Informativa sul Trattamento dei Dati Personali

ai sensi dell'art. 13 del Regolamento (UE) 2016/679 (GDPR)

Versione: 1.2
Data di entrata in vigore: 10 settembre 2026
Ultimo aggiornamento: 14 ottobre 2026: conteggi anonimi senza consenso, anche per chi usa l'App senza account (punto 3.7 e Art. 10)
Applicazione: Servizio Nookly — versione web (app.nookly.news e italiae.nookly.news); app mobile iOS e Android (distribuzione futura)

Art. 1: Titolare del Trattamento

Il Titolare del trattamento dei dati personali è:

ECOBONUSITALIA.EU S.R.L.
Via Roveredo 20/B, 33170 Pordenone (PN) — Italia
Partita IVA e Codice Fiscale: 01886160934
Numero REA: PN-357072
E-mail: info@nookly.news
PEC: ecobonusitalia.eu@pec.net
Indirizzo postale per comunicazioni scritte: Via Roveredo 20/B, 33170 Pordenone (PN) — Italia

Ai sensi del Regolamento (UE) 2016/679 ("GDPR"), ECOBONUSITALIA.EU S.R.L. (di seguito anche "Nookly", "il Titolare", "noi") è il soggetto che determina le finalità e i mezzi del trattamento dei dati personali raccolti tramite il servizio Nookly, attualmente fruibile come applicazione web agli indirizzi app.nookly.news e italiae.nookly.news (quest'ultimo a marchio "Nookly Italiae") e installabile sul dispositivo dell'utente, nonché, ove e quando distribuita, tramite l'applicazione mobile per dispositivi iOS e Android (di seguito, congiuntamente, "l'App").

Non è stato designato un Responsabile della Protezione dei Dati (DPO), in quanto il Titolare non rientra nelle categorie che ne rendono obbligatoria la nomina ai sensi dell'art. 37 GDPR.

Ai fini della presente informativa, per "interessato" si intende qualsiasi persona fisica che utilizza l'App Nookly o che si registra come utente, i cui dati personali sono trattati dal Titolare. I termini "l'utente" e "l'interessato" sono utilizzati come sinonimi nel presente documento.

Art. 2: Ambito di Applicazione ed Età Minima

La presente informativa si applica a tutti i dati personali trattati tramite l'App e ai servizi correlati.

Il servizio è distribuito con due identità grafiche, "Nookly" e "Nookly Italiae", che condividono la medesima infrastruttura tecnica, la medesima banca dati e il medesimo Titolare del trattamento: la presente informativa si applica integralmente a entrambe. La differenza tra le due riguarda esclusivamente elementi di presentazione (denominazione visualizzata, etichette di alcune categorie di notizie e ambito di copertura geografica predefinito) e non incide in alcun modo sul trattamento dei dati personali.

Ai sensi dell'art. 2-quinquies del D.Lgs. 101/2018, che attua l'art. 8 GDPR nell'ordinamento italiano, i minori di 14 anni non possono utilizzare l'App né creare un account. Il Titolare non raccoglie consapevolmente dati di soggetti di età inferiore a tale soglia. Qualora venisse rilevato che un account è stato creato da un minore di 14 anni, il Titolare procederà alla cancellazione immediata dell'account e dei dati associati. Segnalazioni possono essere inviate a info@nookly.news.

La presente informativa è resa ai sensi del solo art. 13 GDPR, poiché tutti i dati personali degli utenti sono raccolti direttamente dall'utente medesimo nel corso dell'utilizzo dell'App. Nookly non acquisisce dati personali degli utenti da fonti terze; pertanto l'art. 14 GDPR non trova applicazione. I contenuti di terze parti trattati dalla pipeline del servizio (articoli giornalistici provenienti da agenzie e testate) non contengono dati personali degli utenti ai sensi dell'art. 4(1) GDPR.

Art. 3: Categorie di Dati Personali Trattati

Il Titolare tratta le seguenti categorie di dati personali:

3.1 Dati di identità e account

Indirizzo e-mail
Nome utente (username)
Password (conservata esclusivamente come valore cifrato e irreversibile gestito da Supabase Auth, il sistema non è in grado di risalire alla password originale; la verifica avviene tramite confronto di impronte crittografiche; il Titolare non ha mai accesso alla password originale)

3.2 Dati di profilo

Nome visualizzato (display name)
Immagine di profilo (avatar), caricata facoltativamente dall'utente
URL del profilo LinkedIn (facoltativo)

3.3 Preferenze e interessi

Categorie di notizie preferite
Ambito di copertura geografica selezionato dall'utente (globale / nazionale / locale)

3.4 Dati di localizzazione

Codice paese ISO e codice regione (derivati dalla posizione GPS del dispositivo, previa esplicita autorizzazione concessa dall'utente a livello di sistema operativo)
Nookly non memorizza mai le coordinate GPS grezze. Le coordinate rilevate dal dispositivo vengono trasmesse al servizio di geocodifica del sistema operativo (Apple su iOS, Google su Android) al solo fine di convertirle nel codice paese e nel codice regione corrispondenti. Nookly riceve e conserva esclusivamente tali codici come attributi del profilo dell'utente, ai soli fini del filtro geografico delle notizie; le coordinate grezze non vengono persistite né trasmesse ai server di Nookly
Nella versione web dell'App il rilevamento automatico della posizione non è disponibile: la conversione delle coordinate in codice paese e codice regione non è supportata dal browser, pertanto nessun dato di localizzazione viene rilevato o trattato. L'utente che desidera il filtro geografico seleziona manualmente il paese e la regione di interesse dalle apposite schermate dell'App

3.5 Contenuti generati dall'utente

Testo dei commenti e delle risposte pubblicati in relazione agli argomenti di notizie
Interazioni (like) sui commenti di altri utenti
Testo del feedback inviato volontariamente dall'utente tramite la schermata Feedback dell'App

3.6 Dati di attività sull'App

Conteggio aggregato lifetime degli articoli aperti
Segnalibri (argomenti salvati)
Notifiche ricevute (risposte a commenti, like ai commenti dell'utente)
Registro degli argomenti di notizie ascoltati integralmente tramite la funzione di ascolto audio, con data del relativo ascolto, e conteggio aggregato lifetime degli ascolti completati (si veda il punto 3.12)

