Informativa sulla privacy

1. Chi è il titolare del trattamento

Il titolare del trattamento dei tuoi dati personali ai sensi del regolamento generale sulla protezione dei dati (regolamento (UE) 2016/679, “GDPR”) è WebbingApps OÜ. MeteorGPL è un marchio e un servizio di WebbingApps OÜ, non una società distinta.

• WebbingApps OÜ — società a responsabilità limitata (osaühing) registrata in Estonia
• E-mail: packages@meteorgpl.com
• Sito web: webbingapps.com

Per qualsiasi domanda sui tuoi dati, o per esercitare i tuoi diritti, scrivi a packages@meteorgpl.com.

2. In sintesi

• Trattiamo i dati necessari per gestire gli account, il repository Composer, la fatturazione e il supporto, e per mantenerli sicuri.
• Non utilizziamo pubblicità, script di analisi o di tracciamento né plugin di social media, e i dati personali non sono venduti né concessi in locazione. L'unico script di un'altra società è la protezione anti-bot di Cloudflare su alcuni moduli (sezione 3.24).
• I dati della carta sono inseriti nelle pagine di Stripe e non ci vengono mai trasmessi.
• Gli indirizzi IP e gli identificativi del browser contenuti nel registro di sicurezza, nelle registrazioni dei download e nei registri di audit sono rimossi dopo 90 giorni.
• Puoi esportare i tuoi dati ed eliminare autonomamente il tuo account in Impostazioni → Account.

3. I dati personali che trattiamo

Questa sezione elenca ciascuna categoria di dati, il motivo del trattamento e la durata della conservazione. Le basi giuridiche sono indicate nella sezione 5, i destinatari nella sezione 6.

3.1 Account

Nome, indirizzo e-mail, password (conservata soltanto come hash unidirezionale), la data di verifica del tuo indirizzo e-mail, la lingua dell'interfaccia che hai scelto, la versione dei termini e dell'informativa sulla privacy che hai accettato e la data dell'accettazione, il periodo di accesso al repository e il piano, nonché le impostazioni del tuo account. Finalità: creare e gestire il tuo account, consentirti l'accesso, inviare le e-mail di verifica e di reimpostazione della password (i link di reimpostazione scadono dopo 60 minuti) e concedere o terminare l'accesso al repository. Conservazione: fino all'eliminazione dell'account.

3.2 Profilo

Quando configuri il tuo account ti chiediamo il paese e che cosa ti descrive meglio e, facoltativamente, il numero di siti che gestisci, la tua azienda, la data di nascita, il numero di telefono e il fuso orario. Il paese è utilizzato per le imposte e i prezzi; le altre risposte ci aiutano a capire chi utilizza il servizio e a contattarti in merito al tuo account. Nessun altro le vede. Se hai inserito un numero di telefono, questo viene trasmesso anche a Stripe quando viene creata la tua anagrafica cliente presso Stripe (sezione 3.10). Puoi modificare o rimuovere i dati facoltativi in Impostazioni → Profilo. Conservazione: fino all'eliminazione dell'account.

3.3 Accesso con GitHub o Google

Se accedi con GitHub o Google, oppure colleghi uno di questi servizi al tuo account, riceviamo da tale fornitore il tuo ID utente, il nome utente, il nome, l'immagine del profilo e l'indirizzo e-mail verificato (ambiti GitHub read:user e user:email; ambiti Google openid, email e profile). Conserviamo il fornitore, l'ID utente, il nome utente e l'indirizzo e-mail. L'immagine viene copiata una sola volta, ridimensionata e servita dal nostro sito; non sostituisce mai un'immagine che hai caricato tu (sezione 3.32). Il token di accesso del fornitore non viene conservato, pertanto non possiamo agire sul tuo account GitHub o Google. Puoi scollegare un fornitore in Impostazioni → Account collegati. L'accesso in sé avviene presso il fornitore, secondo la sua informativa sulla privacy.

3.4 Password, passkey e autenticazione a due fattori

Le password sono conservate soltanto come hash. Quando scegli una password, questa viene confrontata con l'elenco Pwned Passwords del servizio Have I Been Pwned mediante k-anonimato: soltanto i primi cinque caratteri dell'hash SHA-1 della password lasciano il nostro server; né la password né il suo hash completo vengono trasmessi. Il segreto dell'autenticazione a due fattori e i codici di recupero sono conservati in forma cifrata. Per una passkey conserviamo il suo ID credenziale, la sua chiave pubblica, il nome che le assegni e i dati tecnici comunicati dall'autenticatore; la chiave privata non lascia mai il tuo dispositivo.

