Informativa sulla Privacy

1. Introduzione

Questa Informativa sulla Privacy descrive come Smart Money API ("noi", "nostro" o "nostri"), gestito da Ardit Tashi, raccoglie, utilizza e condivide le informazioni su di te quando utilizzi il nostro sito web (smartmoneyapi.com), i servizi API, la dashboard e i prodotti correlati (collettivamente, il "Servizio").

Ci impegniamo a proteggere la tua privacy e a trattare i tuoi dati personali in conformità con il Regolamento Generale sulla Protezione dei Dati (GDPR), il GDPR del Regno Unito e altre leggi sulla protezione dei dati applicabili.

Utilizzando il nostro Servizio, accetti la raccolta e l'uso delle informazioni in conformità con questa policy. Se non sei d'accordo con qualsiasi parte di questa policy, ti preghiamo di interrompere l'uso del nostro Servizio.

2. Titolare del Trattamento

Il titolare del trattamento responsabile dei tuoi dati personali è:

Per qualsiasi domanda o richiesta riguardante i tuoi dati personali, ti preghiamo di contattarci tramite il nostro modulo di contatto.

3. Dati che Raccogliamo

3.1 Informazioni che Fornisci Direttamente

• Registrazione dell'account: Indirizzo email, nome visualizzato e password (hashata) quando ti registri via email. Se utilizzi l'accesso con Google tramite Firebase Authentication, riceviamo il tuo indirizzo email e il nome del profilo Google.
• Informazioni di fatturazione: I dettagli del metodo di pagamento sono elaborati e memorizzati da Stripe, il nostro processore di pagamenti. Riceviamo solo dati di fatturazione non sensibili (ultime 4 cifre della carta, paese di fatturazione, stato dell'abbonamento). Non memorizziamo mai i numeri di carta completi.
• Modulo di contatto: Nome, indirizzo email, oggetto e contenuto del messaggio quando ci contatti.
• Preferenze di utilizzo dell'API: Simboli nella watchlist, regole di allerta, URL dei webhook e altre impostazioni di configurazione che salvi nella dashboard.

3.2 Informazioni Raccolte Automaticamente

• Log delle richieste API: Timestamp, endpoint accesso, codici di stato HTTP, tempi di risposta e identificatore della tua chiave API (non la chiave stessa) per ogni richiesta. Utilizzati per limitare la frequenza, prevenire abusi e analisi dell'utilizzo.
• Indirizzo IP: Raccolto per sicurezza, prevenzione delle frodi e limitazione della frequenza. Gli indirizzi IP vengono anonimizzati dopo 30 giorni.
• Informazioni sul browser e sul dispositivo: Tipo di browser, sistema operativo e dimensione del viewport raccolti tramite log del server e cookie. Utilizzati per migliorare la compatibilità. La stringa user-agent registrata al momento della registrazione viene utilizzata anche per il controllo che limita il piano gratuito a uno per persona, descritto nella sezione 4.
• Dati di sessione: Token di autenticazione e identificatori di sessione gestiti tramite cookie sicuri di Firebase Authentication.
• Analisi dell'utilizzo: Se accetti i cookie di analisi nel nostro banner di consenso ai cookie, registriamo le pagine che visualizzi, i modelli di utilizzo delle funzionalità e i percorsi di navigazione per comprendere come gli utenti interagiscono con il Servizio. Registriamo anche la campagna o il link pubblicitario che ti ha portato (ad esempio tag UTM o ID clic Google/Microsoft) e, se sei loggato o hai salvato una chiave API in questo browser, la memorizziamo con il tuo account. Se rifiuti o non hai ancora scelto, non raccogliamo queste informazioni dal tuo browser, con due eccezioni. La prima: ogni pagina che apri invia un breve segnale di presenza, in modo che appaia sulla mappa dei visitatori. Trasmette il tuo paese (preso dall'intestazione del paese di Cloudflare), la tua piattaforma e un breve codice, calcolato dal tuo indirizzo IP e dalla data, che viene utilizzato solo per il conteggio; nulla viene memorizzato sul tuo dispositivo (vedi sezione 7.6). La seconda è il link di riferimento di un partner. Se arrivi tramite un link di riferimento di un partner, registriamo quel clic (la pagina su cui sei atterrato, il tipo di browser, la tua posizione approssimativa e una forma hash del tuo indirizzo IP) in modo che il partner possa essere accreditato.
• Posizione approssimativa e visualizzazioni di pagine collegate all'account: La posizione approssimativa (il tuo paese e la città da cui ti sei registrato) viene derivata dal tuo indirizzo IP tramite Cloudflare e memorizzata nel tuo account, per comprendere dove si trovano i nostri clienti. Se non abbiamo registrato il tuo paese al momento della registrazione, registriamo il paese che vediamo la prima volta che accedi o navighi mentre sei loggato. Se sei loggato o hai salvato una chiave API in questo browser, le pagine che visualizzi sono collegate al tuo account. Conserviamo queste informazioni finché il tuo account è attivo.

