Privacy

Cosa copre questa informativa

Copre questo sito e la sua area Account, l'applicazione Windows, l'attivazione della licenza e la sua conferma periodica, gli acquisti, le email inviate dal servizio, il collegamento facoltativo tra Account e Discord, il passaggio dei clienti del negozio precedente, gli aggiornamenti, l'assistenza e il server della community.

Chi è responsabile

Il titolare dei trattamenti descritti qui è Simona Gioia, che puoi contattare all'indirizzo indicato nella pagina di assistenza. Gli ordini sono venduti dal nostro rivenditore autorizzato, che è il Merchant of Record ed è indicato al checkout: per questo nel checkout e nella ricevuta compare il suo nome. Quello che inserisci per pagare, il trattamento fiscale e la fattura di un ordine sono gestiti dal rivenditore come titolare autonomo, secondo la propria informativa.

Una richiesta privacy si presenta con un ticket sul server Discord di VaxTweaker, oppure scrivendo all'indirizzo indicato nella pagina di assistenza. Per fare una richiesta non serve un account VaxTweaker, e se scrivi a quell'indirizzo non serve nemmeno Discord. L'autorità di controllo competente è il Garante per la protezione dei dati personali; puoi rivolgerti anche all'autorità del paese in cui vivi o lavori.

Non è nominato un responsabile della protezione dei dati. La valutazione viene rivista se la portata o la natura dei trattamenti cambia.

Le licenze a pagamento sono per persone di almeno 18 anni. Chi ha 16 o 17 anni può usare il prodotto solo sotto la supervisione del genitore o tutore titolare della licenza.

Questo sito

Le pagine di questo sito non caricano analytics e non incorporano tecnologie pubblicitarie o di tracciamento. I font sono serviti da questa origine. C'è una sola eccezione sugli script di terze parti: la pagina di pagamento dell'Account carica lo script di pagamento del nostro rivenditore autorizzato (Merchant of Record), solo su quella pagina, per aprire il checkout. Quello script comunica direttamente con il rivenditore, secondo l'informativa del rivenditore.

Un cookie proprietario della lingua viene creato solo dopo una scelta esplicita della lingua e conserva solo quella scelta. Account usa tre cookie tecnicamente necessari e nessun altro: un cookie di sessione, che dura al massimo 12 ore; un cookie di sicurezza, che protegge i moduli da richieste inviate da altri siti e non dura più della sessione; un cookie di accesso in corso, che dura finché vale il codice, al massimo 10 minuti. Il cookie di accesso in corso contiene anche l'indirizzo email che hai digitato, così non devi riscriverlo se chiedi un nuovo codice; viene cancellato alla fine dell'accesso o quando esci. Gli altri due contengono solo riferimenti e token opachi, non la tua email. Sono tutti cookie tecnici necessari: non servono ad analytics o pubblicità e non richiedono il consenso. Quando richiedi o verifichi un codice, il server di questo sito passa la tua email o il codice al servizio account VaxTweaker, che gira sullo stesso server.

Il sito, l'Account e il servizio account sono ospitati dal nostro fornitore di hosting, su server nell'Unione europea. I DNS del dominio sono gestiti da un fornitore DNS. Il fornitore di hosting riceve necessariamente ciò che serve a consegnare una pagina: orario della richiesta, indirizzo richiesto, indirizzo IP di provenienza, normali header di browser e di rete e i log di sicurezza. La base è il nostro interesse a consegnare e proteggere il sito (legittimo interesse, art. 6.1.f GDPR).

Account

Account è il posto dove accedi, compri, vedi la chiave di licenza, gestisci i dispositivi e colleghi Discord. Per crearlo e usarlo trattiamo: il tuo indirizzo email; il nome visualizzato e la lingua preferita che scegli; la registrazione della tua accettazione dei Termini, cioè versione, data, lingua e un'impronta del testo accettato. Servono a fornirti il servizio che chiedi (esecuzione di un contratto, art. 6.1.b GDPR). La registrazione dell'accettazione serve a dimostrare cosa è stato concordato, e la conserviamo per poterci difendere in caso di contestazioni (legittimo interesse, art. 6.1.f GDPR).