Se perdi l'accesso al tuo metodo di autenticazione a due fattori, una richiesta di recupero registra il motivo da te indicato, l'ora, il tuo indirizzo IP e il tuo browser; la confermi per e-mail e un membro del personale decide dopo un periodo di attesa di 72 ore. Conservazione: insieme all'account; l'indirizzo IP e il browser sono rimossi dopo 90 giorni.

3.5 Registro di sicurezza

Il registro di sicurezza registra gli accessi, i tentativi di accesso non riusciti e le modifiche alla password, all'indirizzo e-mail, all'autenticazione a due fattori, alle passkey, alle sessioni, ai token e all'abbonamento, l'accettazione dei termini e le esportazioni dei dati, ciascuno con l'ora, l'indirizzo IP, il browser (user agent) e un indicatore approssimativo del dispositivo (un hash della famiglia del browser, della piattaforma e del prefisso di rete). Finalità: mostrarti l'attività del tuo account in Impostazioni → Registro di sicurezza, rilevare accessi non autorizzati e avvisarti per e-mail quando accedi da un dispositivo non utilizzato nei 90 giorni precedenti. L'indirizzo IP e il browser sono rimossi dopo 90 giorni; le voci sono conservate fino all'eliminazione dell'account.

3.6 Sessioni

Mentre hai effettuato l'accesso, un record di sessione nel nostro database contiene il tuo indirizzo IP, il tuo browser e l'ora della tua ultima attività, affinché Impostazioni → Sessioni possa elencare i dispositivi da cui hai effettuato l'accesso e consentirti di disconnettere gli altri dispositivi. Una sessione termina dopo 120 minuti di inattività, salvo che tu abbia scelto “Resta connesso”, oppure prima se hai impostato una disconnessione per inattività in Impostazioni → Password e autenticazione. I record delle sessioni scadute sono eliminati automaticamente.

3.7 Token Composer e chiavi API

Per ogni token Composer: il nome, i primi caratteri (per la visualizzazione), un hash SHA-256 del token, le sue restrizioni (pacchetti, intervalli IP), le date di scadenza e di revoca, nonché l'ora e l'indirizzo IP dell'utilizzo più recente (aggiornati al massimo ogni cinque minuti). Il token in sé non viene conservato. L'indirizzo IP dell'ultimo utilizzo è rimosso 90 giorni dopo tale utilizzo. I token revocati sono conservati come record, non utilizzabili, fino all'eliminazione dell'account. Per le chiavi API conserviamo il nome, i primi caratteri, un hash e l'ora dell'ultimo utilizzo.

3.8 Download e installazioni

Ogni download di un pacchetto tramite Composer, ogni download ZIP da una pagina di pacchetto e ogni rapporto di installazione inviato da Composer (“notify-batch”) è registrato con il pacchetto, la versione, l'ora, il token e l'account utilizzati, l'indirizzo IP, lo user agent e la dimensione. Finalità: la contabilizzazione degli accessi, il rilevamento dei token condivisi (sezione 3.9), la tua cronologia dei download in Impostazioni → Cronologia download, gli avvisi di sicurezza relativi alle versioni che hai scaricato (sezione 3.17) e le statistiche dei download, pubblicate soltanto come totali (pagine dei pacchetti, pagina di stato, API). L'indirizzo IP e lo user agent sono rimossi dopo 90 giorni; gli altri dati sono conservati a fini statistici. Quando l'account viene eliminato, le registrazioni perdono il collegamento con l'account e con i relativi token.

3.9 Rilevamento dei token condivisi

Una volta all'ora e una volta al giorno, le registrazioni dei download di ciascun token sono esaminate per determinare il numero di reti diverse (blocchi /24 per IPv4, blocchi /48 per IPv6) da cui è stato utilizzato in un giorno. Oltre una prima soglia il token viene segnalato per una verifica da parte del nostro personale e tu vieni informato; oltre una seconda soglia il token viene revocato automaticamente e tu vieni informato (sezione 9). Una segnalazione conserva il numero di reti, il numero di download e fino a dieci prefissi di rete, non indirizzi IP completi. Le segnalazioni sono conservate per la gestione degli abusi; quando l'account viene eliminato perdono il collegamento con esso.

