INFORMATIVA PRIVACY E COOKIE POLICY

Sito web wpfaq.it e servizio "Cosmo AI FAQ Generator PRO"

Resa ai sensi degli artt. 12, 13 e 14 del Regolamento (UE) 2016/679 ("GDPR"), del D.Lgs. 30 giugno 2003 n. 196 come modificato dal D.Lgs. 10 agosto 2018 n. 101 ("Codice Privacy") e dell'art. 122 del Codice Privacy in attuazione della Direttiva 2002/58/CE ("ePrivacy"), nonché in conformità alle "Linee guida cookie e altri strumenti di tracciamento" del Garante per la protezione dei dati personali del 10 giugno 2021 (doc. web n. 9677876).

PREMESSA E AMBITO DI APPLICAZIONE

La presente informativa descrive le modalità di trattamento dei dati personali in relazione a due contesti distinti, che è essenziale non confondere:

(a) il sito web vetrina raggiungibile all'indirizzo https://wpfaq.it, ossia le pagine informative e commerciali consultabili da qualunque visitatore;

(b) il servizio erogato attraverso il plugin WordPress "Cosmo AI FAQ Generator PRO" (di seguito, il "Plugin") installato dai clienti sui propri siti web, e la relativa infrastruttura server ospitata sul dominio wpfaq.it, che riceve le richieste di generazione, verifica le licenze e dialoga con i fornitori di modelli di intelligenza artificiale.

Nel contesto sub (a) CosmoCode agisce in qualità di titolare autonomo del trattamento. Nel contesto sub (b), per quanto attiene ai contenuti trasmessi dai siti dei clienti, CosmoCode agisce di regola in qualità di responsabile del trattamento ai sensi dell'art. 28 GDPR per conto del cliente, che rimane titolare rispetto ai contenuti pubblicati sul proprio sito; CosmoCode agisce invece quale titolare autonomo per i dati di licenza, di fatturazione e per i log tecnici di sicurezza. Il paragrafo 7 chiarisce puntualmente la ripartizione dei ruoli.

La presente informativa non si applica ai siti web di terzi eventualmente raggiungibili tramite collegamenti ipertestuali presenti su wpfaq.it, rispetto ai quali CosmoCode non esercita alcun controllo e non assume alcuna responsabilità.

1. TITOLARE DEL TRATTAMENTO E CONTATTI

Titolare del trattamento è CosmoCode di Cosmo Gaetano Guerra, con sede legale in via Romano 17, 41043 - Formigine (MO), C.F./P.IVA 04232110363, produttore e distributore del software "Cosmo AI FAQ Generator PRO".

Recapiti per l'esercizio dei diritti e per ogni questione relativa al trattamento dei dati personali:

Indirizzo e-mail: info@wpfaq.it
Contatto in materia di protezione dei dati / Responsabile della protezione dei dati (DPO), ove designato: info@cosmocode.it
Sito web: https://wpfaq.it

Il Titolare non ha designato, allo stato, un rappresentante nell'Unione ai sensi dell'art. 27 GDPR in quanto stabilito nel territorio dell'Unione europea.

Ove la designazione di un Responsabile della protezione dei dati non sia obbligatoria ai sensi dell'art. 37 GDPR, l'indirizzo info@wpfaq.it costituisce comunque il punto di contatto unico per le questioni privacy.

2. DATI TRATTATI ATTRAVERSO IL SITO VETRINA wpfaq.it

2.1 Assenza di moduli e di aree riservate

Il sito vetrina wpfaq.it è un sito a contenuto statico e informativo. Su di esso non sono presenti moduli di contatto, moduli di iscrizione a newsletter, form di registrazione, aree riservate o funzionalità di creazione di account utente. Nessun dato identificativo è pertanto raccolto dal visitatore su base volontaria attraverso il sito vetrina.

2.2 Dati di navigazione

I sistemi informatici e le procedure software preposte al funzionamento del sito acquisiscono, nel corso del loro normale esercizio, alcuni dati la cui trasmissione è implicita nell'uso dei protocolli di comunicazione di Internet. Si tratta, in particolare, degli indirizzi IP, degli identificativi dei dispositivi e dei browser (user agent), degli indirizzi in notazione URI/URL delle risorse richieste, dell'orario della richiesta, del metodo utilizzato nel sottoporre la richiesta al server, della dimensione del file ottenuto in risposta e del codice numerico indicante lo stato della risposta.

