Informativa privacy

PRIVACY

Ultimo aggiornamento: 29 ottobre 2026

Questa informativa spiega come vengono trattati i dati personali quando usi la dashboard app.guagl.io, il sito guagl.io, gli short link e le pagine biolink serviti dai domini del servizio (ad esempio guagl.io) e le API. È resa ai sensi degli artt. 13 e 14 del Regolamento (UE) 2016/679 ("GDPR") e del D.Lgs. 196/2003 ("Codice privacy").

1. Titolare del trattamento

Il titolare è una, persona fisica che gestisce il servizio guagl.io a titolo non professionale.
Contatto per la privacy: [email protected].

Non è stato nominato un Responsabile della protezione dei dati (DPO): per un servizio di queste dimensioni non è obbligatorio (art. 37 GDPR).

2. Quali dati trattiamo, perché e per quanto

2.1 Se hai un account

• Dati: indirizzo email, password (conservata solo come hash, non la vediamo mai), piano, data di registrazione, codice invito usato; i contenuti che crei: URL di destinazione, slug, biolink (titolo, descrizione, link).
• Finalità: creare e gestire l'account, erogare il servizio, mandarti le email di servizio (benvenuto, comunicazioni importanti sull'account o su modifiche ai termini).
• Base giuridica: esecuzione del contratto (art. 6.1.b GDPR), cioè dei Termini di servizio. Email e password sono necessarie: senza, l'account non si può creare.
• Conservazione: finché l'account esiste. Se lo elimini, cancelliamo subito account, link, biolink e le statistiche dei tuoi link. Le eventuali copie di backup vengono sovrascritte entro 30 giorni.

2.2 Se clicchi uno short link, apri una biolink o visiti il sito

Questa parte riguarda anche chi non ha un account: basta aprire un link guagl.io/….

• Dati: data e ora del click, link cliccato, indirizzo IP, user agent (tipo di browser e sistema operativo), referer (la pagina da cui arrivi, se il browser la invia).
• Finalità: (a) misurare l'uso del servizio e fornire ai proprietari dei link statistiche aggregate (ad esempio numero di click, provenienza, dispositivi): i proprietari non vedono il tuo IP; (b) sicurezza e prevenzione degli abusi: individuare link di phishing, malware, bot e traffico anomalo.
• Base giuridica: legittimo interesse del titolare (art. 6.1.f GDPR) a gestire un servizio sicuro e a offrire statistiche agli utenti. L'impatto su di te è ridotto: non usiamo cookie né fingerprinting, non ti profiliamo e non incrociamo questi dati con altre fonti. Puoi opporti in qualsiasi momento (vedi punto 6).
• Conservazione: l'IP completo resta per 90 giorni, il tempo necessario ad analizzare eventuali abusi. Dopo lo tronchiamo automaticamente (ad esempio 93.44.12.0), così non identifica più il singolo dispositivo. L'evento di click viene cancellato del tutto dopo 24 mesi.

Visite alle pagine del sito (home, Features, Pricing di guagl.io): contiamo le visite per capire quali pagine funzionano e da dove arrivano i visitatori. Registriamo data e ora, pagina visitata, indirizzo IP, user agent e il solo dominio del sito esterno da cui arrivi (ad esempio www.google.com, mai l'indirizzo completo); se arrivi da un'altra pagina del sito, quale. L'IP serve a stimare quanti visitatori diversi riceviamo e a distinguere bot e traffico anomalo dalle persone. Non usiamo cookie, script di tracciamento o fingerprinting, e i dati non lasciano i nostri server. Base giuridica e conservazione sono le stesse indicate sopra: legittimo interesse, IP completo per 90 giorni e poi troncato, cancellazione dopo 24 mesi.

Aprendo una biolink o arrivando alla destinazione di uno short link lasci guagl.io: da quel momento vale l'informativa del sito di destinazione, di cui non siamo responsabili.

2.3 Log tecnici e sicurezza

• Dati: richieste HTTP ricevute dai server (indirizzo richiesto, data e ora, codice di risposta, user agent, referer) con IP già troncato al momento della scrittura.
• Finalità e base giuridica: funzionamento, diagnosi dei guasti e sicurezza del servizio; legittimo interesse (art. 6.1.f GDPR).
• Conservazione: rotazione automatica per dimensione. I log più vecchi vengono sovrascritti, di norma entro poche settimane.
• Protezione dagli attacchi: il traffico passa da un sistema di protezione (CrowdSec) che analizza gli indirizzi IP per bloccare attacchi automatici (scansioni, brute force). Se un IP compie comportamenti malevoli, il segnale può essere condiviso con la rete di reputazione di CrowdSec SAS (Francia). Base giuridica: legittimo interesse alla sicurezza della rete (art. 6.1.f e considerando 49 GDPR).