3.3 Informazioni da Terze Parti

• Google / Firebase: Se accedi con Google, riceviamo il tuo indirizzo email e il nome visualizzato dell'account Google da Firebase Authentication.
• Stripe: Stato dell'abbonamento, piano tariffario e riepilogo delle informazioni di fatturazione da Stripe webhooks quando ti abboni o gestisci il tuo abbonamento.

4. Come Utilizziamo i Tuoi Dati

Utilizziamo le informazioni che raccogliamo per i seguenti scopi:

• Fornitura del servizio: Per fornire, gestire e mantenere l'API, la dashboard e i servizi associati, inclusa l'autenticazione della tua identità e l'applicazione dei livelli di abbonamento e dei limiti di frequenza.
• Gestione dell'account: Per creare e gestire il tuo account, elaborare i pagamenti tramite Stripe, inviare ricevute di pagamento e notificarti problemi relativi all'account.
• Miglioramento del servizio: Per comprendere come gli utenti interagiscono con la nostra piattaforma e dove si trovano i nostri clienti, identificare bug e sviluppare nuove funzionalità basate sui modelli di utilizzo.
• Sicurezza e prevenzione delle frodi: Per rilevare e prevenire accessi non autorizzati, abusi dell'API e attività fraudolente. Per limitare il piano gratuito a uno per persona, quando viene creato un account gratuito confrontiamo l'indirizzo IP e la stringa user-agent del browser registrati al momento della registrazione, e quanto simile è l'indirizzo email, con altri account gratuiti. Due account gratuiti sono considerati come una sola persona e condividono un solo limite gratuito, solo in caso di corrispondenza forte: lo stesso indirizzo IP e lo stesso user agent entro 48 ore (entro 60 minuti quando quel user agent è una stringa di browser molto comune), o lo stesso indirizzo IP entro 30 giorni con indirizzi email quasi identici prima del segno @. Una corrispondenza più debole, come lo stesso indirizzo IP da solo, viene solo segnalata per la nostra revisione e non collega nessuno. Un nuovo account gratuito che corrisponde fortemente a due o più account gratuiti precedenti non riceve alcuna chiave API gratuita fino a quando non lo esaminiamo. Registriamo quale regola ha corrisposto in modo da poter rivedere o annullare un collegamento; invia un'email a [email protected] per richiedere una revisione.
• Comunicazioni: Per rispondere alle tue richieste di supporto e ai messaggi inviati tramite il modulo di contatto. Potremmo anche inviare aggiornamenti sui prodotti con frequenza ridotta se hai un account attivo; puoi annullare l'iscrizione in qualsiasi momento.
• Conformità legale: Per adempiere agli obblighi legali applicabili, rispondere a richieste legittime delle autorità pubbliche e far rispettare i nostri Termini di Servizio.

