Privacy Policy

Versione 1.2 — In vigore dal 29 ottobre 2026

---

La presente Privacy Policy descrive le modalità con cui Endless Creativity S.r.l. tratta i dati personali raccolti tramite il sito www.trovanorma.it, la piattaforma Trovanorma e i canali di contatto, ai sensi del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 come modificato dal D.Lgs. 101/2018 ("Codice Privacy").

1. Titolare del trattamento

Il Titolare del trattamento è Endless Creativity S.r.l., con sede legale in Via Alberico Albricci 8, 20122 Milano (MI), C.F. e P.IVA 14287600960 ("Endless Creativity" o "EC").

Endless Creativity non ha nominato un Data Protection Officer (DPO), non sussistendone l'obbligo ai sensi dell'art. 37 GDPR in considerazione della natura e della scala delle attività svolte.

Recapiti:

• Email per richieste in materia di protezione dei dati personali: privacy@endlesscreativity.it
• Email per contatti generici: info@trovanorma.it
• Indirizzo postale: Via Alberico Albricci 8, 20122 Milano (MI), Italia

2. Categorie di interessati

La presente Privacy Policy disciplina il trattamento dei dati personali delle seguenti categorie di interessati:

• Visitatori: chiunque navighi sul sito senza essere registrato (raccolta di dati di navigazione, cookie, strumenti di tracciamento);
• Lead e contatti commerciali: soggetti che hanno fornito i propri dati attraverso form, chat, email, telefono o altri canali per richiedere informazioni, demo o preventivi sul Servizio;
• Clienti e Utenti: soggetti che hanno sottoscritto il Servizio (Clienti) e le persone fisiche che vi accedono per loro conto (Utenti);
• Interessati i cui dati sono contenuti nei documenti caricati dal Cliente nel Servizio: per tali dati, EC agisce in qualità di Responsabile del trattamento per conto del Cliente in base al Data Processing Agreement (DPA), e non come Titolare. Le relative regole sono illustrate nel DPA. Si veda anche il successivo art. 11 della presente Privacy Policy.

3. Tipologie di dati personali trattati

3.1. Dati raccolti automaticamente

• dati di navigazione (indirizzo IP, identificatori del dispositivo, informazioni sul browser, sistema operativo, pagine visitate, durata della visita, referrer, URL di provenienza);
• dati di geolocalizzazione approssimativa derivati dall'indirizzo IP (città, area metropolitana, regione, paese);
• dati raccolti tramite cookie e strumenti di tracciamento, secondo quanto descritto all'art. 10;
• log applicativi e di sicurezza generati dall'utilizzo del Servizio;
• registro degli accessi alla piattaforma: per ciascun evento di accesso (invio del codice di accesso, accesso, registrazione, tentativo non riuscito, uscita, revoca della sessione) sono registrati l'indirizzo email utilizzato, anche se non ancora associato a un account, l'eventuale account, il metodo di accesso (codice via email, account Google, account Microsoft, password), l'applicazione utilizzata (web app o add-in per Microsoft Word), l'indirizzo IP, il browser (user agent), la data e l'ora; sull'account sono inoltre registrati la data e il metodo dell'ultimo accesso. Il codice di accesso inviato via email non è mai conservato in chiaro, ma solo sotto forma di impronta crittografica.

3.2. Dati forniti volontariamente

• dati anagrafici e di contatto (nome, cognome, email, numero di telefono);
• dati relativi all'attività professionale o aziendale (denominazione, ragione sociale, P.IVA, codice fiscale, settore di attività);
• dati di accesso (indirizzo email al quale è inviato il codice di accesso, eventuale immagine del profilo, identificativo dell'account Google o Microsoft per chi sceglie di accedere con uno di tali account; password, per i soli account per i quali EC abbia abilitato individualmente tale modalità di accesso, conservata esclusivamente in forma cifrata non reversibile);
• dati di pagamento e fatturazione (gestiti dai relativi provider; EC non conserva i dati completi delle carte di pagamento);
• contenuto delle comunicazioni inviate tramite email, chat, WhatsApp Business, SMS, telefono o altri canali di contatto;
• preferenze, feedback e contenuti dei sondaggi cui l'Utente sceglie di partecipare.