3.7 Dati analitici comportamentali (solo previo consenso)

Identificatore utente pseudonimizzato: un codice univoco generato automaticamente che non contiene il nome o l'indirizzo e-mail dell'utente, ma che rimane associato al suo account nei sistemi di Nookly
Sistema operativo del dispositivo
Schermate visualizzate e interazioni con gli elementi dell'interfaccia
Flussi di navigazione all'interno dell'App
Nome utente (username), trasmesso al momento della registrazione e associato all'identificatore pseudonimizzato
Indirizzo e-mail dell'account, associato all'identificatore pseudonimizzato. Consente al Titolare di ricondurre le statistiche di utilizzo al singolo utente registrato nella fase di beta del servizio, al fine di interpretare correttamente i dati raccolti e raccogliere riscontri mirati. L'e-mail è trasmessa a PostHog esclusivamente per gli utenti che hanno prestato il consenso di cui al presente punto; per gli utenti che non lo hanno prestato non viene trasmesso a PostHog alcun dato personale, e-mail inclusa (si veda il paragrafo «Conteggi anonimi» dell'Art. 10)
Termini di ricerca digitati dall'utente nella schermata Esplora
Attributi tecnici derivati dalle azioni dell'utente (ad es. lunghezza di un commento, indicatore automatico di moderazione del testo), utilizzati a fini statistici interni, non per decisioni con effetti sull'utente
Questi dati sono trattati da PostHog ed attivati esclusivamente previo esplicito consenso dell'utente al momento della registrazione

3.8 Dati tecnici di connessione

Sessioni di autenticazione gestite da Supabase Auth tramite credenziali di sessione cifrate (token di accesso)
Indirizzi IP degli utenti, registrati automaticamente da Supabase Auth nei propri log di infrastruttura durante gli eventi di autenticazione (accesso, disconnessione, aggiornamento di sessione). Questi dati sono conservati nell'infrastruttura gestita da Supabase, non nelle tabelle dell'applicazione Nookly. Il Titolare non dispone di accesso diretto per l'eliminazione di singole voci di log; per richieste di cancellazione scrivere a info@nookly.news.

3.9 Dati di fruizione condivisi con editori e partner commerciali (solo previo doppio consenso)

Funzionalità non ancora attiva. Alla data di entrata in vigore della presente informativa la condivisione di dati di fruizione con editori e partner commerciali non è operativa: nessun dato, né aggregato né pseudonimizzato, è stato ad oggi trasmesso ad alcun destinatario, e l'App non presenta attualmente all'utente la richiesta del consenso distinto qui descritto. La presente sezione è resa a fini di trasparenza preventiva. Il Titolare raccoglierà il consenso distinto e aggiornerà la presente informativa ai sensi dell'Art. 14 prima di attivare la funzionalità. Nookly può condividere con editori e partner commerciali informazioni pseudonimizzate su come gli utenti fruiscono dei contenuti (quali tipologie di notizie leggono, le preferenze tematiche, il dispositivo utilizzato e un codice identificativo che non rivela l'identità reale).

Natura commerciale: questa condivisione avviene nell'ambito di accordi economici con i destinatari: Nookly può ricevere un compenso in denaro o altra forma di controvalore per mettere a disposizione tali dati. Prestando il consenso descritto di seguito, l'utente è consapevole che i propri dati di fruizione possono avere un valore economico per tali soggetti e che Nookly può ricavarne un beneficio commerciale.

La condivisione è sempre facoltativa e avviene esclusivamente se l'utente ha prestato sia il consenso all'analisi comportamentale (punto 3.7) sia un consenso separato e aggiuntivo alla condivisione con gli editori e/o partner commerciali (si veda Art. 11). I due consensi sono indipendenti e revocabili separatamente in qualsiasi momento dalle Impostazioni → Privacy.

L'indirizzo e-mail e il nome reale dell'utente non vengono mai trasmessi ad alcun destinatario.

I dati appartengono alle seguenti categorie:

Dati di fruizione dei contenuti: informazioni sulle tipologie di notizie lette, gli argomenti consultati e le tematiche di interesse
Preferenze tematiche: categorie e ambiti di notizie selezionati dall'utente
Informazioni tecniche sul dispositivo: sistema operativo e caratteristiche tecniche del dispositivo utilizzato
Identificatore pseudonimizzato: un codice che consente di associare le attività di lettura a un singolo utente senza rivelarne l'identità reale (l'e-mail e il nome non sono mai trasmessi ad alcun destinatario)

Si precisa che i dati aggregati e anonimizzati (ad es. numero totale di lettori per categoria, distribuzione geografica a livello nazionale) possono essere condivisi con editori e partner commerciali anche senza consenso individuale, in quanto non costituiscono dati personali ai sensi dell'art. 4(1) GDPR.

3.10 Dati per le notifiche push (solo previo opt-in esplicito)

Token di notifica push (applicazione mobile): identificatore pseudonimo generato dalla piattaforma Expo che consente di recapitare notifiche al dispositivo dell'utente; non contiene nome, e-mail o altri dati identificativi diretti
Sottoscrizione Web Push (applicazione web installata sul dispositivo): indirizzo del servizio di recapito (endpoint) generato dal browser dell'utente e due chiavi crittografiche necessarie a cifrare il contenuto della notifica, oltre alla stringa identificativa del browser (user agent), registrata al solo fine di distinguere le installazioni. Il recapito materiale della notifica avviene attraverso i servizi di push del fornitore del browser utilizzato (Google, Mozilla o Apple), che ricevono l'endpoint e il contenuto cifrato del messaggio ma non l'identità dell'utente né i suoi dati di account
Piattaforma del dispositivo (iOS, Android o browser web)
Identificatore tecnico del dispositivo (device ID), utilizzato per prevenire la registrazione duplicata dello stesso dispositivo
Registro delle notifiche inviate: elenco degli argomenti di notizie per cui è stata inviata una notifica push, con data e ora di invio; utilizzato esclusivamente per evitare notifiche duplicate sullo stesso argomento e per rispettare il limite giornaliero di notifiche

Le notifiche push sono disattivate per impostazione predefinita. L'utente le attiva esplicitamente tramite Impostazioni → Notifiche. Il token viene rimosso automaticamente alla cancellazione dell'account.

