Privacy Policy

1. Titolare del trattamento

Il Titolare del trattamento dei dati personali raccolti tramite il sito woobiller.com e il portale portal.woobiller.com (di seguito, congiuntamente, “WooBiller”) è:

Hardweb di Gianluca Marzaro
Via Rustega 11, 35010 Trebaseleghe (PD), Italia
P.IVA / C.F.: 05028660289
PEC: g.marzaro@kelipec.it
Email per richieste privacy: hello@woobiller.com

Non è stato nominato un Responsabile della Protezione dei Dati (DPO) in quanto non ricorrono i presupposti di cui all'art. 37 del GDPR. Il punto di contatto unico per ogni richiesta in materia di privacy è hello@woobiller.com.

2. Dati personali raccolti

I dati raccolti differiscono a seconda che si interagisca con il sito vetrina (woobiller.com) o con il portale di gestione (portal.woobiller.com) destinato all'acquisto e all'amministrazione delle licenze del plugin WooBiller. La distinzione è rilevante sia per le finalità sia per le basi giuridiche.

2.1 Dati raccolti tramite il sito vetrina woobiller.com

• Dati di navigazione: indirizzo IP (anonimizzato in GA4), user-agent, referrer, pagine visitate, durata della visita, lingua e timezone del browser. Vengono raccolti solo previo consenso ai cookie statistici.
• Dati forniti volontariamente: contenuto delle email che ci invii a hello@woobiller.com (nome, email, contenuto del messaggio).
• Preferenze tecniche: stato del consenso ai cookie (memorizzato esclusivamente in localStorage del browser, non trasmesso a server). Una copia della sola versione del consenso viene salvata come cookie tecnico HTTP per scopi di log server-side.

2.2 Dati raccolti tramite il portale portal.woobiller.com

• Dati di account: email, password (memorizzata sotto forma di hash bcrypt), nome. È possibile registrarsi anche tramite Google Sign-In: in tal caso riceviamo da Google identificativo univoco, indirizzo email e nome.
• Dati di profilo: prefisso e numero di telefono (opzionali), lingua/locale di interfaccia.
• Dati fiscali e di fatturazione: Partita IVA oppure Codice Fiscale, Codice Destinatario SDI a 7 caratteri oppure indirizzo PEC, indirizzo di fatturazione (via, città, CAP, provincia, paese), eventuale ragione sociale. Questi dati sono necessari per emettere la fattura della licenza e per trasmetterla al Sistema di Interscambio (SDI).
• Dati di pagamento: i numeri di carta, CVV, scadenza e analoghi non transitano sui nostri server. I pagamenti avvengono interamente sulle pagine ospitate di Stripe e PayPal (Hosted Checkout). Conserviamo solo gli identificativi restituiti dai gateway (Stripe Customer ID, PayPal Payer ID), l'importo, lo stato della transazione e l'ID della fattura emessa.
• Licenze e dati operativi: piano sottoscritto, chiavi di licenza generate, dominio/i autorizzato/i, storico fatture, log di attivazione del plugin.
• Token di sessione e sicurezza: cookie di sessione applicativo, token CSRF, eventuale cookie “remember me” emessi al login. Tutti i cookie applicativi sono HttpOnly e SameSite=Lax.
• Token captcha (se attivato): in alcune fasi (es. registrazione, recupero password) può essere utilizzato Cloudflare Turnstile come misura anti-bot; in tal caso Cloudflare riceve token e indirizzo IP del visitatore.
• Log applicativi: log di accesso, log di errore e statistiche tecniche per finalità di diagnostica e sicurezza.

Il portale non raccoglie dati sensibili ai sensi dell'art. 9 GDPR.

3. Finalità e basi giuridiche del trattamento

Il conferimento dei dati per le finalità basate su contratto e obbligo legale è necessario: il rifiuto comporta l'impossibilità di erogare il servizio e di emettere la relativa fattura. Per le finalità basate su consenso, il rifiuto non pregiudica la fruizione del sito o del portale.

4. Periodi di conservazione

• Dati di account: per tutta la durata del rapporto contrattuale e per ulteriori 30 giorni dopo la chiusura (cancellazione “soft”), salvo diversa richiesta dell'interessato.
• Dati di fatturazione e fatture emesse: 10 anni dall'emissione, in conformità agli obblighi di legge in materia fiscale e civilistica (art. 2220 c.c., D.P.R. 633/72).
• Log applicativi e log di sicurezza: fino a 12 mesi.
• Log e dati di navigazione del sito vetrina: fino a 12 mesi (log server) e fino a 14 mesi per le metriche Google Analytics 4 (retention configurabile).
• Email a hello@woobiller.com: fino a 24 mesi dopo la chiusura della pratica.
• Cookie tecnici di consenso: fino a 12 mesi (vedi Cookie Policy).

