Privacy Policy
Ultimo aggiornamento: 10 novembre 2026
1. Titolare del trattamento
NFW Web Studio è un marchio condiviso da tre professionisti indipendenti. Per i dati che ci fornisci su questo sito il titolare del trattamento è Samuele Gobbo, P.IVA IT05167900231, Via Enrico Toti, 12, 37057 San Giovanni Lupatoto (VR), Italia. Contatto per qualsiasi questione sui tuoi dati e per esercitare i tuoi diritti: privacy@nfw.run. Gli altri due componenti dello studio accedono ai dati solo come persone autorizzate dal titolare, con istruzioni scritte.
Quando realizziamo o gestiamo qualcosa per un cliente (un sito, un chatbot Chase), il cliente è titolare dei dati dei suoi visitatori e noi agiamo come suo responsabile del trattamento, con un accordo scritto. Questa informativa riguarda solo nfw.run.
2. Quali dati raccogliamo, perché e su quale base
| Dove | Dati | Finalità e base giuridica | Conservazione |
|---|---|---|---|
| Modulo di contatto, email che ci scrivi | Nome, email, messaggio, servizio e priorità che scegli | Rispondere alla richiesta e preparare un preventivo: misure precontrattuali (art. 6.1.b GDPR) | 12 mesi, poi cancellazione automatica |
| Richiesta di preventivo inviata da un assistente AI (il nostro server MCP) | Nome, email, messaggio e servizio che dai al tuo assistente e che lui ci inoltra. Per questa richiesta non conserviamo alcun indirizzo IP | Rispondere alla richiesta e preparare un preventivo: misure precontrattuali (art. 6.1.b GDPR). L'assistente ti mostra prima questa informativa e non invia nulla finché non confermi di averla letta | 12 mesi, poi cancellazione automatica |
| Statistiche di navigazione, modalità cookieless (PostHog), quella predefinita e valida se rifiuti | Pagine viste, un hash giornaliero che cambia, tipo di browser e dispositivo, errori. Non salviamo né leggiamo nulla sul tuo dispositivo | Migliorare il sito: legittimo interesse (art. 6.1.f). Il sito non ha un interruttore per spegnere questo conteggio: puoi opporti scrivendoci (punto 5) | 14 giorni, poi cancellazione |
| Statistiche di navigazione, modalità completa (PostHog), solo se clicchi Accetta | Tutto quanto sopra, più un identificativo casuale salvato in un cookie di prima parte e nell'archivio locale del browser (così le visite e le sessioni successive vengono riconosciute) e quali elementi clicchi e dove nella pagina (mappe di calore). Non colleghiamo mai nome o email, le registrazioni di sessione restano disattivate e ciò che scrivi nei campi non viene mai catturato | Il tuo consenso (art. 6.1.a), revocabile in qualsiasi momento dal link Preferenze cookie nel footer: scegliendo Rifiuta il cookie viene eliminato e torni alla modalità cookieless | 14 giorni, poi cancellazione. Il cookie dura 12 mesi o fino al tuo rifiuto |
| Audit SEO gratuito | L'indirizzo del sito che analizzi, il tuo indirizzo IP (conservato solo come impronta con chiave segreta, mai come indirizzo, per limitare le scansioni e prevenire abusi; quando la scansione passa dal nostro server MCP, al suo posto c'è la tua chiave API e non leggiamo alcun indirizzo IP) e, solo se chiedi il report via email, la tua email e il tuo consenso | Eseguire la scansione (art. 6.1.b). Se chiedi il report via email, il tuo consenso alle email commerciali nostre (art. 6.1.a) è la condizione per quell'invio: il report resta visibile nella pagina dell'audit anche senza, e puoi revocare in qualsiasi momento | Risultati della scansione di siti pubblici: conservati a tempo indeterminato, descrivono informazioni pubbliche. La tua email: fino alla disiscrizione o alla richiesta di cancellazione |
| Chiave API del nostro server MCP (necessaria per usarlo) | La chiave, un'impronta con chiave segreta dell'identificativo casuale contenuto in un cookie tecnico del tuo browser (l'identificativo non viene salvato), le date di creazione e dell'ultimo uso. Quando crei una chiave leggiamo il tuo indirizzo IP una volta, solo per limitare a 3 le chiavi al giorno per rete, e il nostro backend ne conserva un'impronta con chiave segreta, non l'indirizzo. Usando la chiave non leggiamo alcun indirizzo IP, e il servizio di audit ti limita in base alla chiave | Darti una quota di audit solo tua e prevenire abusi: legittimo interesse (art. 6.1.f). Puoi opporti in qualsiasi momento | Cancellata automaticamente dopo 1 anno senza uso |
