Informativa sulla privacy

1. Chi risponde dei tuoi dati

OPĒS è pubblicata e venduta da chi gestisce l'applicazione e il sito nfsynq.net (l'«Editore», «noi»). Tutto ciò di cui parla questa informativa passa da un solo indirizzo: legal@nfsynq.net.

Ai sensi del Regolamento (UE) 2016/679 (GDPR) il titolare del trattamento è l'Editore, che non tratta dati per conto di altri. Non è designato un responsabile della protezione dei dati: le richieste le legge e le evade l'Editore. Se ti servono i suoi dati identificativi e la sede — per una richiesta formale o per un reclamo — chiedili a legal@nfsynq.net e te li mandiamo.

Questa informativa riguarda l'applicazione OPĒS per iOS e Android e il sito nfsynq.net. Non riguarda la piattaforma NFSynq Enterprise (nfsynq.com), che ha un proprio quadro contrattuale e un proprio accordo sul trattamento dei dati.

2. Il principio: non vogliamo i dati della tua azienda

OPĒS risponde a domande di sicurezza alimentare consultando un corpo di conoscenza normativa pubblica. Non è un luogo dove archiviare i documenti della tua impresa e non ne ha bisogno per rispondere.

Non chiediamo, e l'app non raccoglie, i tuoi piani HACCP, i tuoi fornitori, le tue ricette, i tuoi esiti di analisi, i tuoi registri di produzione o di lotto, né dati dei tuoi clienti. Se scegli di incollare informazioni di questo tipo dentro una domanda, lo fai di tua iniziativa: vedi il punto 5.

Nell'app OPĒS non c'è pubblicità, non c'è identificativo pubblicitario, non c'è profilazione a fini di marketing e non c'è vendita o cessione di dati personali a data broker.

3. Quali dati trattiamo

Trattiamo soltanto le seguenti categorie di dati:

• Dati dell'account: il tuo indirizzo email e, facoltativamente, un nome visualizzato — necessari per darti accesso all'abbonamento su tutti i tuoi dispositivi.
• Dati dell'abbonamento: gli identificativi di cliente e di transazione restituiti da Stripe, il nostro fornitore di pagamento, insieme al piano, alle date di attivazione e rinnovo e allo stato. Da Stripe ci arrivano anche i dati di fatturazione che gli comunichi alla cassa — nome e indirizzo di fatturazione, e ciò che aggiungi tu — perché servono agli obblighi contabili. Non riceviamo né conserviamo il numero della tua carta.
• Il contenuto della domanda che poni: viaggia fino al modello, torna come risposta e finisce lì. Né la domanda né la risposta vengono conservate — non esiste nessun archivio delle conversazioni. Dell'uso resta soltanto un conteggio mensile di quante richieste ha fatto la tua chiave, senza domande e senza risposte.
• Dati tecnici e diagnostici: versione dell'app, sistema operativo, modello del dispositivo, impostazioni di lingua e area, log di errore e indirizzo IP della richiesta. L'app non contiene alcuno strumento di raccolta dei report di crash: quelli che Apple o Google raccolgono a livello di sistema operativo non ci arrivano.
• Corrispondenza di assistenza: quello che ci scrivi attraverso il modulo su nfsynq.net o via email, e le nostre risposte.
• Sito web: la memorizzazione tecnica strettamente necessaria (la lingua, il tema chiaro/scuro e la scelta che fai sui cookie, che restano nel tuo browser); le statistiche di visita aggregate di Vercel Web Analytics, senza cookie e senza identificativi persistenti; e, soltanto se lo consenti, Google Analytics (cookie) e un identificativo casuale di marketing salvato sul tuo dispositivo. Dettagli al punto 12.

4. Perché li trattiamo e su quale base giuridica

• Per fornire l'app e rispondere alle tue domande — esecuzione del contratto, art. 6, par. 1, lett. b) GDPR.
• Per gestire l'abbonamento, i rinnovi, i rimborsi e la fatturazione — esecuzione del contratto e obbligo legale, art. 6, par. 1, lett. b) e c).
• Per mantenere sicuro il servizio e prevenire abusi, frodi ed estrazioni automatizzate della base di conoscenza — legittimo interesse, art. 6, par. 1, lett. f).
• Per correggere difetti e migliorare l'accuratezza delle risposte — legittimo interesse, art. 6, par. 1, lett. f), su dati aggregati o pseudonimizzati ovunque questo sia sufficiente.
• Per rispondere alle tue richieste di assistenza — esecuzione del contratto e legittimo interesse.
• Per adempiere agli obblighi contabili, fiscali e di diritto dei consumatori — obbligo legale, art. 6, par. 1, lett. c).
• Per inviarti comunicazioni facoltative sulle nuove funzioni — tuo consenso, art. 6, par. 1, lett. a), revocabile in qualsiasi momento.
• Per misurare in forma aggregata le visite al sito (Vercel Web Analytics) — legittimo interesse, art. 6, par. 1, lett. f).
• Per le statistiche di Google Analytics e per l'identificativo casuale di marketing — tuo consenso, art. 6, par. 1, lett. a) GDPR e art. 5, par. 3, direttiva 2002/58/CE, revocabile in qualsiasi momento da «Preferenze cookie» nel piè di pagina.
• Per presentare OPĒS a professionisti e imprese del settore alimentare che non sono ancora nostri utenti — legittimo interesse, art. 6, par. 1, lett. f) e considerando 47 GDPR, con il diritto di opporti in qualsiasi momento: vedi il punto 13.

