Informativa sulla privacy

HookPulse è gestito da Altix Code Ltd, una società registrata nella Repubblica di Cipro (“Altix”, “noi”, “nostro”). La presente informativa spiega quali dati personali raccogliamo quando utilizzi il nostro sito web e la nostra dashboard (il “Servizio”), cosa transita attraverso il Servizio quando pubblichi e recapiti eventi webhook, per quali finalità, per quanto tempo li conserviamo, con chi li condividiamo e i diritti che puoi esercitare.

Nel corso di questa informativa entrano in gioco due ruoli distinti, la cui differenza è fondamentale: per i dati relativi a te e al tuo account, Altix agisce in qualità di titolare del trattamento (data controller). Per il contenuto degli eventi che pubblichi tramite il Servizio — che potrebbe a sua volta contenere dati personali dei tuoi utenti finali — tu agisci come titolare del trattamento e Altix come responsabile del trattamento (data processor), operando esclusivamente secondo le tue istruzioni e al solo scopo di firmare, recapitare e registrare tali contenuti per tuo conto. Consulta la sezione "Quando trattiamo i dati per tuo conto" riportata di seguito.

1. Dati che raccogliamo su di te

Quando ti registri e utilizzi il Servizio, raccogliamo:

Dati dell'account — il tuo indirizzo email, un nome facoltativo, il nome della tua organizzazione e una copia della tua password con salt e hash irreversibile. Non memorizziamo mai né abbiamo accesso alla tua password reale.

Dati del team e dei permessi — se il tuo account include più di una persona, memorizziamo l'email di ciascun membro, il ruolo, chi li ha invitati e quando, per consentire al proprietario dell'account di gestire gli accessi.

Informazioni di fatturazione — il piano di abbonamento, lo stato e la data di rinnovo. I dati della carta di credito e di pagamento sono raccolti e conservati da Stripe, il nostro processore di pagamento; da loro riceviamo solo l'identificativo dell'abbonamento e del cliente, mai il numero della tua carta.

Chiavi API — memorizziamo un hash unidirezionale di ciascuna chiave API generata, oltre a un breve prefisso non segreto mostrato nella dashboard per consentirti di distinguere le chiavi. La chiave completa viene mostrata solo una volta, al momento della creazione, e mai più in seguito.

Comunicazioni di supporto e dell'account — tutto ciò che ci invii via email, incluse le email transazionali che ti inviamo noi (reimpostazione della password, verifica dell'email, inviti al team).

Registri di utilizzo e sicurezza — orari di accesso e un registro di audit di sicurezza sulle azioni di membership relative al tuo account (inviti, modifiche di ruolo, rimozioni e richieste di eliminazione dell'account), ciascuno contrassegnato con l'email dell'autore e la data/ora dell'evento.

Dati tecnici — log standard del server web e delle richieste (indirizzo IP, user agent, timestamp) generati quando utilizzi la dashboard, conservati per un breve periodo a fini di sicurezza e prevenzione degli abusi.

2. Quando trattiamo i dati per tuo conto

HookPulse nasce per ricevere un evento dal tuo backend, firmarlo, recapitarlo agli endpoint webhook configurati da te o dai tuoi clienti, ritentare la consegna in caso di errore e mantenere un registro duraturo di ogni tentativo. Quel registro — la richiesta inviata, la risposta ricevuta e il momento esatto — è il prodotto stesso: è lo strumento con cui tu e i tuoi clienti potete verificare se un webhook è arrivato o cosa è andato storto se non è arrivato.

Concretamente, per ogni evento pubblicato tramite l'API, memorizziamo e trasmettiamo, in base alle tue istruzioni e per nessun altro scopo:

Il payload dell'evento inviato — un JSON arbitrario proveniente dai tuoi sistemi, che può a sua volta contenere dati personali dei tuoi utenti finali (ad esempio, un evento di ordine o abbonamento con i riferimenti di un cliente). Non esaminiamo, non analizziamo semanticamente né utilizziamo questo contenuto per alcuno scopo diverso dalla consegna e dalla registrazione nei log.

L'URL dell'endpoint di destinazione e, ove impostato, un identificativo del sottoscrittore nel tuo namespace, impiegato per circoscrivere il registro di recapito al cliente pertinente.

L'esito di ciascun tentativo di recapito — il codice di stato HTTP della risposta, le intestazioni e il corpo della risposta (o l'errore, qualora il server di destinazione non fosse raggiungibile) e la durata dell'operazione. Questi dati vengono aggiunti in coda e mai sovrascritti, affinché un tentativo successivo non cancelli le informazioni registrate in precedenza.