3.3. Dati non trattati da EC come Titolare

Il contenuto dei documenti caricati dal Cliente nel Servizio, dei quesiti impartiti e degli output generati — che possono includere categorie particolari di dati personali ai sensi dell'art. 9 GDPR e dati relativi a condanne penali e reati ai sensi dell'art. 10 GDPR — è trattato da EC in qualità di Responsabile del trattamento per conto del Cliente, sulla base del DPA. EC non utilizza tali dati per finalità proprie e non li tratta come Titolare.

4. Finalità del trattamento e basi giuridiche

5. Periodi di conservazione

I dati personali sono conservati per il tempo strettamente necessario al perseguimento delle finalità per le quali sono raccolti e, in particolare:

• Account e profilo Utente: per tutta la durata del rapporto contrattuale e successivamente per il tempo necessario a far valere o difendere diritti in sede giudiziale;
• Dati di fatturazione, contabilità e fiscali: 10 anni dalla data di emissione del documento (artt. 2220 c.c. e normativa fiscale applicabile);
• Lead e contatti commerciali non convertiti: 24 mesi dall'ultimo contatto, salvo manifestazione di interesse successiva;
• Comunicazioni di supporto (chat, email, WhatsApp, SMS, telefonate): per tutta la durata del rapporto e per i 24 mesi successivi alla sua cessazione, salvi obblighi di legge o esigenze di difesa in giudizio;
• Email marketing e newsletter: fino alla revoca del consenso da parte dell'interessato; i log relativi al consenso e alla sua revoca sono conservati per 24 mesi a fini di prova;
• Liste di indirizzi email caricati in forma hashata su piattaforme pubblicitarie per audience marketing (es. Google Customer Match): fino alla revoca del consenso o all'opposizione dell'interessato; le liste sono aggiornate periodicamente da EC e i contatti privi di interazione sono rimossi nei termini previsti dalle policy delle piattaforme (in particolare, Google Customer Match rimuove automaticamente i contatti inattivi da oltre 540 giorni);
• Log di sicurezza, error tracking, monitoring infrastrutturale: 90 giorni;
• Registro degli accessi alla piattaforma: 12 mesi dalla registrazione di ciascun evento, al termine dei quali le relative righe sono cancellate automaticamente; in caso di richiesta di cancellazione ai sensi dell'art. 17 GDPR, le righe riferite all'interessato sono cancellate anche prima di tale termine;
• Cookie e strumenti di tracciamento: secondo i tempi indicati nella Cookie Policy e nelle preferenze di consenso espresse dall'Utente;
• Documenti caricati dal Cliente nel Servizio: secondo quanto previsto dal DPA e dai Termini e Condizioni (durata dell'abbonamento, più 12 mesi in sola lettura, oppure 30 giorni in caso di richiesta espressa di cancellazione).

Al termine dei periodi indicati i dati sono cancellati o anonimizzati, salvi eventuali obblighi di conservazione previsti da norme di legge applicabili.

6. Modalità del trattamento e misure di sicurezza

6.1. I dati personali sono trattati mediante strumenti elettronici e con modalità organizzative e logiche strettamente connesse alle finalità indicate.

6.2. EC adotta misure tecniche e organizzative adeguate al rischio, tra cui in via esemplificativa: cifratura in transito (TLS 1.2+), cifratura at-rest dei dati conservati nei sistemi cloud, gestione delle identità e degli accessi con principio del minimo privilegio, accesso degli Utenti tramite codici monouso conservati solo sotto forma di impronta crittografica, autenticazione multi-fattore sugli accessi privilegiati amministrativi, backup periodici, scrubbing dei dati personali nei sistemi di monitoraggio e logging, vincolo di riservatezza per il personale e i collaboratori autorizzati, formazione interna in materia di protezione dei dati.

6.3. Una descrizione di maggior dettaglio delle misure tecniche e organizzative adottate da EC è contenuta nell'Allegato B del DPA.

7. Destinatari dei dati

7.1. I dati personali possono essere trattati, per conto di EC e su istruzione di EC, dai seguenti soggetti, in qualità di Responsabili del trattamento ai sensi dell'art. 28 GDPR (l'elenco è semplificato; alcuni fornitori erogano più servizi):

7.2. I dati personali possono inoltre essere trattati, per conto di EC, dai propri amministratori, soci, dipendenti e collaboratori autorizzati al trattamento, nei limiti necessari allo svolgimento delle attività loro assegnate e nel rispetto del vincolo di riservatezza.