3.11 Dati di gamification

Streak di lettura: contatore del numero di giorni consecutivi in cui l'utente ha aperto almeno un articolo, e data dell'ultimo aggiornamento
Progressione esploratore categorie: elenco delle categorie di notizie esplorate almeno una volta dall'utente
Badge: identificativo del badge conseguito (es. "primo articolo letto", "100 articoli letti", "primo commento", "primo segnalibro") e relativa data di conseguimento

I badge sono visibili sul profilo pubblico dell'utente e possono essere visualizzati dagli altri utenti autenticati dell'App. I dati di streak e progressione esploratore sono visibili nelle statistiche del profilo pubblico. Tutti i dati di gamification vengono assegnati esclusivamente da meccanismi automatici lato server in risposta ad azioni verificabili dell'utente (apertura di articoli, pubblicazione di commenti, aggiunta di segnalibri) e non possono essere modificati o attribuiti manualmente dall'utente o dall'operatore.

3.12 Funzione di ascolto audio

L'App consente di ascoltare una versione audio del titolo e della sintesi di un argomento di notizie, generata automaticamente mediante un modello di sintesi vocale.

Contenuto trasmesso al modello: esclusivamente il titolo e la sintesi dell'argomento di notizie, ossia contenuto redazionale prodotto da Nookly da fonti di pubblico dominio. Nessun dato personale dell'utente viene trasmesso al fornitore del modello di sintesi vocale, che non riceve né l'identificativo dell'account né alcun altro elemento riconducibile all'utente
Dati dell'utente trattati: l'elenco degli argomenti che l'utente ha ascoltato integralmente e la data del relativo ascolto, oltre a un contatore aggregato degli ascolti completati. Tali dati alimentano le statistiche del profilo e i riconoscimenti di gamification di cui al punto 3.11
L'audio generato è conservato una sola volta per argomento di notizie, in forma identica per tutti gli utenti che lo ascoltano: non è personalizzato e non contiene né rivela alcun dato dell'utente che ne ha richiesto per primo la generazione

L'utilizzo della funzione è del tutto facoltativo: l'ascolto viene registrato soltanto quando l'utente riproduce integralmente l'audio di un argomento.

3.13 Newsletter quotidiana (solo previo consenso)

Nookly invia una newsletter quotidiana con le notizie più raccontate delle ultime 24 ore, in due edizioni: l'edizione italiana (in italiano, alle 11:30) e l'edizione internazionale (in inglese, alle 12:30). Il contenuto è identico per tutti gli iscritti a ciascuna edizione: non è personalizzato in base alle preferenze o all'attività dell'utente.

Dati trattati: indirizzo e-mail dell'account; edizioni scelte; data in cui è stato prestato il consenso; data in cui l'utente ha risposto alla richiesta di iscrizione, anche in caso di rifiuto, al solo fine di non riproporla; brand con cui l'utente si è registrato (Nookly o Nookly Italiae), utilizzato per l'intestazione e per i link dell'e-mail; registro degli invii (data, edizione ed esito del recapito di ciascuna e-mail)
Nessun tracciamento dell'apertura: le e-mail non contengono pixel di tracciamento. I link agli argomenti contengono parametri non identificativi che indicano soltanto la provenienza dalla newsletter. Il link per annullare l'iscrizione contiene un codice personale che consente di disiscriversi senza accedere all'account e non è utilizzato per altre finalità
Immagini: le immagini della newsletter sono ospitate su Supabase (Art. 5); all'apertura dell'e-mail il programma di posta dell'utente le scarica e il fornitore riceve l'indirizzo IP della richiesta, come per qualsiasi contenuto web. Le immagini non contengono dati personali
Selezione delle notizie: le notizie e la frase introduttiva sono scelte automaticamente da un modello linguistico, tramite OpenRouter, a partire da titoli e sintesi degli argomenti (contenuto redazionale). Nessun dato personale dell'utente viene trasmesso al modello

L'iscrizione è facoltativa e richiede un'azione affermativa: una casella non preselezionata al momento della registrazione, oppure il pulsante «Iscrivimi» della richiesta mostrata una sola volta nell'App. Accettando ci si iscrive all'edizione italiana; l'edizione internazionale richiede una scelta ulteriore e distinta.

L'utente può revocare il consenso in qualsiasi momento, per una o per entrambe le edizioni, da Impostazioni → Newsletter; per entrambe, dal link «Annulla l'iscrizione» presente in ogni e-mail, senza necessità di accedere all'account, o con la funzione di disiscrizione rapida offerta dal proprio programma di posta; oppure scrivendo a info@nookly.news. La revoca ha effetto dall'invio successivo e non pregiudica la liceità del trattamento effettuato anteriormente, ai sensi dell'art. 7(3) GDPR.

Obbligatorietà del conferimento dei dati

I dati di cui ai punti 3.1 (e-mail, username) sono necessari per la creazione dell'account e l'utilizzo dell'App; il mancato conferimento impedisce la fruizione del servizio. I dati di cui ai punti 3.2 (avatar, LinkedIn URL), 3.7 (analytics) e 3.9 (condivisione con editori) sono facoltativi. I dati di localizzazione (punto 3.4) sono necessari per attivare il filtro geografico delle notizie; in assenza di autorizzazione, tale funzionalità non è disponibile ma l'App rimane pienamente utilizzabile. I dati di cui ai punti 3.5 (feedback), 3.10 (notifiche push), 3.12 (funzione di ascolto audio) e 3.13 (newsletter) sono interamente facoltativi; la loro mancata prestazione non pregiudica in alcun modo la fruizione dell'App.