Accedi con un codice di 6 cifre inviato alla tua email. Il codice vale 10 minuti e si usa una sola volta. Non è mai conservato in forma leggibile: il servizio ne tiene solo un'impronta calcolata con una chiave segreta e la cancella entro 24 ore.

Per fermare gli abusi, le richieste e le verifiche dei codici sono limitate per email e per indirizzo IP. Per questo l'indirizzo IP è conservato solo come impronta calcolata con una chiave segreta. I log del server che contengono indirizzi IP sono tenuti 90 giorni. La base è il nostro interesse a proteggere gli account (legittimo interesse, art. 6.1.f GDPR).

Una sessione dura al massimo 12 ore. Puoi uscire da un dispositivo o da tutti. Le registrazioni delle sessioni sono cancellate 30 giorni dopo la scadenza.

Se non acquisti nulla e non accedi per 12 mesi, l'account viene cancellato. Ricevi un'email 30 giorni prima.

Cosa resta sul tuo computer

Quasi tutto ciò che l'applicazione gestisce non lascia la macchina. Il file di licenza è nel profilo utente e protetto dal servizio di protezione dati di Windows. Registrazioni delle operazioni, valori acquisiti e journal di pulizia sono file locali.

Ogni installazione crea una propria chiave del dispositivo; dalla macchina esce solo la sua parte pubblica. Per riconoscere il dispositivo l'applicazione legge in sola lettura alcuni identificativi dell'hardware (per esempio il numero di serie della scheda madre e del disco) e ne invia solo impronte cifrate, calcolate con una chiave diversa per ogni licenza: i valori originali non lasciano mai il computer e le impronte non permettono di collegare licenze diverse. Servono a far funzionare la licenza e a riconoscere lo stesso computer dopo una reinstallazione di Windows (esecuzione di un contratto, art. 6.1.b GDPR).

Il fatto che i dati restino in locale non significa che l'applicazione non contatti mai un server. La sezione successiva elenca ogni caso in cui lo fa.

Cosa invia l'applicazione

L'attivazione invia al servizio account VaxTweaker la chiave di licenza, la versione dell'applicazione e una richiesta firmata con la chiave del dispositivo, insieme ai metadati di connessione che ogni richiesta di rete porta con sé. Il servizio controlla la licenza, registra il dispositivo nel nostro servizio licenze e restituisce una prova firmata che tiene attivo Premium anche offline, per al massimo 72 ore. Quando l'applicazione è aperta e online con Premium attivo, controlla lo stato della licenza con il servizio account circa una volta al minuto, e rinnova la licenza circa ogni 24 ore e dopo l'avvio. La disattivazione, dall'applicazione o dall'Account, chiude la sessione del dispositivo e libera un posto. Serve a eseguire il contratto di licenza (esecuzione di un contratto, art. 6.1.b GDPR) e a prevenire replay e abusi automatizzati (legittimo interesse, art. 6.1.f GDPR).

Il controllo aggiornamenti scarica il record firmato dall'origine degli aggiornamenti, e un aggiornamento scarica da lì il suo installer. La versione installata viene confrontata con il record sul tuo computer e non viene inviata.

Un pacchetto di supporto viene creato solo se lo chiedi, e lascia il computer solo quando lo invii tu: allegato a un ticket sul server Discord di VaxTweaker, oppure a un'email all'indirizzo indicato nella pagina di assistenza. Contiene versione dell'applicazione, riepilogo e risultati del controllo diagnostico che hai scelto, build di Windows e stato di amministratore. Chiavi note, identificatori, token, credenziali, nomi account e percorsi personali sono rimossi o mascherati prima della scrittura del file. Cosa succede dopo l'invio è spiegato nella sezione Assistenza.

