Informativa sulla privacy

1. Titolare del trattamento e contatti

Il titolare è Made in Evolve S.r.l., Via Rosalba Carriera 26, 41126 Modena (MO), Italy — P.IVA IT03497200364, REA MO-392876, capitale sociale €12.000. Contatto generale: hello@madeinevolve.com. Per tutto ciò che riguarda i dati personali (richieste, domande, reclami) scrivi a privacy@nucleoplatform.com oppure, via posta elettronica certificata, a madeinevolve@pec.it.

Made in Evolve ha nominato un Responsabile della protezione dei dati esterno (art. 37 GDPR): Dott. Luca Lodi (DPO esterno). Il DPO è raggiungibile scrivendo a privacy@nucleoplatform.com — le richieste indirizzate al DPO gli vengono inoltrate senza ritardo — oppure via posta elettronica certificata a madeinevolve@pec.it.

2. Ambito di applicazione

• Visitatori del sito — chiunque navighi su nucleoplatform.com (incluso /it), il configuratore pricing, la documentazione, il changelog e la pagina di stato.
• Prospect e contatti — chi invia un form (richiesta demo/assessment, contatto, candidatura partner, richiesta di integrazione, waitlist), si iscrive alla newsletter o scambia email, chiamate o riunioni con il nostro team a proposito di Nucleo.
• Referenti dei clienti — amministratori e referenti di fatturazione delle organizzazioni che sottoscrivono Nucleo: per i dati di account, contratto e fatturazione siamo titolari (vedi sezione 10).
• Utenti della piattaforma e loro dati — dipendenti, clienti e contatti dei nostri clienti i cui dati sono trattati dentro Nucleo: qui il titolare è il cliente e noi siamo responsabili del trattamento ai sensi dell'art. 28 GDPR. La sezione 10 indica a chi rivolgere le richieste.
• Il sito non prevede account utente ed è rivolto ad aziende e professionisti; non è destinato a minori di 18 anni e non ne raccogliamo consapevolmente i dati.

3. Quali dati raccogliamo e da dove provengono

• Dati dei form (forniti da te) — solo ciò che digiti: nome, email di lavoro, azienda, ruolo, sito web aziendale, fascia di fatturato annuo, moduli di interesse, messaggio, tipologia di agenzia e piattaforme dei clienti (form partner), software e link alla documentazione API (richiesta integrazione), modulo di interesse (waitlist) e, se lo alleghi, il link allo stack configurato nella pagina pricing. I campi contrassegnati con * sono necessari per gestire la richiesta; gli altri sono facoltativi.
• Dati newsletter (forniti da te) — indirizzo email, data, lingua e fonte dell'iscrizione (home page o casella di opt-in su un form), la registrazione del consenso prestato (data, indirizzo IP, form) e dati di interazione con le email che inviamo (consegna, aperture, click, disiscrizioni): il tracking di aperture e click è attivo sulle email della newsletter ed è usato soltanto per misurare la newsletter e rimuovere gli iscritti inattivi (vedi sezione 8).
• Corrispondenza e riunioni (forniti da te) — il contenuto di email, chiamate e videochiamate con il nostro team, le note prese dai nostri collaboratori e, quando sei stato informato e hai acconsentito all'inizio della call, registrazioni, trascrizioni e riassunti generati con AI della riunione (vedi sezione 11).
• Dati aziendali da fonti pubbliche (non forniti da te) — per qualificare una richiesta possiamo completare la scheda della tua azienda (non la tua come persona) con informazioni commerciali pubblicamente disponibili tratte dai registri IVA pubblici (VIES), dal sito web dell'azienda stessa e da directory aziendali pubbliche: sito web, settore, dimensione, partita IVA, sede legale. Non costruiamo profili di persone fisiche dai social network.
• Dati tecnici (raccolti automaticamente) — i nostri server conservano i log di accesso standard: indirizzo IP, user agent, pagine richieste, timestamp, referrer e codici di risposta, oltre a contatori di rate limiting basati su un hash dell'IP per prevenire abusi dei form. Un campo honeypot nei form individua i bot senza raccogliere nulla dagli utenti umani.
• Dati analytics e comportamentali (solo con il tuo consenso) — tramite Google Tag Manager carichiamo Google Analytics 4 (pagine visitate, posizione approssimativa ricavata dall'IP e poi scartato, tipo di dispositivo e browser, eventi di interazione; Google Signals è disattivato, quindi non vengono raccolti dati cross-device né demografici/di interesse) e Microsoft Clarity (mappe di calore e replay di sessione: click, scroll, movimenti del mouse; il testo digitato è mascherato alla fonte). Senza il tuo consenso non viene impostato alcun cookie analytics e non viene creato alcun identificatore; Google Consent Mode v2 invia soltanto ping aggregati e privi di cookie. Dettagli nella Cookie policy.
• Configurazioni pricing (fornite da te, anonime) — lo stack che componi nella pagina pricing è salvato nel tuo browser (localStorage) e non lo lascia mai, a meno che tu non clicchi “Save & share”: in tal caso una copia anonima (moduli, pacchetti, connessioni, volumi — nessun dato personale) viene conservata sui nostri server UE per 12 mesi ed è raggiungibile da chiunque abbia il link.

