Il testo completo · Versione 1.2
Resa ai sensi degli articoli 13 e 14 del Regolamento (UE) 2016/679 (GDPR)
Versione 1.2 — 16 ottobre 2026
La presente Informativa descrive come NoK Group S.r.l. tratta i dati personali degli utenti del servizio Atropox (il "Servizio") per i quali agisce in qualità di titolare del trattamento. Per i dati relativi a terzi che l'utente inserisce o genera nel Servizio (contatti, clienti, soggetti dei report di intelligence) si applica, invece, l'Accordo sul trattamento dei dati (DPA) ex art. 28 GDPR, in cui il cliente è titolare e NoK Group è responsabile.
1. Titolare del trattamento
Titolare del trattamento è NoK Group S.r.l., con sede legale in Via Cassia 1280, 00189 Roma (RM), C.F. e P.IVA 17725341006, capitale sociale euro 10.000,00 i.v., PEC nokgroup@legalmail.it, e-mail info@nok.business (il "Titolare").
2. Responsabile della protezione dei dati (DPO)
All'esito di una valutazione documentata, il Titolare ha ritenuto di non essere tenuto alla designazione obbligatoria di un Responsabile della protezione dei dati (DPO) ai sensi dell'art. 37 GDPR, non costituendo le attività principali del Titolare un monitoraggio regolare e sistematico su larga scala né un trattamento su larga scala di categorie particolari di dati. Il Titolare ha comunque individuato un punto di contatto per la protezione dei dati, raggiungibile agli indirizzi di cui all'art. 1. La valutazione è riesaminata periodicamente e la designazione sarà effettuata ove ne ricorrano i presupposti.
3. Categorie di dati personali trattati
Il Titolare tratta le seguenti categorie di dati personali relativi agli utenti del Servizio:
a) Dati di registrazione e di profilo: indirizzo e-mail, nome e cognome, eventuale denominazione aziendale, ruolo o posizione, fotografia o avatar, area di competenza ed esperienza, se forniti dall'utente.
b) Dati di autenticazione: credenziali di accesso (la password è conservata in forma cifrata dal fornitore del servizio di autenticazione e non è accessibile al Titolare); in caso di accesso tramite Google, i dati di autenticazione forniti da Google (e-mail, nome, identificativo); in caso di verifica in due passaggi, i dati tecnici del fattore di autenticazione.
c) Dati di fatturazione e di pagamento: denominazione o nome, indirizzo, partita IVA, codice destinatario SDI o PEC, indirizzo e-mail di chi effettua il pagamento, stato dell'abbonamento e posti pagati. I dati della carta o del conto sono trattati direttamente dal fornitore dei pagamenti (Stripe) e non sono conservati dal Titolare.
d) Dati d'uso e tecnici: dati relativi all'utilizzo del Servizio, log di sistema, indirizzo IP, dati del dispositivo e del browser, registri delle azioni dell'assistente, necessari al funzionamento, alla sicurezza e alla diagnostica.
e) Dati di assistenza: le informazioni fornite dall'utente nelle comunicazioni di supporto.
Il Servizio non è destinato a raccogliere, in relazione all'utente, categorie particolari di dati (art. 9 GDPR) o dati giudiziari (art. 10 GDPR).