Tali dati sono registrati nei file di log tecnici del web server (Apache/Nginx) esclusivamente per finalità di sicurezza informatica, diagnosi di malfunzionamenti, prevenzione e accertamento di abusi, e statistiche aggregate di funzionamento. La base giuridica è il legittimo interesse del Titolare alla sicurezza delle proprie reti e dei propri sistemi (art. 6, par. 1, lett. f, GDPR, letto anche alla luce del Considerando 49 GDPR). Tali dati non sono utilizzati per identificare gli interessati né incrociati con altre informazioni a fini di profilazione.

2.3 Assenza di ulteriori strumenti

Sul sito vetrina non sono installati pixel pubblicitari, widget di chat, social plugin, sistemi di remarketing, mappe interattive di terze parti o font remoti diversi da quanto espressamente indicato nella sezione 3. Non è svolta alcuna attività di profilazione né di pubblicità comportamentale.

3. COOKIE E ALTRI STRUMENTI DI TRACCIAMENTO

3.1 Quadro normativo di riferimento

Ai sensi dell'art. 122, comma 1, del Codice Privacy, l'archiviazione di informazioni nel dispositivo dell'utente, o l'accesso a informazioni già archiviate, è consentita unicamente a condizione che l'utente abbia espresso il proprio consenso dopo essere stato informato, salvo che si tratti di cookie utilizzati al solo fine di effettuare la trasmissione di una comunicazione su una rete di comunicazione elettronica, o nella misura strettamente necessaria al fornitore di un servizio della società dell'informazione esplicitamente richiesto dall'abbonato o dall'utente a erogare tale servizio (c.d. cookie tecnici). Le modalità di acquisizione del consenso seguono le Linee guida del Garante del 10 giugno 2021 (doc. web n. 9677876).

3.2 Cookie tecnici e di gestione del consenso (nessun consenso preventivo richiesto)

Il sito utilizza la piattaforma di gestione del consenso CookieYes, caricata dal dominio cdn-cookieyes.com. Tale strumento genera e mostra il banner di consenso e memorizza, in un cookie di prima parte, l'esito delle scelte espresse dall'utente. Il cookie di consenso è qualificato come cookie tecnico, in quanto strettamente necessario a dare attuazione e prova alle preferenze manifestate dall'interessato, e non richiede pertanto consenso preventivo; la sua installazione è anzi funzionale all'adempimento degli obblighi di cui agli artt. 7, par. 1, e 5, par. 2, GDPR (accountability).

Il caricamento dello script di CookieYes comporta, per ragioni tecniche di funzionamento del protocollo HTTP, la trasmissione dell'indirizzo IP dell'utente alla content delivery network del fornitore. Ulteriori informazioni sono disponibili nell'informativa privacy di CookieYes Limited.

3.3 Cookie analitici di terza parte - Google Analytics 4 (consenso preventivo richiesto)

Il sito utilizza Google Analytics 4 ("GA4"), servizio di analisi statistica fornito da Google Ireland Limited e, per determinati trattamenti, da Google LLC, implementato tramite lo script gtag.js e un identificativo di misurazione (measurement ID). Il servizio consente di rilevare in forma statistica il numero di visitatori, le pagine consultate, la provenienza del traffico, la durata delle sessioni e le interazioni con i contenuti, al fine di migliorare la struttura e i contenuti del sito.

I cookie di GA4 sono cookie analitici di terza parte, in quanto il fornitore mantiene la disponibilità dei dati raccolti e la possibilità di utilizzarli per finalità proprie. In assenza delle misure di minimizzazione che consentirebbero di equipararli a cookie tecnici secondo i criteri delle Linee guida del Garante del 10 giugno 2021, essi sono trattati come strumenti soggetti a consenso preventivo: gli script di Google Analytics non vengono attivati prima che l'utente abbia prestato un consenso libero, specifico, informato e inequivocabile tramite il banner CookieYes, e il consenso è revocabile in qualsiasi momento con la stessa facilità con cui è stato prestato.

Base giuridica dell'installazione: consenso dell'interessato (art. 122 Codice Privacy; art. 6, par. 1, lett. a, GDPR).

Si richiama l'attenzione dell'utente sulla circostanza che l'utilizzo di Google Analytics comporta un trattamento da parte di un fornitore soggetto anche a giurisdizione statunitense e un possibile trasferimento di dati verso gli Stati Uniti: si rinvia sul punto alla sezione 8. Si richiamano altresì i provvedimenti adottati dal Garante in materia di Google Analytics (tra cui il provv. 9 giugno 2022, doc. web n. 9782890), dei quali il Titolare ha tenuto conto nella configurazione dello strumento.