4. Perché li trattiamo — finalità e basi giuridiche

Per ogni finalità è indicata la base giuridica ai sensi dell'art. 6(1) GDPR.

• Rispondere alla tua richiesta, organizzare demo e assessment, preparare preventivi — misure precontrattuali adottate su tua richiesta, art. 6(1)(b). La casella di spunta su ogni form documenta che hai letto questa informativa e chiesto di essere ricontattato; il conferimento dei dati obbligatori è necessario per gestire la richiesta, altrimenti non possiamo darle seguito.
• Dare seguito alla richiesta per un periodo ragionevole, conservare traccia della conversazione nel nostro CRM e ricontattarti sullo stesso argomento (ad esempio per riprogrammare una demo o per un follow-up su un preventivo) — nostro legittimo interesse a sviluppare relazioni commerciali con le organizzazioni che ci hanno contattato, art. 6(1)(f). Puoi opporti in qualsiasi momento (vedi sezione 9).
• Inviarti la newsletter — tuo consenso, art. 6(1)(a), prestato con l'iscrizione: il consenso è registrato nel nostro CRM con data, indirizzo IP e form di provenienza, e l'indirizzo viene poi sincronizzato con la nostra piattaforma newsletter. L'iscrizione non è mai una condizione per usare un form. Ogni numero include un link di disiscrizione; la disiscrizione ha effetto immediato.
• Misurare l'utilizzo del sito e migliorarlo (Google Analytics 4, Microsoft Clarity) — tuo consenso, art. 6(1)(a) e art. 122 Codice Privacy, prestato tramite il banner cookie e revocabile in qualsiasi momento da “Preferenze cookie” nel footer, senza altra conseguenza che la disattivazione di tali strumenti.
• Mantenere il sito sicuro e funzionante (log, prevenzione di abusi e bot, rate limiting, gestione incidenti) — nostro legittimo interesse, art. 6(1)(f).
• Adempiere a obblighi di legge (contabili, fiscali, antifrode, risposta alle autorità) quando una richiesta si trasforma in contratto — art. 6(1)(c).
• Accertare, esercitare o difendere diritti in sede giudiziaria — nostro legittimo interesse, art. 6(1)(f).
• Non vendiamo dati personali, non inviamo comunicazioni di marketing senza il tuo consenso e non utilizziamo i dati dei visitatori del sito e dei prospect per addestrare modelli di AI.

