Informativa sulla Privacy — Statuo

Rev. 4 — Ultimo aggiornamento: 7 settembre 2026

Revisione sostanziale: per i Clienti già registrati entra in vigore il 7 ottobre 2026, data comunicata nel preavviso via e-mail (30 giorni pieni dal 7 settembre 2026, come richiesto dall'art. 3.2 dei Termini); fino ad allora resta vincolante la Rev. 3.1.

1. Titolare del trattamento

Apdsoftware di Carlo Zuffetti (sito: apdsoftware.it), sede in Via C. Colombo 15, 24047 Treviglio (BG), P.IVA 03835250162, e-mail: privacy@statuo.io (il "Titolare").

La presente informativa riguarda i dati trattati dal Titolare in relazione al sito statuo.io e al servizio Statuo (il "Servizio"). Per i dati che il Titolare tratta per conto dei propri clienti agenzia (es. recapiti degli utenti finali inseriti come canali di notifica), il Titolare agisce come responsabile del trattamento: si applica il DPA, non questa informativa.

2. Dati trattati, finalità e basi giuridiche

Il conferimento dei dati contrattuali è necessario: senza, il Servizio non può essere erogato. I dati sono raccolti direttamente presso l'interessato.

Cessazione del contratto e cancellazione dei dati. Alla cessazione — che coincide con la fine dell'ultimo periodo pagato — il monitoraggio si ferma e le pagine di stato pubbliche vengono disattivate lo stesso giorno. Per 30 giorni il pannello resta accessibile alle sole funzioni di esportazione dei dati e di sottoscrizione di un nuovo piano. Trascorsi i 30 giorni, un processo automatico cancella dai sistemi attivi i dati account, le configurazioni di monitoraggio, i dati di monitoraggio e la registrazione di accettazione, IP e user agent compresi. Restano: un record privo di dati identificativi, conservato per dimostrare che la cancellazione è avvenuta e quando (art. 5.2 GDPR); e il registro tecnico degli eventi di pagamento ricevuti da Paddle, privato del contenuto personale e mantenuto per impedire che un evento ritrasmesso venga elaborato due volte. I documenti fiscali relativi agli acquisti del Cliente sono emessi e conservati da Paddle (v. §4), non dal Titolare. Per la persistenza nelle copie di backup vale quanto indicato al §7.

Responsabile della protezione dei dati (DPO): non designato, non ricorrendo i presupposti dell'art. 37 GDPR (trattamenti non su larga scala di categorie particolari, nessun monitoraggio sistematico di interessati).

Processi decisionali automatizzati: il Titolare non effettua trattamenti di cui all'art. 22 GDPR (decisioni basate unicamente su trattamenti automatizzati con effetti giuridici o significativi sull'interessato).

3. Cookie e strumenti simili

Il pannello utilizza esclusivamente storage tecnico (token di sessione, preferenza lingua) necessario al funzionamento: non richiede consenso. Le pagine di stato pubbliche non usano cookie. Il sito statuo.io utilizza Umami, uno strumento di statistiche self-hosted sui server del Titolare che non usa cookie e non traccia i visitatori tra siti diversi: i dati sono aggregati e non riconducibili al singolo visitatore (legittimo interesse, art. 6.1.f).

4. Destinatari e sub-fornitori

I dati possono essere trattati, per conto del Titolare, da fornitori nominati responsabili ex art. 28 GDPR:

I soggetti che seguono non sono responsabili nominati dal Titolare: sono destinatari scelti dal cliente e fonti pubbliche che il Titolare interroga.

Per i TLD il cui registro non pubblica un servizio RDAP — .it compreso — questa verifica usa il protocollo WHOIS classico sulla porta 43, che non è cifrato: viaggia in chiaro il solo nome a dominio del sito monitorato, e nient'altro. È l'unica eccezione alla cifratura in transito di cui al §7. Chi preferisca evitarla può disattivare il controllo di scadenza dominio sul singolo sito.

