Privacy Policy di Jovan

Il titolare del trattamento per le attività descritte nella presente informativa è:

FDDS di Francesco Danesi della Sala
Via Mazzini 48
24128 Bergamo (BG) — Italia
P. IVA: IT04841240163
Codice fiscale: DNSFNC91L26A794H

Jovan è il nome commerciale utilizzato per il servizio.

Per richieste relative alla protezione dei dati personali è possibile scrivere a:

[email protected]

Per richieste relative all’assistenza e al servizio:

[email protected]

Non è stato nominato un Responsabile della Protezione dei Dati (DPO), non ricorrendone allo stato i presupposti obbligatori.

Jovan può trattare dati personali assumendo ruoli diversi a seconda del contesto.

2.1 Jovan come titolare del trattamento

Jovan opera come titolare quando determina direttamente le finalità del trattamento, in particolare per:

• gestione del sito e della sua sicurezza;
• richieste di demo e waiting list;
• gestione degli account Jovan;
• registrazione e onboarding;
• attivazione e gestione del trial;
• gestione del rapporto contrattuale;
• informazioni relative ai piani e all’utilizzo del servizio;
• assistenza;
• sicurezza, prevenzione degli abusi e audit di piattaforma;
• gestione dei pagamenti e dei rapporti con Paddle;
• misurazione statistica del sito marketing tramite Google Analytics, previo consenso;
• organizzazione di call commerciali tramite Calendly;
• adempimenti legali, amministrativi e tutela dei diritti.

2.2 Jovan come responsabile del trattamento

Quando un training provider utilizza Jovan per organizzare la propria attività e inserisce dati relativi, ad esempio, a partecipanti, docenti, referenti delle aziende clienti, iscrizioni, presenze, attestati o attività formative, il provider determina finalità e presupposti giuridici del trattamento e opera normalmente come titolare, mentre Jovan tratta tali dati per suo conto in qualità di responsabile del trattamento ai sensi dell’art. 28 GDPR.

Tale rapporto è disciplinato dal Data Processing Agreement incorporato nei Termini del Servizio.

Se una persona utilizza Jovan perché invitata da un training provider — ad esempio come partecipante, docente o referente cliente — l’informativa relativa all’attività formativa e alle finalità determinate dal provider deve essere resa dal provider stesso.

Jovan resta autonomamente titolare degli eventuali trattamenti strettamente necessari alla gestione dell’account di piattaforma, alla sicurezza, all’autenticazione, alla prevenzione degli abusi e all’adempimento dei propri obblighi legali.

3.1 Navigazione sul sito e sicurezza

Durante la navigazione possono essere trattati automaticamente dati tecnici quali:

• indirizzo IP;
• data e ora delle richieste;
• URL richiesti;
• informazioni sul browser e sul dispositivo;
• informazioni tecniche sulla connessione;
• log relativi a errori, sicurezza e funzionamento dei sistemi.

Questi dati vengono trattati per:

• rendere disponibile il sito;
• garantire sicurezza, integrità e disponibilità dei sistemi;
• identificare anomalie, attacchi o utilizzi abusivi;
• diagnosticare problemi tecnici.

Base giuridica: legittimo interesse del titolare alla gestione sicura e affidabile del servizio, ai sensi dell’art. 6, par. 1, lett. f GDPR.

I log tecnici vengono conservati per il tempo strettamente necessario alle finalità di sicurezza e diagnostica e, di regola, non oltre 12 mesi, salvo necessità di conservazione più lunga connesse a uno specifico incidente, contestazione o obbligo di legge.

Nella fase precedente alla disponibilità generale dell’applicazione, Jovan può raccogliere tramite il form “Prenota la tua demo”:

• nome;
• cognome;
• indirizzo email.

I dati vengono utilizzati esclusivamente per:

• registrare l’interesse verso Jovan;
• ricontattare l’interessato;
• comunicare la disponibilità della demo o del servizio;
• organizzare l’eventuale accesso iniziale.

Questi dati non vengono utilizzati per l’invio di newsletter o comunicazioni promozionali generiche non richieste.

Base giuridica: esecuzione di misure precontrattuali adottate su richiesta dell’interessato, ai sensi dell’art. 6, par. 1, lett. b GDPR.