Tu rimani il titolare del trattamento di questi dati: decidi tu cosa pubblicare, dove recapitarlo e chi può visualizzarne la cronologia di consegna (ad esempio tramite un token portale temporaneo e con ambito ristretto). Sei responsabile della base giuridica necessaria per includere dati personali in un evento e di qualsiasi obbligo nei confronti dei tuoi utenti finali previsto dalla tua informativa sulla privacy.

Ogni segreto di firma e ogni chiave di firma dei token portale sono cifrati a riposo con AES-256-GCM; i payload e i corpi delle risposte non hanno una cifratura separata oltre a quella a livello di disco del database stesso, e l'accesso è limitato al tuo account e, per una determinata consegna, al token portale con ambito limitato che decidi di emettere.

3. Perché trattiamo i dati

Per erogare il Servizio stesso — firmare, recapitare, ritentare e registrare gli eventi che pubblichi, nonché applicare i limiti di recapito previsti dal tuo piano.

Per fatturarti, tramite Stripe, l'abbonamento a pagamento che hai scelto.

Per comunicare con te in merito al tuo account, inclusi i messaggi email necessari al suo funzionamento (verifiche, reimpostazione della password, inviti al team) e, se non hai espresso opposizione, saltuari aggiornamenti sul prodotto.

Per mantenere una traccia di audit di sicurezza su chi ha svolto specifiche azioni nel tuo account, consentendo ai proprietari di monitorare le attività e a noi di indagare su eventuali sospetti di compromissione.

Per adempiere ai nostri obblighi legali e contabili, inclusa la normativa fiscale.

4. Con chi condividiamo i dati

Non vendiamo dati personali e non condividiamo mai i payload dei tuoi eventi o la cronologia di recapito con nessuno, se non su tua esplicita istruzione (ad esempio, un link al portale che fornisci a un tuo cliente). Condividiamo i dati dell'account solo con i responsabili del trattamento indispensabili per il funzionamento del Servizio, ciascuno vincolato contrattualmente a utilizzarli esclusivamente per fornirci il rispettivo servizio:

Stripe, Inc. — elaborazione dei pagamenti e fatturazione degli abbonamenti.

Resend (tramite il suo relay SMTP) — invio di email transazionali.

Cloudflare, Inc. — protezione da bot e abusi (Turnstile) nei nostri moduli di registrazione e reimpostazione password.

Hetzner Online GmbH — il nostro fornitore di infrastruttura, dove sono fisicamente collocati i nostri server e database (situati nell'UE).

I tuoi endpoint webhook — gli URL da te configurati — ricevono necessariamente i payload degli eventi che ci chiedi di recapitare loro. Tale recapito costituisce l'essenza stessa del Servizio; non si tratta di una divulgazione a terzi decisa autonomamente da noi, bensì di un'operazione eseguita su tua precisa istruzione.

Le fatture emesse vengono registrate nel sistema interno di fatturazione di Altix Code Ltd, condiviso tra tutti i nostri prodotti, per consentirci di adempiere agli obblighi contabili e fiscali come un'unica entità aziendale.

Alcuni di questi responsabili si trovano al di fuori dello Spazio Economico Europeo. In tali circostanze, ci basiamo sulle Clausole Contrattuali Standard della Commissione Europea o su garanzie equivalenti riconosciute per tutelare il trasferimento dei dati.

Potremmo inoltre divulgare dati ove richiesto dalla legge, per far rispettare i nostri Termini di servizio o per tutelare i diritti, la proprietà o la sicurezza di Altix, dei nostri clienti o di altri soggetti.

5. Per quanto tempo li conserviamo

I dati dell'account, gli eventi pubblicati e la relativa cronologia di recapito e tentativi vengono conservati per tutto il tempo in cui l'account rimane attivo. Al momento non è prevista una scadenza automatica separata per i log di recapito oltre la durata dell'account, poiché questo registro rappresenta la fonte su cui tu e i tuoi clienti fate affidamento per verificare retroattivamente la consegna.

Se elimini l'account, ogni app, endpoint, chiave API, record di evento e recapito in esso contenuto, nonché l'accesso di ciascun membro del team, vengono rimossi immediatamente e in modo definitivo — vedi la sezione "Eliminazione dell'account" di seguito.