7.3. Quando l'Utente sceglie di accedere con il proprio account Google, Google Ireland Ltd opera come autonomo titolare del trattamento dei dati del proprio account, secondo la propria privacy policy; EC riceve da Google esclusivamente i dati indicati all'art. 12.

7.4. Quando l'Utente sceglie di accedere con il proprio account Microsoft, personale o di lavoro, Microsoft Ireland Operations Ltd opera come autonomo titolare del trattamento dei dati del proprio account, secondo la propria informativa sulla privacy; per gli account di lavoro, la gestione dell'account resta inoltre in capo all'organizzazione che lo ha rilasciato. EC riceve da Microsoft esclusivamente i dati indicati all'art. 12.5.

8. Contitolari del trattamento (cookie pubblicitari e di misurazione)

8.1. Le piattaforme pubblicitarie utilizzate da EC per la promozione del Servizio operano in regime di contitolarità del trattamento ai sensi dell'art. 26 GDPR rispetto al trattamento dei dati personali raccolti tramite i rispettivi pixel e tag installati sul sito. I rapporti tra EC e ciascun contitolare sono disciplinati dagli specifici addendum di joint controllership pubblicati da ciascun fornitore.

8.2. Le piattaforme contitolari sono le seguenti:

• Google Ireland Ltd — Google Ads (pixel e monitoraggio conversioni)
• Meta Platforms Ireland Ltd — Meta Pixel e monitoraggio conversioni Meta Ads
• LinkedIn Ireland Unlimited Company — LinkedIn Insight Tag e monitoraggio conversioni LinkedIn Ads

8.3. Le informazioni essenziali sui trattamenti svolti in contitolarità, sui rispettivi ruoli e sulle modalità di esercizio dei diritti sono riportate nella Cookie Policy e nelle privacy policy dei rispettivi fornitori. L'interessato può rivolgere le proprie richieste, indifferentemente, a EC o direttamente al contitolare interessato.

9. Trasferimenti di dati al di fuori dello Spazio Economico Europeo

9.1. Alcuni dei fornitori indicati agli artt. 7 e 8 sono stabiliti, o possono trattare dati, al di fuori dello Spazio Economico Europeo (in particolare negli Stati Uniti d'America). In tali casi, EC adotta le garanzie previste dal Capo V del GDPR e in particolare:

• Clausole Contrattuali Tipo (SCC) approvate dalla Commissione europea ai sensi dell'art. 46, par. 2, lett. c), GDPR;
• EU–US Data Privacy Framework, per i fornitori statunitensi certificati;
• misure tecniche e organizzative supplementari ove necessarie a seguito della sentenza CGUE Schrems II.

9.2. L'interessato può ottenere ulteriori informazioni in merito alle garanzie adottate per i singoli trasferimenti scrivendo a privacy@endlesscreativity.it.

10. Cookie e strumenti di tracciamento

10.1. Il sito utilizza cookie e strumenti di tracciamento (in via esemplificativa: pixel, tag, SDK, local storage) per finalità di funzionamento, statistica e marketing.

10.2. La gestione del consenso ai cookie e degli strumenti di tracciamento avviene tramite la piattaforma di Consent Management fornita da iubenda S.r.l.

10.3. Sul sito è installato Google Tag Manager come container per la gestione centralizzata dei tag. Tramite Google Tag Manager sono caricati due gruppi di strumenti.

10.3.1. Strumenti strettamente necessari, caricati sempre senza richiedere il consenso dell'interessato (in quanto preposti al funzionamento tecnico del sito e/o alla raccolta e gestione del consenso stesso, ai sensi dell'art. 122 del Codice Privacy):

• iubenda Consent Management Platform — raccolta, registrazione e gestione del consenso ai cookie e agli strumenti di tracciamento; senza tale strumento non sarebbe possibile condizionare il caricamento degli altri tag al consenso dell'interessato.

10.3.2. Strumenti caricati subordinatamente al consenso dell'interessato, espresso tramite il banner cookie:

• Google Analytics 4 — analisi statistica del traffico del sito (configurata con anonimizzazione dell'IP);
• Google Ads — pixel e monitoraggio conversioni (contitolarità ex art. 26 GDPR);
• Meta Pixel e monitoraggio conversioni Meta Ads (contitolarità ex art. 26 GDPR);
• LinkedIn Insight Tag e monitoraggio conversioni LinkedIn Ads (contitolarità ex art. 26 GDPR);
• Microsoft Clarity — analisi del comportamento degli utenti sul sito (mappe di calore, sessioni aggregate).