3.10 Pagamenti e fatture

I pagamenti sono elaborati da Stripe Payments Europe, Limited (Irlanda). I dati della carta e gli altri dati di pagamento sono inseriti nelle pagine di Stripe e non ci vengono mai trasmessi. Stripe riceve il tuo nome, il tuo indirizzo e-mail, il tuo numero di telefono se lo hai inserito nel profilo, il tuo indirizzo di fatturazione, il tuo numero di partita IVA se lo fornisci, i tuoi dati di pagamento e la tua lingua preferita; per un'organizzazione, il suo nome e il suo indirizzo e-mail di fatturazione. Conserviamo l'ID cliente Stripe, lo stato dell'abbonamento e il relativo piano, il tipo e le ultime quattro cifre della carta di pagamento, nonché le date del periodo di prova e di cessazione; fatture, metodi di pagamento e dati di fatturazione sono recuperati da Stripe quando apri le pagine di fatturazione. Le fatture sono emesse a nome di WebbingApps OÜ. Stripe tratta inoltre i dati in qualità di titolare autonomo del trattamento per i propri obblighi di legge, quali la prevenzione delle frodi e i controlli antiriciclaggio, secondo la propria informativa sulla privacy.

I record dell'abbonamento sono conservati fino all'eliminazione dell'account. Le fatture e le altre scritture contabili sono conservate per sette anni dalla fine dell'esercizio, come richiesto dalla legge estone sulla contabilità (§ 12), anche dopo l'eliminazione dell'account; a tal fine viene conservata anche l'anagrafica cliente presso Stripe.

3.11 Organizzazioni

Per un'organizzazione: il nome, l'indirizzo sul sito, il sito web e l'indirizzo e-mail di fatturazione; i membri e i relativi ruoli; gli inviti (indirizzo e-mail, ruolo, autore dell'invito, scadenza dopo sette giorni); i token dell'organizzazione; e un registro di audit degli eventi dell'organizzazione con la persona che ha agito, l'ora e l'indirizzo IP. Quando un'organizzazione accetta l'accordo sul trattamento dei dati, registriamo il nome, la qualifica e l'indirizzo e-mail della persona che lo ha accettato, la denominazione e l'indirizzo della società, l'ora e l'indirizzo IP. Le persone della stessa organizzazione vedono reciprocamente nomi, indirizzi e-mail e ruoli. Quando trattiamo i dati dei membri per conto dell'organizzazione, l'organizzazione è il titolare del trattamento e noi agiamo in qualità di suo responsabile del trattamento ai sensi dell'accordo sul trattamento dei dati. Gli indirizzi IP contenuti nel registro di audit sono rimossi dopo 90 giorni; il resto è conservato fino all'eliminazione dell'organizzazione.

3.12 Stelle, liste, pacchetti seguiti e notifiche

I pacchetti a cui metti una stella o che segui, le liste in cui ordini i pacchetti con stella (con i nomi e le descrizioni che dai loro), le versioni a cui metti una stella, il livello di monitoraggio che hai scelto e le tue impostazioni di notifica (quali eventi ti raggiungono nell'app, tramite push e per e-mail). Le notifiche nella tua posta in arrivo sono conservate con la data in cui le hai lette. Sono utilizzati soltanto per mostrarti i tuoi elenchi e per recapitarti le notifiche che hai richiesto. Il numero di stelle e di follower nelle pagine dei pacchetti è un totale; nessun altro vede chi ha messo una stella a un pacchetto o lo segue. Conservazione: finché non li rimuovi o fino all'eliminazione dell'account.

Quando attivi le notifiche push in un browser, vengono conservati l'endpoint push di tale browser e le sue chiavi pubbliche di cifratura. Le notifiche sono cifrate per quel browser e consegnate al servizio push del relativo produttore (ad esempio Google, Mozilla, Apple o Microsoft), che le recapita. La disattivazione delle notifiche push, o la segnalazione da parte del browser che l'iscrizione è scaduta, comporta l'eliminazione del record.

3.13 E-mail

Inviamo e-mail per la verifica del tuo indirizzo, la reimpostazione della password, la sicurezza dell'account, i token, l'accesso al repository, i pagamenti e le risposte del supporto (queste e-mail non possono essere disattivate finché l'account esiste), nonché per le notifiche che hai attivato. Le offerte relative al servizio, ad esempio dopo la disdetta di un abbonamento, sono inviate per e-mail ai clienti, salvo che le disattivino; le novità sul prodotto soltanto a chi le ha richieste. Ogni e-mail contiene un link alle tue impostazioni di notifica, dove puoi disattivare in qualsiasi momento le offerte, le novità sul prodotto e le altre e-mail facoltative. Le e-mail sono recapitate dal nostro fornitore di servizi di invio e-mail (sezione 6).

