Code Ahead Lda (che gestisce VULK su vulk.dev) è il titolare del trattamento dei dati personali raccolti tramite il Servizio. Questa pagina riassume come rispettiamo il Regolamento generale sulla protezione dei dati dell’UE (Regolamento (UE) 2016/679, "GDPR").
1. Chi è il titolare del trattamento?
Code Ahead Lda, società a responsabilità limitata registrata in Portogallo con NIF 519071948, con sede legale a Vila do Conde. Per qualsiasi comunicazione relativa alla privacy:
- Usa il modulo di contatto con l’argomento "Privacy / DPO"
- Posta: Code Ahead Lda, Vila do Conde, Portogallo
2. Basi giuridiche del trattamento
Ci basiamo sulle seguenti basi giuridiche ai sensi dell’articolo 6:
- Contratto (art. 6(1)(b)) — per fornire il servizio a cui ti iscrivi (account, generazione, fatturazione, deployment).
- Consenso (art. 6(1)(a)) — per email di marketing, cookie non essenziali e tracciamento analytics.
- Obbligo legale (Art. 6(1)(c)) — per la fatturazione fiscale (conservazione per 7 anni secondo la legge portoghese) e per rispondere a richieste legittime.
- Interessi legittimi (art. 6(1)(f)) — prevenzione delle frodi, sicurezza del servizio e analytics di prodotto che non identificano le persone.
3. Cosa raccogliamo
- Dati dell’account — email, nome, hash della password (Argon2id), identificativi OAuth.
- Dati di fatturazione — nome, paese, metodo di pagamento (tokenizzato da Stripe — non vediamo mai i numeri delle carte).
- Dati dei progetti — prompt, file sorgente generati, deployment, crediti di utilizzo.
- Dati tecnici — IP, user agent, fingerprint del dispositivo (limitato), timestamp delle sessioni.
4. I tuoi diritti ai sensi del GDPR
Hai i seguenti diritti, esercitabili gratuitamente:
- Articolo 15 — diritto di accesso: scaricare una copia di tutti i dati personali che conserviamo.
- Articolo 16 — diritto di rettifica: correggere dati inesatti.
- Articolo 17 — Diritto alla cancellazione (“diritto all’oblio”): eliminare il tuo account e i dati associati, fatto salvo quanto dobbiamo conservare per obblighi di legge.
- Articolo 18 — diritto di limitazione: sospendere il trattamento mentre una contestazione è in corso.
- Articolo 20 — diritto alla portabilità: esportare i tuoi dati in un formato leggibile da macchina (JSON).
- Articolo 21 — diritto di opposizione: disattivare il marketing o trattamenti simili alla profilazione.
- Articolo 22 — Processo decisionale automatizzato: non ti sottoponiamo a decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o analogamente significativi.
- Articolo 77 — Presentare un reclamo: alla tua autorità di controllo. In Portogallo: CNPD.
Rispondiamo alle richieste verificate relative ai diritti entro 30 giorni. La maggior parte dei dati è disponibile anche in self-service nelle impostazioni dell’account.
5. Sub-responsabili
Ci avvaliamo di questi sub-responsabili. Ciascuno ha firmato con noi un accordo sul trattamento dei dati (DPA):
| Fornitore | Finalità | Regione |
|---|---|---|
| AWS RDS | Database principale (Postgres 16) | UE (Francoforte) |
| Hetzner | Server dell'applicazione e anteprime dei progetti | UE (Falkenstein, Germania) |
| Cloudflare | CDN, DDoS, Workers, archiviazione di oggetti R2 | Trattamento globale; giurisdizione R2: default (non limitata all’UE) |
| Stripe | Fatturazione abbonamenti + 3DS | USA / UE |
| OpenRouter | Gateway per modelli AI | USA |
| Vertex AI (Google) | Inferenza della famiglia Gemini | Regioni UE dove disponibili |
| Anthropic | Inferenza Claude | USA |
| OpenAI | Inferenza della famiglia GPT-5 | USA |
| Replicate | Generazione di immagini e video | USA |
| Tencent Cloud | Generazione di modelli 3D | Singapore |
| Resend | Email transazionali | USA |
| Sentry | Monitoraggio errori (PII oscurate) | UE (archiviazione dei dati) |
| Google Analytics 4 | Analisi del sito (Consent Mode: nessun cookie senza consenso) | USA |
| Microsoft Clarity | Registrazioni di sessione e heatmap su vulk.dev, solo dopo il consenso | USA |
| Meta | Misurazione delle conversioni pubblicitarie (Pixel solo dopo il consenso; Conversions API alla registrazione e al pagamento) | USA |
Per i trasferimenti fuori dall’UE, ci basiamo sulle Clausole contrattuali standard (SCC) approvate dalla Commissione europea. L’elenco dei sub-responsabili viene aggiornato almeno una volta all’anno; le aggiunte rilevanti sono comunicate via email.
6. Trasferimenti internazionali
L’infrastruttura principale è ospitata nell’UE. Quando avvengono trasferimenti verso paesi extra UE (ad es. inferenza IA su endpoint OpenAI/Anthropic negli USA), sono protetti dalle SCC e, dove disponibili, dalle certificazioni EU-US Data Privacy Framework. La generazione di modelli 3D avviene su Tencent Cloud a Singapore, con le stesse garanzie.
7. Accordo sul trattamento dei dati (DPA)
I clienti Business ed Enterprise possono firmare un DPA conforme all’articolo 28(3) GDPR. Richiedilo tramite il modulo di contatto selezionando l’argomento "Vendite / Enterprise".
8. Notifica di violazione
In caso di violazione dei dati personali che possa comportare un rischio per i tuoi diritti, notifichiamo la violazione all'autorità di controllo entro 72 ore e agli utenti interessati senza ingiustificato ritardo (articoli 33, 34 GDPR).
9. Minori
VULK non è rivolto a persone di età inferiore a 16 anni. Non trattiamo consapevolmente dati di minori. Se ritieni che un minore si sia registrato, contattaci subito e elimineremo l’account.
10. Modifiche
Le modifiche rilevanti a questa informativa GDPR vengono comunicate via email almeno 14 giorni prima della loro entrata in vigore. La versione più recente è sempre disponibile su /gdpr.