2.4 Se ci invii una segnalazione

• Dati: nome (facoltativo), email, link segnalato, motivo e descrizione, indirizzo IP da cui invii il modulo.
• Finalità: valutare la segnalazione, risponderti, rimuovere i contenuti illeciti, prevenire l'abuso dello strumento di segnalazione.
• Base giuridica: adempimento di un obbligo legale (art. 6.1.c GDPR; art. 16 del Regolamento (UE) 2022/2065, "Digital Services Act") e legittimo interesse alla sicurezza del servizio (art. 6.1.f).
• Conservazione: 24 mesi dalla chiusura della segnalazione, salvo che servano più a lungo per difendere un diritto in giudizio.

2.5 Se ci scrivi via email

Usiamo i dati che ci mandi solo per risponderti (art. 6.1.b o 6.1.f GDPR) e li teniamo per il tempo necessario a gestire la richiesta. Se riguarda l'esercizio dei tuoi diritti privacy la teniamo fino a 24 mesi, per poter dimostrare di averla gestita.

3. Cookie

Usiamo solo cookie tecnici, necessari al funzionamento (sessione di login, "Ricordami", protezione CSRF), per cui non serve consenso. Nessun cookie di profilazione o di terze parti. Dettagli nella Cookie policy.

Font e librerie grafiche sono serviti dai nostri server: aprendo le nostre pagine il tuo IP non viene inviato a Google Fonts o ad altre CDN.

4. A chi comunichiamo i dati

Non vendiamo, non affittiamo e non cediamo i dati a nessuno per scopi di marketing. Li trattano, per nostro conto e in base a un accordo ex art. 28 GDPR, solo questi fornitori:

I dati possono essere comunicati alle autorità competenti quando la legge lo impone (ad esempio su richiesta dell'autorità giudiziaria o nell'ambito degli obblighi del Digital Services Act).

Trasferimenti fuori dall'UE: non trasferiamo dati fuori dallo Spazio Economico Europeo. Se in futuro un fornitore lo richiedesse, avverrà solo con le garanzie previste dagli artt. 44 e seguenti del GDPR, e aggiorneremo questa pagina.

5. Età minima

Per creare un account devi avere almeno 14 anni (art. 2-quinquies Codice privacy). Se ci accorgiamo che un account appartiene a una persona più giovane, lo cancelliamo. Se sei un genitore e pensi che tuo figlio si sia registrato, scrivici a [email protected].

6. I tuoi diritti

In qualsiasi momento puoi chiedere:

• accesso ai tuoi dati e una copia (art. 15);
• rettifica dei dati inesatti (art. 16): email e password si cambiano dalle Impostazioni;
• cancellazione (art. 17): dalle Impostazioni → "Elimina account";
• limitazione del trattamento (art. 18);
• portabilità (art. 20): dalle Impostazioni → "Scarica i miei dati" ottieni un file JSON;
• opposizione ai trattamenti basati sul legittimo interesse (art. 21), ad esempio alla registrazione dei tuoi click.

Per tutto ciò che non puoi fare dalle Impostazioni scrivi a [email protected]. Rispondiamo entro un mese (art. 12). Per proteggere i tuoi dati potremmo chiederti di confermare la tua identità, ad esempio scrivendoci dall'email dell'account. Se chiedi informazioni sui tuoi click senza un account, indicaci l'IP e l'intervallo di tempo: ma ricorda che dopo 90 giorni l'IP è troncato e non possiamo più ricondurre i click a te.

Hai anche il diritto di proporre reclamo al Garante per la protezione dei dati personali (garanteprivacy.it) o all'autorità di controllo del Paese UE in cui vivi o lavori.

7. Decisioni automatizzate

Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici su di te, e non facciamo profilazione (art. 22 GDPR). Eventuali controlli automatici antiabuso possono segnalare un link, ma la decisione di sospendere un account la prende sempre una persona.

8. Sicurezza

Connessioni cifrate (HTTPS), password conservate come hash con algoritmi moderni, accesso ai server limitato al titolare, dati ospitati nell'UE, IP troncati nei log. Nessun sistema è sicuro al 100%. In caso di violazione dei dati che ti riguardi e presenti un rischio elevato ti avviseremo, come previsto dagli artt. 33-34 GDPR.

9. Modifiche

Se cambiamo questa informativa aggiorniamo la data in cima. Per modifiche sostanziali avvisiamo gli utenti registrati via email o con un avviso nella dashboard.