Non viene inviato altro. Non c'è telemetria d'uso, non c'è profilazione comportamentale e non c'è identificatore pubblicitario.

Licenza e dispositivi

Quando acquisti Premium, la licenza viene creata nel nostro servizio licenze, che funziona sul nostro server nell'Unione europea. Il servizio custodisce la chiave di licenza e conta i dispositivi su cui è attiva, al massimo due. Non conserva la tua email: il titolare della licenza è registrato lì con un indirizzo pseudonimo ricavato da un riferimento interno, e ogni dispositivo con un identificatore pseudonimo. Questi dati servono a darti la licenza che hai acquistato (esecuzione di un contratto, art. 6.1.b GDPR).

La chiave di licenza non è salvata nel database del servizio account. La custodisce solo il servizio licenze, da cui viene letta quando l'Account te la mostra, dopo che hai confermato un codice, e quando ti viene inviata per email.

Per ogni dispositivo il servizio conserva un riferimento interno, il suo stato e le date di attivazione. Registra anche la data della prima attivazione riuscita, perché decide se vale ancora il rimborso di 30 giorni descritto nella pagina rimborsi. I dati di un dispositivo restano finché è attivo e per 90 giorni dopo la disattivazione.

Se cancelli l'account, la licenza viene sospesa subito e poi cancellata insieme all'account.

Ordini e pagamenti

Si acquista nell'Account. La pagina di pagamento si apre su questo sito, ma il modulo di pagamento è gestito dal nostro rivenditore autorizzato, Merchant of Record di tutti gli ordini, indicato al checkout. Quello che inserisci per pagare va direttamente al rivenditore, secondo la sua informativa: né questo sito né il servizio account ricevono mai un numero di carta o una credenziale di pagamento.

Per preparare il pagamento, il servizio invia al rivenditore la tua email e un riferimento interno del tuo account, così ordine e ricevuta restano legati all'account. Dal rivenditore il servizio riceve ciò che un ordine richiede: i riferimenti di cliente e transazione, il piano, l'importo, la valuta, il paese usato ai fini fiscali e lo stato di pagamento, rinnovo, rimborso o contestazione. Servono a darti Premium e a rispondere a una richiesta di assistenza (esecuzione di un contratto, art. 6.1.b GDPR), e a tenere i documenti richiesti dalla legge (adempimento di un obbligo legale, art. 6.1.c GDPR). La fattura la emette e la conserva il rivenditore, come Merchant of Record. Per disdire un piano o cambiare il metodo di pagamento, l'Account apre il portale clienti del rivenditore.

Email

Il servizio invia le email tramite un fornitore di invio email. Sono solo email di servizio: i codici di accesso, la chiave di licenza dopo un acquisto, l'invito e le comunicazioni sul passaggio ai clienti del negozio precedente, e il preavviso prima della cancellazione di un account inattivo. Servono al servizio che usi o che hai acquistato (esecuzione di un contratto, art. 6.1.b GDPR). Non inviamo email promozionali. Alcuni avvisi tecnici vanno solo al nostro staff. Il fornitore di invio email riceve l'indirizzo e il contenuto di ogni email.

Gli inviti ai clienti del negozio precedente parlano solo del passaggio del loro acquisto, cioè dello stesso servizio che avevano comprato. Li inviamo perché sei già nostro cliente (soft opt-in; legittimo interesse, art. 6.1.f GDPR). Ogni invito contiene un link per non riceverne altri. Per qualsiasi altro contenuto ti chiediamo prima un consenso esplicito.

Le email in attesa di invio sono conservate cifrate e cancellate 7 giorni dopo l'invio.

Community

Collegare Discord è facoltativo, ed è possibile anche con Free. Quando scegli ‘Collega Discord’ nell'Account, Discord ti chiede di autorizzare il collegamento. Il servizio riceve così il tuo ID utente Discord, il nome utente e il nome visualizzato. Se scegli anche di entrare nel server della community, il servizio ti aggiunge al server. È una scelta tua: la casella non è mai selezionata in partenza, e senza la tua scelta non entri nel server. L'accesso che Discord concede per questo è usato una volta e revocato subito: non viene conservato.