3.14 Progetti e file composer.lock

Quando carichi un file composer.lock (nel browser o tramite l'API), questo viene letto una sola volta: conserviamo il nome del progetto, i pacchetti di questo repository con le versioni installate e il numero degli altri pacchetti. Il file in sé non viene conservato e gli altri pacchetti non vengono esaminati. Sono utilizzati per la panoramica delle dipendenze, gli avvisi di sicurezza e di ritiro e il monitoraggio automatico. Conservazione: finché non elimini il progetto o l'account.

3.15 Archivio delle chiavi di licenza

Le chiavi di licenza dei fornitori che memorizzi sono cifrate; per ciascuna chiave conserviamo l'etichetta, il fornitore, l'indirizzo e-mail del tuo account presso il fornitore, le date di acquisto e di scadenza, il numero di siti e le tue note. Sono utilizzati per mostrare la chiave nella pagina del pacchetto e per ricordarti la scadenza 30 e 7 giorni prima. Conservazione: finché non elimini la chiave o l'account.

3.16 Webhook

Per ogni webhook: l'URL, il formato, gli eventi, il filtro dei pacchetti e il segreto di firma (cifrato). Gli invii sono registrati con il relativo contenuto (soltanto eventi relativi ai pacchetti, nessun dato personale), il codice di risposta, i primi 1.000 caratteri della risposta e la durata. Gli invii sono inviati all'indirizzo che hai configurato; il servizio ricevente (ad esempio Slack, Discord o il tuo server) li tratta secondo le proprie condizioni. Conservazione: finché non elimini il webhook o l'account.

3.17 Avvisi di vulnerabilità

Scarichiamo il feed delle vulnerabilità di Wordfence Intelligence e lo confrontiamo, sui nostri server, con i pacchetti che segui, i progetti che hai caricato e le versioni che hai scaricato, per avvisarti. Un record di avviso conserva l'avviso di sicurezza, il pacchetto, il motivo dell'avviso, la versione installata e la versione corretta. Nessun dato personale viene inviato a Wordfence. Conservazione: fino all'eliminazione dell'account.

3.18 Richieste di pacchetti e voti

Le richieste che invii (titolo, tipo, fornitore, indirizzo e note) e i tuoi voti. Le richieste e il numero di voti sono pubblici, senza il tuo nome. Vieni informato quando cambia lo stato di una richiesta che hai inviato o votato. Quando l'account viene eliminato, i tuoi voti sono eliminati e le tue richieste restano senza alcun collegamento con te.

3.19 Supporto

I messaggi inviati tramite il modulo di contatto o un ticket di supporto: il tuo nome, l'indirizzo e-mail, l'oggetto, la categoria, i messaggi e le risposte del personale, nonché il collegamento con il tuo account se avevi effettuato l'accesso. Conservazione: per il tempo necessario a gestire la tua richiesta e a conservarne traccia; quando l'account viene eliminato, i ticket perdono il collegamento con esso. Puoi chiederci di eliminare un ticket.

3.20 Inviti

Il tuo codice di invito, chi ha invitato chi, lo stato dell'invito e l'eventuale ricompensa. Se ti registri tramite il link di invito di un'altra persona, quella persona vede il tuo nome, la data della tua registrazione e se hai sottoscritto un abbonamento; il credito che le viene accreditato presso Stripe riporta il tuo nome. Eliminazione: quando l'uno o l'altro account viene eliminato.

3.21 Sondaggio di disdetta

Quando disdici un abbonamento, il motivo che scegli, il tuo commento facoltativo e l'indicazione se un'offerta di fidelizzazione è stata mostrata e accettata. Sono utilizzati per migliorare il servizio. Conservazione: a fini statistici.

3.22 Iscrizioni alla pagina di stato

Se ti iscrivi agli aggiornamenti sugli incidenti senza un account: il tuo indirizzo e-mail, un token e la data in cui hai confermato l'iscrizione per e-mail (doppio opt-in). Conservazione: finché non annulli l'iscrizione con il link presente in ogni messaggio. I titolari di un account scelgono questi aggiornamenti nelle proprie impostazioni di notifica.

