Informativa sulla privacy dell'AI Business Compass

Versione [0.1 del giorno della pubblicazione], per il percorso in esercizio su ai-business-compass.innovanext.ai.

1. Chi tratta i tuoi dati

Il titolare del trattamento è Business Innova S.r.l., Via Bocchetto 6, 20123 Milano, partita IVA 14660050965, PEC businessinnovasrl@pec.it, proprietaria del marchio Innova Next. Per i tuoi dati e per i tuoi diritti scrivi a privacy@innovanext.ai. Business Innova non ha nominato un responsabile della protezione dei dati: non è un soggetto pubblico, non tratta dati particolari su larga scala e non sorveglia le persone in modo regolare e sistematico (art. 37 del GDPR).

2. Che cosa fa il Compass

È un percorso che fai da solo, dal telefono o dal computer. Lasci nome, cognome, e-mail e l'indirizzo del sito della tua impresa, dici che cosa sai dell'AI Act e della formazione, scegli un'area e un'attività, rispondi a cinque domande sul problema e ricevi una relazione con una prima ipotesi di intervento. Il percorso e la relazione li produce un sistema automatico con un modello di intelligenza artificiale, senza una persona che li legga prima. La relazione è un orientamento, non una consulenza legale, tecnica o fiscale.

3. Quali dati

I dati che inserisci tu: nome, cognome, e-mail, indirizzo del sito della tua impresa; le risposte sull'AI Act e sulla formazione; l'area e l'attività che scegli; le risposte alle cinque domande.
Il testo pubblico del tuo sito, che il nostro lettore legge per preparare la relazione: sono dati pubblici dell'impresa.
La relazione.
I dati tecnici: un'impronta del tuo indirizzo IP, calcolata con una chiave segreta che cambia, per i limiti contro gli abusi; la data e l'ora di ogni passo; quale casella hai spuntato, con la versione del suo testo; la conferma del tuo indirizzo e-mail; un cookie tecnico di sessione che tiene insieme i passi del percorso. Non ci sono cookie di profilazione né strumenti di analisi di terzi.
Non chiediamo dati particolari (salute, opinioni, appartenenze) né dati di altre persone: non inserirli nelle risposte.

4. Perché e con quale base

Per che cosa	Base giuridica
Produrre la relazione e mandartela all'indirizzo che confermi	Il servizio che chiedi (art. 6, paragrafo 1, lettera b, del GDPR)
Confermare che l'indirizzo e-mail è tuo prima di mandare la relazione	Il servizio che chiedi, e il nostro interesse a non mandare la relazione a un indirizzo sbagliato (lettere b e f)
Leggere il sito pubblico della tua impresa	Il servizio che chiedi; i dati sono pubblici
Ricontattarti per approfondire la relazione e proporti i servizi di Business Innova	Solo con il tuo consenso, con la seconda casella (art. 6, paragrafo 1, lettera a, del GDPR e art. 130 del Codice privacy). Lo revochi quando vuoi, e il servizio non ne dipende
Limiti contro gli abusi, sicurezza del servizio, registro di chi legge le relazioni	Il nostro legittimo interesse a far funzionare e proteggere il servizio (lettera f)

5. Chi riceve i dati

Google Cloud EMEA Limited, Dublino, Irlanda. Per leggere il tuo sito e scrivere la relazione usiamo un assistente automatico: il modello Gemini di Google, eseguito da Google Cloud sulla sua piattaforma Vertex AI, con l'elaborazione nella multi-regione dell'Unione europea secondo il contratto di Google. A Google arrivano il testo pubblico del tuo sito e le tue risposte, non il tuo nome, cognome ed e-mail. Google li tratta per nostro conto, con il suo accordo sul trattamento dei dati, non li usa per addestrare modelli e non li conserva oltre il tempo necessario a produrre la risposta[, salvo una memoria temporanea che si cancella entro 24 ore]. Se i suoi filtri automatici segnalano un contenuto come possibile abuso, Google può conservarlo fino a 90 giorni nell'Unione europea e farlo leggere a personale autorizzato, solo per quella verifica.
Hetzner Online GmbH, Gunzenhausen, Germania. Il server del Compass e le copie di sicurezza, nel centro dati di Norimberga, in Germania.
Brevo SAS, Parigi, Francia. La mail che ti chiede di confermare l'indirizzo e la mail con la relazione, mandate dall'indirizzo compass@innovanext.ai di Business Innova. Se rispondi a una di queste mail, la risposta arriva alla casella compass@innovanext.ai, letta dalle stesse persone autorizzate della voce 4. Le mail non contengono pixel di tracciamento.
Le persone autorizzate di Business Innova che leggono le relazioni nell'area riservata: oggi quattro persone, fra cui i soci che seguono le attività commerciali, con utenze personali, secondo fattore, istruzioni scritte e un registro degli accessi.
CNA Piemonte Nord, se arrivi dal QR del Business Lab del 27 ottobre 2026: ospita il QR al suo evento e non riceve i tuoi dati.