5. Come funziona l'intelligenza artificiale e cosa succede alle tue domande

Il modello che risponde alle tue domande gira su infrastruttura gestita dall'Editore. Le tue domande non vengono inviate ad alcun fornitore di intelligenza artificiale terzo: nella catena non c'è alcun fornitore esterno di modelli, e nessuno al di fuori dell'Editore e dei suoi responsabili vede ciò che chiedi.

Le risposte sono generate consultando una base di conoscenza normativa costruita su fonti pubbliche: l'autorità competente di 251 Paesi e territori, per 251 di essi anche quale atto si applica e dove leggerlo, con la provenienza della fonte accertata, il diritto alimentare dell'Unione Europea — che è oggi la parte in cui la base contiene anche i valori applicabili — e le pubblicazioni delle autorità nazionali (FDA, CFIA, FSA, FSANZ, MHLW) e del Codex Alimentarius. Ogni risposta dichiara la fonte su cui si fonda e il livello di affidabilità dichiarato per quella fonte.

Domande e risposte non vengono conservate. Non esiste alcun archivio delle conversazioni: la domanda serve a produrre la risposta e finisce lì, e non c'è nulla che possa essere usato per addestrare un modello o mostrato ad altri utenti. È una scelta di progetto — ed è anche il motivo per cui OPĒS non offre uno storico delle domande.

Ti chiediamo di non inserire nelle domande dati personali di altre persone, dati sulla salute o informazioni aziendali riservate: a OPĒS non servono per rispondere.

OPĒS produce un risultato informativo, non decisioni automatizzate che producano effetti giuridici o analogamente significativi nei tuoi confronti ai sensi dell'art. 22 GDPR. La decisione su come agire resta sempre a te, o al professionista di cui ti avvali.

6. Chi altro vede i dati

• Stripe, il nostro fornitore di pagamento: incassa, gestisce la pagina di pagamento e il portale dell'abbonato ed emette la ricevuta. Riceve il tuo indirizzo email e i dati di fatturazione e di pagamento che inserisci alla cassa, ed è l'unico soggetto della catena che tratta lo strumento di pagamento.
• I nostri fornitori di hosting e infrastruttura, in qualità di responsabili del trattamento ai sensi dell'art. 28 GDPR. Vercel ospita il sito nfsynq.net ed esegue le sue funzioni server, quindi tratta ciò che invii dai moduli e i registri tecnici delle richieste, indirizzo IP compreso. Hetzner Online GmbH fornisce i server e il database su cui girano il tuo account, lo stato dell'abbonamento, il conteggio d'uso e l'assistente che ti risponde: quelle macchine si trovano in Finlandia, nell'Unione europea, ed è lì che i tuoi dati stanno davvero. Entrambi agiscono solo su nostra istruzione e nessuno dei due usa i tuoi dati per finalità proprie.
• I nostri fornitori di posta elettronica: Resend consegna le email che ti mandiamo — conferma della rinuncia al recesso, conferma delle richieste di assistenza, recupero della password — e Cloudflare instrada quelle che scrivi tu a legal@nfsynq.net. Se la posta in uscita passa dal canale alternativo, il trasporto è dei server iCloud di Apple. Ricevono il tuo indirizzo e il testo del messaggio.
• Google Ireland Limited e Google LLC, soltanto se acconsenti a Google Analytics: ricevono dal tuo browser gli identificativi dei cookie, le pagine visitate e dati tecnici del dispositivo, per produrre le statistiche di visita.
• Fly.io, il fornitore di infrastruttura su cui gira il nostro sistema di comunicazione commerciale, in qualità di responsabile del trattamento: vi passano gli arrivi sul sito (Paese e parametri della campagna, mai l'indirizzo IP del visitatore) e i recapiti professionali del punto 13, insieme ai fornitori di invio di posta elettronica di quel sistema.
• Consulenti, commercialisti e revisori, solo ove strettamente necessario e vincolati alla riservatezza.
• Autorità pubbliche, quando la comunicazione è imposta dalla legge.