5. Processi decisionali automatizzati, profilazione e AI

• Non adottiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici nei tuoi confronti o che incidano in modo analogo significativamente sulla tua persona (art. 22 GDPR).
• Profilazione limitata all'analytics: solo con il tuo consenso, Google Analytics 4 costruisce statistiche d'uso aggregate (Google Signals è disattivato: nessun report demografico, di interesse o cross-device) e Microsoft Clarity registra come vengono usate le pagine e assegna un identificatore pseudonimo. Nessuno dei due viene combinato con i dati che inserisci nei form e nessuno dei due viene usato da noi per pubblicità. Puoi rifiutare o revocare il consenso in qualsiasi momento.
• Assistenza AI nel nostro CRM: le richieste e le email in arrivo possono essere classificate, riassunte e prioritizzate da Atomo, il nostro assistente AI, che si avvale di modelli linguistici di terzi (vedi sezione 11). Una persona del nostro team legge sempre e decide come gestire la tua richiesta; l'AI non decide mai se o come risponderti.

6. Chi riceve i dati

All'interno di Made in Evolve i dati sono accessibili solo al personale commerciale, customer success e tecnico che ne ha bisogno, vincolato alla riservatezza. I dati sono trattati dai seguenti fornitori in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR o, dove indicato, di titolari autonomi:

• DigitalOcean LLC (USA) — hosting di questo sito e della piattaforma Nucleo, su data center situati a Francoforte (Germania) e Amsterdam (Paesi Bassi); object storage su region UE.
• Twilio Inc. — SendGrid (USA, region UE) — invio delle notifiche dei form e delle email transazionali, configurato sulla region UE con tracking di click e aperture disattivato.
• Klaviyo, Inc. (USA) — invio della newsletter e gestione degli iscritti, solo se ti iscrivi; l'indirizzo viene sincronizzato dal nostro CRM (nessuno script Klaviyo viene eseguito nel tuo browser e il sito non chiama Klaviyo direttamente).
• Nucleo Brain (il nostro CRM, ospitato su DigitalOcean nell'UE) — conservazione di richieste, contatti, storico dei consensi e corrispondenza. Gli invii dei form sono inoltrati al CRM direttamente via API, insieme alla registrazione dei consensi prestati (cosa hai accettato, quando e da quale form); nessuna casella di posta viene indicizzata per importarli.
• Google Ireland Ltd. / Google LLC (USA) — Google Tag Manager e Google Analytics 4, solo con il tuo consenso ai cookie analytics.
• Microsoft Ireland Operations Ltd. / Microsoft Corporation (USA) — Microsoft Clarity, solo con il tuo consenso ai cookie analytics.
• Fornitori di modelli AI — Anthropic, OpenAI e Google (Gemini API), i cui modelli linguistici di grandi dimensioni sono instradati da Atomo — trattamento, via API, del testo che inviamo ad Atomo per classificazioni, riassunti e trascrizioni, con condizioni API che escludono l'uso dei dati per addestrare i loro modelli e limitano la conservazione dei prompt. I trasferimenti verso gli Stati Uniti sono coperti dall'EU-U.S. Data Privacy Framework o dalle Clausole Contrattuali Standard, a seconda del provider (vedi sezione 7).
• Google Workspace (Google Ireland Ltd.) — email, calendario e archiviazione documentale aziendali; Fireflies.ai Corp. (USA) — il notetaker AI che il nostro team usa nelle call commerciali e di assessment per registrarle, trascriverle e riassumerle, solo quando i partecipanti sono stati informati all'inizio della call e hanno acconsentito.
• Consulenti professionali (commercialisti, avvocati), banche e provider di pagamento, autorità pubbliche ove richiesto dalla legge — in qualità di titolari autonomi.
• Non condividiamo mai i tuoi dati con inserzionisti o data broker.

7. Trasferimenti al di fuori del SEE

I nostri servizi sono configurati su region UE, ma alcuni fornitori hanno sede negli Stati Uniti e possono accedere ai dati da lì (per supporto, o per i dati analytics e newsletter). Tali trasferimenti si basano: (a) sulla decisione di adeguatezza della Commissione Europea per l'EU-U.S. Data Privacy Framework, per i fornitori aderenti al Framework ove indicato nelle rispettive informative (l'elenco è pubblicato su dataprivacyframework.gov); e (b) in tutti gli altri casi, sulle Clausole Contrattuali Standard adottate dalla Commissione (Decisione 2021/914), integrate da una valutazione d'impatto del trasferimento e da misure supplementari come la cifratura in transito e a riposo. Puoi richiedere copia delle garanzie in essere scrivendoci.