3.4 Gestione, revoca e cancellazione dei cookie

L'utente può in qualsiasi momento modificare o revocare le proprie scelte richiamando il pannello di gestione del consenso reso disponibile in modo permanente sul sito (widget/link "Preferenze cookie"). La revoca del consenso non pregiudica la liceità del trattamento effettuato prima della revoca (art. 7, par. 3, GDPR).

È inoltre possibile gestire i cookie direttamente dalle impostazioni del proprio browser (Chrome, Firefox, Safari, Edge e altri), disabilitandoli in tutto o in parte o eliminando quelli già installati; si segnala che la disabilitazione dei cookie tecnici può compromettere la corretta fruizione del sito. Per i soli cookie analitici di Google, è disponibile il componente aggiuntivo del browser per la disattivazione di Google Analytics fornito da Google.

3.5 Assenza di cookie di profilazione

Il sito non installa cookie di profilazione, di marketing, di retargeting o di misurazione pubblicitaria, né effettua alcuna forma di pubblicità comportamentale.

4. DATI TRATTATI ATTRAVERSO IL PLUGIN E L'INFRASTRUTTURA DI GENERAZIONE

La presente sezione riguarda esclusivamente il funzionamento del prodotto installato sui siti WordPress dei clienti e la comunicazione tra tale software e l'infrastruttura server di wpfaq.it. Si tratta di trattamenti strutturalmente distinti da quelli descritti alle sezioni 2 e 3.

4.1 Dati trasmessi all'infrastruttura in occasione della generazione delle FAQ

Quando l'utente amministratore del sito cliente avvia una generazione di FAQ (singola o in modalità batch), il Plugin trasmette all'endpoint di generazione ospitato su wpfaq.it, mediante richiesta HTTPS, i seguenti elementi:

l'URL del sito web sul quale il Plugin è installato;
la chiave di licenza associata all'installazione, ovvero una richiesta priva di chiave nel caso di utilizzo del piano gratuito;
il titolo dell'articolo o della pagina oggetto di elaborazione;
il contenuto testuale dell'articolo o della pagina, troncato a un massimo di circa 12.000 caratteri;
l'eventuale "focus keyword" SEO impostata dall'utente (funzionalità disponibile nel solo piano Pro);
il numero di domande richieste e la lingua di generazione;
parametri tecnici della richiesta, tra cui un hash del contenuto, un timestamp e una firma crittografica della richiesta (cfr. sezione 10).

Il contenuto trasmesso è quello redatto e pubblicato dal cliente sul proprio sito. Di regola tale contenuto è costituito da testi editoriali privi di dati personali; ove tuttavia il cliente inserisca nell'articolo dati personali riferibili a persone fisiche identificate o identificabili, tali dati saranno inevitabilmente contenuti nel testo trasmesso e trattati secondo quanto descritto nella presente informativa. Si rinvia alle avvertenze di cui alla sezione 7.

4.2 Finalità e basi giuridiche

I dati di cui al punto 4.1 sono trattati per le seguenti finalità:

erogazione della funzionalità richiesta dall'utente, ossia generazione automatica di domande e risposte a partire dal contenuto trasmesso: base giuridica costituita dall'esecuzione del contratto di licenza d'uso del software e dei servizi accessori (art. 6, par. 1, lett. b, GDPR), ovvero, nel rapporto con l'interessato-terzo eventualmente citato nel contenuto, dal legittimo interesse alla corretta esecuzione di un servizio richiesto dal titolare-cliente (art. 6, par. 1, lett. f, GDPR);
verifica della validità, dell'attivazione e della scadenza della licenza: esecuzione del contratto e legittimo interesse alla tutela dei diritti di proprietà intellettuale e alla prevenzione degli utilizzi non autorizzati del software (art. 6, par. 1, lett. b e f, GDPR);
sicurezza dell'infrastruttura, prevenzione degli abusi, limitazione della frequenza delle richieste (rate limiting) e contenimento dei costi di elaborazione: legittimo interesse del Titolare (art. 6, par. 1, lett. f, GDPR);
adempimento di obblighi di legge, in particolare in materia contabile, fiscale e di risposta a richieste dell'autorità (art. 6, par. 1, lett. c, GDPR).