Il bot della community legge il collegamento per dare il ruolo Premium mentre il tuo piano è attivo, e per toglierlo quando Premium finisce o quando scolleghi. Quando dà il ruolo, il bot può mandarti un messaggio di benvenuto in privato, nella lingua del tuo Account. Questi trattamenti avvengono perché sei tu a chiedere il collegamento (esecuzione di un contratto, art. 6.1.b GDPR).

Quando scolleghi, il ruolo viene tolto subito e il nome utente e il nome visualizzato Discord vengono cancellati. Per 30 giorni puoi ricollegare lo stesso account Discord; dopo, anche l'ID Discord viene cancellato. Se cancelli l'account, il collegamento viene cancellato subito, tranne l'ID Discord e l'ID del server, tenuti al massimo 30 giorni e solo per togliere il ruolo.

Se entri nel server della community, quella piattaforma tratta identificatore dell'account, nome visualizzato, messaggi, allegati e ruoli secondo i propri termini e la propria informativa. I moderatori vedono ciò che la piattaforma mostra loro e conservano registrazioni di moderazione per la sicurezza della community.

Il server della community ha un canale di assistenza con ticket privati, descritto nella sezione Assistenza. Nei canali pubblici non scrivere chiavi di licenza, dati di pagamento o password, e non pubblicare un file diagnostico o i dati di un ordine.

Clienti del negozio precedente

Prima dell'Account, VaxTweaker era venduto su Sell.app. Per far passare quei clienti, il servizio ha importato da Sell.app, per ogni ordine: i numeri d'ordine e di fattura, il piano, la data fino a cui era pagato, la data di acquisto, il paese, l'email (conservata come impronta calcolata con una chiave segreta, per riconoscerti) e un'impronta della vecchia chiave di licenza. La vecchia chiave non è conservata.

Per inviarti l'invito a riprendere la licenza, l'email è conservata anche in forma leggibile, finché riprendi la licenza e al massimo fino a 90 giorni dopo il lancio dell'Account.

Gli altri dati importati restano finché non riprendi il tuo acquisto, e comunque al massimo 12 mesi.

Se accedi con la stessa email, la licenza viene trovata da sola. Se la tua email è cambiata, puoi riprenderla con il numero d'ordine e la vecchia chiave; sono ammessi al massimo 5 tentativi al giorno. Importiamo questi dati e ti scriviamo per farti conservare quello che hai pagato (legittimo interesse, art. 6.1.f GDPR). Quando riprendi la licenza, i dati servono a dartela (esecuzione di un contratto, art. 6.1.b GDPR).

Assistenza

L'assistenza passa da due canali: i ticket privati sul server Discord di VaxTweaker e l'indirizzo email indicato nella pagina di assistenza.

In un ticket trattiamo quello che scrivi, i file che alleghi (per esempio un pacchetto di supporto) e il tuo nome utente Discord. In un'email trattiamo il tuo indirizzo email, quello che scrivi e gli allegati.

I ticket sul server Discord sono trattati da Discord, secondo i propri termini e la propria informativa, e dal servizio di ticket che usiamo sul server Discord. Un ticket lo vedono chi lo apre, i moderatori, gli amministratori e il proprietario del server. Le email passano dal servizio di inoltro email del nostro dominio e arrivano alla nostra casella di assistenza, presso un fornitore di posta in Svizzera.

Usiamo questi dati perché sei tu a chiedere assistenza: servono a risponderti prima o dopo un acquisto e, per una richiesta su un ordine o una licenza, a eseguire il contratto (misure precontrattuali o esecuzione di un contratto, art. 6.1.b GDPR).

I messaggi di un ticket restano finché il ticket è aperto e vengono cancellati quando il ticket si chiude: non teniamo trascrizioni dei ticket. Le email di assistenza sono conservate 24 mesi, poi cancellate.

