).

Comunicazioni di marketing (solo con il Suo consenso esplicito) — base giuridica: consenso (Art. 6, par. 1, lett. a, GDPR). Può revocare il consenso in qualsiasi momento scrivendoci a hello@nakoagency.com; dopo la revoca non Le inviamo più comunicazioni di questo tipo. La revoca non pregiudica le comunicazioni inviate in precedenza sulla base del consenso prestato. Il consenso alle comunicazioni di marketing diventa valido solo dopo che Lei lo ha confermato tramite il link contenuto nell’email che Le inviamo. Fino alla conferma non Le inviamo comunicazioni di marketing; una richiesta non confermata scade dopo 7 giorni e viene cancellata automaticamente.

Registro di sicurezza (dati tecnici e di attività: l’account che ha agito, incluso il suo indirizzo email, l’indirizzo IP, il browser, l’azione eseguita e il suo oggetto) — base giuridica: il nostro legittimo interesse a proteggere il servizio e a prevenire abusi e frodi (art. 6, par. 1, lett. f, GDPR). Può opporsi in qualsiasi momento a questo trattamento per motivi connessi alla Sua situazione particolare (art. 21 GDPR). La stessa base giuridica, e lo stesso diritto di opposizione, si applicano alla verifica automatica anti-bot all’accesso (Cloudflare Turnstile), descritta nella sezione «Condivisione dei Dati».

Indirizzo IP per la protezione dagli abusi. Quando Lei invia il modulo di audit, accede o richiede il ripristino della password, utilizziamo l’indirizzo IP del Suo dispositivo per limitare il numero di tentativi e proteggere il nostro servizio dagli abusi, ad esempio invii automatici o tentativi ripetuti di indovinare la password. La base giuridica è il nostro legittimo interesse a mantenere sicuro il servizio (art. 6, par. 1, lett. f) GDPR). Non conserviamo l’indirizzo IP in chiaro: conserviamo soltanto uno pseudonimo calcolato a partire da esso con una chiave segreta, custodita separatamente. Lo pseudonimo viene cancellato automaticamente entro al massimo 26 ore. Lei può opporsi a questo trattamento, come descritto nella sezione sui Suoi diritti.

Utilizziamo due categorie di cookie: necessari (sempre attivi) e di analisi (solo con il Suo consenso).

Google Consent Mode v2 è implementato sul nostro sito web; i segnali per la pubblicità restano sempre disattivati.

Prima del Suo consenso, nessun cookie non essenziale viene impostato.

È possibile gestire le preferenze sui cookie tramite il banner visualizzato alla prima visita, oppure attraverso il link «Impostazioni Cookie» nel piè di pagina del sito in qualsiasi momento.

Per informazioni complete sui cookie utilizzati, le relative finalità e i periodi di conservazione, consultare la nostra pagina Informativa sui Cookie.

Se accetta i cookie di analisi, utilizziamo Google Analytics 4 e Microsoft Clarity per capire come viene usato il sito: le pagine visitate, la provenienza della visita, il tipo di dispositivo e di browser, il Paese approssimativo dedotto dall'indirizzo IP e, tramite Clarity, le registrazioni della sessione (clic, scorrimento, movimenti). La base giuridica è il Suo consenso (art. 6, par. 1, lett. a): finché non lo presta, gli script di analisi non scrivono alcun cookie e non inviano alcun identificativo; può revocarlo in qualsiasi momento dal banner dei cookie, con effetto immediato.

Non utilizziamo questi dati per identificarLa personalmente, non li combiniamo con i dati del Suo account e non li usiamo per pubblicità personalizzata.

I fornitori sono Google e Microsoft, che agiscono come responsabili del trattamento per nostro conto. I dati possono essere trasferiti al di fuori dell'Unione Europea, inclusi gli Stati Uniti. Il trasferimento si basa sulle garanzie previste dal GDPR che ciascun fornitore dichiara nelle proprie condizioni di trattamento dei dati — un quadro di protezione riconosciuto e, in sua assenza, le Clausole Contrattuali Standard approvate dalla Commissione europea. Può richiedere in qualsiasi momento una copia di tali garanzie, scrivendoci a hello@nakoagency.com.

Quando accede all'area clienti, lì si applica, solo con il Suo consenso, una misurazione aggiuntiva dell'utilizzo, descritta separatamente nella politica di analisi dell'area clienti.

NON vendiamo i Suoi dati personali in nessuna circostanza.

