Informativa sulla privacy

1. La versione breve

Raccogliamo i dati minimi necessari per fatturare e supportarti. Non chiediamo il tuo nome completo, indirizzo, telefono o documento d'identità. Utilizziamo uno strumento di analisi self-hosted che non memorizza cookie né identificatori personali. Non vendiamo, condividiamo o trasferiamo i tuoi dati a reti pubblicitarie o partner di marketing. Non conserviamo i dati residenti sul server: il contenuto del tuo VPS appartiene a te e non lo ispezioniamo.

Questa sezione è un riepilogo in linguaggio semplice. Le disposizioni dettagliate seguono.

2. Chi siamo

Il titolare del trattamento per questa informativa sulla privacy è MurmurHost LLC, una società a responsabilità limitata costituita secondo le leggi della Repubblica delle Seychelles. Siamo raggiungibili all'indirizzo [email protected] per tutta la corrispondenza relativa alla privacy.

Per le questioni disciplinate dal Regolamento generale sulla protezione dei dati (GDPR) dell'UE, laddove non manteniamo un rappresentante nell'Unione Europea ai sensi dell'Articolo 27, risponderemo direttamente alle richieste tramite lo stesso indirizzo email.

3. Cosa raccogliamo

3.1 Alla registrazione

L'unico dato richiesto alla registrazione è un indirizzo email funzionante. Lo utilizziamo per inviare fatture, avvisi di servizio e corrispondenza di supporto. Puoi fornire facoltativamente un nome visualizzato, nome dell'organizzazione, giurisdizione di fatturazione o identificativo IVA; questi non sono obbligatori e vengono conservati solo se li fornisci.

3.2 Al pagamento

Per i pagamenti in criptovaluta, registriamo l'hash della transazione e la rete della criptovaluta per riconciliare il pagamento con la tua fattura. Non associamo il tuo indirizzo di portafoglio al tuo account oltre la durata del saldo della fattura; una volta saldata la fattura, l'indirizzo di ricezione viene ruotato e non viene memorizzato nel record del cliente.

Per i pagamenti con carta dove disponibili (attualmente limitati a SKU non offshore), riceviamo solo le ultime quattro cifre della carta e un riferimento tokenizzato dal processore di pagamento. Non memorizziamo i numeri completi della carta. La copertura completa dei metodi di pagamento e le relazioni con i processori sono documentate su /payment-methods.

3.3 Dati operativi

Conserviamo l'indirizzo IP da cui il pannello clienti è stato accesso più di recente per novanta (90) giorni, dopo di che viene cancellato. Conserviamo un hash del seed TOTP (one-time password basata sul tempo) se hai abilitato l'autenticazione a due fattori. Conserviamo i timestamp di accesso riusciti e falliti per novanta (90) giorni per scopi di rilevamento frodi.

3.4 Contenuto di supporto e ticket

Quando apri un ticket di supporto, il contenuto del ticket — inclusi eventuali allegati che condividi — viene memorizzato sulla nostra infrastruttura per la durata indicata nella Sezione 8. Il contenuto dei ticket è trattato come confidenziale e accessibile solo al personale di supporto e ingegneria che lavora sul ticket.

3.5 Dati residenti sul server

I dati che memorizzi all'interno del tuo server privato virtuale, server dedicato, casella di posta o altro servizio sono operativamente invisibili per noi. Non ispezioniamo, registriamo, scansioniamo o copiamo il contenuto dell'infrastruttura controllata dal cliente come routine. Dove siamo tenuti ad agire sui dati — ad esempio per conformarci a un ordine giudiziario locale notificato correttamente — lo facciamo secondo la procedura nella Sezione 7 e solo nella misura legalmente imposta.