5. Modalità del trattamento e misure di sicurezza

Il trattamento avviene con strumenti elettronici, in modo da garantire sicurezza e riservatezza dei dati. Adottiamo le misure tecniche e organizzative previste dall'art. 32 GDPR, tra cui:

• Cifratura in transito (TLS 1.2+) per tutte le comunicazioni con il sito e con il portale;
• Hashing bcrypt delle password applicative;
• Cookie applicativi HttpOnly e SameSite=Lax;
• Verifica della firma dei webhook Stripe e PayPal (HMAC) per prevenire manipolazioni;
• Controllo degli accessi su base ruolo, log degli accessi amministrativi;
• Backup periodici e procedure di disaster recovery;
• Patching regolare di sistema operativo, runtime e dipendenze;
• Rate limiting e misure anti-bot (es. Cloudflare Turnstile) sulle aree pubbliche del portale.

6. Destinatari dei dati e responsabili esterni del trattamento

I dati possono essere comunicati ai seguenti soggetti, ciascuno dei quali agisce in qualità di Responsabile del trattamento ai sensi dell'art. 28 GDPR (con apposito accordo) o di destinatario autonomo nei casi di legge:

I dati possono inoltre essere comunicati ad autorità pubbliche e organi giudiziari su loro espressa richiesta o in adempimento di obblighi di legge.

7. Trasferimenti di dati fuori dallo Spazio Economico Europeo

Il sito woobiller.com e il portale portal.woobiller.com sono ospitati in territorio UE. Alcuni Responsabili che forniscono servizi accessori (in particolare Google LLC per Analytics e Fonts, Cloudflare Inc. per Turnstile, e a seconda del provider, il servizio di email transazionali) possono trasferire i dati negli Stati Uniti. Tali trasferimenti avvengono in presenza di garanzie appropriate ai sensi del Capo V del GDPR, segnatamente:

• Adesione dei fornitori statunitensi all'EU-U.S. Data Privacy Framework (decisione di adeguatezza della Commissione Europea del 10 luglio 2023);
• Adozione delle Standard Contractual Clauses (Decisione UE 2021/914) come misura supplementare.

Copia dei meccanismi di trasferimento e ulteriori informazioni possono essere richieste scrivendo a hello@woobiller.com.

8. Diritti dell'interessato

In ogni momento puoi esercitare nei confronti del Titolare i diritti previsti dagli artt. 15–22 del GDPR:

• Accesso ai dati personali che ti riguardano e a informazioni sul loro trattamento;
• Rettifica dei dati inesatti o integrazione di quelli incompleti;
• Cancellazione (“diritto all'oblio”) nei casi previsti dalla normativa;
• Limitazione del trattamento;
• Portabilità dei dati forniti in un formato strutturato e leggibile da dispositivo automatico;
• Opposizione al trattamento basato su legittimo interesse;
• Revoca del consenso in qualsiasi momento, senza pregiudizio per la liceità dei trattamenti effettuati prima della revoca;
• Diritto di proporre reclamo all'Autorità Garante (vedi par. 10).

Per esercitare i tuoi diritti, scrivi a hello@woobiller.com. Risponderemo entro 30 giorni dalla ricezione della richiesta (estendibili fino a 60 giorni in casi complessi). L'esercizio dei diritti è gratuito; può essere richiesto un contributo solo in caso di richieste manifestamente infondate o eccessive.

9. Decisioni automatizzate e profilazione

Non effettuiamo processi decisionali interamente automatizzati, né profilazione, in grado di produrre effetti giuridici o significativamente analoghi sull'interessato (art. 22 GDPR).

Le misure anti-abuso del portale (rate limiting, captcha, verifica firme webhook) effettuano valutazioni automatiche sui soli account e richieste sulla base di parametri tecnici e sono finalizzate alla protezione del servizio e alla prevenzione di violazioni dei Termini d'Uso. Tali decisioni sono sempre contestabili contattando il supporto.

10. Reclamo all'Autorità Garante

Qualora ritieni che il trattamento dei tuoi dati personali avvenga in violazione di quanto previsto dal GDPR, hai il diritto di proporre reclamo al Garante per la protezione dei dati personali, come previsto dall'art. 77 del Regolamento, o di adire le opportune sedi giudiziarie (art. 79 GDPR).

Garante per la protezione dei dati personali
Piazza Venezia 11, 00187 Roma
www.garanteprivacy.it
Modulo reclami: www.gpdp.it

11. Modifiche all'informativa

La presente informativa può essere modificata per adeguamenti normativi, evoluzione del servizio o cambiamenti nei fornitori. La versione aggiornata sarà sempre disponibile a questo URL e diventerà efficace dalla data indicata in testa al documento. In caso di modifiche sostanziali daremo informativa specifica via email agli utenti registrati.

Per ricevere una copia della presente informativa o per qualsiasi chiarimento puoi scriverci a hello@woobiller.com.