4.3 Minimizzazione: dati effettivamente registrati nei log del server

In attuazione del principio di minimizzazione (art. 5, par. 1, lett. c, GDPR) e di protezione dei dati fin dalla progettazione (art. 25 GDPR), l'infrastruttura non registra in alcun log applicativo il contenuto integrale né parziale dell'articolo trasmesso. Nei log tecnici applicativi sono registrati esclusivamente:

un hash SHA-256 del contenuto, utilizzato per la deduplicazione delle richieste, per la gestione della cache e per il rate limiting;
l'URL del sito cliente in forma normalizzata;
i primi 12 caratteri di un hash della chiave di licenza (la chiave di licenza non è mai registrata in chiaro nei log);
la lunghezza del contenuto espressa in numero di caratteri;
la marca temporale (timestamp) della richiesta.

Restano fermi, in aggiunta, i log di accesso standard del web server (Apache/Nginx), nei quali può comparire l'indirizzo IP del server che effettua la chiamata HTTP verso l'infrastruttura, alla stregua di qualunque servizio web, per finalità di sicurezza e diagnosi. Tale indirizzo IP è, nella normalità dei casi, quello del server di hosting del sito cliente e non l'indirizzo del visitatore finale del sito medesimo.

4.4 Cache dei risultati

Le FAQ generate - ossia le sole domande e risposte prodotte in esito all'elaborazione, e non l'articolo originale - sono conservate in una cache lato server per un periodo di 30 giorni, associate all'hash del contenuto di origine. La finalità è esclusivamente quella di evitare la rigenerazione, e il conseguente nuovo costo di elaborazione, in presenza di contenuti identici. Base giuridica: legittimo interesse del Titolare all'efficienza e alla sostenibilità economica del servizio (art. 6, par. 1, lett. f, GDPR). Decorso tale termine, i dati in cache sono automaticamente eliminati o sovrascritti.

4.5 Limitazione della frequenza delle richieste (rate limiting)

Il sistema applica limiti di frequenza per chiave di licenza, per sito e per contenuto. I controlli si fondano sull'identificativo di licenza in forma di hash, sull'URL normalizzato del sito, sull'hash del contenuto e sull'indirizzo IP del server chiamante; non sono impiegati, a tale fine, dati personali dei visitatori finali dei siti dei clienti.

4.6 Gestione delle licenze

Il sistema di licenze registra e conserva: la chiave di licenza, gli URL dei siti sui quali la licenza risulta attivata, lo stato della licenza e la relativa data di scadenza, nonché la data delle operazioni di attivazione e disattivazione. Tali dati sono trattati da CosmoCode in qualità di titolare autonomo, per l'esecuzione del contratto e per la tutela dei propri diritti.

4.7 Controllo degli aggiornamenti del software

Il Plugin interroga periodicamente un endpoint di aggiornamento ospitato su wpfaq.it al fine di verificare la disponibilità di nuove versioni. In tale occasione sono trasmessi i dati tecnici necessari alla verifica di compatibilità e all'erogazione dell'aggiornamento (tra cui l'indirizzo del sito richiedente, la versione installata del Plugin e i parametri di ambiente inviati dal meccanismo di aggiornamento di WordPress). Base giuridica: esecuzione del contratto e legittimo interesse alla distribuzione di versioni sicure e aggiornate del software (art. 6, par. 1, lett. b e f, GDPR).

4.8 Assenza di raccolta di dati dei visitatori finali dei siti dei clienti

CosmoCode non raccoglie, non riceve e non conserva dati personali dei visitatori dei siti web sui quali il Plugin è installato. Le FAQ generate sono memorizzate nel database del sito del cliente e mostrate al pubblico come qualunque altro contenuto editoriale.

La funzionalità di statistica interna delle FAQ, ove attiva, registra unicamente contatori aggregati di apertura delle singole domande (identificativo del contenuto, indice e testo della domanda, numero di aperture, data dell'ultima apertura) all'interno del database del sito del cliente; tali dati non contengono identificativi personali, non sono trasmessi a CosmoCode e restano nella esclusiva disponibilità e titolarità del cliente. Al solo fine di evitare conteggi ripetuti e abusi, l'indirizzo IP del visitatore è utilizzato in forma transitoria e trasformata (hash) per un periodo massimo di un'ora all'interno del sito del cliente, senza essere memorizzato in forma leggibile né associato ai contatori.

