Privacy Policy | WebVoyage

WebVoyage («WebVoyage», «noi») gestisce il sito webvoyage.net, il pannello cliente app.webvoyage.net e i siti web costruiti e ospitati per conto dei nostri clienti. Questa Privacy Policy descrive quali dati personali raccogliamo, come li usiamo e quali diritti hai ai sensi del Regolamento UE 2016/679 (GDPR) e del Codice Privacy italiano (D.Lgs. 196/2003 e successive modifiche).

1. Titolare del trattamento

Il titolare del trattamento è:

WebVoyage
Sede legale: Vicenza (VI), Italia
P.IVA IT04573930247
Capitale sociale € 10.000

Per qualsiasi richiesta in materia di protezione dei dati puoi scrivere a [email protected].

2. Dati che raccogliamo come titolare

Quando interagisci con il nostro sito e con i nostri servizi raccogliamo solo i dati che ci fornisci o che sono necessari a erogare il servizio:

Form contatti, lead e calcolatore preventivo (homepage, pagina assistenza, calcolatore): nome, email, telefono facoltativo, ragione sociale facoltativa, settore, risposte sul progetto (numero pagine, e-commerce, lingue, materiali, tempistiche, fascia di budget e stima generata) e note libere.
Richieste di assistenza pubbliche: nome, email, telefono facoltativo, ragione sociale, oggetto, pagina di provenienza e contenuto del messaggio, con i relativi scambi via email.
Account cliente: nome, email, password protetta con hashing Argon2id (mai in chiaro), eventuale segreto per l'autenticazione a due fattori (TOTP), data dell'ultimo accesso e attività di sicurezza (indirizzo IP, user agent, tentativi di login, blocchi temporanei).
Fatturazione: i pagamenti passano da Stripe. Non vediamo né archiviamo il numero completo della carta. Conserviamo i dati necessari alla contabilità e all'emissione delle fatture: ragione sociale, partita IVA, codice fiscale, indirizzo, identificativo cliente Stripe e dati delle fatture.
Upload: immagini, documenti e contenuti che carichi nell'editor, nei ticket o nel negozio per costruire e gestire il sito.
Ticket di supporto e corrispondenza email: il contenuto dei messaggi che ci invii, allegati inclusi.
Log tecnici e registro attività: log di accesso minimi (timestamp, IP, URL, status code, user agent) e un registro delle azioni rilevanti per la sicurezza, per prevenzione abusi, audit e debug.
Engagement email (solo per email di outreach inviate con consenso): aperture e bounce registrati dal provider email per misurare la deliverability e fermare l'invio agli indirizzi che rimbalzano.
Monitoraggio errori: in caso di errore applicativo, il nostro strumento di monitoraggio (Sentry) registra lo stack trace, il contesto tecnico della richiesta e, sul lato browser, una ricostruzione della sessione limitata all'evento di errore, che può contenere in via incidentale dati presenti nella pagina al momento del problema.

Non usiamo cookie di profilazione comportamentale, tracker pubblicitari, fingerprinting o plugin social sul sito marketing.

3. Dati che trattiamo per conto dei clienti

Quando ospitiamo il sito di un cliente, trattiamo i dati dei visitatori di quel sito esclusivamente per conto e su istruzione del cliente: in questo caso il cliente è titolare del trattamento e WebVoyage agisce come responsabile (art. 28 GDPR). Un accordo sul trattamento dei dati (DPA) è disponibile su richiesta. In questo ruolo possiamo trattare:

Invii dei moduli (contatto, prenotazione, preventivo, richiamata, supporto): i campi compilati dal visitatore insieme all'indirizzo IP e allo user agent della richiesta.
Lead magnet: l'email e gli altri dati lasciati dal visitatore per ricevere il contenuto, e la consegna del file via email.
Prenotazioni e appuntamenti: nome, email, telefono, messaggio e dettagli dello slot prenotato.
Ordini del negozio: quando il cliente vende prodotti, trattiamo email e nome dell'acquirente, indirizzo di spedizione (per i prodotti fisici), righe d'ordine e i token per il download dei prodotti digitali. Il pagamento avviene tramite l'account Stripe del cliente (vedi sezione 4 dei Termini).
Consensi cookie: un registro dei consensi raccolti sul sito del cliente, in forma anonimizzata (IP troncato e impronta cifrata, nessun dato identificativo diretto).
Caselle email (webmail): se il cliente collega una casella, il contenuto dei messaggi transita dal provider email scelto dal cliente; le credenziali della casella sono conservate cifrate (AES-256-GCM).

4. Finalità e basi giuridiche

Finalità	Base giuridica (art. 6 GDPR)
Rispondere alle tue richieste e inviare un preventivo personalizzato.	Misure precontrattuali su tua richiesta (art. 6.1.b) e consenso prestato con l'invio del form (art. 6.1.a).
Erogare il servizio WebVoyage: costruire, ospitare e mantenere il tuo sito, autenticarti, gestire editor, negozio e funzioni AI.	Esecuzione del contratto (art. 6.1.b).
Processare i pagamenti, emettere fatture, rispettare gli obblighi fiscali e contabili.	Obbligo di legge (art. 6.1.c) e contratto (art. 6.1.b).
Sicurezza della piattaforma, prevenzione frodi e abusi, monitoraggio errori e audit log.	Legittimo interesse nella protezione del servizio e dei clienti (art. 6.1.f).
Comunicazioni di servizio e avvisi di sicurezza.	Contratto (art. 6.1.b) e legittimo interesse (art. 6.1.f).
Newsletter e outreach commerciale.	Consenso (art. 6.1.a), revocabile in qualsiasi momento tramite link di disiscrizione o email.
Trattamento dei dati dei visitatori dei siti dei clienti.	Per conto del cliente titolare, come responsabile (art. 28 GDPR).