Non vendiamo dati personali e non li comunichiamo per finalità di marketing di terzi.

7. Trasferimenti fuori dallo Spazio economico europeo

I server e il database che tengono il tuo account si trovano nell'Unione europea (Finlandia): i dati al centro del servizio non escono dallo Spazio economico europeo. Alcuni degli altri destinatari elencati al punto 6 sono invece stabiliti fuori, o usano infrastrutture che lo sono. Quando un responsabile opera al di fuori dello Spazio economico europeo, il trasferimento avviene sulla base di una decisione di adeguatezza della Commissione europea oppure delle Clausole contrattuali tipo adottate con Decisione (UE) 2021/914, unitamente alle misure supplementari richieste dal caso. Scrivi a legal@nfsynq.net e ti diciamo quali responsabili sono coinvolti, dove opera ciascuno e su quale base, e ti mandiamo copia delle garanzie in essere il giorno della tua richiesta. Google, Vercel e Fly.io sono società con sede negli Stati Uniti: per loro il trasferimento si fonda sulla decisione di adeguatezza della Commissione sul quadro UE-USA per la protezione dei dati (Decisione di esecuzione (UE) 2023/1795) quando la società vi aderisce, e altrimenti sulle clausole contrattuali standard.

8. Per quanto tempo li conserviamo

• Dati dell'account e dell'abbonamento: per tutta la durata dell'account. Quando cancelli l'account — cosa che puoi fare da solo, a qualsiasi ora, da nfsynq.net/delete-account — l'email, la ragione sociale, la password, le sessioni e le chiavi d'API vengono rimosse subito, non dopo un periodo di attesa. Le scritture contabili di ciò che è stato acquistato (piano, prezzo, periodo) restano 10 anni come impone la normativa fiscale, senza il tuo indirizzo email.
• Domande e risposte: non conservate, quindi non c'è alcun termine da indicare. Resta il solo conteggio mensile delle richieste per chiave, tenuto finché serve alla gestione dell'abbonamento.
• Log tecnici: 12 mesi.
• Corrispondenza di assistenza: 24 mesi dalla chiusura della richiesta.
• Ricevute di cancellazione: conservate senza limite di tempo, e non contengono niente che ti identifichi — un numero casuale, una data e il riepilogo di ciò che è stato rimosso e di ciò che è dovuto restare. È la prova che una cancellazione è avvenuta, e sopravvive proprio perché di te non sopravvive nient'altro.

9. I tuoi diritti

Ai sensi degli articoli da 15 a 22 del GDPR hai diritto di ottenere l'accesso ai tuoi dati, la loro rettifica o cancellazione, la limitazione del trattamento, la portabilità dei dati che ci hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico, e di opporti ai trattamenti fondati sul nostro legittimo interesse.

Quando il trattamento si fonda sul consenso, puoi revocarlo in qualsiasi momento, senza che ciò pregiudichi la liceità del trattamento svolto prima della revoca.

Puoi esercitare questi diritti scrivendo a legal@nfsynq.net. Rispondiamo entro un mese, prorogabile di ulteriori due mesi per richieste particolarmente complesse, come previsto dall'art. 12, par. 3, GDPR. La cancellazione non deve aspettare quella risposta: l'account lo cancelli da solo, a qualsiasi ora, da nfsynq.net/delete-account — ha effetto immediato, chiude l'abbonamento eventualmente ancora aperto e ti lascia un numero di ricevuta come prova. Non c'è comunque uno storico delle domande da cancellare, perché domande e risposte non vengono conservate (punto 5).

Se ritieni che i tuoi dati siano trattati illecitamente puoi proporre reclamo a un'autorità di controllo. L'art. 77 del GDPR ti lascia scegliere fra l'autorità del tuo luogo di residenza abituale, quella del tuo luogo di lavoro e quella del luogo in cui è avvenuta la presunta violazione: non devi cercare la nostra per essere ascoltato. Se preferisci rivolgerti all'autorità che vigila sull'Editore, chiedila a legal@nfsynq.net e ti diciamo qual è.

10. Sicurezza

I dati sono cifrati in transito (TLS) e a riposo. L'accesso ai sistemi di produzione è riservato a un numero minimo di persone autorizzate, tracciato e protetto da autenticazione a più fattori. Manteniamo una procedura di gestione degli incidenti e, quando una violazione di dati personali è suscettibile di presentare un rischio elevato per i tuoi diritti, ne diamo notizia a te e all'autorità di controllo nei termini degli articoli 33 e 34 del GDPR.

11. Minori

OPĒS è uno strumento professionale e non è rivolto ai minori. Non deve essere usato da chi ha meno di 16 anni, o l'età superiore stabilita dalla legge del tuo paese per il consenso ai servizi della società dell'informazione. Non raccogliamo consapevolmente dati di minori; se ritieni che un minore abbia creato un account, scrivi a legal@nfsynq.net e provvederemo alla cancellazione.