4.9 Dati di pagamento

L'infrastruttura descritta nella presente sezione non tratta alcun dato relativo a strumenti di pagamento. Le operazioni di acquisto e rinnovo delle licenze sono gestite, ove previste, da fornitori terzi specializzati nei servizi di pagamento, i quali agiscono quali titolari autonomi rispetto ai dati delle transazioni e ai dati finanziari; CosmoCode riceve da tali fornitori esclusivamente le informazioni necessarie all'emissione dei documenti contabili e all'attivazione della licenza. Si rinvia alle informative privacy dei rispettivi fornitori.

4.10 Natura del conferimento

Il conferimento dei dati indicati al punto 4.1 è necessario per l'erogazione della funzionalità di generazione: in loro mancanza il servizio non può essere tecnicamente reso. Il conferimento della focus keyword è facoltativo e rimesso alla scelta dell'utente nell'ambito del piano Pro.

5. ASSENZA DI PROFILAZIONE E DI DECISIONI AUTOMATIZZATE

Il Titolare non effettua profilazione degli interessati né alcuna forma di pubblicità comportamentale, e non pone in essere processi decisionali automatizzati che producano effetti giuridici o incidano in modo analogamente significativo sulle persone fisiche ai sensi dell'art. 22 GDPR. L'impiego di modelli di intelligenza artificiale generativa è circoscritto alla trasformazione linguistica di contenuti editoriali forniti dal cliente in coppie di domande e risposte, e non comporta alcuna valutazione, classificazione o decisione riferita a persone fisiche.

Il Titolare non cede, non vende e non commercializza a terzi i dati trattati.

6. DESTINATARI, RESPONSABILI E SUB-RESPONSABILI DEL TRATTAMENTO

I dati possono essere trattati, per le finalità e nei limiti sopra indicati, dai seguenti soggetti:

6.1 Fornitore di hosting e servizi infrastrutturali

Il fornitore che ospita il sito wpfaq.it e l'infrastruttura di relay, designato responsabile del trattamento ai sensi dell'art. 28 GDPR.

6.2 OpenRouter - instradamento verso i modelli di intelligenza artificiale

Il server di CosmoCode inoltra a OpenRouter, servizio di aggregazione e instradamento di modelli di intelligenza artificiale, esclusivamente il titolo e il contenuto testuale dell'articolo, e nessun altro dato tra quelli elencati al punto 4.1. OpenRouter agisce quale sub-responsabile del trattamento ai sensi dell'art. 28, parr. 2 e 4, GDPR, per la sola finalità di instradamento ed esecuzione della richiesta di generazione.

6.3 Fornitore del modello di intelligenza artificiale a valle

OpenRouter instrada la richiesta al modello di intelligenza artificiale selezionato, attualmente il modello Google Gemini ("gemini-3.5-flash-lite"), fornito da Google. Il fornitore del modello agisce quale ulteriore sub-responsabile a valle e riceve unicamente titolo e contenuto testuale dell'articolo.

Il contenuto trasmesso è utilizzato esclusivamente per generare le domande e le risposte richieste. Esso non è utilizzato per l'addestramento, il riaddestramento o il perfezionamento di modelli di intelligenza artificiale, né condiviso o riutilizzato per finalità ulteriori e diverse. Il Titolare adotta configurazioni di servizio volte a escludere l'uso dei dati per finalità di addestramento e verifica periodicamente il rispetto di tale vincolo da parte dei sub-responsabili.

Il Titolare si riserva la facoltà di modificare il fornitore del modello o il modello impiegato per esigenze tecniche, di qualità o di continuità del servizio, dandone conto mediante aggiornamento della presente informativa.

6.4 Google Analytics

Google Ireland Limited e Google LLC, in relazione ai soli trattamenti descritti al punto 3.3 e limitatamente agli utenti che abbiano prestato il proprio consenso.

6.5 CookieYes

Il fornitore della piattaforma di gestione del consenso, in relazione ai trattamenti descritti al punto 3.2.

6.6 Altri destinatari

Consulenti, professionisti e fornitori di servizi contabili, fiscali, legali e informatici, nei limiti delle rispettive competenze; autorità giudiziarie e amministrative, ove il Titolare vi sia tenuto in forza di legge, regolamento o provvedimento. I dipendenti e i collaboratori del Titolare che accedono ai dati operano quali soggetti autorizzati ai sensi degli artt. 29 GDPR e 2-quaterdecies del Codice Privacy, sulla base di istruzioni documentate.

L'elenco aggiornato dei responsabili e dei sub-responsabili del trattamento è disponibile su richiesta scritta all'indirizzo info@wpfaq.it.

