Informativa privacy

1. Titolare e ambito

Francesco Mattioli. Sede: [DA COMPLETARE: sede e indirizzo]. Dati fiscali: [DA COMPLETARE: P. IVA e codice fiscale, se applicabili].

Contatto attivo per assistenza e privacy: selvarastreghellachiaraoltreic@gmail.com. Per richieste relative a un accesso usa, quando possibile, l’email con cui lo hai richiesto.

Questa informativa riguarda il sito Oltre i Confini su oltreiconfiniserie.com, l’accesso tramite email e l’abbonamento digitale. Durante il collaudo i pagamenti e gli abbonamenti Stripe sono simulati; indirizzi email, richieste di accesso e dati tecnici possono essere reali. Non inserire dati di carte reali nell’ambiente test.

2. Dati trattati e provenienza

Riceviamo da te l’indirizzo email, la dichiarazione di maggiore età e l’accettazione dei termini. Non richiediamo documenti d’identità né data di nascita. Per il login trattiamo token monouso, sessioni e relative scadenze. Dal servizio Stripe riceviamo identificativi di cliente e abbonamento, stato, scadenza e conferme degli eventi di pagamento o disdetta; conserviamo anche la data di accettazione. La versione dei termini viene inviata nei metadati Stripe.

Il server riceve l’IP e gli altri dati tecnici necessari alla connessione. L’applicazione usa hash di IP ed email per limitare gli abusi; tali hash sono dati pseudonimizzati, non una garanzia di anonimato. I fornitori possono trattare ulteriori log tecnici secondo i loro servizi. Il sito non riceve né conserva il numero completo della carta o il CVC.

3. Finalità e basi giuridiche

• Accesso, email transazionali e contenuti: dare seguito alla tua richiesta e gestire il rapporto con te, ai sensi dell’art. 6, par. 1, lett. b del GDPR.
• Verifica dell’abbonamento e assistenza: eseguire il servizio richiesto; gli adempimenti eventualmente obbligatori si basano sull’art. 6, par. 1, lett. c.
• Sicurezza: prevenire accessi abusivi, riuso di token ed elaborazioni duplicate, sulla base del legittimo interesse alla protezione del servizio, art. 6, par. 1, lett. f; il titolare deve documentarne il bilanciamento.

L’accettazione dei termini non è consenso marketing. Non vengono attivate newsletter, pubblicità personalizzata o profilazione commerciale tramite il login.

4. Conferimento e controlli automatici

Senza email e dichiarazione di maggiore età non possiamo inviare il link di accesso; senza una sessione valida e un abbonamento attivo non possiamo fornire i contenuti riservati. Le tre tavole gratuite non richiedono un acquisto. Le autorizzazioni sono verificate automaticamente sulla base della sessione e dello stato comunicato da Stripe. Per contestare un errore o chiedere assistenza puoi contattare il titolare.

5. Destinatari e servizi esterni

Accedono ai dati il titolare e gli eventuali soggetti autorizzati per la gestione del servizio. Non pubblichiamo gli indirizzi email o gli elenchi degli abbonati.

• Cloudflare: hosting, connessione HTTPS, archiviazione dei file, sessioni e stato dell’abbonamento. Gli accordi e i subfornitori vanno verificati nelle impostazioni e nel DPA Cloudflare.
• Resend: invio dei magic link all’email richiesta. Il messaggio contiene un link personale di accesso. Regione di invio configurata: Ireland; secondo Resend, questa scelta non limita la conservazione all’Irlanda o al SEE. Il fornitore dichiara conservazione negli Stati Uniti e garanzie contrattuali per i trasferimenti.
• Stripe: Checkout, abbonamenti e portale clienti, anche nell’ambiente sandbox. Stripe può operare come responsabile o titolare autonomo a seconda del trattamento; vedi informativa Stripe.

I caratteri originali dell’episodio sono ospitati sul sito: il loro caricamento non effettua richieste a Google Fonts o ad altri fornitori di font. I link Instagram e TikTok aprono servizi esterni soltanto quando li selezioni; non sono incorporati feed o pixel social in questa integrazione.

6. Trasferimenti internazionali

I servizi dei fornitori possono comportare trattamento fuori dal SEE. Il titolare deve verificare ruoli, accordi, subfornitori e meccanismi applicabili, comprese eventuali decisioni di adeguatezza e clausole contrattuali standard. Non dichiariamo che tutti i dati restino nell’Unione europea. Sono disponibili il DPA Resend e i riferimenti Cloudflare e Stripe sopra indicati; le verifiche dell’account e le eventuali misure aggiuntive restano da completare.

7. Durata e cancellazione

• Magic link: utilizzabile per 10 minuti e una volta sola; la copia KV ha scadenza, quella del coordinatore viene rimossa al consumo o dalla pulizia periodica.
• Sessione: validità massima 30 giorni. Logout e scadenza impediscono l’accesso; i record scaduti nel coordinatore vengono rimossi dalla pulizia giornaliera, anche dopo il termine di validità.
• Contatori antiabuso: scadenza tecnica di circa 30 minuti; rimozione con la pulizia periodica giornaliera.
• Identificativi degli eventi Stripe: scadenza dopo 7 giorni per evitare duplicazioni; rimozione nella successiva pulizia giornaliera.
• Stato e storico degli abbonamenti: la versione attuale non ha una cancellazione automatica. Durata e procedura manuale sono DA COMPLETARE. Per il collaudo si propone la cancellazione dei dati applicativi di prova entro 30 giorni dalla sua conclusione, da approvare ed eseguire dal titolare.

Validità delle credenziali e rimozione fisica dei record sono momenti distinti. Log, messaggi email, backup e dati conservati da Stripe, Resend e Cloudflare seguono anche le impostazioni e gli accordi dei fornitori: i tempi applicabili vanno verificati. Eventuali obblighi fiscali, difesa di diritti o richieste dell’autorità possono richiedere conservazioni specifiche, da definire prima dei pagamenti reali.

8. Diritti e richieste

Quando applicabili puoi chiedere accesso, rettifica, cancellazione, limitazione, portabilità e opposizione al trattamento, scrivendo a selvarastreghellachiaraoltreic@gmail.com. Per i trattamenti fondati sul consenso puoi revocarlo senza pregiudicare le operazioni già lecite. Le richieste sono gestite senza ritardo, di regola entro un mese; eventuali proroghe motivate vengono comunicate nei termini previsti. La verifica dell’identità deve essere proporzionata.

Puoi presentare reclamo al Garante per la protezione dei dati personali o all’autorità competente. Il titolare deve confermare se siano applicabili obblighi di nomina di un DPO o rappresentante e, in caso positivo, pubblicarne i contatti.

9. Versione e completamento

Questa bozza descrive il codice predisposto per il collaudo. Prima della vendita devono essere finalizzati dati del titolare, tempi di conservazione, procedure per i diritti, accordi e trasferimenti. La revisione resta affidata al titolare e, per gli aspetti che lo richiedono, ai suoi consulenti. Le modifiche saranno indicate aggiornando data e versione.