3.23 Visualizzazioni delle pagine

Ogni pagina di pacchetto conta le visualizzazioni e i visitatori unici al giorno. Un visitatore è riconosciuto per un giorno mediante un hash della data, dell'indirizzo IP, dello user agent e di un segreto del server; né l'indirizzo IP né lo user agent vengono conservati e gli hash sono eliminati dopo due giorni, così che un visitatore non possa essere seguito da un giorno all'altro. Le richieste dei bot e delle anteprime dei link non vengono conteggiate. Vengono conservati soltanto i totali giornalieri, che compaiono nella scheda Statistiche di ciascun pacchetto.

3.24 Protezione anti-bot

Quando è attivata, i moduli di registrazione, di reimpostazione della password, di contatto, di richiesta di pacchetti e di iscrizione alla pagina di stato mostrano Cloudflare Turnstile. Il tuo browser si collega quindi a Cloudflare, Inc., che tratta il tuo indirizzo IP, l'impronta TLS, lo user agent nonché la chiave del sito e l'origine per distinguere le persone dai bot. Cloudflare agisce come nostro responsabile del trattamento per tale verifica e come titolare del trattamento per il miglioramento di Turnstile, come descritto nella sua appendice sulla privacy di Turnstile.

Questi moduli contengono inoltre un campo che le persone non vedono e una marca temporale firmata, in modo che gli invii effettuati da programmi, inviati troppo rapidamente o ripetuti entro pochi secondi vengano rifiutati. Per riconoscere una ripetizione, un hash unidirezionale dell'indirizzo IP da cui è stato inviato un modulo è conservato per dieci secondi; nient'altro viene memorizzato.

3.25 Fornitori e collaboratori

Le pagine dei pacchetti e dei fornitori mostrano informazioni pubbliche sugli autori dei prodotti: nomi, siti web, pagine di supporto e di contatto tratti dai file dei prodotti, dai siti web dei fornitori, da WordPress.org e da GitHub, nonché i nomi e le immagini dei collaboratori di WordPress.org. Loghi e immagini sono recuperati una sola volta dal nostro server (da Gravatar, GitHub, WordPress.org o dal sito web del fornitore), ridimensionati e serviti dal nostro sito; il tuo browser non contatta tali servizi. Se vengono mostrate informazioni che ti riguardano e desideri che siano rettificate o rimosse, contattaci.

3.26 Log

Il server web e l'applicazione conservano log tecnici (indirizzo IP, indirizzo richiesto, ora, browser, errori) per finalità di sicurezza e di risoluzione dei problemi. I log degli errori dell'applicazione sono eliminati dopo 14 giorni; i log del server web sono conservati soltanto per il tempo necessario alle medesime finalità.

3.27 Accesso da parte del nostro personale

Il personale con diritti amministrativi può vedere i dati degli account per fornire supporto e gestire la fatturazione, le segnalazioni di abuso e le rimozioni. Ogni azione amministrativa è registrata con il relativo motivo. Per risolvere un problema, il supporto può visualizzare il sito come lo vede il tuo account; è richiesto un motivo, vieni informato per e-mail, l'accesso è registrato nel tuo registro di sicurezza e le azioni che richiedono la tua password restano impossibili.

3.28 Rivendicazioni dei profili fornitore

Quando rivendichi un profilo fornitore o ne chiedi uno nuovo, trattiamo ciò che inserisci — il tuo ruolo presso il fornitore, un indirizzo e-mail di lavoro, il tuo messaggio e, per un nuovo profilo, il nome, il sito web e la descrizione del fornitore — insieme al tuo account, nonché gli esiti dei controlli di proprietà: se hai confermato l'indirizzo e-mail di lavoro, se il nostro server ha trovato il record DNS o il file di verifica sul dominio del fornitore e se il tuo accesso con GitHub corrisponde al profilo GitHub del fornitore. Per confermare l'indirizzo di lavoro vi inviamo un'unica e-mail. Gli amministratori vedono questi dati per decidere sulla rivendicazione; la pagina del fornitore mostra soltanto che il fornitore è verificato, mai chi lo ha rivendicato. L'accoglimento di una rivendicazione rende il tuo account membro del fornitore, e ciò che scrivi in seguito nel profilo del fornitore viene pubblicato. Le rivendicazioni e le relative decisioni sono conservate finché esiste il tuo account, per documentare chi gestisce un profilo e perché. Puoi ritirare in qualsiasi momento una rivendicazione in attesa di decisione; l'eliminazione del tuo account elimina le tue rivendicazioni e le tue appartenenze ai fornitori.