5. Base Giuridica per il Trattamento (GDPR)

Se ti trovi nello Spazio Economico Europeo (SEE) o nel Regno Unito, trattiamo i tuoi dati personali in base alle seguenti basi giuridiche:

• Esecuzione del contratto (Articolo 6(1)(b)): Trattamento necessario per fornirti il Servizio, inclusa la creazione dell'account, l'accesso all'API e l'elaborazione dei pagamenti.
• Interessi legittimi (Articolo 6(1)(f)): Trattamento per sicurezza, prevenzione delle frodi, miglioramento del servizio e analisi quando i nostri interessi non prevalgono sui tuoi diritti.
• Obbligo legale (Articolo 6(1)(c)): Trattamento richiesto per conformarsi alle leggi e ai regolamenti applicabili.
• Consenso (Articolo 6(1)(a)): Per cookie non essenziali e comunicazioni di marketing opzionali, dove hai dato un consenso specifico. Puoi revocare il consenso in qualsiasi momento senza influire sulla liceità del trattamento precedente.

6. Condivisione e Divulgazione dei Dati

Condividiamo i tuoi dati solo nelle seguenti circostanze:

• Fornitori di servizi: Condividiamo dati con fornitori di servizi di terze parti fidati che ci assistono nella gestione del Servizio (vedi Sezione 7). Questi fornitori sono vincolati da accordi di trattamento dei dati e possono utilizzare i tuoi dati solo come da noi indicato.
• Requisiti legali: Potremmo divulgare i tuoi dati se richiesto dalla legge, da un ordine del tribunale o da un'autorità governativa, o se riteniamo che la divulgazione sia necessaria per proteggere i diritti, la proprietà o la sicurezza di Smart Money API, dei nostri utenti o del pubblico.
• Trasferimenti aziendali: Se Smart Money API viene acquisito, fuso o trasferisce asset, i tuoi dati potrebbero essere trasferiti come parte di tale operazione. Ti informeremo via email o con un avviso prominente sul nostro sito web prima che avvenga qualsiasi trasferimento.
• Con il tuo consenso: Potremmo condividere i tuoi dati per qualsiasi altro scopo con il tuo consenso esplicito.

Non condividiamo i dati individuali degli utenti con altri utenti del Servizio.

7. Servizi di Terze Parti

Utilizziamo i seguenti servizi di terze parti, ciascuno con la propria informativa sulla privacy:

7.1 Firebase / Google (Autenticazione & Archiviazione)

Utilizziamo Firebase Authentication (fornito da Google LLC) per gestire gli account utente e l'autenticazione. Firebase può raccogliere identificatori di dispositivo, indirizzi IP e dati sugli eventi di autenticazione. Firebase è coperto dall'Informativa sulla Privacy di Google: policies.google.com/privacy. I dati elaborati tramite Firebase possono essere archiviati negli Stati Uniti. Si applicano le Clausole Contrattuali Standard (SCC) per gli utenti del SEE.

7.2 Stripe (Elaborazione dei Pagamenti)

Tutta l'elaborazione dei pagamenti è gestita da Stripe, Inc. (o Stripe Payments Europe Ltd. per gli utenti del SEE). Stripe elabora le informazioni della tua carta di pagamento in conformità con PCI DSS Livello 1. Smart Money API non memorizza mai i numeri delle carte di pagamento. Informativa sulla Privacy di Stripe: stripe.com/privacy.

7.3 Cloudflare (CDN & Protezione DDoS)

Il nostro sito web è servito tramite la rete di distribuzione dei contenuti di Cloudflare. Cloudflare elabora indirizzi IP, caratteristiche del browser e intestazioni delle richieste per scopi di sicurezza e prestazioni. Informativa sulla Privacy di Cloudflare: cloudflare.com/privacypolicy.

7.4 Telegram (Avvisi Opzionali)

Se configuri gli avvisi tramite bot Telegram (piano Pro), il tuo ID chat Telegram viene memorizzato in modo sicuro e utilizzato solo per inviare gli avvisi che hai configurato. Non accediamo alla cronologia dei tuoi messaggi Telegram.