Art. 4: Finalità del Trattamento e Basi Giuridiche

#	Finalità	Dati coinvolti	Base giuridica
4.1	Registrazione, autenticazione e gestione dell'account	E-mail, password (hash), username	Art. 6(1)(b) GDPR: Esecuzione del contratto
4.2	Erogazione del servizio: feed di notizie personalizzato, gestione segnalibri e preferenze	Preferenze di categoria, segnalibri, articoli aperti	Art. 6(1)(b) GDPR: Esecuzione del contratto
4.3	Gestione del profilo utente e modifica dei dati personali	Display name, avatar, LinkedIn URL, preferenze	Art. 6(1)(b) GDPR: Esecuzione del contratto
4.4	Commenti, risposte e interazioni sociali sull'App	Testo dei commenti, like, notifiche	Art. 6(1)(b) GDPR: Esecuzione del contratto
4.5	Filtro geografico delle notizie	Codice paese, codice regione	Art. 6(1)(f) GDPR: Legittimo interesse (si veda infra)
4.6	Elaborazione degli articoli tramite modelli linguistici (LLM) per generare titoli, sintesi e categorizzazioni tematiche	Titolo e testo degli articoli provenienti da fonti giornalistiche terze (non dati personali degli utenti)	Art. 6(1)(f) GDPR: Legittimo interesse (si veda infra)
4.7	Analisi comportamentale tramite PostHog per il miglioramento del servizio	UUID, indirizzo e-mail e username dell'account, OS del dispositivo, eventi di navigazione e interazione	Art. 6(1)(a) GDPR: Consenso
4.8	Sicurezza della piattaforma, rilevamento di usi impropri e prevenzione di violazioni	Sessioni di autenticazione, log tecnici, indirizzi IP	Art. 6(1)(f) GDPR: Legittimo interesse (si veda infra)
4.9	Reportistica di audience a editori e partner commerciali, dati aggregati (non personali)	Conteggi aggregati e distribuzioni per categoria/paese; nessun identificativo individuale	Non applicabile: dati aggregati anonimizzati non costituiscono dati personali ai sensi dell'art. 4(1) GDPR; trattamento documentato per trasparenza
4.10	Reportistica di audience a editori e partner commerciali, dati pseudonimizzati (solo previo consenso aggiuntivo)	UUID pseudonimizzato, argomenti consultati, categorie di interesse, OS del dispositivo	Art. 6(1)(a) GDPR: Consenso (distinto dal consenso analytics, si veda Art. 11)
4.11	Gamification: streak di lettura, progressione esploratore categorie e badge	Contatore streak, data ultimo streak, categorie esplorate, badge conseguiti con data	Art. 6(1)(f) GDPR: Legittimo interesse (si veda infra)
4.12	Invio di notifiche push personalizzate su argomenti di notizie corrispondenti agli interessi dell'utente	Token di notifica push (app mobile) oppure endpoint e chiavi della sottoscrizione Web Push e user agent (app web), piattaforma, device ID, registro notifiche inviate	Art. 6(1)(b) GDPR: Esecuzione del contratto (funzionalità attivata su esplicito opt-in dell'utente)
4.13	Raccolta di feedback degli utenti per il miglioramento del servizio	Testo del feedback, identificatore dell'account	Art. 6(1)(b) GDPR: Esecuzione del contratto
4.14	Funzione di ascolto audio: generazione della versione audio degli argomenti di notizie e registrazione degli ascolti completati per le statistiche di profilo	Titolo e sintesi dell'argomento (contenuto redazionale, non dati personali dell'utente); elenco degli argomenti ascoltati con data; contatore aggregato degli ascolti	Art. 6(1)(b) GDPR: Esecuzione del contratto
4.15	Invio di comunicazioni di servizio relative all'account (e-mail di benvenuto alla registrazione, comunicazioni sul funzionamento del Servizio)	Indirizzo e-mail dell'account	Art. 6(1)(b) GDPR: Esecuzione del contratto
4.16	Invio della newsletter quotidiana (edizione italiana e/o internazionale)	Indirizzo e-mail dell'account, edizioni scelte, data del consenso e della risposta alla richiesta di iscrizione, brand di registrazione, registro degli invii	Art. 6(1)(a) GDPR: Consenso, per ciascuna edizione, revocabile in ogni momento (si veda il punto 3.13)

Legittimi interessi perseguiti (art. 6(1)(f) GDPR)

Ai sensi dell'art. 6(1)(f) GDPR e del considerando 47, il Titolare ha effettuato una valutazione di bilanciamento degli interessi per ciascun trattamento fondato sul legittimo interesse:

Finalità 4.5: Filtro geografico: Il legittimo interesse consiste nell'offrire all'utente contenuti informativi geograficamente pertinenti, adattando automaticamente la selezione degli argomenti al paese e alla regione indicati. L'impatto sui diritti dell'utente è minimo: vengono conservati esclusivamente un codice paese ISO e un codice regione anonimizzato, mai le coordinate GPS grezze. L'utente può modificare o rimuovere tali dati in qualsiasi momento.
Finalità 4.6: Elaborazione LLM: Il legittimo interesse consiste nel generare automaticamente titoli, sintesi e categorie tematiche a partire da articoli di fonti terze, al fine di erogare un servizio di aggregazione e strutturazione delle notizie. Questo trattamento riguarda il contenuto pubblico di articoli giornalistici di terze parti; i dati personali degli utenti non sono oggetto di questo trattamento.
Finalità 4.8: Sicurezza: Il legittimo interesse consiste nel proteggere la piattaforma e i suoi utenti da accessi non autorizzati, abusi e incidenti di sicurezza, anche a tutela dei dati personali degli stessi utenti.
Finalità 4.11: Gamification: Il legittimo interesse consiste nel migliorare l'engagement degli utenti e la fidelizzazione al servizio attraverso meccanismi di progressione (streak, badge, esplorazione categorie), che incentivano un uso continuativo dell'App in modo trasparente e non manipolativo. L'impatto sui diritti dell'utente è limitato: i dati trattati derivano esclusivamente da azioni che l'utente compie volontariamente nell'ambito del servizio (lettura di articoli, pubblicazione di commenti, aggiunta di segnalibri). I dati non vengono comunicati a terzi per finalità di marketing o profilazione commerciale.

L'utente ha il diritto di opporsi in qualsiasi momento ai trattamenti basati sul legittimo interesse (art. 21 GDPR), contattando il Titolare all'indirizzo info@nookly.news. A seguito di un'opposizione motivata, il Titolare cesserà il trattamento salvo dimostrazione di motivi legittimi cogenti che prevalgono sugli interessi, i diritti e le libertà dell'interessato.