Conservazione: fino alla gestione della richiesta e, in ogni caso, non oltre 12 mesi dall’ultima interazione, salvo che nel frattempo venga attivato un trial, instaurato un rapporto contrattuale o ricorra un’altra base giuridica per la conservazione.

Le richieste valide vengono registrate in una lista Brevo dedicata esclusivamente alla demo/waiting list. Il form non iscrive il contatto a newsletter o campagne promozionali e non invia un autoresponder al prospect. Una notifica transazionale viene inviata al solo recapito interno incaricato del follow-up.

Il form utilizza Cloudflare Turnstile per prevenire invii automatici. Il token tecnico viene verificato lato server e non viene archiviato da Jovan. I log applicativi del flusso non contengono nome, cognome, email, token Turnstile, indirizzo IP o user agent; Cloudflare può comunque trattare dati tecnici per erogare la verifica e le protezioni di rete secondo la propria informativa.

Jovan può mettere a disposizione un collegamento esterno a Calendly per prenotare call o demo.

Accedendo al servizio Calendly, l’utente potrà fornire dati quali:

• nome e cognome;
• email;
• data e ora dell’appuntamento;
• eventuali informazioni volontariamente inserite nel modulo di prenotazione.

Jovan utilizza tali informazioni per organizzare e svolgere l’appuntamento richiesto.

Base giuridica: esecuzione di misure precontrattuali o del rapporto contrattuale, ai sensi dell’art. 6, par. 1, lett. b GDPR.

Calendly opera nell’ambito del proprio servizio e dei relativi accordi sul trattamento dei dati. Poiché il collegamento a Calendly apre un servizio esterno, eventuali cookie o tecnologie di tracciamento utilizzati direttamente da Calendly non sono installati da Jovan sul dominio jovan.cloud.

Quando l’applicazione sarà disponibile, per la registrazione e la gestione dell’account potranno essere trattati:

• nome e cognome;
• email;
• credenziali e informazioni di autenticazione;
• organizzazione o provider di appartenenza;
• ruolo e autorizzazioni;
• informazioni sulla sessione e sugli accessi;
• impostazioni dell’account;
• stato del trial o dell’abbonamento.

Le password non vengono conservate in chiaro.

Il trial standard ha una durata di 30 giorni e non richiede l’inserimento di una carta di pagamento.

Base giuridica: esecuzione di misure precontrattuali e, successivamente, esecuzione del contratto, ai sensi dell’art. 6, par. 1, lett. b GDPR.

Quando il trial termina senza l’attivazione di un piano, Jovan rende disponibile una finestra di recupero ed esportazione dei dati di 30 giorni. Al termine di tale periodo i dati del tenant vengono rimossi dai sistemi attivi secondo quanto previsto dai Termini e dal DPA, salvo dati la cui ulteriore conservazione sia necessaria per adempiere a obblighi legali, tutelare diritti o gestire altri rapporti ancora attivi.

Le copie residue contenute nei backup vengono eliminate attraverso la normale rotazione dei backup, attualmente prevista entro ulteriori 30 giorni.

Durante l’onboarding possono essere raccolte informazioni quali:

• tipologia di attività;
• ruolo del richiedente;
• numero di persone che utilizzeranno Jovan;
• numero indicativo di partecipanti attivi gestiti annualmente;
• obiettivi di utilizzo di Jovan.

Queste informazioni sono utilizzate per:

• configurare l’esperienza iniziale;
• comprendere le esigenze operative dell’organizzazione;
• suggerire il piano Jovan potenzialmente più adeguato;
• elaborare statistiche aggregate sull’utilizzo e sulla composizione della base utenti;
• migliorare prodotto, onboarding e offerta commerciale.

Base giuridica: esecuzione di misure precontrattuali o del contratto per la configurazione e la raccomandazione del servizio; legittimo interesse del titolare per statistiche aggregate e miglioramento del servizio.

La raccomandazione del piano non costituisce una decisione automatizzata che produce effetti giuridici o analogamente significativi sull’interessato. L’utente mantiene sempre la possibilità di valutare autonomamente il piano disponibile.

Per i piani acquistabili online, Jovan utilizza Paddle come Merchant of Record e rivenditore autorizzato.