7.5 Google Analytics 4 e Google Tag Manager (Google)

Google Tag Manager viene caricato sulla maggior parte delle pagine di questo sito web prima che tu faccia qualsiasi scelta sui cookie. Il suo caricamento è una richiesta a Google, che quindi riceve il tuo indirizzo IP e i dettagli del browser. Google Analytics 4 viene eseguito tramite esso solo dopo che accetti i cookie di analisi, e poi riceve dati sulla tua visita: l'indirizzo e il titolo della pagina che visualizzi, un identificatore casuale memorizzato in un cookie, la tua lingua e la dimensione dello schermo e il tuo indirizzo IP. Consulta la nostra Cookie Policy e la Privacy Policy di Google (policies.google.com/privacy).

7.6 Mappa dei visitatori (posizione da Cloudflare)

Appari sulla mappa dei visitatori come un punto indipendentemente dal fatto che accetti o meno i cookie di analisi. Ogni pagina che apri su questo sito informa il nostro server che sei online e la pagina continua a farlo una volta al minuto mentre rimane aperta sul tuo schermo. Non inviamo il tuo indirizzo IP a nessun servizio di localizzazione per questo. Se non hai accettato i cookie di analisi, la mappa mostra solo il tuo paese: il nostro server lo legge dal paese che Cloudflare, che già gestisce ogni richiesta al nostro sito (sezione 7.3), allega alla richiesta e la mappa ti posiziona al centro di quel paese. Non utilizziamo nessuna città e nessuna coordinata per te, nulla viene memorizzato sul tuo dispositivo per questo e il tuo browser non invia alcun identificatore e nessuna posizione. Se accetti i cookie di analisi, la tua posizione approssimativa proviene anche da Cloudflare: il tuo paese e, dove Cloudflare li fornisce, una latitudine e longitudine approssimativa, che arrotondiamo a 0,1 grado (circa 11 km). Manteniamo il luogo arrotondato, o solo il paese, per 5 minuti, insieme al tuo paese, indipendentemente dal fatto che utilizzi il sito web, iOS o Android, e un codice unidirezionale creato dal tuo indirizzo IP, un segreto del server e la data, che cambia ogni giorno. Non memorizziamo mai il tuo indirizzo IP stesso o il nome della tua città. Durante quei 5 minuti la mappa ti mostra solo come parte di un conteggio per la tua area, mai come una voce individuale, e i visitatori che condividono un indirizzo di rete vengono conteggiati una volta. Per evitare di contare una visita due volte, manteniamo anche un codice unidirezionale simile creato dal tuo indirizzo IP e dai dettagli del browser per 2 giorni. Aggiungiamo anche uno a un conteggio semplice per la tua area e ora (vedi sezione 9). Se ritiri il tuo consenso, la mappa mostra solo il tuo paese da quel momento in poi; il tuo record di 5 minuti scade entro 5 minuti e il codice di 2 giorni entro 2 giorni. I conteggi già aggiunti rimangono, perché nulla in essi rimanda a te. La mappa mostra anche la città approssimativa delle connessioni attive alla nostra API. Per una richiesta che trasporta una chiave API, il nostro server legge la latitudine e longitudine approssimativa che Cloudflare allega alla richiesta, la arrotonda a 0,1 grado (circa 11 km) e la gestisce come una visita al sito web: lo stesso tipo di codice unidirezionale e lo stesso record di 5 minuti, quindi sulla mappa in tempo reale un indirizzo che sia naviga sul sito che chiama l'API è una voce. I conteggi orari vengono mantenuti separatamente, quindi un indirizzo che fa entrambe le cose può essere conteggiato una volta per ciascuna all'interno della stessa ora. Questo non dipende dal banner dei cookie, che si applica solo al sito web. Tale punto non ha un'etichetta che indica che proviene da una connessione API e nessun account, chiave API o altra identità viene memorizzata per esso. I nostri stessi servizi appaiono insieme come un unico punto. Quando clicchi su un punto, la mappa nomina la città grande più vicina da un elenco integrato nella pagina; nulla viene inviato a nessuno per questo.