Condividiamo i dati con i seguenti fornitori di servizi (responsabili del trattamento): Hetzner Online GmbH (hosting, Germania, UE); Vercel Inc. (hosting, Stati Uniti — protetto da Clausole Contrattuali Standard dell'UE); Resend Inc. (invio email, Stati Uniti — protetto da Clausole Contrattuali Standard dell'UE); Fastmail Pty Ltd (hosting della casella email dell'agenzia, che riceve la notifica di una nuova richiesta e può contenere i Suoi dati di contatto; Stati Uniti); Google (analisi) — i dati possono essere trattati al di fuori dell'Unione Europea, inclusi gli Stati Uniti, sulla base dei meccanismi di trasferimento del fornitore; Supabase Inc. (database e autenticazione — account e accesso — nell’Unione Europea, Francoforte); Microsoft Corporation (Microsoft Clarity — mappe di comportamento e registrazioni delle sessioni sul sito, USA). Utilizziamo inoltre Sentry (monitoraggio degli errori, con dati ospitati nell’Unione europea): per i clienti con area riservata, gli errori dell’applicazione; sul sito pubblico, solo gli errori del nostro server, senza il Suo indirizzo IP e senza il contenuto dei moduli. Nel Suo browser Sentry non è in esecuzione. Per proteggere dai bot l’accesso all’area clienti e all’account Nako ID utilizziamo inoltre Cloudflare, Inc. (Cloudflare Turnstile, Stati Uniti).

Verifica anti-bot all’accesso. Quando accede con la password, richiede un codice di verifica o un link di accesso, crea un account o recupera la password, Cloudflare Turnstile verifica automaticamente che la richiesta non provenga da un bot. A tal fine, Cloudflare tratta il Suo indirizzo IP e segnali tecnici del browser e della richiesta (ad esempio l’intestazione User-Agent del browser e le caratteristiche della connessione); non accede a ciò che Lei scrive nel modulo. Base giuridica: il nostro legittimo interesse a proteggere gli account da attacchi automatizzati e abusi (art. 6, par. 1, lett. f, GDPR). Da parte nostra la verifica è transitoria: il suo esito è un token monouso che scade dopo 5 minuti, e non lo conserviamo. Cloudflare tratta questi segnali come responsabile del trattamento per nostro conto; per migliorare il rilevamento dei bot agisce come titolare autonomo del trattamento, secondo il proprio Turnstile Privacy Addendum. La verifica si applica a ogni accesso tramite Nako ID — l’account NAKO con cui accede all’area clienti e alle applicazioni NAKO collegate a Nako ID.

Possiamo divulgare dati alle autorità competenti su richiesta legittima.

Il trattamento presso questi fornitori avviene sulla base delle condizioni di trattamento dei dati pubblicate da ciascuno di essi. Non affermiamo di avere un accordo sul trattamento (DPA) firmato individualmente con ogni fornitore.

L’hosting del sito è fornito da Hetzner Online GmbH (Germania, UE) e da Vercel Inc. (USA). All’invio di un modulo i vostri dati vengono trasmessi al nostro indirizzo e-mail E registrati nel nostro CRM, ospitato su Supabase con database nell’Unione Europea (Francoforte, eu-central-1). Le richieste sono conservate per 24 mesi dall’ultimo contatto, dopodiché vengono eliminate automaticamente.

Servizi di terze parti utilizzati e la loro ubicazione: Hetzner Online GmbH (UE — Germania) — hosting ed elaborazione transitoria dei moduli; Vercel Inc. (USA/UE) — hosting ed elaborazione transitoria dei moduli; Google — analisi (Google Analytics 4), trattamento possibile al di fuori dell'UE; Resend Inc. (USA) — invio di e-mail; Fastmail Pty Ltd (USA) — casella email dell'agenzia, che riceve le notifiche delle richieste; Supabase Inc. (UE — Francoforte) — database e autenticazione (account e accesso); Microsoft Corporation (USA) — Microsoft Clarity, mappe di comportamento e registrazioni delle sessioni; Cloudflare, Inc. (USA) — verifica anti-bot all’accesso (Cloudflare Turnstile).

Garanzie per i residenti UE: dove abbiamo concluso Clausole Contrattuali Standard dell'UE con il fornitore (Vercel, Resend), il trasferimento si basa su di esse; per gli altri fornitori si applicano i rispettivi meccanismi di trasferimento. Hetzner Online GmbH tratta i dati nell’Unione Europea (Germania), quindi non avviene alcun trasferimento al di fuori dell’UE. Cloudflare, Inc. dichiara di basarsi sulla propria certificazione nell’ambito dell’EU-U.S. Data Privacy Framework (art. 45 GDPR), e il suo accordo sul trattamento dei dati include inoltre le Clausole Contrattuali Standard dell’UE (art. 46 GDPR). Tutti i dati sono crittografati durante il transito (TLS 1.2+).

