shield_lock Privacy

Informativa sulla privacy

Ultimo aggiornamento: novembre 2026 | Titolare del trattamento: Ostheimer OG, Fabriksgasse 20, 2230 Gänserndorf | office@qr3.app

1. Principi generali

Trattiamo i dati personali in conformità al RGPD (UE) 2016/679. La protezione dei Suoi dati è per noi una priorità assoluta. qr3.app è stato sviluppato secondo il principio di Privacy by Design: gli indirizzi IP non vengono mai memorizzati — vengono immediatamente pseudonimizzati all'Edge (Cloudflare Workers) con HMAC-SHA-256, un segreto di lunga durata, scopo e giorno UTC prima che i dati vengano salvati in modo permanente.

2. Dati trattati

2.1 Utilizzo delle API (Utenti registrati)

  • Dati dell'account: indirizzo e-mail, nome (tramite autenticazione Clerk.com)
  • Dati di fatturazione: ID cliente Stripe, stato dell'abbonamento (nessun dato della carta di credito — Stripe li tratta direttamente)
  • Dati di utilizzo: codici QR creati, configurazioni del workspace
  • Base giuridica: Art. 6, par. 1, lett. b del RGPD (esecuzione del contratto)

2.2 Statistiche di scansione (Utenti finali che scansionano i codici QR)

  • Pseudonimo IP: HMAC-SHA-256 con segreto di lunga durata, scopo e giorno UTC — dato personale pseudonimizzato; non recuperabile direttamente dall'hash, ma il titolare del segreto può ricalcolare un candidato IP noto per quel giorno
  • Dati del dispositivo: tipo di dispositivo, sistema operativo, browser (dallo user-agent, anonimizzato)
  • Dati geografici: paese, città (dall'header Cloudflare CF-IPCountry — nessun IP memorizzato)
  • Base giuridica: Art. 6, par. 1, lett. f del RGPD (legittimo interesse dei proprietari dei codici QR a disporre di statistiche)
  • Conservazione: 90 giorni, dopodiché avviene la cancellazione automatica

2.3 Visita del sito web (qr3.app)

  • Nessun cookie di tracciamento
  • Log del server: Cloudflare tratta i dati di connessione in conformità alla propria Informativa sulla privacy

Per contare le visualizzazioni delle pagine per ciascuna versione linguistica, qr3.app utilizza Cloudflare Web Analytics. Il servizio non utilizza cookie o altri meccanismi di archiviazione lato client, non memorizza gli indirizzi IP e non crea profili utente. I dati raccolti, in forma aggregata, sono: percorso della pagina, referrer, tipo di browser e dispositivo, e paese. Fornitore: Cloudflare, Inc., in qualità di responsabile del trattamento dei dati (Addendum sul trattamento dei dati). Base giuridica: Art. 6, par. 1, lett. f del RGPD — legittimo interesse a valutare la copertura per ciascuna lingua. Non è richiesto alcun cookie di opt-out, poiché nessun dato viene memorizzato sul vostro dispositivo.

