Privacy & Cookies Policy

3.1. Scopo del servizio

Navisio AI è una soluzione basata sull’intelligenza artificiale pensata per operatori professionali del settore assicurativo. La sua funzione è quella di comparare le diverse polizze esistenti sul mercato per individuare quella più idonea per le esigenze del consumatore.

Si tratta di una IA a rischio minimo ai sensi dell’AI Act. Infatti non dispone di una base dati attuariale per attività di risk assessment.

3.2. Dati trattati

Per elaborare i quesiti, vengono prima di tutto trattati i dati che l’utente inserisce nelle domande (c.d. “prompt”) e nei documenti caricati insieme ad esse. Dopodiché s’incrociano le informazioni con due raccolte di documenti, ossia:

• Archivio Pubblico: è una raccolta di documenti selezionati dalla società e messa a disposizione di tutti i clienti. Non contiene dati personali. Vi rientrano solo condizioni generali di contratto e set informativi delle compagnie.
• Archivio Privato: è una sezione in cui il cliente, broker o agente che sia, può caricare documenti per migliorare la base dati a disposizione dell’IA. In questo caso lo spazio d’archiviazione è dedicato all’utente e non viene condiviso con altri clienti, nel rispetto di riservatezza e segreto professionale.

Sono poi trattati i dati per l’attivazione dell’account (nome, cognome e mail) e le informazioni anagrafiche necessarie per contabilità e pagamenti.

3.3. Distinzione dei ruoli

È importante precisare che Nano I-Tech S.r.l. agisce nella duplice veste di titolare autonomo e responsabile del trattamento dati personali. In particolare:

• è titolare autonomo per ciò che riguarda lo sviluppo del prodotto sotto il profilo tecnico, il miglioramento dell’Archivio Pubblico e la gestione amministrativa del rapporto;
• mentre è responsabile del trattamento, ai sensi dell’art. 28 GDPR, per la gestione dei prompt e dell’Archivio Privato.

In questa sezione ci si concentra soprattutto sui trattamenti come titolare autonomo. Per quanto riguarda le obbligazioni del responsabile, si rinvia al DPA sottoscritto in fase di attivazione del contratto.

3.4. Training

Le condizioni contrattuali coi sub-fornitori escludono esplicitamente i prompt dal training delle intelligenze artificiali (Gemini e Mistral).

Nano I-Tech S.r.l. inoltre svolge attività di fine tuning solo su dati anonimizzati, escludendo non solo i dati personali ma anche le informazioni riservate e quanto coperto da segreto professionale.

3.5. Processi automatizzati

Visto che il prodotto si basa sull’intelligenza artificiale, il sistema per sua natura offre solo processi automatizzati. Gli output, però, non sono in grado di avere conseguenze dirette sugli interessati. Sono sempre sottoposti ad un operatore umano, che deve revisionarli prima di servirsene. Non costituiscono pertanto processi decisionali in senso stretto.

In particolare non vi è alcun collegamento automatico tra intelligenza artificiale e portali per l’attivazione delle polizze.

3.6. Trasferimento dei dati a terzi

I dati presenti in prompt e archivi di Navisio AI vengono trattati su server solo europei. La società fornisce su richiesta un elenco completo dei servizi di terze parti usati.

3.7. Durata del trattamento

Gli utenti possono cancellare in qualsiasi momento la cronologia ricerche ed i documenti dell’archivio privato, direttamente dalla piattaforma.

Qualora ciò non venga fatto, si provvederà alla cancellazione di tutti i dati presenti entro 30 giorni dal termine della licenza. I dati verranno definitivamente smaltiti anche dal backup nei successivi 180 giorni.

3.8. Basi giuridiche

In relazione alle finalità appena esposte, per ciò che concerne Navisio AI, le basi giuridiche ai sensi dell’art. 6 del GDPR sono:

• l’esistenza di un contratto (lett. b) per i dati che servono all’attivazione degli account;
• e gli obblighi di legge (lett. c) per la gestione amministrativa e contabile del rapporto.

Tutti gli altri dati gestiti tramite Navisio AI vengono trattati da Nano I-Tech come responsabile del trattamento.

3.9. App Navisio per iOS e Android

L’app Navisio dà accesso a Navisio AI dal telefono agli utenti già abilitati dalla propria organizzazione: non consente di creare account né di acquistare servizi. Valgono le regole dei punti precedenti, con queste precisazioni.