Paddle gestisce direttamente, secondo le proprie condizioni:

• checkout;
• incasso;
• strumenti di pagamento;
• aspetti fiscali della transazione;
• documentazione di vendita;
• eventuali rimborsi e contestazioni.

Jovan non riceve né conserva i dati completi della carta di pagamento.

Jovan può ricevere da Paddle informazioni necessarie alla gestione dell’abbonamento, ad esempio:

• identità o denominazione del cliente;
• email;
• identificativi dell’ordine e dell’abbonamento;
• piano acquistato;
• importi;
• valuta;
• stato del pagamento;
• data di rinnovo;
• stato dell’abbonamento;
• informazioni fiscali e di fatturazione necessarie al rapporto.

Base giuridica: esecuzione del contratto; adempimento di obblighi legali; legittimo interesse alla gestione e documentazione del rapporto commerciale.

I dati strettamente necessari a documentare il rapporto contrattuale o tutelare diritti possono essere conservati fino a 10 anni dalla conclusione del rapporto, quando necessario secondo la normativa applicabile o i termini ordinari di prescrizione.

Paddle tratta inoltre dati in qualità di soggetto autonomamente responsabile per le attività che determina direttamente nell’ambito del proprio servizio di pagamento e Merchant of Record.

Quando l’utente contatta Jovan possono essere trattati:

• nome;
• email;
• organizzazione;
• contenuto della richiesta;
• eventuali dati tecnici necessari a diagnosticare un problema;
• storico delle comunicazioni.

Base giuridica: esecuzione del contratto o di misure precontrattuali; legittimo interesse del titolare alla gestione dell’assistenza e alla tutela dei propri diritti.

Le richieste di supporto vengono conservate per il tempo necessario alla gestione e, di regola, fino a 24 mesi dalla chiusura della richiesta o del rapporto, salvo necessità di ulteriore conservazione.

Gli utenti sono invitati a non inserire nelle richieste di assistenza dati personali non necessari e, in particolare, categorie particolari di dati.

Jovan utilizza Brevo per l’invio di comunicazioni operative e transazionali, ad esempio:

• verifica dell’indirizzo email;
• magic link;
• inviti;
• conferme di iscrizione;
• reminder;
• comunicazioni sulle sessioni;
• notifiche relative a materiali;
• attestati;
• report;
• comunicazioni necessarie al funzionamento del servizio.

Brevo viene inoltre utilizzato come destinazione operativa della lista dedicata alle richieste demo descritta nella sezione 3.2. Per tale finalità tratta nome, cognome, email, sorgente della richiesta, data della richiesta, versione dell’informativa, finalità e termine massimo di retention. Questi dati restano separati da eventuali liste marketing.

Possono essere trattati:

• nome;
• email;
• contenuto della comunicazione;
• identificativo tecnico del messaggio;
• stato di consegna;
• bounce;
• segnalazioni di spam o blocchi.

Il tracciamento applicativo di aperture e click è disabilitato.

Brevo inserisce tuttavia nelle email transazionali un elemento tecnico remoto che può determinare una richiesta verso i sistemi Brevo quando il client di posta carica le immagini. Tale meccanismo è configurato, per quanto consentito dal servizio, in modalità non utilizzata da Jovan per profilazione, marketing comportamentale o misurazione individuale delle aperture.

Jovan utilizza i dati tecnici di consegna per assicurare affidabilità delle comunicazioni, gestire indirizzi non validi, bounce e segnalazioni e prevenire invii ripetuti verso indirizzi problematici.

Base giuridica: esecuzione del contratto per le comunicazioni necessarie al servizio; legittimo interesse alla sicurezza, affidabilità e deliverability delle comunicazioni.

Previo consenso dell’utente, il sito marketing può utilizzare Google Analytics 4 per comprendere in modo statistico:

• numero di visitatori;
• sessioni;
• pagine visualizzate;
• provenienza del traffico;
• interazioni con il sito;
• informazioni sul browser e sul dispositivo;
• localizzazione approssimativa;
• performance dei contenuti e delle pagine.

Google Analytics viene caricato solo dopo il consenso dell’utente.