Decisioni automatizzate e profilazione

L'App non adotta decisioni basate esclusivamente su trattamento automatizzato che producano effetti giuridici o incidano in modo analogo significativamente sull'utente ai sensi dell'art. 22 GDPR. La personalizzazione del feed si basa sulle preferenze di categoria espressamente selezionate dall'utente, non su profilazione comportamentale automatizzata.

Art. 5: Destinatari e Responsabili del Trattamento

I dati personali sono trattati da personale autorizzato del Titolare operante in base al principio del need-to-know, nonché comunicati ai seguenti responsabili del trattamento (Processors) designati ai sensi dell'art. 28 GDPR:

Responsabile	Ruolo	Sede operativa	Note
Supabase Inc.	Database, autenticazione, storage	`eu-west-1`, Irlanda (AWS): UE	Tratta tutti i dati degli utenti
PostHog Inc.	Analisi comportamentale	`eu.posthog.com`, Francoforte (DE): UE	Attivato esclusivamente previo consenso dell'utente; per gli utenti consenzienti riceve anche l'indirizzo e-mail dell'account (si vedano i punti 3.7 e Art. 10)
IONOS SE	Servizio di posta elettronica utilizzato per l'invio delle comunicazioni di servizio (e-mail di benvenuto alla registrazione) e della newsletter quotidiana agli iscritti (punto 3.13), e per la ricezione delle richieste inviate a info@nookly.news	Germania: UE	Riceve l'indirizzo e-mail del destinatario e il contenuto del messaggio
OpenRouter	Gateway API per modelli linguistici e di sintesi vocale (generazione di titoli, sintesi e categorizzazioni degli articoli; generazione dell'audio della funzione di ascolto)	Potenzialmente extra-SEE; coperto da Clausole Contrattuali Standard (SCC: accordi tipo approvati dalla Commissione europea, art. 46(2)(c) GDPR)	Elabora solo testo di articoli giornalistici di fonti terze; non tratta dati personali degli utenti
EventRegistry / NewsAPI.ai	Ingestion di articoli di notizie (server pipeline)	NA	Elabora solo metadata di articoli di fonti giornalistiche terze; non tratta dati degli utenti
Expo Inc.	Infrastruttura di invio notifiche push	USA: extra-SEE; trasferimento soggetto a garanzie adeguate ai sensi dell'art. 46 GDPR (SCC da verificare prima dell'attivazione in produzione)	Riceve token di notifica push (identificatore dispositivo) e testo delle notifiche (titolo e sintesi degli argomenti di notizie, non dati personali dell'utente); non riceve nome, e-mail o identificatori dell'account Nookly
Google LLC	Fornitura delle icone (favicon) delle testate giornalistiche visualizzate nell'App	USA: extra-SEE; trasferimento coperto dalle Clausole Contrattuali Standard incluse nei termini di Google ai sensi dell'art. 46(2)(c) GDPR	Alla visualizzazione dei contenuti, riceve l'indirizzo IP del dispositivo e il nome di dominio della testata di cui è richiesta l'icona; non riceve nome, e-mail o identificativo dell'account Nookly

Il recapito materiale delle notifiche Web Push avviene attraverso i servizi di push del fornitore del browser utilizzato dall'utente (Google LLC, Mozilla Foundation o Apple Inc., a seconda del browser). Tali soggetti agiscono in qualità di titolari autonomi del trattamento limitatamente alla fase di trasporto del messaggio: ricevono l'indirizzo di recapito (endpoint) generato dal browser e il contenuto della notifica in forma cifrata, e non ricevono il nome, l'e-mail o l'identificativo dell'account Nookly dell'utente.

Oltre ai responsabili del trattamento di cui sopra, dati di audience possono essere comunicati a editori di notizie e partner commerciali nei limiti e con le modalità descritte all'Art. 11. I destinatari che ricevono dati di audience agiscono in qualità di titolari autonomi del trattamento per le proprie finalità di analisi; i dati pseudonimizzati sono trasmessi esclusivamente previo consenso distinto dell'utente.

I dati personali degli utenti non sono venduti né condivisi con terze parti per finalità di marketing, pubblicità comportamentale o profilazione commerciale. La condivisione di dati di audience con editori e partner commerciali è effettuata esclusivamente per le finalità di analisi descritte all'Art. 11, nei limiti del consenso prestato dall'utente.

Art. 6: Trasferimenti Internazionali di Dati

Supabase opera su infrastruttura AWS nella regione eu-west-1 (Irlanda): i dati restano all'interno dello Spazio Economico Europeo (SEE).
PostHog opera su infrastruttura EU (eu.posthog.com, Francoforte, Germania): i dati restano all'interno del SEE.
OpenRouter può instradare richieste API attraverso infrastrutture situate al di fuori del SEE (inclusi gli Stati Uniti). Tali trasferimenti sono coperti dalle Clausole Contrattuali Standard (SCC) adottate dalla Commissione europea ai sensi dell'art. 46(2)(c) GDPR, incluse nel Contratto per il Trattamento dei Dati di OpenRouter. Si precisa che OpenRouter elabora esclusivamente il testo di articoli giornalistici di terze parti; nessun dato personale degli utenti viene trasmesso a OpenRouter.
Expo Inc. (notifiche push): il token di notifica push e il contenuto delle notifiche (titolo e sintesi degli argomenti) possono transitare attraverso infrastrutture di Expo situate al di fuori del SEE (USA). Prima dell'attivazione del servizio di notifiche push in produzione, il Titolare verificherà l'esistenza di garanzie adeguate ai sensi dell'art. 46 GDPR (tipicamente Clausole Contrattuali Standard) con Expo Inc.
Google LLC (icone delle testate): per visualizzare le icone (favicon) delle fonti giornalistiche, l'App le richiede al servizio di Google (google.com), trasmettendo l'indirizzo IP del dispositivo e il nome di dominio della testata. Tali trasferimenti verso gli Stati Uniti sono coperti dalle Clausole Contrattuali Standard incluse nei termini di Google ai sensi dell'art. 46(2)(c) GDPR. Non vengono trasmessi nome, e-mail o identificativi dell'account Nookly.
Destinatari extra-SEE: Allo stato attuale, i dati pseudonimizzati degli utenti non vengono trasmessi a editori o partner commerciali con sede al di fuori del SEE. Qualora in futuro venissero instaurati accordi con destinatari extra-SEE, la trasmissione sarà subordinata alla previa conclusione di Clausole Contrattuali Standard (SCC: accordi tipo approvati dalla Commissione europea ai sensi dell'art. 46(2)(c) GDPR) o all'esistenza di una decisione di adeguatezza per il paese del destinatario. In assenza di tali garanzie, nessun dato pseudonimizzato sarà trasmesso.