• Accesso: l’autenticazione avviene tramite la stessa pagina di accesso della piattaforma web, gestita dal fornitore Auth0 su server europei. Le credenziali della sessione restano sul dispositivo, nell’archivio protetto del sistema operativo (Portachiavi su iOS, Keystore su Android).
• Sblocco con Face ID o impronta: il riconoscimento biometrico è svolto dal sistema operativo del dispositivo. Nano I-Tech non riceve né conserva dati biometrici.
• Fotocamera, foto e file: l’app vi accede solo quando l’utente sceglie di allegare un documento. I documenti allegati sono trattati come quelli caricati dalla piattaforma web (punto 3.2).
• Dati sul dispositivo: conversazioni ed elenchi restano nella memoria dell’app per la durata della sessione e vengono cancellati all’uscita dall’account. I documenti aperti o allegati nell’app sono salvati temporaneamente nella memoria cache dell’app sul dispositivo: vengono cancellati all’uscita dall’account o alla scadenza della sessione, e comunque entro 24 ore.
• Rapporti sui malfunzionamenti: quando l’app incontra un errore, invia un rapporto tecnico (tipo di errore, modello del dispositivo, versioni del sistema operativo e dell’app, un identificativo pseudonimo dell’utente) al servizio Sentry, che lo conserva nell’Unione Europea per un massimo di 90 giorni. I rapporti non contengono il testo delle conversazioni, i documenti, il nome o l’indirizzo email dell’utente.
• Aggiornamenti: l’app scarica i propri aggiornamenti dal servizio Expo (EAS Update), trasmettendo dati tecnici come indirizzo IP, piattaforma e versione dell’app. I dati potrebbero essere oggetto di trattamento mediante provider, situati negli USA, sotto la tutela delle clausole contrattuali standard UE e del privacy framework.
• Pubblicità e tracciamento: l’app non contiene pubblicità, non usa la posizione del dispositivo e non traccia l’utente su app o siti di terze parti.
• Richiesta di una demo: chi non ha un account può chiedere una demo dall’app. Il nome e l’indirizzo email inseriti vengono trasmessi al CRM HubSpot, come per il modulo di contatto del sito (punto 4.4).

Le basi giuridiche sono l’esistenza di un contratto (lett. b) per il funzionamento dell’app e l’accesso all’account, ed il legittimo interesse (lett. f) alla sicurezza ed al buon funzionamento del servizio per i rapporti sui malfunzionamenti.

Cancellazione dell’account: l’utente può chiedere la cancellazione del proprio account, dall’app o dalla piattaforma web, scrivendo a support@navisio.ai dall’indirizzo email con cui accede. Entro 30 giorni l’account viene disattivato e i dati per i quali Nano I-Tech è titolare (nome, cognome e mail) vengono cancellati. Le conversazioni ed i documenti, trattati per conto dell’organizzazione dell’utente, seguono le istruzioni di quest’ultima e quanto previsto al punto 3.7.

4.1. Mediazione assicurativa

Nano I-Tech si occupa anche di mediazione assicurativa. Per tale attività è stato predisposto un portale dedicato, con apposita informativa privacy consultabile qui.

4.2. Mail e telefonate commerciali

Le campagne marketing di Nano I-Tech sono dirette a società ed imprese commerciali in quanto si tratta di trattative B2B. Non è previsto marketing verso i consumatori.

In quest’ottica possono essere, eventualmente, trattati i nominativi di un referente. In questo caso verranno trattate le sole mail professionali, connesse alla mansione lavorativa.

La base giuridica è rappresentata dal legittimo interesse, ex art. 6, lett. f), del Regolamento UE n. 679/16. I dati raccolti verranno invece conservati per due anni dall’ultima interazione.

I dati potrebbero essere oggetto di trattamento mediante provider, situati negli USA, sotto la tutela delle clausole contrattuali standard UE e del privacy framework.

4.3. Registrazione delle chiamate

Nano I-Tech utilizza, per comodità nel prendere appunti, un software che registra e trascrive le videochiamate. Il prodotto è sempre visibile in chiamata ed avvisa della sua presenza. In qualsiasi momento è possibile chiedere di escluderlo.

La base giuridica è rappresentata dal consenso implicito dell’interessato, ex art. 6 lett. a) del GDPR. Le registrazioni verranno conservate per 30 giorni, mentre gli appunti entreranno a far parte dell’anagrafica del contatto.

I dati potrebbero essere oggetto di trattamento mediante provider, situati negli USA, sotto la tutela delle clausole contrattuali standard UE e del privacy framework.

4.4. Utenti dei siti internet

Nano I-Tech S.r.l. dispone di due siti internet. Ciascuno è dotato di una sua informativa dedicata.

Per quanto qui interessa, il sito su cui è pubblicata questa informativa traccia gli indirizzi IP per la sessione e le informazioni inserite nel modulo di contatto. Le basi giuridiche sono:

• le trattative e la necessità di dare esecuzione al contratto (lett. b) per ciò che riguarda il modulo di contatto;
• il legittimo interesse (lett. f) per il trattamento degli indirizzi IP degli utenti del sito;
• ed il consenso (lett. a) per i cookies di profilazione, elencati in apposita sezione.

