Informativa sulla privacy

1. Chi siamo (titolare del trattamento)

Questo sito web (e i servizi correlati) è gestito da ELSOUL LABO B.V. (Amsterdam, Paesi Bassi) ("noi", "ci", "nostro").

Numero di iscrizione alla Camera di Commercio (KvK): 80297625
Contatto privacy: [email protected]

Non rientriamo nelle categorie di organizzazioni per le quali la nomina di un Data Protection Officer (DPO) è obbligatoria ai sensi dell'articolo 37 del GDPR. Riesaminiamo questa valutazione ogni anno ai sensi dell'articolo 37, paragrafo 1.

2. Ambito di applicazione della presente informativa

La presente informativa si applica quando:

navighi sui nostri siti web pubblici senza effettuare l'accesso, e
utilizzi funzionalità riservate agli iscritti che richiedono l'autenticazione (ad es. dashboard ERPC / funzionalità dell'account).

3. Dati che trattiamo

Sulle pagine pubbliche utilizziamo Google Analytics 4 (GA4) per comprendere, in forma aggregata, come viene utilizzato il sito, al fine di migliorarlo. Le analytics vengono eseguite solo con il tuo consenso: in base al Consent Mode v2 di Google, l'archiviazione analytics è negata per impostazione predefinita, quindi nessun cookie o identificatore analytics viene impostato finché non scegli Accetta. Se rifiuti (Rifiuta), non viene impostato alcun cookie analytics. Utilizziamo le analytics esclusivamente per il miglioramento del prodotto — nessuna pubblicità, nessun targeting pubblicitario e non vendiamo mai i tuoi dati — e gli indirizzi IP sono anonimizzati. Puoi modificare o revocare la tua scelta in qualsiasi momento tramite "Impostazioni cookie".

Tuttavia, per fornire il sito web, i fornitori di infrastrutture come i provider di hosting/CDN possono trattare log tecnici di accesso per finalità di sicurezza e risposta agli incidenti, come:

indirizzo IP e user-agent (browser/OS, ecc.)
timestamp, URL richiesto, referrer
stato della risposta e metadati relativi alla sicurezza

Utilizziamo Cloudflare come provider di hosting e CDN, ma non utilizziamo i prodotti di analisi comportamentale di Cloudflare. Il ruolo di Cloudflare è limitato alla gestione dell'infrastruttura; il tracciamento comportamentale non rientra in tale ambito.

3.2 Contatti

Se ci contatti via email, trattiamo le informazioni che fornisci (come il tuo indirizzo email e il messaggio) per risponderti.

Se crei un account o accedi (ad es. tramite Discord), possiamo trattare quanto segue per fornire il servizio:

identificatori dell'account (ad es. indirizzo email, Discord user ID, nome utente)
informazioni di autenticazione/sessione (ad es. token, API key)
configurazione del servizio e dati di utilizzo necessari alla fornitura del servizio (ad es. piano, stato dell'abbonamento, IP consentiti, log di rate-limit e di prevenzione degli abusi)
cronologia dell'assistenza e comunicazioni

Analisi dell'utilizzo (assistenza clienti e qualità del servizio)

Finalità: per migliorare la qualità del servizio e fornire assistenza clienti, raccogliamo log della navigazione delle pagine, dell'uso delle funzionalità e degli eventi di interazione effettuati da te durante l'accesso ai servizi riservati agli iscritti, e li analizziamo internamente.

Base giuridica: articolo 6, paragrafo 1, lettera f) del GDPR — interessi legittimi da noi perseguiti nel fornire un'assistenza clienti affidabile e nel migliorare il servizio. Abbiamo eseguito una Legitimate Interests Assessment (LIA) che bilancia tali interessi con i tuoi diritti e le tue libertà; la LIA è disponibile su richiesta.

Cosa raccogliamo:

Transizioni di pagina (percorsi di navigazione delle dashboard, normalizzati per rimuovere gli identificatori delle risorse — ad es. /user/baremetal/:id e non /user/baremetal/<actual-id>)
Categorie di utilizzo delle funzionalità (gestione delle risorse, modifiche delle impostazioni, autenticazione, ecc. — l'elenco completo è mantenuto insieme a questa clausola)
Identificatori interni delle risorse (ad es. ID di istanze baremetal/VPS/RPC) quando esegui un'azione su una risorsa specifica, conservati come pseudonimi interni per lo stesso periodo di conservazione degli eventi di transizione di pagina
Timestamp delle operazioni
Famiglia del dispositivo + versione principale, famiglia del browser + versione principale e locale
Indirizzi IP, memorizzati solo come hash con salt (il salt non viene mai ruotato ed è custodito come segreto di livello tier-1)