Le fatture già emesse restano conservate nel nostro sistema di fatturazione indipendentemente dal tuo account, per tutto il periodo richiesto dalla legge fiscale e contabile cipriota per la tenuta dei registri finanziari (attualmente fino a sette anni).

Le voci del registro di audit di sicurezza vengono conservate anche dopo l'eliminazione di un account, poiché lo scopo di un log di sicurezza è sopravvivere agli eventi che potrebbe essere chiamato a chiarire; le voci sono conservate per il tempo necessario a fini di sicurezza, prevenzione delle frodi e adempimenti legali.

I log del server e delle richieste vengono conservati per un breve periodo (in genere poche settimane) e poi eliminati o resi anonimi.

6. Eliminazione dell'account

I proprietari dell'account possono eliminarlo definitivamente in qualsiasi momento dalla sezione Impostazioni. Questa operazione:

Annulla immediatamente qualsiasi abbonamento attivo: non riceverai ulteriori addebiti e perderai l'accesso da subito, anziché al termine del periodo di fatturazione.

Elimina in modo definitivo tutte le app, gli endpoint, le chiavi API, gli eventi pubblicati e la cronologia dei tentativi di recapito presenti nell'account.

Revoca immediatamente l'accesso all'account a tutti i membri del team.

Registra l'avvenuta eliminazione in una voce di log che non viene cancellata insieme all'account (vedi sopra).

Non incide sulle fatture già emesse, che rimarranno memorizzate nel nostro sistema di fatturazione in ottemperanza ai nostri obblighi legali di conservazione, indipendentemente dall'account eliminato.

Questa azione non può essere annullata. La dashboard ti chiederà di digitare il nome dell'account per confermare prima di procedere.

7. Cookie

Il nostro sito web e la nostra dashboard utilizzano un unico cookie strettamente necessario per consentirti di restare connesso. Non utilizziamo cookie pubblicitari o di tracciamento cross-site su questo sito.

8. I tuoi diritti

Se risiedi nello Spazio Economico Europeo, nel Regno Unito o in un'altra giurisdizione che garantisce tutele analoghe, hai il diritto di:

Accedere ai dati personali in nostro possesso che ti riguardano e ottenerne una copia.

Rettificare i dati inesatti.

Cancellare i tuoi dati, anche eliminando autonomamente il tuo account come descritto sopra.

Limitare o opporti a determinati trattamenti.

Ricevere i tuoi dati in un formato portabile.

Revocare il consenso, laddove il trattamento si basi su di esso (ad esempio per l'invio facoltativo di aggiornamenti sul prodotto).

Proporre reclamo alla tua autorità locale per la protezione dei dati personali (per Cipro, l'Ufficio del Commissario per la protezione dei dati personali).

Per esercitare uno qualsiasi di questi diritti, invia un'email a privacy@altixcode.com. Se i dati oggetto della richiesta fanno parte del contenuto di un evento — ovvero dati relativi a un utente finale di un nostro cliente in transito attraverso il Servizio — agiamo in veste di responsabili del trattamento per tali dati, non di titolari, e inoltreremo la richiesta all'account che li ha pubblicati, al quale compete l'onere di rispondere in qualità di titolare, salvo diverse istruzioni forniteci.

9. Sicurezza

Le password sono protette con hash bcrypt e non vengono mai memorizzate in chiaro. Le chiavi API sono archiviate tramite hash unidirezionale; solo un breve prefisso viene mantenuto in chiaro a scopo identificativo. I segreti di firma degli endpoint e le chiavi di firma dei token portale sono cifrati a riposo con AES-256-GCM. I link di invito e di reimpostazione password utilizzano token monouso crittograficamente casuali, memorizzati sotto forma di hash. Il traffico verso il Servizio e ogni recapito in uscita verso i tuoi endpoint sono crittografati in transito con TLS. L'accesso all'infrastruttura di produzione è strettamente limitato alle figure necessarie per la gestione del Servizio.

10. Minori

Il Servizio è destinato ad aziende e professionisti e non è rivolto a minori di 16 anni, né raccoglie consapevolmente dati da essi.

11. Modifiche a questa informativa

In caso di modifiche sostanziali a questa informativa, informeremo i titolari degli account via email e aggiorneremo la data di entrata in vigore riportata sopra prima che le modifiche diventino effettive.

12. Contatti

Altix Code Ltd (Cipro). Per qualsiasi domanda su questa informativa o sui tuoi dati, scrivi a privacy@altixcode.com.