10.4. L'elenco completo dei cookie utilizzati, con le rispettive finalità e durata, è disponibile nella Cookie Policy. Il consenso può essere espresso tramite il banner alla prima visita e, in qualsiasi momento successivo, modificato o revocato tramite il link "Preferenze cookie" presente nel piè di pagina del sito.

11. Dati personali contenuti nei documenti caricati dal Cliente

11.1. I dati personali contenuti nei documenti caricati dal Cliente nel Servizio, nei quesiti impartiti e negli output generati sono trattati da EC per conto del Cliente, che agisce in qualità di Titolare del trattamento. Rispetto a tali dati, EC è Responsabile del trattamento ai sensi dell'art. 28 GDPR e si attiene alle istruzioni del Cliente come formalizzate nel DPA.

11.2. Il Cliente è tenuto a fornire agli interessati i cui dati personali sono contenuti nei documenti caricati l'informativa di cui agli artt. 13 e 14 GDPR, nonché a verificare la sussistenza di una idonea base giuridica per il trattamento, ivi inclusi i presupposti di liceità per il trattamento di categorie particolari di dati personali (art. 9 GDPR) e di dati relativi a condanne penali e reati (art. 10 GDPR).

11.3. Gli interessati i cui dati sono contenuti nei documenti caricati dal Cliente possono esercitare i propri diritti, in primo luogo, nei confronti del Cliente in qualità di Titolare. Qualora EC riceva direttamente una richiesta di esercizio di diritti da parte di un interessato, EC la inoltra senza ingiustificato ritardo al Cliente, secondo quanto previsto dal DPA.

12. Utilizzo dei dati tramite le API di Google e di Microsoft

12.1. Dati a cui si accede. Quando l'Utente sceglie di registrarsi o autenticarsi tramite il proprio account Google, EC accede direttamente, tramite il proprio servizio di accesso (id.trovanorma.it), ai seguenti dati condivisi da Google:

• indirizzo email principale e relativa verifica (scope auth/userinfo.email);
• informazioni di base del profilo (scope auth/userinfo.profile), delle quali EC conserva nome, cognome e, solo al momento della creazione dell'account tramite Google, l'immagine del profilo;
• identificatore univoco dell'account Google (scope openid).

L'immagine del profilo è acquisita una sola volta, alla creazione dell'account, e solo se si tratta di una fotografia caricata dall'Utente su Google e non dell'immagine generata automaticamente da Google con le iniziali; a tal fine EC consulta la Google People API con il medesimo scope auth/userinfo.profile, senza accedere a ulteriori dati. L'immagine è ridimensionata e conservata nei sistemi di EC come immagine del profilo dell'Utente sul Servizio; non è acquisita per gli account già esistenti, può essere modificata o rimossa in qualsiasi momento dalle impostazioni dell'account, senza che EC la acquisisca nuovamente, ed è cancellata con l'account.

12.2. Utilizzo. I dati condivisi da Google sono utilizzati esclusivamente per le finalità di registrazione, autenticazione e precompilazione del profilo dell'Utente, e non sono utilizzati per ulteriori finalità.

12.3. Condivisione. I dati condivisi da Google sono comunicati esclusivamente ai fornitori che erogano servizi strettamente funzionali alla registrazione, autenticazione e supporto del Servizio (in particolare AWS, Customerly e Sentry).

12.4. Conservazione e protezione. I dati sono conservati nei sistemi cloud AWS (region UE), con cifratura at-rest e in transito, per tutta la durata del rapporto con il Cliente associato all'Utente e per un massimo di 12 mesi in caso di inattività. L'Utente può richiedere la cancellazione completa dei propri dati in qualsiasi momento scrivendo a privacy@endlesscreativity.it; EC procede alla cancellazione entro 30 giorni dalla richiesta, salvi gli obblighi di conservazione previsti dalla legge.

12.5. Accesso con account Microsoft. Quando l'Utente sceglie di registrarsi o autenticarsi tramite il proprio account Microsoft, personale (ad esempio Outlook.com, Hotmail o Live) o di lavoro (gestito dall'organizzazione dell'Utente tramite Microsoft Entra ID), è reindirizzato dal servizio di accesso di EC (id.trovanorma.it) alla pagina di accesso di Microsoft e, autenticatosi, torna al Servizio. EC richiede esclusivamente gli scope openid, email e profile e riceve da Microsoft:

• l'identificatore univoco dell'account Microsoft;
• l'indirizzo email dell'account, aggiornato a ogni accesso;
• nome e cognome;
• l'identificativo dell'organizzazione (tenant) a cui appartiene l'account, utilizzato solo per verificare l'autenticità della risposta di Microsoft e non conservato.