Cosa NON raccogliamo:

Body delle richieste
Stringhe di query di ricerca
API key o token di autenticazione
Indirizzi IP in chiaro

Destinatari / responsabili del trattamento: Cloudflare, Inc. (Stati Uniti) agisce come nostro responsabile del trattamento per l'archiviazione e il trattamento di questi log, in base a un Data Processing Agreement e alle Clausole Contrattuali Standard UE (SCC). Per questo trasferimento è documentata una Transfer Impact Assessment (TIA). Vedi la Sezione 7 per ulteriori dettagli sui trasferimenti internazionali.

Nessun processo decisionale automatizzato con effetti giuridici o analoghi significativi: possiamo utilizzare analisi assistite dall'AI per riassumere modelli di comportamento a beneficio del personale di supporto interno, ma non viene presa alcuna decisione automatizzata che produca effetti giuridici su di te o che ti riguardi in modo analogo significativo (articolo 22 del GDPR).

Conservazione: i log raccolti per questa finalità vengono di regola cancellati entro 30 giorni (vedi Sezione 8).

Diritto di opposizione: puoi opporti a questo trattamento in qualsiasi momento ai sensi dell'articolo 21 del GDPR contattando [email protected]. Cesseremo il trattamento dei tuoi dati per questa finalità, salvo che dimostriamo l'esistenza di motivi legittimi cogenti che prevalgono sui tuoi diritti.

Diritto alla cancellazione: in caso di richiesta di cancellazione ai sensi dell'articolo 17, cancelliamo tutti gli eventi, le sessioni e lo stato di presenza associati a te. Conserviamo un record pseudonimizzato (HMAC-SHA256 del tuo identificatore utente con una chiave separata) nel nostro log di audit per un massimo di 12 mesi ai sensi dell'articolo 6, paragrafo 1, lettera f), per finalità di sicurezza e accountability. Questo record pseudonimizzato rimane un dato personale ai sensi dell'articolo 4, paragrafo 1, del GDPR.

Valutazione d'impatto sulla protezione dei dati (DPIA): per questo trattamento è stata completata una DPIA (articolo 35 del GDPR). È disponibile su richiesta a [email protected].

3.4 Pagamenti (Stripe)

I pagamenti dei piani a pagamento sono elaborati da Stripe. Non memorizziamo i dati delle carte di pagamento.

Stripe tratta i dati personali relativi ai pagamenti in qualità di titolare autonomo del trattamento. Nella misura necessaria alla fatturazione e alla gestione del contratto, possiamo ricevere da Stripe informazioni come customer ID, stato dell'abbonamento, fatture/ricevute e metadati di pagamento.

Trattiamo i dati personali solo quando disponiamo di una base giuridica ai sensi delle leggi applicabili (incluso il GDPR), come:

Contratto: fornitura dei servizi riservati agli iscritti, gestione degli account e assistenza
Interessi legittimi: gestione e manutenzione dei nostri siti web/servizi, sicurezza, prevenzione di frodi/abusi, risoluzione dei problemi
Obbligo legale: conformità contabile e fiscale e altri requisiti di legge
Consenso: cookie di analisi/misurazione (Google Analytics 4) e comunicazioni facoltative (ad es. marketing), ove applicabile. Puoi revocare il consenso in qualsiasi momento (per le analytics, tramite "Impostazioni cookie")

Analytics (facoltative, basate sul consenso): con il tuo consenso, Google Analytics 4 imposta cookie analytics (ad es. _ga, _ga_<id>). Le analytics sono disattivate per impostazione predefinita (Consent Mode v2 — negate finché non aderisci); Rifiuta è offerto con la stessa evidenza di Accetta e puoi revocare in qualsiasi momento tramite "Impostazioni cookie". I dati analytics sono aggregati e anonimizzati a livello di IP e non vengono mai utilizzati per pubblicità né venduti.
Funzionalità per gli iscritti: utilizziamo cookie strettamente necessari (ad es. di sessione) per mantenerti connesso. La loro disattivazione può compromettere alcune funzionalità.
Servizi di terze parti: Stripe e Discord possono utilizzare i propri cookie/tecnologie (al di fuori del nostro controllo).

6. Condivisione e responsabili del trattamento

Non vendiamo dati personali.