8. Cookie e Tracciamento

Utilizziamo cookie e tecnologie simili per gestire il Servizio e migliorare la tua esperienza. Per i dettagli completi sui cookie che utilizziamo e su come gestirli, consulta la nostra Cookie Policy.

In sintesi:

• Cookie essenziali: Necessari per l'autenticazione, la gestione delle sessioni e la sicurezza. Non possono essere disabilitati senza compromettere la funzionalità principale.
• Cookie analitici: Utilizzato per comprendere i modelli di utilizzo. Può essere rifiutato tramite il banner di consenso ai cookie.
• Cookie di terze parti: Impostati da Stripe e Firebase per i flussi di pagamento e autenticazione.

Puoi modificare la tua scelta sui cookie in qualsiasi momento cliccando su "Impostazioni dei Cookie" nel footer del sito web o regolando le impostazioni del tuo browser.

9. Conservazione dei dati

Conserviamo i tuoi dati personali solo per il tempo necessario agli scopi descritti in questa policy:

• Account attivi: I dati dell'account e le preferenze, inclusa la posizione approssimativa memorizzata con il tuo account e le visualizzazioni di pagine collegate, vengono conservati finché il tuo account è attivo.
• Mappa dei visitatori: Il record online-now (il tuo paese e, solo se hai accettato i cookie analitici, la tua posizione arrotondata; anche la piattaforma e un codice unidirezionale che cambia giornalmente) viene conservato per 5 minuti. Il codice di controllo duplicati viene conservato per 2 giorni. I conteggi delle visite vengono conservati per area di circa 11 km e per ora per 30 giorni, poi uniti in aree di circa 110 km al giorno e conservati indefinitamente. Non contengono codici o altri collegamenti a un visitatore. La posizione approssimativa di una connessione API attiva viene conservata allo stesso modo.
• Log delle richieste API: I log dettagliati vengono conservati per 90 giorni per il debug e la sicurezza. Le statistiche aggregate anonimizzate vengono conservate indefinitamente.
• Indirizzi IP: Gli indirizzi IP completi vengono anonimizzati dopo 30 giorni. I record anonimizzati possono essere conservati per analisi di sicurezza.
• Record di fatturazione: I record di pagamento e abbonamento di Stripe vengono conservati per 7 anni per conformarsi agli obblighi di conservazione dei documenti finanziari.
• Account eliminati: All'eliminazione dell'account, i tuoi dati personali (email, preferenze, chiavi API) vengono cancellati entro 30 giorni. I dati analitici aggregati anonimizzati possono essere conservati. I record degli account gratuiti collegati vengono eliminati con l'account. Gli indirizzi IP in essi contenuti vengono conservati solo come hash con chiave (codici unidirezionali creati con un segreto del server), mai come l'indirizzo stesso.
• Invii tramite modulo di contatto: Conservati fino a 2 anni per tracciare la cronologia del supporto, poi eliminati.

10. I tuoi diritti

A seconda della tua ubicazione, potresti avere i seguenti diritti riguardo ai tuoi dati personali:

• Diritto di accesso (Articolo 15 GDPR): Richiedere una copia dei dati personali che deteniamo su di te.
• Diritto di rettifica (Articolo 16 GDPR): Richiedere la correzione di dati inaccurati o incompleti.
• Diritto alla cancellazione / "diritto all'oblio" (Articolo 17 GDPR): Richiedere la cancellazione dei tuoi dati personali quando non esiste un motivo legale prevalente per continuare a elaborarli.
• Diritto alla limitazione del trattamento (Articolo 18 GDPR): Richiedere che limitiamo l'elaborazione dei tuoi dati in determinate circostanze.
• Diritto alla portabilità dei dati (Articolo 20 GDPR): Ricevere i tuoi dati in un formato strutturato, leggibile da macchina e trasferirli a un altro titolare del trattamento.
• Diritto di opposizione (Articolo 21 GDPR): Opporti al trattamento basato sui nostri interessi legittimi.
• Diritto di revocare il consenso: Quando il trattamento è basato sul consenso, revocarlo in qualsiasi momento senza influenzare il trattamento precedente legittimo.
• Diritto di presentare un reclamo: Presentare un reclamo alla tua autorità nazionale per la protezione dei dati (ad esempio, l'ICO nel Regno Unito o la tua autorità di vigilanza locale dell'UE).