Per richiedere copia delle garanzie adottate per i trasferimenti extra-SEE, è possibile contattare info@nookly.news.

Art. 7: Periodi di Conservazione

Categoria di dati	Periodo di conservazione
Dati di account e profilo (e-mail, username, display name, avatar, LinkedIn URL)	Fino alla cancellazione dell'account
Codice paese e regione (localizzazione)	Fino alla cancellazione dell'account o alla modifica manuale da parte dell'utente
Commenti e risposte	Fino all'eliminazione del singolo commento da parte dell'utente, alla cancellazione dell'account o, se precedente, alla rimozione automatica dell'argomento di notizie collegato (massimo circa 30 giorni dalla creazione dell'argomento): alla scadenza dell'argomento i commenti ad esso associati vengono eliminati in cascata
Like ai commenti	Fino alla rimozione da parte dell'utente, alla cancellazione dell'account o all'eliminazione in cascata del commento collegato (massimo circa 30 giorni, con la scadenza dell'argomento)
Conteggio aggregato articoli aperti (lifetime)	Fino alla cancellazione dell'account; i record individuali di apertura vengono eliminati automaticamente entro 30 giorni in cascata con gli argomenti
Segnalibri	Fino alla rimozione da parte dell'utente, alla cancellazione dell'account o, se precedente, all'eliminazione automatica dell'argomento salvato (massimo circa 30 giorni dalla creazione dell'argomento): alla scadenza dell'argomento il relativo segnalibro viene eliminato in cascata
Notifiche	Massimo 30 giorni; eliminate automaticamente in cascata con la scadenza degli argomenti
Argomenti ascoltati (funzione di ascolto audio)	Fino alla cancellazione dell'account o, se precedente, all'eliminazione automatica dell'argomento di notizie collegato (massimo circa 30 giorni dalla creazione dell'argomento); il contatore aggregato degli ascolti completati è conservato fino alla cancellazione dell'account
Audio generato per la funzione di ascolto	Conservato per argomento di notizie, non per utente; eliminato con l'argomento cui si riferisce. Non contiene dati personali
Dati analitici PostHog	Secondo le impostazioni di conservazione del piano PostHog (tipicamente 12 mesi); eliminabili su richiesta DSAR
Dati di audience condivisi con editori e partner commerciali (pseudonimizzati)	Trasmessi al destinatario al momento della generazione del report; la revoca del consenso interrompe le trasmissioni future; i dati già trasmessi rimangono nella disponibilità dei destinatari nei termini delle rispettive informative privacy
Feedback degli utenti	Fino alla cancellazione dell'account; eliminati automaticamente in cascata con il profilo
Token di notifica push (app mobile)	Fino alla revoca dell'opt-in o alla cancellazione dell'account; eliminati automaticamente in cascata con il profilo
Sottoscrizione Web Push (endpoint, chiavi di cifratura, user agent)	Fino alla revoca dell'opt-in, alla disinstallazione dell'App web dal dispositivo, alla cancellazione dell'account o alla rimozione automatica dell'endpoint quando il servizio di recapito lo segnala come non più valido
Registro notifiche push inviate (per argomento)	Eliminati automaticamente in cascata con la scadenza dell'argomento (massimo 30 giorni) o con la cancellazione dell'account
Iscrizione alla newsletter (edizioni scelte e data del consenso)	Fino alla revoca del consenso o alla cancellazione dell'account; alla revoca, le edizioni e la data del consenso vengono cancellate. La data in cui l'utente ha risposto alla richiesta di iscrizione è conservata, al solo fine di non riproporla, fino alla cancellazione dell'account
Registro degli invii della newsletter	90 giorni dall'invio, poi eliminato automaticamente; eliminato in cascata con la cancellazione dell'account
Immagini della newsletter	90 giorni, poi eliminate automaticamente. Non contengono dati personali
Articoli grezzi (staging server pipeline)	Circa 24 ore; eliminati automaticamente dopo l'elaborazione
Badge di gamification	Fino alla cancellazione dell'account; eliminati automaticamente in cascata con il profilo
Streak e progressione esploratore	Fino alla cancellazione dell'account; eliminati automaticamente in cascata con il profilo
Indirizzi IP (log di autenticazione Supabase Auth)	Gestiti dall'infrastruttura Supabase Auth; conservati per un periodo limitato (in genere non superiore a 90 giorni) secondo le politiche di Supabase; il Titolare non dispone di accesso diretto per l'eliminazione di singole voci; per richieste di cancellazione: info@nookly.news
Log di audit cancellazione account (hash SHA-256 dell'identificatore utente)	5 anni dalla data di cancellazione dell'account; base giuridica: art. 6(1)(f) GDPR: legittimo interesse (sicurezza, prevenzione di re-registrazioni fraudolente). Lo spazio di ricerca di SHA-256 su UUID casuale rende la reversione computazionalmente non fattibile

Art. 8: Contenuti Generati dall'Utente e Visibilità

I commenti pubblicati dall'utente sono visibili agli altri utenti dell'App nell'ambito delle discussioni sui singoli argomenti di notizie. L'utente può impostare i propri commenti come privati rispetto al proprio profilo pubblico tramite l'apposita opzione in Impostazioni → Privacy → Commenti privati; tale impostazione non nasconde i commenti all'interno delle discussioni degli argomenti.

I dati dei commenti sono conservati sui server di Supabase in Irlanda (UE).