3.29 Elenco di accesso anticipato

Quando chiedi di essere informato sull'accesso anticipato a MeteorGPL Private, conserviamo il tuo indirizzo e-mail, il nome e l'azienda facoltativi che indichi, le tue risposte (quante estensioni premium hai in licenza, quante persone userebbero il servizio, quali estensioni o fornitori, la tua nota), la lingua della pagina, l'indirizzo IP da cui proviene la richiesta (cancellato dopo 90 giorni) e, se hai effettuato l'accesso, il collegamento al tuo account. Inviamo un'e-mail di conferma, usiamo le risposte per pianificare il servizio e ti scriviamo quando il tuo accesso è pronto. L'elenco è conservato fino all'apertura del servizio e per i sei mesi successivi, oppure finché non chiedi di essere rimosso.

3.30 Feedback

Il link Feedback apre un modulo per un breve messaggio (al massimo 500 caratteri) e una categoria facoltativa. Conserviamo il messaggio insieme alla pagina da cui è stato inviato (il suo indirizzo, senza i parametri che potrebbero contenere un segreto), alla lingua, alla dimensione della finestra del browser, alla modalità colore, allo user agent del browser, all'indirizzo IP e al tuo account, oppure all'indirizzo e-mail che indichi se non hai effettuato l'accesso. Se selezioni "Includi uno screenshot di questa pagina", il tuo browser disegna un'immagine della pagina in cui ti trovi (password, chiavi, token, campi dei moduli e altre aree contrassegnate vengono oscurati in grigio prima del disegno, e puoi nascondere ulteriori aree) e la invia insieme al messaggio. Solo i nostri amministratori vedono i feedback e gli screenshot. Screenshot, indirizzi IP e user agent sono eliminati dopo 90 giorni; il messaggio resta finché non lo eliminiamo o finché non elimini il tuo account. I tuoi feedback fanno parte dell'esportazione dei tuoi dati.

3.31 Blog

Gli articoli del blog riportano il loro autore, un amministratore del servizio, con nome e immagine. Dei lettori non viene conservato nulla.

3.32 Immagine del profilo

La tua immagine compare accanto al tuo nome: nell'intestazione e agli altri membri delle tue organizzazioni. È, in quest'ordine, l'immagine che hai caricato in Impostazioni → Profilo, l'immagine di GitHub o di Google se hai effettuato l'accesso con uno di questi servizi (sezione 3.3), il tuo Gravatar oppure le tue iniziali. Un'immagine caricata viene ridimensionata, archiviata sui nostri server e conservata finché non la rimuovi o la sostituisci o non elimini il tuo account. Deve rispettare le regole sull'uso consentito dei termini; rimuoviamo un'immagine che le viola.

Gravatar è un servizio di Automattic Inc. (Stati Uniti) che mostra l'immagine che una persona ha registrato per il proprio indirizzo e-mail. Quando non hai un'immagine tua, il nostro server invia a Gravatar un hash SHA-256 del tuo indirizzo e-mail verificato, non l'indirizzo stesso, e, se per esso è registrata un'immagine, ne conserva una copia ridimensionata servita dal nostro sito; il tuo browser non contatta Gravatar. Ripetiamo la richiesta ogni 30 giorni e dopo che hai cambiato indirizzo. Puoi disattivare questa funzione in Impostazioni → Profilo; la copia viene allora eliminata.

4. Cookie e archiviazione locale

Il sito imposta soltanto i cookie necessari al suo funzionamento e a ricordare le tue scelte; non vengono utilizzati cookie pubblicitari o di analisi.

Nome	Finalità	Durata
meteorgpl-session	Mantiene l'accesso durante una visita e protegge i moduli	120 minuti dall'ultima richiesta
XSRF-TOKEN	Protegge i moduli dalla falsificazione di richieste tra siti (CSRF)	120 minuti dall'ultima richiesta
remember_web_…	Mantiene l'accesso quando scegli “Resta connesso”	400 giorni, rimosso quando esci
mgpl_locale	Ricorda la lingua che hai scelto	1 anno
mgpl_lang_prompt	Ricorda che hai risposto al suggerimento della lingua	1 anno
mgpl_ref	Ricorda il link di invito che hai seguito, affinché l'invito possa essere accreditato	30 giorni

Inoltre, l'archiviazione locale del browser conserva la tua scelta della modalità colore (meteorgpl-color-mode). Quando attivi le notifiche push, il browser registra il service worker del sito, che si limita a ricevere e visualizzare le notifiche. Nei moduli elencati nella sezione 3.24, quando è attivato, Cloudflare Turnstile viene eseguito nel tuo browser.