8. Per quanto tempo li conserviamo

• Richieste e schede CRM dei prospect: 24 mesi dall'ultimo contatto significativo con te, poi cancellazione o anonimizzazione — salvo firma di un contratto, nel qual caso i dati sono conservati per la durata del rapporto e per i 10 anni successivi a fini contabili e fiscali (art. 2220 c.c.).
• Corrispondenza, note delle call, registrazioni e trascrizioni AI: 24 mesi dall'ultimo contatto; registrazioni e trascrizioni di riunioni che non hanno portato a un contratto sono cancellate entro 12 mesi dalla riunione.
• Newsletter: finché non ti disiscrivi. Gli iscritti che non aprono alcuna email per 24 mesi vengono rimossi dalla lista. La prova del consenso (data, fonte, IP di conferma) è conservata per 24 mesi dopo la disiscrizione o la rimozione per dimostrare la conformità.
• Log dei server e contatori di rate limiting: fino a 12 mesi (i contatori di rate limit scadono in pochi minuti).
• Google Analytics 4: dati a livello di utente ed evento 14 mesi, poi solo report aggregati. Microsoft Clarity: registrazioni di sessione 30 giorni, mappe di calore e dati aggregati 13 mesi.
• Scelta sui cookie: 6 mesi (poi il banner viene riproposto).
• Configurazioni pricing condivise: 12 mesi dalla creazione (non contengono dati personali). La configurazione locale resta nel tuo browser finché non la cancelli.

9. I tuoi diritti

Puoi esercitare in qualsiasi momento e gratuitamente i diritti di accesso, rettifica, cancellazione, limitazione del trattamento, portabilità e opposizione (artt. 15-21 GDPR) e revocare qualsiasi consenso senza pregiudicare la liceità del trattamento effettuato prima della revoca, scrivendo a privacy@nucleoplatform.com (o hello@madeinevolve.com). Rispondiamo entro un mese, prorogabile di due ulteriori mesi nei casi complessi. Per opporti a un trattamento basato sul nostro legittimo interesse, indicaci la tua situazione particolare: interromperemo il trattamento salvo motivi legittimi cogenti che possiamo dimostrare.

Scorciatoie pratiche: analytics — “Preferenze cookie” nel footer; newsletter — link di disiscrizione in ogni numero.

Hai inoltre il diritto di proporre reclamo all'autorità di controllo italiana — Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.gpdp.it — o all'autorità del Paese UE in cui risiedi o lavori, o in cui si è verificata la presunta violazione.

10. La piattaforma Nucleo (app.nucleoplatform.com): ruoli e a chi rivolgere le richieste

• Quando un'organizzazione sottoscrive Nucleo, decide quali dati entrano nella piattaforma (caselle mail, chat, chiamate, calendari, ERP, dati di prodotto, ordini, iscritti loyalty, ticket di assistenza, sorgenti marketing…) e per quali finalità. Quell'organizzazione è il titolare; Made in Evolve è il suo responsabile del trattamento e agisce soltanto sulla base delle sue istruzioni documentate ai sensi del Data Processing Agreement (vedi pagina DPA).
• Se sei dipendente, cliente, fornitore o contatto di uno dei nostri clienti e vuoi esercitare i tuoi diritti su dati trattati dentro Nucleo, rivolgi la richiesta a quell'organizzazione: è lei che può identificarti e decidere sui tuoi dati. Se scrivi a noi, inoltreremo la richiesta al cliente senza ritardo e lo aiuteremo a rispondere.
• Per gli amministratori e i referenti di fatturazione dei clienti siamo titolari dei dati di account (nome, email di lavoro, ruolo, eventi di login e di audit, fatture) — per eseguire il contratto (art. 6(1)(b)), adempiere a obblighi di legge (art. 6(1)(c)) e mettere in sicurezza il servizio (art. 6(1)(f)). Questi dati sono conservati per la durata del contratto più 10 anni per le scritture contabili; i log di sicurezza e di audit per 12 mesi.
• Nucleo opera su infrastruttura nell'Unione Europea; ogni cliente ha un database dedicato e logicamente separato. I dati dei clienti non vengono mai utilizzati per addestrare modelli di AI, nostri o di terzi.