4. Cosa non raccogliamo

Non raccogliamo, richiediamo o conserviamo:

Nome legale completo, tranne se inserito volontariamente per la fatturazione
Indirizzo postale, tranne se inserito volontariamente per la fatturazione
Numero di telefono
Documenti di identificazione rilasciati dal governo
Dati di tracciamento comportamentale sulla tua navigazione sul sito web oltre l'analisi rispettosa della privacy riassunta nella Sezione 5
Identificatori pubblicitari di terze parti (nessun Google Ads, Meta Pixel, Twitter pixel o tracker comparabili sono presenti sul nostro sito di marketing)
Identificatori cross-site condivisi con data broker

L'accesso al pannello clienti richiede un cookie di sessione. Il cookie di sessione è essenziale per il funzionamento del servizio ed è esente dal consenso ePrivacy dell'UE ai sensi dell'Articolo 5(3) Considerando 25 della Direttiva 2002/58/CE. Il cookie è HttpOnly, Secure, SameSite=Lax e scade quando ti disconnetti o dopo quattordici (14) giorni di inattività, a seconda di quale evento si verifica prima.

5.2 Analisi

Utilizziamo Plausible Analytics su un'istanza self-hosted sotto il nostro controllo. Plausible non imposta cookie sul tuo browser, non raccoglie identificatori personali e non traccia gli utenti tra visite o domini. Le metriche aggregate che produce — visualizzazioni di pagina, referrer, paese a livello di codice paese e durata della visita — sono utilizzate per valutare le prestazioni del sito di marketing e non sono associate al tuo account.

5.3 Nessun tracker di terze parti

Il sito di marketing non include Google Analytics, Meta Pixel, Hotjar, Mixpanel, Segment o qualsiasi altra tecnologia di tracciamento di terze parti comparabile. Il pannello clienti gira su un proprio sottodominio e non contiene alcuna analisi.

6. Come utilizziamo le informazioni

Utilizziamo le informazioni descritte nella Sezione 3 solo per i seguenti scopi:

Fornitura del servizio: provisioning, operazione, manutenzione e supporto dei servizi
Fatturazione: generazione, consegna e riconciliazione delle fatture
Gestione degli abusi: indagine sulle segnalazioni, comunicazione con i clienti interessati e conformità agli obblighi legali
Avvisi di servizio: comunicazione sullo stato del servizio, manutenzione programmata, aggiornamenti di sicurezza e modifiche sostanziali ai Termini o a questa informativa
Comunicazioni di marketing, solo con opt-in esplicito: inviamo email di marketing solo ai clienti che hanno esplicitamente optato. Lo stato predefinito dell'account è opt-out.

7. Condivisione e divulgazione

7.1 Ordini del tribunale

Divulghiamo dati alle autorità di polizia o giudiziarie solo su ricezione di un ordine notificato correttamente da un tribunale competente in uno dei paesi in cui operiamo. Non divulghiamo volontariamente i dati dei clienti alle autorità al di fuori delle nostre giurisdizioni operative. Gli ordini di tribunali stranieri non sono onorati automaticamente; vengono esaminati con consulenza legale locale e divulgati solo nella misura legalmente imposta.

7.2 Richieste di assistenza legale reciproca (MLAT)

Le richieste MLAT vengono elaborate caso per caso. Quando una richiesta è notificata correttamente e supportata da una dimostrazione sostanziale ai sensi del trattato pertinente, cooperiamo nella misura legalmente richiesta e non oltre. Quando una richiesta non è notificata correttamente o non soddisfa lo standard sostanziale pertinente, rifiutiamo.

7.3 Processori di terze parti

Facciamo affidamento su un insieme limitato di processori di terze parti necessari per operare la piattaforma:

Mailgun (o equivalente) per la consegna di email transazionali, inclusa la consegna di fatture, reimpostazioni della password e corrispondenza sugli abusi. Il processore riceve solo l'indirizzo email e il contenuto del messaggio.
BTCPay Server, self-hosted su infrastruttura che controlliamo, per l'elaborazione dei pagamenti in criptovaluta. Nessun processore di pagamento crittografico di terze parti (come BitPay o Coinbase Commerce) viene utilizzato per i servizi offshore.
PostgreSQL, ospitato su infrastruttura che controlliamo, per il database dei clienti.
UptimeRobot o equivalente per il monitoraggio dell'uptime, che riceve solo il nome host pubblico e lo stato della risposta HTTP.