Nessun dato viene venduto, e nessun dato va a terzi per la loro pubblicità. La prova contro i robot gira sul nostro server, senza servizi di terzi. I dati sono conservati in Germania e il modello di Google lavora nella multi-regione dell'Unione europea; per gli accessi di assistenza della casa madre statunitense di Google valgono le clausole contrattuali tipo della Commissione europea e, dove il fornitore vi aderisce, il Data Privacy Framework UE-USA.

6. Dove stanno i dati

Sul server di Business Innova presso Hetzner, a Norimberga, in un database con copie di sicurezza: le copie del server presso Hetzner, una al giorno, restano sette giorni; il dump notturno del database resta sette giorni sul server; una copia cifrata fuori sede, fatta due volte al giorno, resta fino a trentasette giorni nel bucket di Google Cloud a Milano (europe-west8), quando è attiva. L'ambiente di collaudo è un server a parte e non riceve dati veri.

7. Quanto restano

Dato	Durata
Un percorso non finito, o finito senza la conferma dell'indirizzo e-mail	Trenta giorni dall'ultimo passo, poi si cancella
Risposte e relazione	Dodici mesi dalla relazione
Nome, cognome, e-mail, risposte e relazione, se hai dato il consenso al ricontatto	Ventiquattro mesi dal consenso, o prima se lo revochi
La conferma dell'indirizzo e la versione delle caselle	Insieme al percorso, come prova della tua scelta
L'impronta dell'indirizzo IP	Ventiquattro ore al massimo, o meno quando la chiave cambia
Le copie di sicurezza	Sette giorni le copie del server e il dump del database; fino a trentasette giorni la copia fuori sede, quando è attiva
Il registro degli accessi all'area riservata (chi entra e quale relazione legge)	400 giorni

Puoi cancellare il tuo percorso prima, con il pulsante che trovi nella relazione e nella mail, o scrivendo a privacy@innovanext.ai. Alla scadenza la cancellazione è automatica. Un dato cancellato resta nelle copie di sicurezza finché scadono, sette giorni sul server e presso Hetzner e al massimo trentasette giorni per la copia fuori sede, quando è attiva: le copie servono solo al ripristino. Dopo la cancellazione teniamo la data del comando con un'impronta del tuo indirizzo, per provare che l'abbiamo eseguito, e le righe del registro degli accessi con il solo numero del percorso, senza nome né indirizzo; presso Brevo resta lo storico degli invii per il tempo previsto dal suo contratto.

8. I tuoi diritti

Hai i diritti degli articoli da 15 a 22 del GDPR: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione. Puoi revocare il consenso al ricontatto quando vuoi, senza effetto su quanto fatto prima. Scrivi a privacy@innovanext.ai: rispondiamo entro un mese. Puoi fare reclamo al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma, www.garanteprivacy.it, se ritieni che il trattamento violi il regolamento.

9. Sicurezza

Collegamenti cifrati; prova contro i robot e limiti per indirizzo, per e-mail e per percorso; area riservata con utenze personali, secondo fattore e registro degli accessi; copie di sicurezza cifrate; un interruttore che spegne il modulo. Se una violazione dei dati ti riguarda e comporta un rischio elevato per te, te la comunichiamo come prevede l'art. 34 del GDPR.

10. Modifiche

La versione in vigore è quella pubblicata nel percorso, con la data. Se cambia qualcosa che ti riguarda, lo vedi nel percorso prima di andare avanti.