11. Come Nucleo usa l'AI (trasparenza ai sensi dell'AI Act)

• Atomo, il layer AI di ogni modulo Nucleo, utilizza via API modelli linguistici di grandi dimensioni di fornitori terzi — Anthropic, OpenAI e Google (Gemini API) — selezionati tramite un layer di routing che il cliente può restringere nelle impostazioni. I prompt e i dati necessari a rispondere vengono inviati al fornitore con condizioni API che ne escludono l'uso per addestrare i modelli del fornitore e limitano la conservazione dei prompt. Atomo non costruisce propri modelli sui dati dei clienti.
• Sai sempre quando interagisci con l'AI: la chat di Atomo, i suggerimenti, i riassunti, le classificazioni e le bozze sono etichettati come generati dall'AI nell'interfaccia. Le modifiche piccole e reversibili che un utente chiede ad Atomo (ad esempio modificare un prodotto o aggiungere una nota) vengono applicate direttamente e registrate; invii di messaggi, cancellazioni, unioni, operazioni massive e modifiche di prezzo vengono eseguiti solo dopo la conferma di una persona. Alcune attività AI in background funzionano senza conferma (ad esempio classificare le email in arrivo, creare contatti o candidati dalle email, compilare campi vuoti): il cliente può disattivarle una per una.
• Contenuti sintetici: Catalog non genera immagini o video con l'AI, e Atomo non li genera. Catalog può collegarsi a servizi di terze parti per la generazione AI di foto e video scelti dal cliente (incluso il servizio di produzione AI di Made in Evolve): sono questi servizi a produrre immagini e video, che vengono poi importati nel DAM del cliente e collegati ai suoi prodotti. La marcatura di tali contenuti come generati dall'AI, richiesta dall'art. 50 del Regolamento (UE) 2024/1689, spetta al fornitore del servizio di generazione; i clienti che pubblicano tali contenuti restano responsabili di ogni ulteriore indicazione richiesta dal canale o dalla legge.
• Registrazioni e trascrizioni di riunioni: Nucleo può agganciare a contatti e trattative registrazioni e trascrizioni AI delle call. Chi registra deve informare tutti i partecipanti all'inizio della chiamata e ottenerne l'accordo ove richiesto; Nucleo non registra chiamate di propria iniziativa.
• Gli output dell'AI possono essere imprecisi o incompleti: sono un supporto alle decisioni umane, mai un sostituto. Nucleo non è progettato e non deve essere usato per valutare prestazioni o comportamenti dei dipendenti, per inferire emozioni o per qualsiasi pratica vietata dall'art. 5 dell'AI Act; vedi Termini e DPA.
• Made in Evolve è deployer di modelli di AI per finalità generali e fornitore del software Nucleo che li integra. Manteniamo la formazione all'alfabetizzazione AI del nostro personale (art. 4 AI Act), documentiamo i modelli in uso e i loro limiti e aggiorniamo questa informativa quando modelli o funzionalità cambiano.

12. Sicurezza

I dati sono cifrati in transito (TLS 1.2+) e a riposo, gli accessi sono basati sui ruoli e registrati, l'infrastruttura è definita come codice e aggiornata regolarmente, i backup sono cifrati e conservati nell'UE e i segreti non sono mai salvati nel codice. I nostri fornitori di infrastruttura sono selezionati anche per le loro certificazioni di sicurezza (i data center DigitalOcean sono certificati ISO 27001 e SOC 2).

13. Aggiornamenti

Aggiorniamo questa informativa ogni volta che cambiano il sito, gli strumenti che usiamo o la normativa; se una modifica ti riguarda in modo sostanziale (ad esempio una nuova finalità o un nuovo strumento che richiede consenso) chiederemo prima il consenso o ti informeremo prima che abbia effetto. La data in alto riflette l'ultima revisione; le versioni precedenti sono disponibili su richiesta.