2.4 Statistiche di utilizzo e log dei webhook (Utenti registrati)

  • Statistiche di utilizzo: Attività della dashboard per giorno (in quali giorni UTC un utente ha aperto la dashboard di un workspace) e contatori di utilizzo dell'API per operazione e giorno (numero di richieste di una chiave API per operazione ed esito). Per l'attività della dashboard vengono memorizzati gli identificatori di utente, organizzazione e workspace, il giorno UTC e l'ora del primo accesso di quel giorno; per i contatori dell'API gli identificatori di organizzazione, workspace e chiave API, il giorno UTC, l'operazione, l'esito, il conteggio e l'ora della prima e dell'ultima richiesta del giorno — nessun indirizzo IP e nessuno user-agent.
  • Log di consegna dei webhook: Per ogni tentativo di consegna: tipo di evento, orario, stato, codice di stato HTTP e tempo di risposta, i dati dell'evento inviati e il primo kilobyte (1 KB) della risposta del destinatario o un messaggio di errore. Per gli eventi di scansione i dati dell'evento contengono paese, tipo di dispositivo, sistema operativo, browser e lingua del visitatore; per gli eventi dei codici contengono il codice completo con URL di destinazione e note. Non vengono memorizzati né l'indirizzo IP né lo user-agent dei visitatori, ma i dati dell'evento e la risposta del destinatario possono contenere dati personali.
  • Finalità: Esercizio, ricerca degli errori e miglioramento del prodotto
  • Base giuridica: Art. 6, par. 1, lett. f del RGPD (legittimo interesse a un esercizio sicuro, alla ricerca degli errori e allo sviluppo del servizio)
  • Conservazione: 90 giorni (il giorno UTC in corso e gli 89 giorni precedenti), dopodiché avviene la cancellazione automatica; immediata con DELETE /v1/account

2.5 Log di audit (Utenti registrati)

  • Contenuto: Per ogni modifica in un workspace (ad esempio a codici, chiavi API, membri o webhook): data e ora, azione, risorsa interessata, valori modificati e chi ha agito (ID dell'utente o della chiave API). Per le chiamate dirette all'API anche lo pseudonimo IP (HMAC-SHA-256 per giorno UTC, finalità distinta) e lo user agent. Non vengono memorizzati indirizzi IP, segreti (secrets) né chiavi API.
  • Finalità: Tracciabilità delle modifiche per il team di un workspace e sicurezza del servizio
  • Base giuridica: Art. 6, par. 1, lett. f del RGPD (legittimo interesse a modifiche tracciabili e alla sicurezza del servizio)
  • Conservazione: pseudonimo IP e user agent 90 giorni, la voce 365 giorni (ogni volta il giorno UTC corrente e i giorni precedenti), poi cancellazione automatica; con DELETE /v1/account le voci delle proprie organizzazioni vengono cancellate subito, nei team altrui vengono rimossi lo pseudonimo IP e lo user agent

3. Trasferimento dei dati a terzi

Trasferiamo i dati solo ai seguenti fornitori di servizi. Salvo diversa indicazione, essi trattano i dati per nostro conto (Art. 28 del RGPD). Se in tale ambito i dati arrivano negli USA, ciò si basa sul quadro UE-USA per la protezione dei dati personali (EU-US Data Privacy Framework), in base al quale le società statunitensi di questi fornitori sono certificate (decisione di adeguatezza, Art. 45 del RGPD), e in via sussidiaria sulle clausole contrattuali standard della Commissione europea contenute nei loro accordi sul trattamento dei dati (Art. 46, par. 2, lett. c del RGPD).