Per i canali Slack e Teams il destinatario è lo spazio di lavoro che il cliente sceglie e il cui webhook incolla nel pannello: verso quel fornitore è il cliente ad agire come titolare autonomo, e il rapporto — compreso l'eventuale accordo sul trattamento dei dati — è regolato dal contratto fra il cliente e il fornitore, non da garanzie prestate dal Titolare. Ne discende, per il cliente, che è lui a dover indicare quel fornitore fra i destinatari nelle proprie informative e che, consegnato l'avviso, conservazione e cancellazione della copia rimasta nello spazio di lavoro non sono nella disponibilità del Titolare: per revocare la consegna occorre eliminare il canale dal pannello e revocare il webhook presso quel fornitore. L'elenco completo di questi obblighi è nel DPA, artt. 5.3 e 5.4.

IANA/ICANN e i registri dei nomi a dominio sono invece gestori di registri pubblici che il Titolare interroga e dai quali riceve una risposta: rispondono secondo policy proprie e non su istruzione del Titolare, e agiscono anch'essi come titolari autonomi. Il Titolare non può ottenere da loro la cancellazione di quanto annotino dell'interrogazione; chi preferisca evitarla può disattivare il controllo di scadenza dominio sul singolo sito.

L'elenco aggiornato è disponibile su richiesta a privacy@statuo.io. Il Titolare non vende dati personali né li condivide per finalità pubblicitarie.

5. Trasferimenti extra-UE

Ove un fornitore comporti trasferimenti fuori dallo Spazio Economico Europeo (es. Telegram; l'esecuzione dei controlli di monitoraggio dalla location statunitense di Google Cloud, senza conservazione dei dati), il trasferimento avviene sulla base di decisioni di adeguatezza (incluso il Data Privacy Framework UE-USA, ove applicabile) o Clausole Contrattuali Standard (SCC) della Commissione Europea, con misure supplementari ove necessarie.

Comporta un trasferimento extra-UE anche la verifica della scadenza del dominio quando il TLD del sito monitorato è gestito da un registro fuori dallo SEE (tipicamente i domini generici) e quando viene interrogata IANA/ICANN: in entrambi i casi esce il solo nome a dominio — o, verso IANA, il solo nome del TLD — verso il gestore di un registro pubblico, che agisce quale titolare autonomo. Per queste interrogazioni il Titolare non presta le garanzie sopra indicate. Chi preferisca evitarle può disattivare il controllo di scadenza dominio sul singolo sito.

I canali Slack e Microsoft Teams comportano anch'essi un trasferimento negli Stati Uniti, ma solo se il cliente li attiva e verso lo spazio di lavoro che il cliente stesso indica. Il rapporto con quel fornitore fa capo al cliente: valgono quindi le condizioni concordate fra il cliente e il fornitore, e non le garanzie sopra indicate, che il Titolare non presta per questa consegna. Chi preferisca non effettuare il trasferimento può non attivare quei canali e usare l'e-mail, consegnata in UE.

6. Diritti dell'interessato

Ai sensi degli artt. 15-22 GDPR è possibile esercitare i diritti di accesso, rettifica, cancellazione, limitazione, portabilità e opposizione — compresa l'opposizione ai trattamenti fondati sul legittimo interesse — scrivendo a privacy@statuo.io. Il Titolare riscontra entro 30 giorni, prorogabili di due mesi nei casi di particolare complessità con comunicazione motivata. È inoltre possibile proporre reclamo al Garante per la Protezione dei Dati Personali (www.garanteprivacy.it).

7. Sicurezza

Il Titolare adotta misure tecniche e organizzative adeguate, tra cui: cifratura in transito (TLS) su tutte le comunicazioni — con la sola eccezione, dichiarata al §4, dell'interrogazione WHOIS sulla porta 43 usata per il controllo di scadenza dominio dei TLD privi di RDAP —, password conservate con hashing robusto, segregazione dei dati per cliente (multi-tenancy), backup cifrati con test di ripristino, accesso all'infrastruttura limitato e basato su chiavi. A seguito di cancellazione, i dati possono persistere nelle copie di backup fino alla loro sovrascrittura secondo il ciclo di rotazione, per un massimo di 30 giorni.

8. Minori

Il Servizio è destinato esclusivamente a professionisti e imprese; non è rivolto a minori di 18 anni.

9. Modifiche

Eventuali modifiche sostanziali alla presente informativa saranno comunicate via e-mail e pubblicate su questa pagina con la nuova data di aggiornamento.