4. Finalità e basi giuridiche del trattamento
| Finalità | Base giuridica |
|---|---|
| Creazione dell'account, erogazione del Servizio e gestione del rapporto contrattuale | Esecuzione del contratto (art. 6, par. 1, lett. b, GDPR) |
| Autenticazione e sicurezza degli accessi, anche tramite verifica in due passaggi | Esecuzione del contratto e legittimo interesse alla sicurezza (art. 6, par. 1, lett. b e f, GDPR) |
| Gestione dei pagamenti, fatturazione e adempimenti contabili e fiscali | Esecuzione del contratto e obbligo legale (art. 6, par. 1, lett. b e c, GDPR) |
| Assistenza e gestione delle richieste dell'utente | Esecuzione del contratto (art. 6, par. 1, lett. b, GDPR) |
| Comunicazioni di servizio: accesso e sicurezza dell'account, fatturazione, modifiche del Servizio e dei documenti contrattuali, novità sulle funzionalità del Servizio utilizzato | Esecuzione del contratto (art. 6, par. 1, lett. b, GDPR); per le novità sulle funzionalità, legittimo interesse a informare l'utente sul Servizio che utilizza (art. 6, par. 1, lett. f, GDPR), con facoltà di opporsi in qualsiasi momento |
| Garanzia della sicurezza, prevenzione degli abusi, diagnostica e miglioramento tecnico del Servizio | Legittimo interesse (art. 6, par. 1, lett. f, GDPR) |
| Adempimento di obblighi di legge e difesa in giudizio dei diritti del Titolare | Obbligo legale e legittimo interesse (art. 6, par. 1, lett. c e f, GDPR) |
Il Titolare non invia comunicazioni promozionali e non effettua profilazione a fini di marketing. Le comunicazioni di servizio descritte sopra non hanno contenuto promozionale. Qualora in futuro il Titolare intenda inviare comunicazioni promozionali, ne chiederà prima il consenso all'interessato e aggiornerà la presente Informativa.
5. Natura del conferimento
Il conferimento dei dati di registrazione, autenticazione e, per i Piani a pagamento, di fatturazione è necessario per la conclusione e l'esecuzione del contratto: il mancato conferimento impedisce l'uso del Servizio o delle relative funzioni.
6. Destinatari e responsabili del trattamento
I dati sono trattati dal personale autorizzato del Titolare e possono essere comunicati, nei limiti necessari, ai seguenti soggetti, che agiscono in qualità di responsabili del trattamento o, ove indicato, di autonomi titolari:
| Soggetto | Ruolo | Funzione | Collocazione dei dati |
|---|---|---|---|
| Supabase, Inc. | Responsabile | Database, autenticazione e hosting applicativo | Unione europea (Francoforte); eventuale accesso di assistenza tecnica da Stati Uniti e Singapore, sulla base delle Clausole Contrattuali Tipo |
| Amazon Web Services | Sub-responsabile | Infrastruttura cloud sottostante | Unione europea (Francoforte) |
| Vercel, Inc. | Responsabile | Hosting e distribuzione dell'interfaccia web | Stati Uniti |
| Stripe Payments Europe, Limited | Autonomo titolare / Responsabile | Elaborazione dei pagamenti e fatturazione | Unione europea / Stati Uniti |
| Anthropic, PBC | Responsabile | Modello di intelligenza artificiale per l'assistente e i report | Stati Uniti |
| Resend, Inc. | Responsabile | Invio delle e-mail transazionali (conferme, recupero password, inviti) | Stati Uniti |
| ElevenLabs, Inc. | Responsabile | Trascrizione della voce e lettura ad alta voce delle risposte, solo quando l'utente usa le funzioni vocali (facoltative) | Stati Uniti |
| Openapi S.p.A. | Responsabile | Consultazione dei dati ufficiali del Registro Imprese sulle imprese indicate dall'utente | Italia |
| Google Ireland Limited | Autonomo titolare | Autenticazione tramite account Google (facoltativa) | Unione europea / Stati Uniti |
Anthropic, PBC si avvale a sua volta di propri sub-responsabili, tra cui, per la funzione di ricerca sul web, Brave Software, Inc. (Stati Uniti), secondo l'elenco pubblicato da Anthropic. L'elenco aggiornato dei responsabili è reso disponibile dal Titolare su richiesta. I dati possono inoltre essere comunicati ad autorità pubbliche quando previsto dalla legge. Se l'utente usa la dettatura senza la voce di ElevenLabs, il riconoscimento vocale è svolto dal browser dell'utente e dal suo produttore (ad esempio Google o Apple), secondo le condizioni del browser: NoK Group riceve soltanto il testo trascritto.
7. Trasferimenti verso Paesi terzi
Alcuni fornitori indicati all'art. 6 sono stabiliti o trattano dati negli Stati Uniti. In tali casi il trasferimento avviene sulla base di garanzie adeguate ai sensi dell'art. 46 GDPR, in particolare le Clausole Contrattuali Tipo adottate dalla Commissione europea con Decisione di esecuzione (UE) 2021/914, integrate dalle misure supplementari ritenute necessarie all'esito della valutazione d'impatto sul trasferimento (Transfer Impact Assessment) post-sentenza Schrems II (CGUE, C-311/18), ovvero, ove applicabile, sulla base della decisione di adeguatezza relativa all'EU-US Data Privacy Framework per le entità certificate. Copia delle garanzie può essere richiesta agli indirizzi di cui all'art. 1.