7.4 Nessun marketing o pubblicità

Non condividiamo, vendiamo, concediamo in licenza o trasferiamo in altro modo i dati dei clienti a reti pubblicitarie, data broker o partner di marketing. Non eseguiamo pubblicità sui servizi e non monetizziamo i dati dei clienti.

8. Conservazione dei dati

8.1 Account attivo

I dati personali associati a un account attivo vengono conservati per la durata dell'account.

8.2 Account cancellato

Dopo la cancellazione, i dati personali vengono conservati per novanta (90) giorni per consentire il recupero in caso di cancellazione accidentale, quindi cancellati.

8.3 Registri di fatturazione

I registri di fatturazione — numero di fattura, importo, valuta, giurisdizione di costituzione se fornita e identificativo fiscale se fornito — vengono conservati per sette (7) anni per conformarsi agli obblighi di conservazione dei registri fiscali nelle nostre giurisdizioni operative.

8.4 Ticket di supporto

Il contenuto dei ticket di supporto viene conservato per dodici (12) mesi dalla chiusura del ticket, quindi cancellato.

8.5 Log operativi

Non conserviamo log lato server dell'attività dei clienti. In particolare: non scriviamo su storage persistente nessuno dei seguenti — log di accesso per cliente, timestamp IP per traffico in entrata, log della cronologia dei comandi, registrazioni di sessioni console, codici di uscita dei cron job taggati all'identità del cliente, log delle query DNS.

I record di flusso del traffico edge aggregato (NetFlow / IPFIX) sono mantenuti in memoria volatile al edge per al massimo un'ora (1) per decisioni attive di mitigazione DDoS, mai scritti su storage persistente e mai correlati al cliente.

I tentativi di accesso al pannello clienti sono tracciati solo in memoria volatile, al solo scopo di limitare la velocità di credential stuffing. Le sessioni riuscite non vengono registrate su disco.

Il risultato si riflette nel nostro rapporto di trasparenza pubblico (https://murmurhost.com/transparency): quando arrivano richieste giudiziarie per i registri di attività dei clienti, i registri prodotti sono strutturalmente zero perché tali registri non vengono raccolti.

9. Trasferimenti internazionali

I dati personali sono memorizzati su infrastruttura nella giurisdizione in cui il servizio del cliente è distribuito. Il pannello clienti stesso gira su infrastruttura nei Paesi Bassi, con replica del database in un'unica posizione fuori sede in Islanda per scopi di disaster recovery.

Per i clienti residenti nell'UE, ciò significa che i dati del pannello clienti attraversano un confine interno tra i Paesi Bassi (all'interno del SEE) e l'Islanda (fuori dal SEE ma all'interno dello Spazio economico europeo per scopi di protezione dei dati). L'Islanda è riconosciuta dalla Commissione europea come fornitrice di un livello adeguato di protezione dei dati.

10. I tuoi diritti

Se sei un individuo nell'ambito del GDPR UE, GDPR UK, California Consumer Privacy Act (CCPA) o quadri normativi sulla privacy comparabili, hai i diritti previsti dalla normativa applicabile. I diritti più comunemente esercitati sono:

10.1 Diritto di accesso

Puoi richiedere una copia dei dati personali che conserviamo su di te. Rispondiamo entro trenta (30) giorni.

10.2 Diritto di rettifica

Puoi correggere i dati personali inaccurati che conserviamo su di te. La maggior parte dei campi può essere modificata direttamente nel pannello clienti; per i campi che non possono, contatta [email protected].

10.3 Diritto alla cancellazione ("diritto all'oblio")

Puoi richiedere la cancellazione dei dati personali che conserviamo su di te. Li cancelleremo a meno che non abbiamo un obbligo legale di conservarli (in particolare la conservazione dei registri di fatturazione di sette anni nella Sezione 8.3, nel qual caso i dati personali al di fuori di tale ambito vengono cancellati e il record di fatturazione viene anonimizzato nella misura possibile).

10.4 Diritto alla portabilità dei dati

Puoi richiedere un export leggibile da macchina dei dati personali che conserviamo su di te. L'export viene consegnato come JSON, crittografato con una passphrase che fornisci.