12. Cookie, memorizzazione locale e statistiche

Il sito nfsynq.net distingue quattro cose. Solo la prima è sempre attiva; le altre richiedono la tua scelta o sono descritte qui perché tu possa opporti.

• Strettamente necessario (nessun consenso): la lingua, il tema chiaro/scuro e la scelta che fai su questo avviso, conservati nel tuo browser e mai inviati a noi; e i cookie tecnici di sessione di chi accede al proprio account.
• Statistiche aggregate senza cookie (Vercel Web Analytics): conta le visite e le pagine viste senza cookie, senza identificativo persistente e senza seguirti fra siti diversi. Base giuridica: legittimo interesse; puoi opporti scrivendo a legal@nfsynq.net.
• Google Analytics (solo con il tuo consenso): imposta cookie (_ga e _ga_*, fino a due anni) e invia a Google dati di navigazione per produrre statistiche di visita. Senza il tuo consenso non viene caricato alcuno script di Google e non si salva alcun cookie.
• Identificativo casuale di marketing (solo con il tuo consenso): un numero casuale salvato nella memoria locale del browser (chiave nfsynq_marketing_anon_id) che ci dice se una visita viene da qualcuno già arrivato e da quale campagna. Non contiene dati personali e non lo colleghiamo al tuo account. Senza consenso non salviamo nulla sul tuo dispositivo: la visita viene comunque contata in forma anonima (Paese e parametri della campagna, nessun indirizzo IP, nessun identificativo conservato).

La tua scelta vale 12 mesi, poi te la richiediamo. La cambi quando vuoi da «Preferenze cookie» nel piè di pagina: revocare è facile quanto acconsentire, e revocando cancelliamo dal tuo browser i cookie di Google Analytics e l'identificativo di marketing.

L'app non usa l'identificativo pubblicitario (IDFA/AAID) e non partecipa ad alcun circuito pubblicitario.

13. Contatti commerciali con professionisti del settore

Oltre che ai nostri utenti, l'Editore può scrivere a professionisti e imprese della sicurezza alimentare (consulenti, responsabili qualità, imprese del settore) per presentare OPĒS. Se hai ricevuto una nostra email senza esserti iscritto, questo punto ti dice chi siamo, quali dati abbiamo di te e come fermarci (art. 14 GDPR).

• Titolare e contatto: l'Editore (punto 1), all'indirizzo legal@nfsynq.net.
• Dati: nome, ruolo, indirizzo email professionale e impresa di appartenenza, più le tue eventuali risposte o la richiesta di non essere più contattato. Nessun dato di categoria particolare e nessun dato privato.
• Fonte: informazioni accessibili al pubblico (siti web di imprese e professionisti, elenchi e registri professionali) e servizi di ricerca di contatti professionali. Non li riceviamo da te.
• Finalità e base giuridica: presentarti un servizio pertinente alla tua attività professionale — legittimo interesse, art. 6, par. 1, lett. f) e considerando 47 GDPR, bilanciato con i tuoi diritti. I messaggi sono pochi, pertinenti al tuo ruolo e indicano come opporsi.
• Opposizione: puoi opporti in qualsiasi momento e senza motivazione (art. 21 GDPR) con il link di disiscrizione presente nelle email o scrivendo a legal@nfsynq.net. Smettiamo subito e conserviamo soltanto l'indicazione di non ricontattarti.
• Conservazione: finché la comunicazione resta pertinente al tuo ruolo e comunque finché non ti opponi; chi si oppone o non è più pertinente viene tolto dagli elenchi.
• Destinatari: i fornitori di infrastruttura e di invio di posta elettronica del punto 6, come responsabili del trattamento.
• Diritti e reclamo: quelli del punto 9, compresi la cancellazione dei tuoi recapiti e il reclamo a un'autorità di controllo.

14. Modifiche a questa informativa

Possiamo aggiornare questa informativa per riflettere cambiamenti del servizio o della normativa. La versione e la data dell'ultimo aggiornamento sono indicate in cima a questa pagina. Se una modifica incide in modo sostanziale sul trattamento dei tuoi dati, te ne daremo notizia nell'app o via email prima che diventi efficace.

15. Contatti

Per qualsiasi domanda su questa informativa, o per esercitare i tuoi diritti, scrivi a legal@nfsynq.net. È un solo indirizzo, letto da una persona, ed è l'unico che ti serve. Se ti occorre un indirizzo postale — per una comunicazione formale o perché lo chiede un'autorità — chiedilo lì e te lo mandiamo, insieme ai dati identificativi dell'Editore.