5. Basi giuridiche

Finalità	Base giuridica (GDPR)
Account, accesso, accesso al repository, token, download, fatturazione, organizzazioni, notifiche da te scelte, progetti, archivio delle chiavi di licenza, webhook, avvisi di vulnerabilità, supporto per il tuo account	Esecuzione del contratto, art. 6, par. 1, lett. b)
Fatture e scritture contabili	Obbligo legale, art. 6, par. 1, lett. c), ai sensi della normativa contabile e fiscale estone
Registro di sicurezza, avvisi di nuovi dispositivi, sessioni, rilevamento dei token condivisi, registrazione degli indirizzi IP, protezione anti-bot e antispam dei moduli, verifica delle password violate, log, registro di audit del personale	Legittimo interesse alla sicurezza del servizio e degli account e alla prevenzione di frodi e abusi, art. 6, par. 1, lett. f)
Statistiche dei download, conteggio delle visualizzazioni delle pagine, domande del profilo sul ruolo e sul numero di siti, sondaggio di disdetta, feedback e relativi screenshot	Legittimo interesse a comprendere e migliorare il servizio, art. 6, par. 1, lett. f)
Offerte relative al servizio inviate ai clienti	Legittimo interesse al marketing diretto, art. 6, par. 1, lett. f), nei limiti dell'art. 13, par. 2, della direttiva 2002/58/CE; puoi opporti in qualsiasi momento
Novità sul prodotto, aggiornamenti di stato a persone senza account, dati facoltativi del profilo, notifiche push, l'elenco di accesso anticipato	Consenso, art. 6, par. 1, lett. a), che puoi revocare in qualsiasi momento
Informazioni su fornitori e collaboratori	Legittimo interesse a mostrare chi realizza un prodotto e dove sono vendute le relative licenze, art. 6, par. 1, lett. f)
Rivendicazioni dei profili fornitore e controlli del dominio rivendicato	Esecuzione del contratto, art. 6, par. 1, lett. b), e legittimo interesse a mostrare come verificati soltanto i fornitori autentici, art. 6, par. 1, lett. f)
Un'immagine del profilo che carichi	Consenso, art. 6, par. 1, lett. a), che revochi rimuovendo l'immagine
Ricerca e visualizzazione del tuo Gravatar	Legittimo interesse a mostrare un'immagine riconoscibile delle persone con cui lavori, art. 6, par. 1, lett. f); puoi disattivarla in Impostazioni → Profilo
Dati dei membri che un'organizzazione gestisce tramite il servizio	Trattamento per conto dell'organizzazione, art. 28

Quando ci basiamo sul legittimo interesse, puoi opporti al trattamento (sezione 8).

6. Destinatari

Non vendiamo né concediamo in locazione dati personali. I dati personali sono trasmessi soltanto ai seguenti destinatari, nella misura in cui ciascuno ne ha bisogno:

• Stripe Payments Europe, Limited (Irlanda): pagamenti, fatture e portale clienti (sezione 3.10).
• Il nostro fornitore di hosting, che gestisce i server del sito web e del database nell'Unione europea.
• Cloudflare, Inc.: distribuzione dei file dei pacchetti (quando Composer scarica un pacchetto, viene indirizzato all'archivio di Cloudflare con un link di breve durata, pertanto il tuo indirizzo IP e il tuo user agent raggiungono Cloudflare) e protezione anti-bot (sezione 3.24).
• Il nostro fornitore di servizi di invio e-mail (Postmark, gestito da AC PM LLC, Stati Uniti), che recapita le e-mail che inviamo.
• GitHub, Inc. e Google, soltanto quando accedi tramite questi servizi (sezione 3.3).
• Automattic Inc. (Gravatar, Stati Uniti): un hash del tuo indirizzo e-mail verificato, finché non hai un'immagine tua e la ricerca su Gravatar è attiva (sezione 3.32).
• I servizi push dei produttori di browser, soltanto per le notifiche push che hai attivato (sezione 3.12).
• Gli indirizzi che configuri per i webhook (sezione 3.16).
• Autorità e tribunali, quando la legge ci obbliga a comunicare i dati.

I nostri responsabili del trattamento agiscono soltanto su nostre istruzioni e sulla base di contratti conformi all'articolo 28 del GDPR.