10.5 Diritto di limitazione e opposizione

Puoi richiedere che limitiamo il trattamento dei tuoi dati personali mentre viene indagato un reclamo o una richiesta di correzione, e puoi opporti al trattamento basato su motivi di legittimo interesse. L'opt-out dalle comunicazioni di marketing viene onorato immediatamente su richiesta.

11. Come esercitare i tuoi diritti

Per esercitare qualsiasi diritto descritto nella Sezione 10, invia un'email a [email protected]. Rispondiamo entro trenta (30) giorni. Se prevediamo di aver bisogno di tempo aggiuntivo (in particolare per richieste di cancellazione complesse in cui dobbiamo verificare l'ambito di conservazione legale), ti informeremo entro i primi trenta (30) giorni e completeremo la risposta entro un massimo di sessanta (60) giorni ulteriori.

Non addebitiamo alcuna tariffa per le richieste di routine. Dove le richieste sono manifestamente infondate, eccessive o ripetute, possiamo addebitare una tariffa ragionevole o rifiutarci di agire, come consentito dall'Articolo 12(5) del GDPR.

12. Misure di sicurezza

12.1 Crittografia a riposo

I dati del pannello clienti, inclusi i record di fatturazione e il contenuto dei ticket di supporto, sono memorizzati con crittografia a livello di disco utilizzando LUKS/dm-crypt con AES-XTS-256.

12.2 Crittografia in transito

Tutte le connessioni tra il browser del cliente, il pannello clienti e i nostri servizi interni utilizzano TLS 1.3 o, dove TLS 1.3 non è disponibile sul client, TLS 1.2 con suite di cifratura forti e forward secrecy. Non supportiamo TLS 1.0 o TLS 1.1.

12.3 Controlli di accesso

L'accesso interno ai dati dei clienti è limitato al personale di supporto e ingegneria che agisce su un ticket o incidente specifico. L'autenticazione a due fattori è obbligatoria per tutto il personale che accede all'interfaccia amministrativa del pannello clienti.

12.4 Log di audit

L'accesso interno ai dati dei clienti viene registrato con dettagli sufficienti per ricostruire chi ha accesso cosa e quando. I log di audit vengono conservati per novanta (90) giorni.

13. Privacy dei minori

I nostri servizi non sono destinati a individui di età inferiore a sedici (16) anni. Non raccogliamo consapevolmente dati personali da minori al di sotto di questa soglia. Se scopriamo di aver raccolto dati personali da un minore al di sotto della soglia, li cancelliamo prontamente e rimborsiamo qualsiasi pagamento ricevuto. I genitori o tutori che ritengono che il loro figlio minore abbia fornito dati personali a noi dovrebbero contattare [email protected].

14. Modifiche a questa informativa

Possiamo aggiornare periodicamente questa informativa sulla privacy. Le modifiche sostanziali — quelle che influenzano le categorie di dati che raccogliamo, gli scopi per cui utilizziamo i dati o le terze parti con cui condividiamo i dati — vengono notificate tramite l'email di fatturazione e annunciate tramite un banner sul pannello clienti per trenta (30) giorni prima che entrino in vigore. Le modifiche non sostanziali (chiarimenti, formattazione, correzioni di link rotti) possono essere apportate senza preavviso; la data "Ultimo aggiornamento" in cima a questo documento riflette la modifica più recente.

15. Contatti

Per domande, richieste o reclami relativi alla privacy:

Team privacy: [email protected]
Team legale: [email protected]
Indirizzo postale: MurmurHost LLC, Repubblica delle Seychelles (indirizzo completo fornito su richiesta scritta)

Se ritieni che non abbiamo rispettato la legge sulla privacy applicabile, hai il diritto di presentare un reclamo all'autorità di controllo nella tua giurisdizione. Per i residenti nell'UE, questa è l'autorità per la protezione dei dati del tuo Stato membro; per i residenti nel Regno Unito, l'Information Commissioner's Office; per i residenti in California, la California Privacy Protection Agency.