Lettura degli articoli nel browser interno

Quando l'utente apre un articolo all'interno dell'App, il contenuto viene caricato direttamente dal sito web della testata o fonte di notizie tramite un browser integrato. In tale frangente la testata (ed eventuali soggetti terzi presenti sulla sua pagina, ad es. fornitori di statistiche o pubblicità) può ricevere l'indirizzo IP del dispositivo dell'utente e impostare cookie o tecnologie analoghe, agendo in qualità di titolare autonomo del trattamento. Tali trattamenti sono disciplinati dalle informative privacy dei rispettivi editori, sulle quali Nookly non esercita controllo. Nookly non trasmette agli editori il nome, l'e-mail o l'identificativo dell'account dell'utente in occasione dell'apertura dell'articolo.

Art. 9: Diritti dell'Interessato

In qualità di interessato ai sensi del Capo III GDPR, l'utente ha il diritto di:

Diritto	Riferimento GDPR	Modalità di esercizio
Accesso ai propri dati personali e alle informazioni sul loro trattamento	Art. 15	Inviare richiesta a info@nookly.news
Rettifica di dati inesatti o incompleti	Art. 16	In-app: Modifica profilo (display name, avatar, LinkedIn URL, preferenze); per l'indirizzo e-mail: info@nookly.news
Cancellazione ("diritto all'oblio")	Art. 17	In-app: Impostazioni → Account → Elimina account (cancellazione immediata e irreversibile di profilo, commenti e segnalibri)
Limitazione del trattamento	Art. 18	Inviare richiesta a info@nookly.news
Portabilità dei dati in formato strutturato e leggibile da macchina	Art. 20	In-app: Impostazioni → Esporta i miei dati (export parziale in formato JSON: profilo, commenti, segnalibri, conteggio articoli letti). Per l'export completo incluso l'indirizzo e-mail e gli altri dati non inclusi nell'export in-app: inviare richiesta DSAR a info@nookly.news
Opposizione al trattamento basato su legittimo interesse	Art. 21	Inviare richiesta motivata a info@nookly.news
Revoca del consenso per i trattamenti basati su consenso (analytics PostHog e/o condivisione dati con editori e partner commerciali)	Art. 7(3)	In-app: Impostazioni → Privacy: toggle dedicato per analytics e toggle dedicato per la condivisione dei dati di audience; la revoca è immediata e non richiede contatto via e-mail. I due consensi sono indipendenti e revocabili separatamente; la revoca non pregiudica la liceità del trattamento effettuato prima della revoca

Tempi di risposta

Il Titolare risponde alle richieste entro 30 giorni dal ricevimento (art. 12(3) GDPR). In caso di richieste particolarmente complesse o numerose, tale termine può essere prorogato di ulteriori 60 giorni, previa comunicazione motivata all'interessato entro il primo mese.

L'esercizio dei diritti è gratuito. Qualora le richieste siano manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo, il Titolare può addebitare un contributo spese ragionevole oppure rifiutarsi di soddisfare la richiesta, motivando la propria decisione (art. 12(5) GDPR).

Art. 10: Consenso all'Analisi Comportamentale (PostHog)

L'App integra PostHog, un servizio di analisi comportamentale, che il Titolare utilizza per comprendere come gli utenti interagiscono con le funzionalità dell'App al fine di migliorarne l'esperienza d'uso e l'affidabilità.

PostHog è attivato esclusivamente previo consenso esplicito e separato dell'utente, espresso mediante un'azione affermativa al momento della registrazione. Il consenso all'analisi comportamentale non è un requisito per la creazione dell'account né per l'utilizzo delle funzionalità dell'App.

Dati trasmessi a PostHog esclusivamente in caso di consenso:

Identificatore utente pseudonimizzato (un codice univoco che non contiene il nome o l'e-mail dell'utente)
Nome utente (username) e indirizzo e-mail dell'account, associati all'identificatore pseudonimizzato, allo scopo di ricondurre le statistiche di utilizzo al singolo utente registrato nella fase di beta del servizio
Sistema operativo del dispositivo
Schermate visualizzate e interazioni con gli elementi dell'interfaccia
Termini di ricerca digitati nella schermata Esplora e attributi tecnici derivati dalle azioni (es. lunghezza commento, indicatore automatico di moderazione)

Conteggi anonimi senza consenso. Per i visitatori che non hanno prestato il consenso (inclusi quelli che usano l'App senza account) l'App invia a PostHog soltanto conteggi anonimi di alcune azioni: apertura dell'App (con la sola provenienza: link condiviso, newsletter, app installata o accesso diretto), notizia visualizzata nel feed (con la relativa categoria e sottocategoria), apertura di un articolo, apertura di un link condiviso o di un link della newsletter. Ogni conteggio indica inoltre la versione dell'App (Nookly o Nookly Italiae) e se l'utente ha effettuato l'accesso. Ogni conteggio porta un codice casuale diverso, non collegato ad alcun altro evento né all'account; non viene salvato nulla sul dispositivo dell'utente (nessun cookie o tecnologia analoga) e PostHog non crea alcun profilo. Questi conteggi consentono di sapere quante volte una funzionalità è stata usata, non chi l'ha usata né se si tratta della stessa persona.

L'utente può revocare il consenso in qualsiasi momento direttamente in-app tramite Impostazioni → Privacy, senza necessità di contattare il Titolare via e-mail. La revoca è immediata e non pregiudica la liceità del trattamento effettuato anteriormente alla revoca stessa, ai sensi dell'art. 7(3) GDPR.

Art. 11: Condivisione dei Dati con Editori e Partner Commerciali (Report di Audience)

Funzionalità non ancora attiva. Alla data di entrata in vigore della presente informativa la condivisione di dati di fruizione con editori e partner commerciali non è operativa: nessun dato, né aggregato né pseudonimizzato, è stato ad oggi trasmesso ad alcun destinatario, e l'App non presenta attualmente all'utente la richiesta del consenso distinto qui descritto. La presente sezione è resa a fini di trasparenza preventiva. Il Titolare raccoglierà il consenso distinto e aggiornerà la presente informativa ai sensi dell'Art. 14 prima di attivare la funzionalità.

Dati aggregati (nessun consenso richiesto)

Nookly può condividere con editori e partner commerciali dati aggregati e anonimizzati relativi all'audience, quali il numero complessivo di lettori per categoria di notizie, la distribuzione geografica a livello nazionale e i trend di lettura per cluster tematico. Questi dati non consentono l'identificazione di singoli utenti e non costituiscono dati personali ai sensi dell'art. 4(1) GDPR.