7. Trasferimenti al di fuori dello Spazio economico europeo

Alcuni destinatari si trovano negli Stati Uniti o appartengono a gruppi con sede negli Stati Uniti (Stripe, Cloudflare, Postmark, GitHub, Google e Automattic). Tali trasferimenti si basano sulla decisione di adeguatezza della Commissione europea relativa al quadro UE-USA per la protezione dei dati personali (decisione di esecuzione (UE) 2023/1795), se il destinatario ha aderito a tale quadro, e altrimenti sulle clausole contrattuali tipo adottate dalla Commissione (decisione di esecuzione (UE) 2021/914). Puoi chiederci informazioni su tali garanzie.

8. I tuoi diritti

Hai il diritto di accedere ai tuoi dati personali (art. 15 GDPR), di ottenerne la rettifica (art. 16), la cancellazione (art. 17) o la limitazione del trattamento (art. 18), di riceverli in un formato portabile (art. 20) e di opporti al trattamento basato sul legittimo interesse (art. 21); puoi opporti al marketing diretto in qualsiasi momento senza indicarne il motivo. Se il trattamento si basa sul consenso, puoi revocarlo in qualsiasi momento con effetto per il futuro (art. 7, par. 3).

Gran parte di ciò puoi farlo autonomamente: in Impostazioni → Profilo rettifichi i tuoi dati, in Impostazioni → Notifiche disattivi le e-mail e in Impostazioni → Account esporti i dati del tuo account in un file JSON ed elimini il tuo account. L'eliminazione dell'account rimuove i dati dell'account, il profilo, l'immagine, i collegamenti per l'accesso, le passkey, i token, le chiavi API, le appartenenze alle organizzazioni, le stelle, le liste, le versioni con stella, i pacchetti seguiti, le notifiche, le iscrizioni push, i progetti, i webhook, l'archivio delle chiavi di licenza, gli avvisi di vulnerabilità, i dati sugli inviti e il registro di sicurezza, e pone fine all'abbonamento; le registrazioni dei download e i ticket di supporto perdono il collegamento con te; le fatture restano come descritto nella sezione 3.10. Per qualsiasi altra richiesta, scrivi a packages@meteorgpl.com dall'indirizzo del tuo account. Rispondiamo entro un mese (art. 12, par. 3, GDPR) e possiamo chiederti di confermare la tua identità.

9. Decisioni automatizzate

L'unica decisione automatizzata è la revoca di un token Composer utilizzato in un solo giorno da molte reti diverse (sezione 3.9). Vieni informato quando ciò avviene, puoi creare immediatamente un nuovo token e puoi chiedere che la decisione sia riesaminata da una persona. Non vengono prese con mezzi automatizzati altre decisioni che producano effetti giuridici o effetti analogamente significativi e non viene effettuata alcuna profilazione.

10. Sicurezza

Le connessioni sono cifrate (TLS). Le password e i token sono conservati come hash; i segreti dell'autenticazione a due fattori, le chiavi di licenza, i segreti dei webhook e le credenziali delle integrazioni sono conservati in forma cifrata. L'autenticazione a due fattori e le passkey proteggono gli account; soltanto gli account del personale con diritti amministrativi possono accedere al back-office e ogni azione amministrativa è registrata con il relativo motivo.

11. Minori

Il servizio è destinato ai professionisti e non si rivolge ai minori. Il campo della data di nascita non accetta date risalenti a meno di 13 anni prima.

12. Reclami

Puoi proporre reclamo a un'autorità di controllo, in particolare nello Stato membro in cui risiedi abitualmente, lavori oppure in cui si è verificata la presunta violazione (art. 77 GDPR). L'autorità competente per WebbingApps OÜ è l'Ispettorato estone per la protezione dei dati (Andmekaitse Inspektsioon), Tatari 39, 10134 Tallinn, Estonia, info@aki.ee, www.aki.ee. Ti saremmo grati se ci dessi prima l'opportunità di esaminare la tua segnalazione.

13. Modifiche della presente informativa

La versione e la data della presente informativa sono indicate all'inizio della pagina. Quando il trattamento cambia in modo sostanziale, il tuo account ti chiede, al successivo accesso, di accettare la nuova versione dei termini e della presente informativa, con una sintesi delle modifiche.

14. Contatti

WebbingApps OÜ, e-mail packages@meteorgpl.com, oppure il modulo di contatto. I dati della società sono indicati nella sezione 1.