8. Periodo di conservazione
I dati dell'account e di profilo sono conservati per la durata del rapporto e cancellati, su richiesta dell'utente o alla cessazione del contratto, secondo quanto previsto dai Termini, salve le eccezioni che seguono. I dati di fatturazione e i documenti contabili sono conservati per il termine di legge (dieci anni ai sensi dell'art. 2220 del codice civile e della normativa fiscale). I dati di consenso e i registri necessari ad assolvere l'onere di responsabilizzazione (art. 5, par. 2, GDPR) possono essere conservati in forma anonimizzata o per il tempo necessario a far valere o difendere un diritto. I log tecnici e di sicurezza sono cancellati automaticamente alle seguenti scadenze: registri di sicurezza e di accesso (audit) 24 mesi; registro delle azioni dell'assistente e delle funzioni di IA 12 mesi; segnalazioni di errore dell'applicazione 90 giorni; coda dei messaggi in uscita 12 mesi; notifiche già lette 6 mesi. La corrispondenza relativa a richieste di assistenza e all'esercizio dei diritti è conservata per la durata della pratica e per i 24 mesi successivi, a prova della sua evasione.
9. Diritti dell'interessato
L'interessato può esercitare in qualsiasi momento i diritti previsti dagli articoli 15-22 GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione e, ove applicabile, i diritti connessi alle decisioni automatizzate (art. 22 GDPR). All'interno del Servizio, nella pagina "Privacy e dati", l'utente può esportare autonomamente i propri dati in formato strutturato (art. 20 GDPR) ed eliminare il proprio account (art. 17 GDPR). Le richieste possono inoltre essere inviate agli indirizzi di cui all'art. 1 e ricevono riscontro entro un mese, prorogabile di due mesi nei casi complessi (art. 12 GDPR).
10. Reclamo all'autorità di controllo
L'interessato ha diritto di proporre reclamo al Garante per la protezione dei dati personali (Piazza Venezia 11, 00187 Roma; www.garanteprivacy.it) o all'autorità di controllo dello Stato membro di residenza o del luogo della presunta violazione, fatto salvo ogni altro ricorso amministrativo o giurisdizionale.
11. Processi decisionali automatizzati e funzioni di intelligenza artificiale
Il Servizio include funzioni di intelligenza artificiale: l'assistente conversazionale (anche a voce), i report di intelligence, la compilazione della scheda di un contatto con dati pubblici, la ricerca della foto o del logo di un contatto, il suggerimento dei tag, la lettura dei documenti caricati dall'utente e la sintesi delle informazioni incollate dall'utente. Ogni funzione si attiva solo su richiesta dell'utente e propone risultati che l'utente può verificare, accettare o scartare. I relativi contenuti costituiscono un supporto alla decisione umana e non una decisione automatizzata produttiva di effetti giuridici o analogamente significativi ai sensi dell'art. 22 GDPR. Le caratteristiche di tali funzioni, le finalità e le garanzie di trasparenza sono descritte nell'Informativa di trasparenza sulle Funzioni di Intelligenza Artificiale, resa anche ai sensi dell'art. 50 del Regolamento (UE) 2024/1689.
12. Cookie e tecnologie di memorizzazione
Il Servizio utilizza esclusivamente tecnologie di memorizzazione tecnicamente necessarie al proprio funzionamento (ad esempio la conservazione della sessione di accesso e delle preferenze di lingua e tema nel dispositivo dell'utente). Tali strumenti sono esenti dall'obbligo di consenso ai sensi dell'art. 122 del D.Lgs. 196/2003. Il Servizio non utilizza cookie di profilazione né strumenti di analisi o tracciamento di terze parti.
13. Modifiche
Il Titolare può aggiornare la presente Informativa. La versione aggiornata è pubblicata nel Servizio con l'indicazione della data; le modifiche sostanziali sono comunicate all'utente.