| Statistiche d'uso dell'audit (PostHog) | Per ogni richiesta di audit: che è stata fatta, rifiutata, avviata, conclusa o che il report è stato inviato via email, se arriva dal sito, dal server MCP o dall'API, e un identificativo calcolato dal tuo indirizzo IP (o dalla tua chiave API) e dalla data, che cambia ogni giorno e quindi non può seguirti da un giorno all'altro. Non è mai il tuo indirizzo IP né la tua chiave, e non costruiamo alcun profilo | Sapere quanto è usato l'audit gratuito e quando raggiunge i suoi limiti: legittimo interesse (art. 6.1.f). Puoi opporti in qualsiasi momento | Conservate nel nostro strumento di analisi come conteggi di eventi; l'identificativo il giorno dopo non serve più a nulla |
| Demo del chatbot Chase | I messaggi che scrivi, un identificativo di sessione, il tuo indirizzo IP (per limitare gli abusi) | Rispondere alle tue domande e mostrare come funziona Chase (art. 6.1.b). Salviamo la conversazione perché il titolare del sito possa leggerla | 12 mesi di default, meno se il titolare del sito lo decide |
| Prenotazione di una call (Calendly) | Quello che inserisci su Calendly | Fissare la call (art. 6.1.b) | Calendly li conserva secondo la propria informativa |
I dati del modulo di contatto e delle richieste inviate da un assistente AI non sono mai usati per marketing o profilazione né venduti. Fornirli è facoltativo, ma senza non possiamo risponderti. Nell'audit lasciare la email è facoltativo: senza, leggi il report nella pagina dell'audit. Nessuna decisione che ti riguarda è presa con mezzi automatizzati e niente di quanto descritto è profilazione.
Nessuna vendita di dati. Non vendiamo dati a terzi: né gli audit che richiedi dal nostro sito o dal server MCP, né le richieste di preventivo, né le chiavi API. Tutto è conservato sui nostri server nell'Unione Europea e lì resta.
Richieste tramite assistenti AI. Il nostro server MCP permette a un assistente AI (come ChatGPT o Claude) di inoltrarci a tuo nome una richiesta di preventivo. Lo fa solo se hai chiesto di essere ricontattato: prima di inviare qualsiasi cosa l'assistente deve mostrarti questa informativa e la frase "Ho letto la Privacy Policy e so che i miei dati saranno usati solo per rispondere a questa richiesta", e non conserviamo nulla finché non hai accettato. L'assistente e il suo fornitore sono titolari autonomi della tua conversazione con loro, secondo le proprie informative: non controlliamo ciò che dici all'assistente e riceviamo solo i campi che ci invia dopo il tuo consenso. Indica solo i tuoi dati. Una richiesta dallo stesso indirizzo email è accettata una volta all'ora, e le richieste sono contate per orario, non per indirizzo IP, e gli strumenti di audit per chiave API.
Siti visitati dal nostro scanner. Il nostro scanner, NFW-Audit, legge le pagine pubbliche dei siti di cui gli viene chiesto un audit e delle attività dei nostri studi periodici, e conserva le misure, non i contenuti. Se sei il proprietario di un sito puoi chiederci di smettere, di cancellare quanto abbiamo salvato e di escluderlo da ogni nostro contatto commerciale, scrivendo a audits@nfw.run con il dominio, oppure aggiungendo una regola al tuo robots.txt: vedi la pagina dello scanner. Non facciamo audit pubblici di siti per adulti, di gioco d'azzardo e simili; il controllo confronta il nome di dominio del sito con elenchi di siti di questo tipo, lo chiede a due servizi DNS pubblici per la famiglia (Cloudflare Families e CleanBrowsing) e legge le etichette che il sito dichiara di sé; quei servizi vedono il nome di dominio, non chi lo ha chiesto. L'audit di un sito di questo tipo viene rifiutato e non conserva alcun risultato.