Dati pseudonimizzati (consenso distinto richiesto)

Nookly può condividere con editori e partner commerciali dati pseudonimizzati relativi alla fruizione individuale dei contenuti, comprendenti le tipologie di notizie lette, le preferenze tematiche, le informazioni tecniche sul dispositivo e un identificatore pseudonimizzato che non rivela l'identità reale dell'utente.

Natura commerciale della condivisione. Questa condivisione avviene nell'ambito di accordi commerciali con i destinatari: editori e partner commerciali possono corrispondere a Nookly un compenso economico per accedere a tali dati, direttamente o come parte di un contratto di partnership più ampio. I dati dell'utente possono pertanto costituire parte del valore economico scambiato tra Nookly e tali soggetti. Il consenso richiesto all'utente tiene conto esplicitamente di questa dimensione commerciale: prestando il consenso, l'utente accetta che i propri dati di fruizione siano condivisi con editori e partner commerciali anche nell'ambito di rapporti economici.

La condivisione avviene esclusivamente laddove l'utente abbia prestato un consenso esplicito e separato, distinto dal consenso all'analisi comportamentale PostHog.

Il consenso alla condivisione dei dati con editori e partner commerciali è raccolto al momento della registrazione tramite una casella di spunta dedicata. Tale casella è sempre visibile ma non selezionabile finché l'utente non abbia preventivamente accettato il consenso all'analisi comportamentale, poiché i dati di fruizione individuale sono rilevati tramite il sistema analytics.

Caratteristiche del consenso:

Facoltativo e distinto dal consenso analytics: la mancata prestazione non preclude la registrazione né l'utilizzo del consenso analytics per le sole finalità di miglioramento del servizio
Prestato in piena consapevolezza della possibile natura commerciale degli accordi con i destinatari
Revocabile in qualsiasi momento in modo indipendente, senza che ciò pregiudichi il consenso analytics o viceversa
La revoca interrompe le trasmissioni future; i dati già trasmessi rimangono nella disponibilità dei destinatari nei termini delle rispettive informative sulla privacy

Destinatari

I destinatari dei report di audience appartengono alle seguenti categorie:

Editori e testate giornalistiche, per finalità di analisi del proprio pubblico di lettori
Partner commerciali con cui Nookly abbia in essere un accordo di collaborazione, per finalità di analisi di mercato e sviluppo di iniziative congiunte

I dati non sono in alcun caso ceduti a soggetti che li utilizzino per pubblicità comportamentale o profilazione commerciale dell'utente, né rivenduti a intermediari di dati (data broker).

Ciascun destinatario agisce in qualità di titolare autonomo del trattamento per le proprie finalità; Nookly non è responsabile del trattamento che il destinatario effettua sui dati ricevuti. Per destinatari con sede al di fuori del SEE, la trasmissione di dati pseudonimizzati è subordinata all'esistenza di garanzie adeguate ai sensi dell'art. 46 GDPR (tipicamente Clausole Contrattuali Standard).

L'elenco aggiornato dei destinatari e i relativi accordi di condivisione dei dati sono resi disponibili su richiesta a info@nookly.news.

Art. 12: Sicurezza dei Dati

Il Titolare adotta misure tecniche e organizzative adeguate a garantire un livello di sicurezza commisurato al rischio, ai sensi dell'art. 32 GDPR, tra cui:

Controllo degli accessi ai dati tramite regole di sicurezza per riga (Row Level Security) che garantiscono che ogni utente possa visualizzare e modificare esclusivamente i propri dati
Comunicazioni cifrate in transito tramite HTTPS per tutti i servizi
Autenticazione basata su credenziali di sessione cifrate (token di accesso) con password conservate esclusivamente in forma cifrata e irreversibile
Autorizzazione conforme al principio del need-to-know per il personale del Titolare
Eliminazione automatica a cascata di tutti i dati dell'utente alla cancellazione dell'account
Dati degli utenti ospitati esclusivamente su infrastrutture all'interno dell'Unione Europea

Art. 13: Reclamo all'Autorità di Controllo

Fatto salvo il diritto di adire le vie giudiziarie ordinarie, l'utente ha il diritto di presentare un reclamo al Garante per la Protezione dei Dati Personali, quale Autorità di controllo competente per l'Italia ai sensi degli artt. 77 GDPR e 141 D.Lgs. 196/2003:

Garante per la Protezione dei Dati Personali
Piazza Venezia, 11, 00187 Roma
Sito web: www.garanteprivacy.it
E-mail: garante@gpdp.it
PEC: protocollo@pec.gpdp.it

Il Titolare incoraggia l'utente a contattarlo preventivamente all'indirizzo info@nookly.news per la risoluzione di qualsiasi problematica relativa al trattamento dei propri dati.

Art. 14: Modifiche alla Presente Informativa

Il Titolare si riserva di aggiornare la presente informativa per adeguarla a modifiche normative, a nuove funzionalità dell'App o a variazioni nei trattamenti effettuati.

Le modifiche di carattere non sostanziale (ad es. correzioni redazionali, aggiornamento dei recapiti del Titolare) producono effetto dalla data indicata nella comunicazione. Le modifiche sostanziali, ovvero quelle che ampliano le finalità del trattamento, introducono nuovi destinatari, estendono i periodi di conservazione o cambiano le basi giuridiche applicate, saranno comunicate all'utente con almeno 30 giorni di anticipo tramite notifica in-app o comunicazione via e-mail. La versione aggiornata sarà sempre accessibile all'interno dell'App (Impostazioni → Privacy → Informativa Privacy).

Per i trattamenti basati sul consenso (analisi comportamentale PostHog e condivisione dati con editori e partner commerciali), qualsiasi modifica sostanziale richiederà un nuovo consenso esplicito dell'utente prima che il trattamento modificato abbia inizio. Il rifiuto del nuovo consenso non pregiudica la fruizione delle funzionalità dell'App non soggette a consenso.

Continuare a utilizzare l'App dopo la data di entrata in vigore di modifiche non sostanziali, o dopo aver prestato il nuovo consenso per le modifiche sostanziali, implica l'accettazione dell'informativa aggiornata.

La presente informativa è parte integrante dei Termini di Servizio di Nookly.