Se sceglie di lasciarci un contatto Telegram, Le scriveremo su Telegram e il messaggio passerà attraverso Telegram FZ-LLC, con sede negli Emirati Arabi Uniti, al di fuori dell’Unione europea. Per gli Emirati Arabi Uniti non esiste una decisione di adeguatezza della Commissione europea e per questo canale non abbiamo sottoscritto clausole contrattuali standard: il trasferimento avviene perché è Lei ad averlo scelto, affinché possiamo rispondere alla Sua richiesta (art. 49, par. 1, lett. b), del GDPR). Il campo Telegram è facoltativo: se non lo compila, La contatteremo per telefono e, se ci ha già scritto su Telegram, può chiedere la cancellazione della conversazione.

Per i residenti di Moldova, Ucraina, Polonia, Germania, Italia e Romania: si applicano le garanzie previste dal GDPR (Regolamento UE 2016/679) e dalla rispettiva legislazione nazionale.

Se lavoriamo insieme a un progetto, conserviamo i dati che derivano da questo rapporto: il Suo nome, i recapiti utilizzati nel progetto, la Sua azienda (se del caso), cosa abbiamo consegnato e quando, le fatture e gli importi, e la corrispondenza relativa al progetto. Li riceviamo da Lei durante il contratto. Non aggiungiamo dati provenienti da altre fonti.

Basi giuridiche: esecuzione del contratto (Art. 6, par. 1, lett. b, GDPR); obbligo legale di tenuta della contabilità (Art. 6, par. 1, lett. c, GDPR); il nostro legittimo interesse a conservare traccia del rapporto e a difenderci in caso di controversia (Art. 6, par. 1, lett. f, GDPR). Può opporsi in qualsiasi momento al trattamento basato sul legittimo interesse (Art. 21 GDPR). Non utilizziamo questi dati per il marketing.

Conserviamo i dati per la durata del contratto. Al termine, i documenti contabili sono conservati per il tempo richiesto dalla normativa contabile e fiscale della Repubblica di Moldavia, e il resto della documentazione del rapporto fino alla scadenza del termine di prescrizione per le pretese contrattuali.

Hanno accesso a questi dati solo i membri del team di NAKO Agency che lavorano con i clienti, oltre a Supabase Inc., il responsabile del trattamento che ospita il nostro database e l’autenticazione (account e accesso), nell’Unione Europea, a Francoforte.

Richieste tramite moduli: conservate per 2 anni dalla data di invio, quindi eliminate definitivamente.

Dati analitici: conservati per un massimo di 14 mesi (il massimo su Google Analytics 4 standard).

Cookie: la durata di conservazione varia in base alla tipologia; consultare la nostra Informativa sui Cookie per le durate specifiche.

Registrazioni del consenso ai cookie: conservate per 3 anni come prova di conformità al GDPR.

Richieste di eliminazione dell’account: si applica una finestra di recupero di 90 giorni prima che i dati personali vengano anonimizzati, così che un account possa essere ripristinato se la richiesta è stata fatta per errore.

Registro di sicurezza: conservato per 24 mesi, poi eliminato automaticamente. La base giuridica è descritta nella sezione «Finalità e Base Giuridica del Trattamento». Se ci chiede di cancellare i Suoi dati in questo periodo, possiamo conservare le voci necessarie per l’accertamento, l’esercizio o la difesa di un diritto in sede giudiziaria (art. 17, par. 3, lett. e, GDPR).

Richieste con cui Lei esercita i Suoi diritti (ad esempio di accesso o di cancellazione): una richiesta non confermata o non utilizzata viene cancellata automaticamente 30 giorni dopo la scadenza del link di conferma. Per una richiesta evasa conserviamo solo la sua registrazione — il tipo di richiesta, un identificativo interno e le date in cui è stata ricevuta, confermata ed evasa, senza il Suo indirizzo email — per 3 anni, come prova di averLe risposto, e poi la cancelliamo automaticamente. La base giuridica è il nostro legittimo interesse a poter dimostrare di aver dato seguito alla richiesta (art. 6, par. 1, lett. f) GDPR).