EC non acquisisce l'immagine del profilo, non utilizza Microsoft Graph e non accede in alcun modo a posta, file, calendario o altri contenuti dell'account Microsoft; i token rilasciati da Microsoft non sono conservati oltre il tempo necessario a completare l'accesso. A Microsoft non sono comunicati dati dell'Utente ulteriori rispetto alla richiesta di autenticazione. Ai dati ricevuti da Microsoft si applicano le regole di utilizzo, condivisione e conservazione degli artt. 12.2, 12.3 e 12.4.

13. Diritti degli interessati

13.1. L'interessato ha diritto, ai sensi degli artt. 15–22 GDPR, di:

• accedere ai propri dati personali (art. 15 GDPR);
• chiedere la rettifica dei dati inesatti o l'integrazione di dati incompleti (art. 16 GDPR);
• chiedere la cancellazione dei dati (art. 17 GDPR), nei limiti previsti dalla normativa;
• chiedere la limitazione del trattamento (art. 18 GDPR);
• ricevere i propri dati in formato strutturato, di uso comune e leggibile da dispositivo automatico, e di trasmetterli a un altro titolare ove tecnicamente possibile (art. 20 GDPR);
• opporsi al trattamento basato sul legittimo interesse o effettuato per finalità di marketing diretto (art. 21 GDPR);
• non essere sottoposto a una decisione basata unicamente su un trattamento automatizzato, inclusa la profilazione, che produca effetti giuridici o incida significativamente sulla persona (art. 22 GDPR);
• revocare in qualsiasi momento il consenso prestato, ferma restando la liceità del trattamento basato sul consenso prima della revoca;
• proporre reclamo all'autorità di controllo competente (in Italia, il Garante per la protezione dei dati personali — www.garanteprivacy.it) e ricorrere all'autorità giudiziaria.

13.2. L'esercizio dei diritti è gratuito e può essere effettuato scrivendo a privacy@endlesscreativity.it. EC risponde entro un mese dalla ricezione della richiesta, eventualmente prorogabile di ulteriori due mesi in caso di particolare complessità, dandone informazione all'interessato.

14. Conferimento dei dati

14.1. Il conferimento dei dati richiesti per la registrazione al Servizio, per la sottoscrizione dell'abbonamento e per la fatturazione è necessario all'esecuzione del contratto e all'adempimento degli obblighi di legge: il mancato conferimento comporta l'impossibilità di erogare il Servizio.

14.2. Il conferimento dei dati per le ulteriori finalità (marketing diretto, profilazione, statistica avanzata, ecc.) è facoltativo e subordinato al consenso dell'interessato, che può essere revocato in qualsiasi momento.

15. Difesa in giudizio e log di sistema

15.1. I dati personali dell'interessato possono essere utilizzati da EC in giudizio o nelle fasi preparatorie alla sua eventuale instaurazione per la difesa da abusi nell'utilizzo del Servizio o del sito.

15.2. Per necessità connesse al funzionamento, alla sicurezza e alla manutenzione del Servizio, EC e i propri Responsabili del trattamento raccolgono log di sistema, che possono contenere dati personali come l'indirizzo IP, conservati per i tempi indicati all'art. 5.

16. Modifiche alla Privacy Policy

16.1. EC si riserva il diritto di modificare la presente Privacy Policy in qualsiasi momento, dandone notizia agli interessati tramite pubblicazione della nuova versione su questa pagina, indicando la relativa data di entrata in vigore. Le modifiche sostanziali sono inoltre comunicate, ove tecnicamente e legalmente fattibile, all'indirizzo email dell'Utente registrato.

16.2. Qualora le modifiche interessino trattamenti la cui base giuridica è il consenso, EC raccoglierà nuovamente il consenso dell'interessato.

17. Contatti

Per qualsiasi richiesta relativa alla presente Privacy Policy o all'esercizio dei diritti previsti, è possibile scrivere a:

Endless Creativity S.r.l.
Via Alberico Albricci 8, 20122 Milano (MI), Italia
Email per richieste in materia di protezione dei dati personali: privacy@endlesscreativity.it
Email per contatti generici: info@trovanorma.it