  • Cloudflare, Inc. (USA) — infrastruttura, CDN, Workers: hosting del sito web, della dashboard e dell'API, database, archiviazione di file e code, invio delle e-mail di sistema (Cloudflare Email Service) e Web Analytics (sezione 2.3)
  • Clerk, Inc. (USA) — autenticazione: indirizzo e-mail, nome, dati di accesso e di sessione (tra cui indirizzo IP, posizione da esso ricavata e browser) ed e-mail di conferma. Durante la registrazione Clerk integra una protezione contro le registrazioni automatizzate (Cloudflare Turnstile). Se accede con un account Google, Clerk riceve da tale account il Suo nome e il Suo indirizzo e-mail.
  • Stripe Payments Europe, Ltd. (Irlanda) — elaborazione dei pagamenti e fatture. Stripe raccoglie direttamente i dati di pagamento; noi non riceviamo dati delle carte. Stripe è direttamente responsabile della prevenzione delle frodi, dei propri obblighi di legge e dello sviluppo dei propri prodotti.
  • Functional Software, Inc. (Sentry) (USA, archiviazione nell'UE) — analisi degli errori per l'API, i reindirizzamenti e la dashboard: messaggi di errore e campioni di richieste (metodo, percorso senza parametri, codice di stato, durata, identificatori interni). Rimuoviamo indirizzi IP, intestazioni, cookie e parametri prima dell'invio; indirizzi e-mail e chiavi presenti nel testo vengono oscurati. Base giuridica: Art. 6, par. 1, lett. f del RGPD (legittimo interesse a un esercizio privo di errori e sicuro)
  • Google Cloud EMEA Ltd. (Irlanda; Google Cloud Web Risk) — verifica degli indirizzi di destinazione contro phishing e malware: alla creazione o modifica di un codice, in una verifica tramite l'API e nel controllo notturno, l'indirizzo di destinazione del codice o i link della sua landing page. Viene inviato solo l'indirizzo, nessun dato di account o di visitatori; se l'indirizzo stesso contiene dati personali (ad esempio in un parametro), questi vengono inviati con esso. Base giuridica: Art. 6, par. 1, lett. f del RGPD (protezione dei visitatori da destinazioni fraudolente e sicurezza del servizio)
  • Microsoft (Microsoft 365) — la casella di posta office@qr3.app: le e-mail che ci invia, comprese le risposte alle e-mail di sistema, e le nostre risposte. Base giuridica: Art. 6, par. 1, lett. b del RGPD (richieste relative al contratto) o lett. f (altre richieste)

Non avviene alcun trasferimento di dati per scopi pubblicitari.

4. I Suoi diritti (Art. 15–22 del RGPD)

  • Accesso (Art. 15): GET /v1/account/privacy o e-mail a office@qr3.app
  • Portabilità dei dati (Art. 20): GET /v1/account/export — esportazione in formato JSON di tutti i dati
  • Cancellazione (Art. 17): DELETE /v1/account o e-mail. Il Suo account viene cancellato immediatamente: le organizzazioni di cui è proprietario, con tutti i workspace, i codici, i passaporti di prodotto, i file e le statistiche (se un'organizzazione di questo tipo ha un altro amministratore dell'organizzazione, questi la rileva con i dati e l'abbonamento), le Sue appartenenze ad altre organizzazioni, il Suo accesso presso Clerk e il Suo record cliente presso Stripe. Un abbonamento in corso termina immediatamente, senza rimborso proporzionale. Per account molto grandi la cancellazione si conclude entro poche ore. Nei backup del database (Cloudflare D1 Time Travel) i dati cancellati restano ripristinabili fino a 30 giorni, poi vengono rimossi definitivamente. Fanno eccezione le fatture, che conserviamo presso Stripe per il periodo legale di conservazione di sette anni (§ 132 BAO), e le segnalazioni di terzi su codici abusivi (prevenzione degli abusi).
  • Limitazione (Art. 18): e-mail a office@qr3.app
  • Opposizione (Art. 21): in qualsiasi momento per motivi connessi a legittimi interessi

5. Cookie

qr3.app utilizza esclusivamente cookie di sessione tecnicamente necessari (autenticazione tramite Clerk). Nessun cookie di marketing o di tracciamento. Pertanto, non è richiesto il consenso ai sensi della direttiva sui cookie. Anche Cloudflare Web Analytics (si veda la sezione 2.3) non utilizza cookie.

6. Sicurezza dei dati

Tutti i dati vengono trasmessi in forma crittografata (TLS 1.3). Crittografia del database a riposo (at-rest) tramite Cloudflare D1. Le chiavi API vengono memorizzate sotto forma di hash. Firme dei webhook tramite HMAC-SHA256.

7. Diritto di reclamo

Lei ha il diritto di proporre reclamo all'autorità garante per la protezione dei dati austriaca:
Datenschutzbehörde (dsb.gv.at), Barichgasse 40-42, 1030 Vienna

8. Contatti per la protezione dei dati

Ostheimer OG
Fabriksgasse 20, 2230 Gänserndorf
office@qr3.app