Jovan non utilizza Google Analytics sul sito per:

• remarketing;
• Google Ads;
• pubblicità comportamentale;
• User-ID;
• Google Signals;
• categorie demografiche o interessi;
• combinare deliberatamente i dati Analytics con dati identificativi degli utenti Jovan.

Jovan configura Google Analytics con una retention dei dati a livello utente ed evento pari a 14 mesi.

Base giuridica: consenso dell’interessato ai sensi dell’art. 6, par. 1, lett. a GDPR e della normativa applicabile ai cookie e agli strumenti di tracciamento.

Il consenso può essere revocato in qualsiasi momento tramite il comando “Gestisci cookie” disponibile sul sito.

La revoca non pregiudica la liceità del trattamento effettuato prima della revoca.

Jovan tratta informazioni tecniche relative agli accessi e alle operazioni effettuate sulla piattaforma per:

• autenticare gli utenti;
• applicare le autorizzazioni;
• prevenire accessi non autorizzati;
• individuare abusi;
• garantire l’isolamento tra organizzazioni;
• ricostruire operazioni rilevanti;
• diagnosticare incidenti;
• tutelare utenti, clienti e infrastruttura.

Possono essere registrati, a seconda dell’operazione:

• identificativo utente;
• organizzazione;
• data e ora;
• azione compiuta;
• entità interessata;
• indirizzo IP e user agent nei contesti di autenticazione o sicurezza;
• esito dell’operazione;
• informazioni tecniche sull’errore.

Base giuridica: legittimo interesse alla sicurezza del servizio, alla prevenzione delle frodi e alla tutela dei diritti; adempimento di eventuali obblighi legali.

Nell’utilizzo operativo di Jovan un provider può inserire o generare dati relativi a:

• partecipanti e invitati;
• dipendenti o collaboratori delle aziende clienti;
• docenti e tutor;
• referenti cliente;
• iscrizioni;
• partecipazione ai corsi;
• sessioni;
• presenze;
• completamento;
• materiali;
• feedback e valutazioni;
• attestati;
• report;
• comunicazioni;
• dati di progetto;
• dati economico-operativi della commessa;
• log e audit relativi alle operazioni.

Per questi trattamenti Jovan agisce di regola come responsabile e non determina autonomamente le finalità per cui il provider utilizza tali dati.

Le richieste relative a dati inseriti da un provider — ad esempio rettifica di una presenza, cancellazione di un dato formativo o contestazione di un attestato — devono pertanto essere indirizzate prioritariamente al provider titolare del trattamento.

Jovan presta assistenza al provider per consentirgli di adempiere ai propri obblighi GDPR.

Jovan non è progettato per trattare ordinariamente categorie particolari di dati ai sensi dell’art. 9 GDPR né dati relativi a condanne penali e reati ai sensi dell’art. 10 GDPR.

I Termini vietano al cliente di inserire tali dati nel servizio salvo previo accordo scritto con Jovan e verifica delle relative condizioni giuridiche, tecniche e di sicurezza.

I moduli standard di Jovan sono progettati secondo un principio di minimizzazione e richiedono, di default, soltanto informazioni strettamente necessarie quali nome, cognome ed email.

Jovan è un servizio B2B rivolto a organizzazioni e professionisti e non è progettato come servizio direttamente destinato ai minori.

Un provider può tuttavia utilizzare Jovan nell’ambito di attività formative che coinvolgano persone minorenni.

In tali casi spetta al provider, quale soggetto che determina il trattamento, verificare preventivamente:

• liceità del trattamento;
• base giuridica applicabile;
• obblighi informativi;
• eventuali autorizzazioni o consensi richiesti;
• condizioni relative all’età;
• adeguatezza dei dati raccolti;
• rispetto delle norme applicabili alla specifica attività formativa.

Jovan mantiene, anche in tali casi, i propri obblighi in qualità di responsabile del trattamento e non assume che la presenza di un minore trasferisca integralmente al provider gli obblighi che competono a Jovan ai sensi del GDPR.

I dati indicati come necessari nei form di registrazione, accesso, trial o acquisto sono necessari per fornire il servizio richiesto.

Il mancato conferimento può rendere impossibile:

• rispondere alla richiesta;
• creare l’account;
• attivare il trial;
• stipulare o eseguire il contratto;
• fornire specifiche funzionalità.