Le informazioni delle trattative in corso, soprattutto se con contratto concluso, vengono tenute per un periodo di 10 anni dall’ultima interazione. Per i cookies si rinvia all’ultima sezione.

I dati potrebbero essere oggetto di trattamento mediante provider, situati negli USA, sotto la tutela delle clausole contrattuali standard UE e del privacy framework.

4.5. Social network

La società dispone anche di pagine social. Tramite esse si tracciano gli interessi dell’utente e gli interessati possono compilare un modulo di contatto. In quest’ottica le basi giuridiche sono:

• le trattative e la necessità di dare esecuzione al contratto (lett. b) per ciò che riguarda il modulo di contatto;
• mentre per like e follow il consenso dell’interessato, ex art. 6 lett. a) del GDPR, tacitamente manifestato aggiungendo i like o seguendo la pagina. La rimozione del like o smettere di seguire la pagina equivale a revoca del consenso.

I dati delle trattative non concluse vengono conservati per 2 anni. I dati di like e follow sono invece tenuti in memoria dalla pagina social fino alla loro rimozione da parte dell’utente.

I dati potrebbero essere oggetto di trattamento mediante provider, situati negli USA, sotto la tutela delle clausole contrattuali standard UE e del privacy framework.

4.6. Gestione dei dipendenti

Vengono trattati i dati personali dei lavoratori dipendenti. Ciò include dati anagrafici, contatti, coordinate bancarie per i pagamenti ed informazioni sanitarie per la gestione di permessi e congedi così come previsto per legge. In quest’ottica le basi giuridiche sono:

• da un lato, le trattative per la stipula del contratto e, dopo la sua firma, la gestione del rapporto ed il coordinamento dei turni di lavoro ai sensi dell’art. 6, lett. b, del Regolamento UE n. 679/2016;
• e, dall’altro, gli obblighi di legge in materia di contabilità e gestione dei lavoratori dipendenti, ai sensi dell’art. 6, lett. c, del Regolamento UE n. 679/2016.

Si precisa inoltre che il trattamento dei dati particolari è legittimato dalla necessità di adempiere ad obblighi in materia del diritto del lavoro, compresa la sorveglianza sanitaria del medico competente, ai sensi dell’art. 9, comma II lett. b) e h), del Regolamento UE n. 679/16.

Le informazioni vengono trattate per un periodo di 10 anni dalla cessazione della collaborazione poiché necessarie per la tenuta delle scritture contabili e del Libro Unico del Lavoro (LUL). Vengono inoltre trasmesse ai sub-responsabili come commercialista ed ufficio paghe, nonché agli enti preposti (INAIL, INPS e Agenzia delle Entrate).

I dati potrebbero essere oggetto di trattamento mediante provider, situati negli USA, sotto la tutela delle clausole contrattuali standard UE e del privacy framework.

4.7. Rapporti coi fornitori

È previsto anche il trattamento dati dei fornitori e dei lavoratori autonomi. Vengono trattati dati anagrafici e di contatto per la gestione del rapporto.

Per le società, il trattamento riguarda le informazioni del legale rappresentante e dei collaboratori preposti alla stipula del contratto. Per le persone fisiche le informazioni sono quelle del soggetto interessato. In relazione a tali finalità le basi giuridiche sono:

• da un lato, le trattative per la stipula del contratto e, dopo la sua firma, la gestione del rapporto ai sensi dell’art. 6, lett. b, del Regolamento UE n. 679/2016;
• e, dall’altro, gli obblighi di legge in materia di contabilità e fatturazione, ai sensi dell’art. 6, lett. c, del Regolamento UE n. 679/2016.

Le informazioni vengono trattate per un periodo di 10 anni. Vengono inoltre trasmesse ai sub-responsabili come il commercialista ed i software per la contabilità, nonché agli enti pubblici preposti. Ad esempio Agenzia delle Entrate.

I dati potrebbero essere oggetto di trattamento mediante provider, situati negli USA, sotto la tutela delle clausole contrattuali standard UE e del privacy framework.

4.8. Assegnazione dispositivi e account

La società può assegnare dispositivi ed account a lavoratori e professionisti esterni, qualora ciò sia necessario al perseguimento del rapporto contrattuale.

Questi account e dispositivi sono solo per uso professionale. Non è consentito servirsene al di fuori di ciò che riguarda il rapporto con la società.

La società potrà inoltre eseguire accessi e monitoraggio a distanza dei dispositivi, anche dopo la cessazione del rapporto aziendale.

A termine collaborazione gli account verranno disabilitati entro 7 giorni e definitivamente cancellati nei successivi 60 giorni. Verranno tuttavia salvate copie dei backup dei dati, da usare per controlli difensivi e difesa in giudizio.