Possiamo condividere dati personali con fornitori di servizi (ad es. hosting/infrastrutture (Cloudflare, Inc.), recapito delle email, pagamenti (Stripe), autenticazione (Discord) e analytics (Google)) nella misura necessaria. Stipuliamo accordi sul trattamento dei dati (DPA) con tali fornitori in conformità alle leggi applicabili.

7. Trasferimenti internazionali

Abbiamo sede nello Spazio Economico Europeo (SEE), ma i nostri fornitori di servizi (ad es. Stripe, Discord, Google) e le sedi delle infrastrutture possono comportare trattamenti al di fuori del SEE (ad es. negli Stati Uniti).

In tali casi, utilizziamo garanzie adeguate come le Clausole Contrattuali Standard (SCC) e riduciamo al minimo i dati trasferiti. Non utilizziamo fornitori di servizi allo scopo di trasferire o archiviare intenzionalmente dati personali in giurisdizioni considerate ad alto rischio.

Per il nuovo trattamento di analisi dell'utilizzo descritto nella Sezione 3.3, il nostro responsabile del trattamento è Cloudflare, Inc. (con sede negli Stati Uniti). Sebbene Cloudflare fornisca infrastrutture edge nella regione UE, l'accesso da parte della società madre statunitense ai sensi della legge statunitense applicabile (ad es. CLOUD Act) è trattato come un trasferimento internazionale.

Alcuni trattamenti comportano il trasferimento verso gli Stati Uniti (Cloudflare). Tali trasferimenti sono coperti dalla decisione di adeguatezza EU-US Data Privacy Framework (Decisione di esecuzione (UE) 2023/1795 della Commissione, del 10 luglio 2023) e ulteriormente protetti dalle Clausole Contrattuali Standard. Ci basiamo sulle Clausole Contrattuali Standard 2021/914 della Commissione Europea, Modulo 2 (da titolare a responsabile), incorporate nell'ambito del Cloudflare Data Processing Addendum, come meccanismo primario per questo trasferimento, con la decisione di adeguatezza EU-US Data Privacy Framework del 2023 come tutela secondaria. Abbiamo eseguito una Transfer Impact Assessment (TIA) che documenta misure tecniche supplementari (crittografia a riposo e in transito, audit degli accessi, nessun accesso pubblico ai bucket).

8. Conservazione

Conserviamo i dati personali solo per il tempo necessario alle finalità descritte sopra:

log tecnici: conservati per un periodo limitato per sicurezza/risoluzione dei problemi
dati analytics: conservati da Google Analytics per un periodo limitato (secondo la nostra impostazione di conservazione di GA4) e utilizzati solo in forma aggregata
dati dell'account: conservati finché il tuo account è attivo; cancellati o anonimizzati ove opportuno dopo la chiusura
contabilità/fatturazione: conservati per il periodo richiesto dalla legge olandese (in genere 7 anni), ecc.
Log di analisi dell'utilizzo (Sezione 3.3): di regola cancellati entro 30 giorni.
Riepiloghi giornalieri aggregati dell'utilizzo (Sezione 3.3): conservati fino a 90 giorni, utilizzati per analisi interne delle tendenze.
Log di audit (registrazioni delle richieste di cancellazione e dell'audit degli accessi; identificatori utente memorizzati come pseudonimi HMAC — dati personali pseudonimi, non anonimi): conservati fino a 12 mesi (interesse legittimo ai sensi dell'articolo 6, paragrafo 1, lettera f) del GDPR).
Bucket di ispezione della dead-letter queue (Sezione 3.3): conservato fino a 7 giorni, con accesso limitato ad amministratori designati.

9. I tuoi diritti

A seconda del luogo in cui ti trovi e della legge applicabile (incluso il GDPR), puoi avere il diritto di richiedere:

accesso, rettifica, cancellazione
limitazione del trattamento, opposizione
portabilità dei dati
revoca del consenso (ove il trattamento sia basato sul consenso)

Per esercitare i tuoi diritti, contattaci all'indirizzo [email protected]. Hai inoltre il diritto di proporre reclamo all'autorità di controllo olandese (Autoriteit Persoonsgegevens) o alla tua autorità locale.

Non effettuiamo processi decisionali automatizzati né profilazione che producano effetti giuridici o analoghi significativi su di te.

10. Modifiche

Possiamo aggiornare la presente informativa di volta in volta pubblicando una nuova versione su questa pagina.

Ultimo aggiornamento: 2026-07-25