Informativa sul Trattamento dei Dati Personali

La presente informativa descrive le modalità con cui Fabrizio Terzi tratta i dati personali degli utenti che utilizzano i servizi Factum API e factum-fic CLI.

1. Titolare del Trattamento

• Titolare: Fabrizio Terzi
• Sede: Bergamo (BG), Italia
• Partita IVA: IT04923300166
• Email: info@pyragogy.org

2. Architettura Zero Data Retention (ZDR)

Factum è progettata secondo i principi di Privacy by Design e Privacy by Default (Art. 25 GDPR):

• Elaborazione volatile in-RAM: I documenti inviati vengono processati esclusivamente nella memoria volatile del server.
• Nessuna persistenza: Nessun documento, payload JSON, dato anagrafico o fiscale viene mai salvato su disco.
• Isolamento da modelli AI: I dati non vengono utilizzati per addestramento di modelli né inoltrati a provider AI terzi senza preventiva sanificazione.
• Cancellazione istantanea: Al termine dell'elaborazione, la memoria occupata dal payload viene deallocata immediatamente.

3. Tipologie di Dati Trattati

A. Dati di Autenticazione e Gestione Licenze

• Dati trattati: Hash SHA-256 della API Key, ID cliente Lemon Squeezy, email, stato abbonamento, tier.
• Finalità: Autenticazione e verifica della sottoscrizione.
• Base giuridica: Esecuzione del contratto (Art. 6.1.b GDPR).

B. Dati Tecnici di Connessione

• Dati trattati: Indirizzo IP, timestamp, endpoint invocato, codice risposta HTTP.
• Finalità: Protezione DDoS, anti-abuse, rate limiting.
• Base giuridica: Legittimo interesse (Art. 6.1.f GDPR).

4. Pagamenti e Merchant of Record

I pagamenti sono gestiti interamente da Lemon Squeezy, LLC — 222 S. Main Street, Suite 500, Salt Lake City, UT 84101, USA — in qualità di autonomo Titolare del Trattamento (PCI-DSS compliant). Il Titolare non ha accesso né memorizza dati di pagamento.

5. Destinatari e Ubicazione

I server di elaborazione e il database di autenticazione sono ospitati esclusivamente nello Spazio Economico Europeo (UE) su server dedicati con crittografia TLS 1.3. Nessun dato personale viene trasferito verso paesi terzi non coperti da decisioni di adeguatezza della Commissione Europea.

6. Periodo di Conservazione

• Payload e file inviati: Zero secondi (nessuna retention).
• Hash API Key e stato abbonamento: Per tutta la durata del rapporto contrattuale, cancellati entro 30 giorni dalla cessazione.
• Log di sicurezza (IP, rate limit): Massimo 14 giorni, poi sovrascritti.

7. Diritti dell'Interessato

Ai sensi degli artt. 15-22 GDPR, puoi esercitare in qualsiasi momento i diritti di:

• Accesso, rettifica e cancellazione dei dati personali.
• Limitazione del trattamento e opposizione.
• Proporre reclamo al Garante per la Protezione dei Dati Personali.

Scrivi a info@pyragogy.org per esercitare i tuoi diritti.