Chi riceve i dati

I dati personali non vengono venduti. Li ricevono solo questi destinatari, ognuno per un compito preciso:

• il nostro fornitore di hosting: ospita nell'Unione europea il sito, il servizio account, il bot della community e il database; conserva anche i backup cifrati;
• il nostro rivenditore autorizzato (Merchant of Record), indicato al checkout: gestisce checkout, pagamento, imposte, fattura, rimborsi e portale clienti come titolare autonomo, secondo la propria informativa, a cui rimanda il checkout; riceve la tua email e un riferimento interno del tuo account;
• il fornitore di invio email: invia le email di servizio; riceve indirizzo e contenuto di ogni email;
• Discord: se colleghi il tuo account, per il ruolo Premium e, se lo scegli, l'ingresso nel server; e se apri un ticket di assistenza sul server Discord. Discord tratta questi dati come titolare autonomo, secondo la propria informativa;
• il servizio di ticket che usiamo sul server Discord: gestisce i ticket di assistenza che apri lì;
• il servizio di inoltro email del nostro dominio, negli Stati Uniti, e il fornitore della nostra casella di posta, in Svizzera: inoltrano e conservano le email che mandi all'indirizzo indicato nella pagina di assistenza;
• il fornitore DNS: gestisce i DNS del dominio.

I fornitori che trattano dati per nostro conto (responsabili del trattamento) sono vincolati da un accordo sul trattamento dei dati (art. 28 GDPR).

Il nostro rivenditore autorizzato e Discord trattano i dati come titolari autonomi, secondo la propria informativa.

Informativa di Discord

I tuoi diritti

Alle condizioni ed entro le eccezioni previste per ciascun diritto, puoi chiedere:

• l'accesso ai dati personali che ti riguardano;
• la rettifica dei dati inesatti o incompleti;
• la cancellazione, dove nessuna base legale imponga di conservarli;
• la limitazione del trattamento;
• una copia in formato leggibile da dispositivo automatico, dove si applica la portabilità;
• l'opposizione a un trattamento basato sul legittimo interesse; e
• la revoca di un consenso prestato, in qualsiasi momento, senza incidere su quanto era lecito prima.

Come esercitare un diritto

Apri un ticket sul server Discord di VaxTweaker oppure scrivi all'indirizzo indicato nella pagina di assistenza, e descrivi l'ordine, la licenza o la richiesta di assistenza interessata. Possono essere chieste informazioni proporzionate per verificare la tua identità prima di comunicare o cancellare dati, così che una richiesta non possa essere usata contro di te.

Nell'Account puoi scaricare da solo una copia dei dati del tuo account e cancellare l'account. La cancellazione toglie il collegamento a Discord, chiude sessioni e dispositivi e rende anonimo l'account; restano, per i tempi indicati sotto, gli ordini che la legge impone di tenere e la prova dell'accettazione dei Termini, che conserviamo per difenderci in caso di contestazioni.

Puoi anche chiedere la cancellazione del tuo account scrivendo all'indirizzo indicato nella pagina di assistenza.

La risposta arriva entro un mese. Dove la legge consente una proroga per una richiesta complessa, te lo comunichiamo prima della scadenza del mese.

Per quanto tempo restano le informazioni

Ogni tipo di informazione è conservato per questi tempi:

• codici di accesso: al massimo 24 ore, e solo come impronta;
• sessioni: 30 giorni dopo la scadenza;
• log con indirizzi IP: 90 giorni;
• backup: cifrati, sostituiti a rotazione ogni 30 giorni;
• prova dell'accettazione dei Termini: per la vita dell'account e 10 anni dopo;
• dati dell'account (email, nome, lingua): per la vita dell'account; un account che non ha mai acquistato è cancellato dopo 12 mesi senza accessi, con un preavviso di 30 giorni per email;
• ordini: per il periodo imposto dalla legge; le fatture le conserva il nostro rivenditore autorizzato come Merchant of Record;
• licenza: per la sua durata; se cancelli l'account, la licenza viene sospesa subito e cancellata insieme all'account;
• dispositivi: finché sono attivi e 90 giorni dopo la disattivazione;
• collegamento Discord: finché non lo scolleghi; allo scollegamento nome utente e nome visualizzato Discord sono cancellati subito, l'ID Discord entro 30 giorni;
• email in attesa di invio: cancellate 7 giorni dopo l'invio;
• email dei clienti del negozio precedente, in forma leggibile per l'invito: finché riprendi la licenza, al massimo fino a 90 giorni dopo il lancio dell'Account;
• altri dati importati dal negozio precedente: finché non riprendi il tuo acquisto, al massimo 12 mesi;
• ticket di assistenza sul server Discord: finché il ticket è aperto, poi cancellati alla chiusura, senza trascrizioni;
• email di assistenza: 24 mesi.

Il file di licenza, le registrazioni delle operazioni e i journal sulla tua macchina sono tuoi: restano finché non li elimini.

Dove vengono trattate le informazioni

Il server, il database e i backup del servizio sono nell'Unione europea. Alcuni dei destinatari elencati sopra trattano dati fuori dallo Spazio economico europeo. Ecco su cosa si basa ogni trasferimento:

• fornitore di invio email, negli Stati Uniti: certificazione nel Data Privacy Framework UE–USA, più clausole contrattuali standard;
• fornitore DNS, con sede negli Stati Uniti e rete globale: clausole contrattuali standard e certificazione nel Data Privacy Framework UE–USA;
• Discord, negli Stati Uniti: certificazione nel Data Privacy Framework UE–USA e clausole contrattuali standard, come indicato nella sua informativa;
• il nostro rivenditore autorizzato (Merchant of Record): i suoi eventuali trasferimenti fuori dallo Spazio economico europeo, e le garanzie su cui si basano, sono descritti nella sua informativa, a cui rimanda il checkout;
• servizio di ticket sul server Discord, nel Regno Unito, con backup in Svizzera: decisioni di adeguatezza per il Regno Unito e per la Svizzera;
• fornitore della casella di assistenza, in Svizzera: decisione di adeguatezza per la Svizzera;
• Le email che mandi all'indirizzo di assistenza passano da un servizio di inoltro del nostro dominio negli Stati Uniti, che le consegna alla nostra casella in Svizzera. Il trasferimento serve a ricevere e gestire la tua richiesta (art. 49, par. 1, lett. b GDPR).

Non dichiariamo che i dati non lascino mai lo Spazio economico europeo. Puoi chiedere una copia delle garanzie usate scrivendo all'assistenza.

Sicurezza

Attivo oggi: le connessioni usano TLS 1.3; il servizio account non è raggiungibile da internet se non attraverso il sito; codici di accesso e indirizzi IP usati per i limiti sono conservati solo come impronte; la chiave di licenza la custodisce solo il servizio licenze, non il database del servizio account; le email in attesa sono cifrate; i backup sono cifrati con una chiave che non resta sul server. Sul tuo computer la licenza è protetta dal servizio di protezione dati di Windows, le richieste di rete sono limitate e firmate, e il pacchetto di supporto è ripulito prima di essere scritto.

Nessuna misura elimina ogni rischio. I dati personali non vengono venduti.

Modifiche a questa informativa

Quando questa informativa cambia, su questa pagina vengono pubblicati la data aggiornata e un riepilogo della modifica sostanziale.

Cosa non è ancora attivo

Per chiarezza, ecco cosa non accade.

• Questo sito e il servizio account non elaborano pagamenti e non conservano strumenti di pagamento: i pagamenti li gestisce il nostro rivenditore autorizzato (Merchant of Record), indicato al checkout.
• Le pagine di questo sito non caricano analytics, tag manager o tecnologie pubblicitarie. L'unico script di terze parti è quello del nostro rivenditore autorizzato, sulla pagina di pagamento.