Quando visita il sito o apre un’email che carica risorse dai nostri server, l’infrastruttura di hosting (Vercel e Supabase) registra automaticamente dati tecnici: il Suo indirizzo IP, la data e l’ora della richiesta, la risorsa richiesta, il tipo di browser o di client e il codice di risposta. Questi log vengono creati a ogni richiesta, come per qualsiasi server web.

Finalità: il funzionamento, la sicurezza e la stabilità del servizio — risoluzione dei problemi, prevenzione e rilevamento di abusi e attacchi. Base giuridica: il nostro legittimo interesse (art. 6, par. 1, lett. f) del GDPR) a gestire il servizio in sicurezza. Non utilizziamo questi log per la profilazione, la pubblicità o per misurare il Suo comportamento.

Responsabili del trattamento e periodi di conservazione:

Vercel Inc. (hosting del sito e dell’applicazione): i log delle richieste sono disponibili per un massimo di 30 giorni.

Hetzner Online GmbH (Germania, UE) ospita il nostro server, su cui funzionano il sito e l’applicazione. Attualmente sul nostro server non teniamo un log degli accessi; i log tecnici dell’applicazione vengono ruotati al raggiungimento di massimo 30 MB.

Supabase Inc. (database e autenticazione — account e accesso — nell’Unione Europea, Francoforte): i log delle richieste al servizio sono disponibili per 90 giorni.

Sentry (segnalazione degli errori): per i clienti con area riservata, i dati tecnici di un errore insieme a un identificativo interno dell’account; sul sito pubblico, solo i dati tecnici di un errore del nostro server, senza alcun identificativo del visitatore. In entrambi i casi senza il Suo indirizzo IP; sono conservati per un massimo di 90 giorni.

Questi sono i periodi in cui i log sono a nostra disposizione. I fornitori possono conservare alcuni dati più a lungo per la propria sicurezza, secondo i loro accordi sul trattamento dei dati.

Tutti gli utenti hanno il diritto di: accedere ai propri dati personali, richiedere la rettifica di dati inesatti, richiedere la cancellazione dei propri dati e revocare il consenso al trattamento dei dati.

I residenti nell'UE (ai sensi del GDPR) hanno inoltre il diritto alla: portabilità dei dati, limitazione del trattamento, opposizione al trattamento e il diritto di non essere sottoposti a decisioni automatizzate. Autorità di controllo competenti: ANSPDCP (Romania), UODO (Polonia), BfDI (Germania), Garante per la protezione dei dati personali (Italia).

I residenti in Moldavia (ai sensi della Legge n. 195/2024) hanno diritti equivalenti al GDPR. Autorità di controllo: Centro Nazionale per la Protezione dei Dati Personali (NCPDP).

I residenti in Ucraina (ai sensi della Legge n. 2297-VI) hanno il diritto di: accesso, rettifica, cancellazione dei dati personali e revoca del consenso. Autorità di controllo: Commissario del Parlamento ucraino per i Diritti Umani (Difensore civico dell'Ucraina).

Per esercitare i Suoi diritti, La preghiamo di contattarci all'indirizzo: hello@nakoagency.com. Risponderemo entro 30 giorni dal ricevimento della Sua richiesta.

Tutti i dati sono crittografati in transito mediante protocolli HTTPS/TLS.

L'accesso ai dati personali è limitato al solo personale autorizzato.

Effettuiamo regolari verifiche di sicurezza dei nostri sistemi e processi.

Sebbene nessun metodo di trasmissione elettronica o archiviazione sia sicuro al 100%, in caso di violazione dei dati informeremo gli utenti interessati entro 72 ore come previsto dal GDPR.

Non ci rivolgiamo ai minori e non raccogliamo consapevolmente i loro dati. Ove la legge della Sua giurisdizione richieda il consenso di un genitore o tutore, non trattiamo tali dati senza di esso. Se viene a sapere che un minore ci ha trasmesso dei dati, ci scriva a hello@nakoagency.com e li cancelleremo.

Potremmo aggiornare periodicamente la presente Informativa sulla Privacy. Le modifiche entrano in vigore al momento della pubblicazione sul sito web.

In caso di modifiche sostanziali, gli utenti saranno informati tramite un banner sul sito web.

La data dell'ultimo aggiornamento è indicata in cima al presente documento.

Titolare del trattamento: NAKO Agency.

Email: hello@nakoagency.com.

Sito web: nakoagency.com.

Per richieste specifiche relative al GDPR, scrivere a: hello@nakoagency.com.