Il conferimento di dati per Google Analytics è invece facoltativo. Il rifiuto del consenso non impedisce la navigazione o l’utilizzo delle funzionalità essenziali del sito.

I dati possono essere trattati, nella misura necessaria, da fornitori utilizzati per l’erogazione del servizio.

Tra i principali soggetti attualmente previsti figurano:

Hetzner Online GmbH

Infrastruttura server, database e backup infrastrutturali. L’infrastruttura principale Jovan è ospitata in Germania.

Cloudflare, Inc.

DNS, distribuzione e sicurezza di rete, protezione antispam del form tramite Turnstile e storage compatibile S3 tramite Cloudflare R2, compresi materiali, documenti e backup cifrati.

L’utilizzo di un “EU location hint” per R2 esprime una preferenza geografica ma non costituisce, secondo la documentazione tecnica del fornitore, una garanzia assoluta di residenza del dato all’interno dell’Unione europea.

Brevo / Sendinblue

Gestione della lista dedicata alle richieste demo e invio tecnico delle email transazionali. Brevo dichiara che i database del proprio servizio sono ospitati nell’Unione europea.

Functional Software, Inc. — Sentry

Monitoraggio degli errori e diagnostica applicativa. Jovan configura il servizio secondo principi di minimizzazione, senza invio intenzionale di PII nei breadcrumb e con disattivazione dell’invio predefinito di informazioni personali. La regione di conservazione deve essere configurata e verificata coerentemente con i requisiti di produzione.

Google

Google Analytics 4, esclusivamente sul sito marketing e previo consenso dell’utente.

Calendly LLC

Gestione delle prenotazioni di call effettuate volontariamente dagli utenti tramite collegamento esterno.

Paddle

Merchant of Record e rivenditore autorizzato per gli acquisti self-service, con gestione di checkout, pagamenti, imposte e attività connesse alla transazione.

Possono inoltre avere accesso ai dati consulenti professionali, autorità e soggetti cui la comunicazione sia necessaria per obbligo di legge o per la tutela di un diritto.

Jovan privilegia infrastrutture e servizi con trattamento o storage nell’Unione europea quando ragionevolmente possibile.

Alcuni fornitori utilizzati da Jovan hanno tuttavia sede negli Stati Uniti o appartengono a gruppi internazionali.

Quando dati personali sono trasferiti al di fuori dello Spazio Economico Europeo, Jovan richiede che il trasferimento avvenga nel rispetto del Capo V GDPR e, a seconda del caso, sulla base di:

• decisioni di adeguatezza della Commissione europea;
• EU–US Data Privacy Framework, ove applicabile;
• clausole contrattuali standard approvate dalla Commissione europea;
• altre garanzie previste dalla normativa applicabile.

Jovan verifica periodicamente l’assetto dei propri fornitori e aggiorna la documentazione quando cambiano le condizioni rilevanti del trattamento.

I dati vengono conservati secondo il principio di limitazione della conservazione e per periodi differenti in funzione della finalità.

In sintesi:

• waiting list / richieste demo: massimo 12 mesi dall’ultima interazione;
• prenotazioni e interlocuzioni commerciali: per il tempo necessario alla relazione e, normalmente, fino a 24 mesi dall’ultima interlocuzione se non nasce un rapporto contrattuale;
• account e trial: per la durata dell’account; alla cessazione, finestra ordinaria di recupero di 30 giorni e successiva cancellazione dai sistemi attivi;
• dati tenant dopo cessazione del servizio: 30 giorni di recupero/export, quindi cancellazione dai sistemi attivi, salvo diverso obbligo o accordo;
• backup contenenti dati cancellati: eliminazione attraverso la rotazione ordinaria, attualmente entro 30 giorni;
• dati contrattuali e transazionali necessari alla tutela di diritti: fino a 10 anni quando necessario;
• supporto: normalmente fino a 24 mesi dalla chiusura;
• log di sicurezza: normalmente fino a 12 mesi, salvo incidenti o necessità di tutela;
• Google Analytics: 14 mesi per dati a livello utente ed evento;
• preferenza cookie: normalmente 6 mesi prima dell’eventuale riproposizione della scelta, salvo modifiche significative.