Dati dell'audit. I risultati della scansione descrivono siti web pubblici e possiamo conservarli, pubblicarli e riutilizzarli. Conserviamo gli indirizzi email lasciati con il consenso al marketing e li usiamo solo per le nostre comunicazioni commerciali: non li cediamo a terzi per il loro marketing.
L'estensione per browser. L'estensione NFW Audit legge solo l'indirizzo della scheda in cui ti trovi, e solo quando clicchi la sua icona. Invia quell'indirizzo (ridotto alla home del sito) al nostro servizio di audit, come fa il modulo della pagina dell'audit, e mostra il risultato. Se chiedi il report via email, invia l'indirizzo che scrivi, con gli stessi due consensi del modulo. Lo storico, le tue scelte e la scansione in corso restano nel tuo browser e non ci vengono mai inviati; non legge altre schede, il contenuto delle pagine né la cronologia di navigazione, e non usa cookie nostri. Rimuovendo l'estensione li cancelli.
3. Chi riceve i tuoi dati
- Vercel (hosting, funzioni a Francoforte, Germania, informativa) e Supabase (database delle richieste di contatto, UE, informativa): responsabili del trattamento.
- PostHog (statistiche, server UE, raggiunto attraverso un indirizzo nostro su questo dominio): responsabile del trattamento. Funziona senza cookie per impostazione predefinita e imposta il proprio cookie solo se accetti; nessuna registrazione delle sessioni.
- Telegram: riceviamo una notifica anonima che un modulo è stato inviato o che un assistente AI ha inoltrato una richiesta, con l'indicazione di quale dei due, mai il suo contenuto.
- I nostri server per audit e Chase (Germania e UE): infrastruttura nostra.
- Calendly: titolare autonomo se prenoti una call, vedi la sua informativa.
- Fornitori di intelligenza artificiale: Chase scrive le risposte con modelli di intelligenza artificiale raggiunti tramite OpenRouter. Instradiamo solo verso fornitori che non conservano copia della conversazione (zero data retention) e non la usano per addestrare modelli. Possono operare fuori dallo SEE, per esempio negli Stati Uniti, con le garanzie del punto 4.
L'elenco aggiornato dei responsabili è disponibile su richiesta.
4. Trasferimenti fuori dallo SEE
I nostri dati risiedono su server nell'Unione Europea. Alcuni fornitori fanno parte di gruppi con sede negli Stati Uniti (per esempio Vercel) e possono accedere ai dati da lì: avviene nell'ambito dell'EU-US Data Privacy Framework o con clausole contrattuali standard. OpenRouter, tramite cui Chase raggiunge i suoi modelli di intelligenza artificiale, non è certificata in quel quadro: il nostro accordo sul trattamento dei dati con lei incorpora le clausole contrattuali standard della Commissione europea (da titolare a responsabile). Uno dei tre componenti dello studio lavora dal Regno Unito e può leggere le richieste che ci arrivano: il Regno Unito è coperto da una decisione di adeguatezza della UE (rinnovata dalla Commissione europea a dicembre 2025, valida fino al 27 dicembre 2031), quindi non servono ulteriori garanzie.
5. I tuoi diritti
- Accesso, rettifica e cancellazione dei tuoi dati.
- Limitazione e opposizione al trattamento. Il sito non offre più un interruttore per spegnere il conteggio cookieless: per opporti (art. 21 GDPR) scrivici all'indirizzo qui sotto e valuteremo la tua richiesta.
- Portabilità dei dati.
- Revoca del consenso in qualsiasi momento, dove il trattamento si basa sul consenso, per esempio il cookie statistico, dal link Preferenze cookie nel footer.
- Reclamo al Garante per la protezione dei dati personali (garanteprivacy.it).
Scrivi a privacy@nfw.run. Rispondiamo entro un mese.
6. Cookie e tecnologie simili
Consulta la Cookie Policy per l'elenco completo di ciò che il sito salva sul tuo dispositivo.
7. Minori
Lo studio si rivolge alle aziende. Se hai meno di 14 anni non usare il modulo di contatto, un assistente AI per scriverci né Chase senza un genitore: in Italia un minore di 14 anni non può prestare da solo il consenso all'uso di servizi online e di intelligenza artificiale.
8. Modifiche all'informativa
Aggiorniamo questa informativa quando qualcosa cambia. La data in cima alla pagina indica l'ultima versione.