Per esercitare uno di questi diritti, contattaci tramite il nostro modulo di contatto. Risponderemo entro 30 giorni. Potremmo chiederti di verificare la tua identità prima di soddisfare determinate richieste.

11. Sicurezza

Implementiamo misure tecniche e organizzative appropriate per proteggere i tuoi dati personali da accessi non autorizzati, alterazioni, divulgazioni o distruzioni. Queste includono:

• Crittografia HTTPS/TLS per tutti i dati in transito
• Chiavi API hashate con bcrypt prima della memorizzazione
• Gestione delle sessioni Firebase Authentication secondo standard di settore
• Database SQLite con permessi del file system limitati
• Protezione DDoS e WAF di Cloudflare
• Controlli di accesso che limitano l'accesso ai dati al minimo necessario

Nessun metodo di trasmissione su internet o archiviazione elettronica è sicuro al 100%. Sebbene ci impegniamo a utilizzare mezzi commercialmente accettabili per proteggere i tuoi dati, non possiamo garantire una sicurezza assoluta. In caso di violazione dei dati che rappresenti un rischio per i tuoi diritti e libertà, notificheremo gli utenti interessati e le autorità di vigilanza competenti come richiesto dalla legge.

12. Trasferimenti internazionali di dati

Smart Money API è gestito all'interno dello Spazio Economico Europeo. Tuttavia, alcuni dei nostri fornitori di servizi di terze parti (inclusi Google/Firebase e Stripe) elaborano dati negli Stati Uniti. Quando trasferiamo dati personali al di fuori dello SEE o del Regno Unito, garantiamo che siano in atto adeguate salvaguardie, tra cui:

• Clausole contrattuali standard (SCC) approvate dalla Commissione Europea
• Decisioni di adeguatezza ove applicabili
• Regole aziendali vincolanti ove applicabili

Puoi richiedere informazioni sui meccanismi specifici di trasferimento su cui ci basiamo utilizzando il nostro modulo di contatto.

13. Privacy dei minori

Il nostro Servizio non è rivolto a individui di età inferiore ai 18 anni. Non raccogliamo consapevolmente dati personali da minori. Se sei un genitore o tutore e ritieni che tuo figlio ci abbia fornito dati personali, contattaci tramite il nostro modulo di contatto e cancelleremo i dati tempestivamente.

14. Modifiche a questa policy

Potremmo aggiornare questa Informativa sulla privacy di volta in volta per riflettere cambiamenti nelle nostre pratiche o nella legge applicabile. Quando apportiamo modifiche sostanziali, faremo quanto segue:

• Aggiorneremo la data "Ultimo aggiornamento" in cima a questa pagina
• Notificheremo gli utenti registrati via email quando le modifiche influiscono significativamente sui tuoi diritti
• Mostreremo un avviso prominente sul nostro sito web

Ti incoraggiamo a rivedere periodicamente questa policy. Il tuo continuo utilizzo del Servizio dopo l'entrata in vigore delle modifiche costituisce accettazione della policy rivista.

15. Contattaci

Per qualsiasi domanda, preoccupazione o richiesta relativa a questa Informativa sulla privacy o ai tuoi dati personali, contattaci:

Se non sei soddisfatto della nostra risposta, hai il diritto di presentare un reclamo a un'autorità per la protezione dei dati. Essendo stabiliti in Italia, l'autorità principale è il Garante per la protezione dei dati personali (garanteprivacy.it); gli utenti UE/SEE possono anche contattare la loro autorità di vigilanza locale.