Nel ruolo di responsabile del trattamento, Jovan applica inoltre le istruzioni documentate del provider titolare, compatibilmente con la normativa e con gli obblighi di cancellazione applicabili alla cessazione del servizio.

La cancellazione dell’account di un singolo partecipante non comporta necessariamente la cancellazione di attestati, registri o altre evidenze che il provider titolare sia tenuto o legittimato a conservare. In tale caso Jovan limita il trattamento ai dati che il provider indica come necessari e rimuove o anonimizza quelli non più necessari.

Jovan adotta misure tecniche e organizzative proporzionate alla natura del servizio, tra cui:

• cifratura delle connessioni tramite TLS;
• cookie di sessione sicuri e HttpOnly;
• credenziali protette mediante funzioni crittografiche appropriate;
• token di accesso e magic link monouso o a scadenza;
• autorizzazioni applicate server-side;
• isolamento logico dei dati dei diversi provider;
• identificativi non sequenziali esposti all’esterno;
• accesso ai file tramite URL firmati a breve durata;
• firewall;
• autenticazione SSH tramite chiavi;
• protezioni anti brute-force e rate limiting;
• aggiornamenti di sicurezza;
• gestione separata dei segreti applicativi;
• audit delle operazioni rilevanti;
• backup periodici cifrati;
• procedure di ripristino testate;
• minimizzazione dei dati inviati agli strumenti di error monitoring.

Nessun sistema informatico può essere considerato completamente esente da rischio. Jovan mantiene e aggiorna le proprie misure in funzione dell’evoluzione tecnica, dei rischi e dello sviluppo del servizio.

Nei casi in cui Jovan opera come titolare, l’interessato può esercitare, nei limiti e alle condizioni previste dal GDPR, i diritti di:

• accesso;
• rettifica;
• cancellazione;
• limitazione del trattamento;
• portabilità;
• opposizione;
• revoca del consenso;
• non essere sottoposto a decisioni esclusivamente automatizzate nei casi previsti dalla legge.

Le richieste possono essere inviate a:

[email protected]

Quando la richiesta riguarda dati trattati da Jovan esclusivamente per conto di un provider, Jovan può trasmetterla o indirizzare l’interessato al provider titolare competente e fornirà a quest’ultimo l’assistenza necessaria.

Quando il trattamento si basa sul consenso, l’interessato può revocarlo in qualsiasi momento.

Per Google Analytics è possibile utilizzare in ogni momento il comando “Gestisci cookie” disponibile sul sito.

La revoca non pregiudica la liceità dei trattamenti effettuati prima della revoca.

L’interessato ha il diritto di proporre reclamo all’autorità di controllo competente.

Per l’Italia l’autorità competente è il Garante per la protezione dei dati personali.

Resta ferma la possibilità di rivolgersi all’autorità di controllo del luogo di residenza abituale, del luogo di lavoro o del luogo in cui si ritiene si sia verificata la violazione, quando previsto dalla normativa applicabile.

Jovan non utilizza automaticamente i dati raccolti tramite waiting list, trial o account per l’invio di newsletter promozionali.

Qualora in futuro venga introdotto un servizio di newsletter o marketing diretto basato sul consenso, verrà richiesto un consenso separato, facoltativo e non preselezionato e la presente informativa sarà aggiornata di conseguenza.

Le comunicazioni strettamente necessarie al funzionamento del servizio, alla sicurezza, al rapporto contrattuale o alle richieste dell’utente non costituiscono newsletter promozionali.

Jovan può utilizzare regole automatiche per suggerire un piano o configurare parti dell’esperienza sulla base delle informazioni fornite durante l’onboarding.

Tali meccanismi non producono decisioni giuridicamente vincolanti né effetti analogamente significativi sull’interessato.

Jovan non effettua, allo stato, profilazione automatizzata degli utenti per finalità pubblicitarie.

La presente informativa può essere aggiornata per riflettere:

• evoluzioni del servizio;
• introduzione o rimozione di fornitori;
• modifiche normative;
• nuove finalità di trattamento;
• cambiamenti tecnici rilevanti.

In caso di modifiche sostanziali, Jovan adotterà misure ragionevoli per informare gli utenti interessati.

La versione aggiornata sarà sempre resa disponibile sul sito con indicazione della data di ultimo aggiornamento.