5. Conservazione

Dati di lead e contatto: fino a 24 mesi dall'ultimo contatto utile, poi cancellati se non è in essere un contratto.
Dati del cliente attivo: per la durata del contratto, più il tempo richiesto dagli obblighi di legge (10 anni per fatturazione e contabilità in Italia).
Storico ticket e richieste di assistenza: 24 mesi dopo la risoluzione.
Log tecnici e notifiche: 90 giorni, poi aggregati o cancellati.
Backup dei contenuti del sito: snapshot giornalieri delle pagine, conservati 7 giorni e poi sovrascritti automaticamente.
Registro dei consensi cookie (siti dei clienti): fino a 12 mesi.
Dopo la cessazione del contratto: conserviamo i dati fino a 30 giorni per consentirne l'eventuale recupero, poi li cancelliamo definitivamente, salvo obblighi di legge.

6. Destinatari e responsabili

Non vendiamo i tuoi dati. Li condividiamo solo con i fornitori strettamente necessari a far funzionare il servizio, ciascuno legato da accordo sul trattamento (DPA):

Il nostro provider di hosting, OVHcloud (data center in Canada) — infrastruttura su cui girano il sito, il pannello e i siti dei clienti. Lo storage dei file (immagini, allegati, prodotti, backup) risiede sulla nostra infrastruttura.
Stripe Payments Europe, Ltd. (Irlanda) — elaborazione dei pagamenti del nostro abbonamento e, tramite Stripe Connect, dei pagamenti che i clienti incassano dai propri acquirenti.
Postmark (prodotto di ActiveCampaign, Inc., USA) — invio delle email transazionali e di outreach e gestione delle risposte via email.
Anthropic PBC (USA) — solo quando usi le funzioni AI del pannello (l'assistente Rum, la generazione del sito e delle pagine legali).
OpenRouter, Inc. (USA) — solo per la chat di assistenza AI nel pannello, che instrada la richiesta al modello Google Gemini.
Functional Software, Inc. (Sentry) — monitoraggio errori e prestazioni (ingestione dei dati su data center nell'Unione Europea).
API di ricerca immagini (Unsplash, Pexels, Pixabay, Openverse) — solo quando cerchi foto nell'editor; viene inviato il solo testo di ricerca, nessun dato personale.
Il provider email scelto dal cliente (es. Register.it/Securemail, Hostinger o altro) — solo per la funzione webmail, per inviare e leggere i messaggi della casella collegata.
Il nostro commercialista, quando richiesto dalla normativa fiscale.

Gli input inviati ai provider AI sono usati esclusivamente per generare la risposta richiesta, secondo i termini commerciali (API) di ciascun fornitore.

7. Trasferimenti extra-UE

Il nostro provider di hosting OVHcloud conserva i dati in un data center in Canada: tale trasferimento si fonda sulla decisione di adeguatezza della Commissione europea relativa al Canada (Decisione 2002/2/CE), che assicura un livello di protezione adeguato. Altri fornitori (Stripe, Postmark, Anthropic, OpenRouter, Sentry) hanno sede o operano negli Stati Uniti. Per questi trasferimenti ci basiamo su Decisioni di Adeguatezza, ove applicabili (es. EU-US Data Privacy Framework), oppure sulle Clausole Contrattuali Standard della Commissione UE (Decisione 2021/914), combinate con misure tecniche aggiuntive come cifratura in transito, controlli di accesso e minimizzazione dei dati.

8. I tuoi diritti

Ai sensi degli articoli 15–22 GDPR hai diritto di:

accedere ai tuoi dati e ottenerne copia;
rettificare dati inesatti o incompleti;
richiederne la cancellazione («diritto all'oblio»);
limitare od opporti al trattamento;
portare i dati ad altro fornitore in formato leggibile;
revocare il consenso in qualsiasi momento, senza pregiudicare la liceità del trattamento precedente.

Esercita i tuoi diritti scrivendo a [email protected]. Risponderemo entro 30 giorni. Puoi anche presentare reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it).

9. Sicurezza

Proteggiamo i tuoi dati con cifratura TLS in transito, hashing delle password con Argon2id, cifratura AES-256-GCM delle credenziali email memorizzate, autenticazione a due fattori (TOTP) per gli account, controllo degli accessi basato su ruoli, blocco temporaneo dopo ripetuti tentativi di login falliti, rate limiting, registro di audit e revisione regolare delle dipendenze.

10. Minori

I nostri servizi si rivolgono a imprese e professionisti. Non raccogliamo intenzionalmente dati di minori di 16 anni. Se ritieni di averne forniti, scrivici e li cancelleremo.

11. Cookie

Per i dettagli sui cookie e le tecnologie simili leggi la nostra Cookie Policy.

12. Modifiche

Potremmo aggiornare questa policy. La versione corrente è sempre su webvoyage.net/privacy con la data di «Ultimo aggiornamento» in alto.