7. RIPARTIZIONE DEI RUOLI E OBBLIGHI DEL CLIENTE

Rispetto ai contenuti degli articoli trasmessi tramite il Plugin, il cliente che installa e utilizza il software riveste la qualifica di titolare del trattamento e CosmoCode quella di responsabile del trattamento ai sensi dell'art. 28 GDPR. In tale qualità, CosmoCode tratta i dati soltanto su istruzione documentata del cliente, garantisce la riservatezza dei soggetti autorizzati, adotta le misure di sicurezza di cui all'art. 32 GDPR, si avvale dei sub-responsabili indicati alla sezione 6 previa autorizzazione generale del cliente con impegno a comunicare eventuali modifiche, assiste il cliente nel riscontro alle richieste degli interessati e nella valutazione d'impatto ove necessaria, e cancella o restituisce i dati al termine del rapporto. La regolamentazione di dettaglio del rapporto è contenuta nell'accordo sul trattamento dei dati (Data Processing Agreement) messo a disposizione dal Titolare, che il cliente è invitato a sottoscrivere.

Il cliente è tenuto a non inserire negli articoli sottoposti a generazione, e comunque a non trasmettere tramite il Plugin, categorie particolari di dati personali ai sensi dell'art. 9 GDPR (dati che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, dati genetici, biometrici, relativi alla salute, alla vita sessuale o all'orientamento sessuale), né dati relativi a condanne penali e reati ai sensi dell'art. 10 GDPR, né dati personali di soggetti terzi per i quali non disponga di un idoneo presupposto di liceità. Il Titolare non effettua alcun controllo preventivo di merito sui contenuti trasmessi e declina ogni responsabilità per l'inosservanza di tale obbligo da parte del cliente.

8. TRASFERIMENTO DI DATI VERSO PAESI TERZI

Alcuni dei fornitori indicati alla sezione 6, in particolare i fornitori dei servizi di intelligenza artificiale, il fornitore della piattaforma di gestione del consenso e Google, sono stabiliti negli Stati Uniti d'America o possono avvalersi di infrastrutture e di personale ivi ubicati. È pertanto possibile che i dati oggetto della presente informativa siano trasferiti al di fuori dello Spazio Economico Europeo, e in particolare verso gli Stati Uniti.

Tali trasferimenti avvengono unicamente in presenza di una delle garanzie previste dal Capo V del GDPR, e segnatamente:

decisione di adeguatezza della Commissione europea ai sensi dell'art. 45 GDPR, ove il fornitore sia certificato nell'ambito del quadro giuridico di adeguatezza applicabile ai trasferimenti verso gli Stati Uniti (EU-U.S. Data Privacy Framework, oggetto della decisione di esecuzione della Commissione del 10 luglio 2023);
in mancanza, clausole contrattuali tipo adottate dalla Commissione europea ai sensi dell'art. 46, par. 2, lett. c), GDPR, integrate - ove l'esito della valutazione d'impatto sul trasferimento lo richieda - da misure supplementari di natura tecnica, contrattuale e organizzativa.

Il Titolare non fornisce, nella presente informativa, dettagli contrattuali ulteriori rispetto a quanto sopra; copia delle garanzie adottate o indicazione del luogo in cui esse sono reperibili può essere richiesta, ai sensi dell'art. 15, par. 2, GDPR, scrivendo a info@wpfaq.it.

9. PERIODI DI CONSERVAZIONE

I dati sono conservati per il tempo strettamente necessario al conseguimento delle finalità per le quali sono stati raccolti, e in particolare:

Log di accesso del web server (compresi gli indirizzi IP): periodo non superiore a quello necessario alle finalità di sicurezza e diagnosi, indicativamente da 7 a 30 giorni, salvo l'ulteriore conservazione dei singoli record eventualmente necessaria per l'accertamento e la difesa in ordine a specifici incidenti di sicurezza o abusi.
Log tecnici applicativi della generazione (hash del contenuto, URL normalizzato, hash parziale della licenza, lunghezza del contenuto, timestamp): conservati per il tempo necessario alle finalità di sicurezza, contabilizzazione dell'uso e prevenzione degli abusi, e comunque per un periodo non superiore a 12 mesi, decorso il quale sono cancellati o resi definitivamente anonimi.
Contenuti degli articoli trasmessi ai fini della generazione: non conservati dall'infrastruttura del Titolare; sono trattati in modo transitorio per il tempo tecnico necessario all'elaborazione. La conservazione presso i sub-responsabili è regolata dai rispettivi termini contrattuali, con il vincolo di non utilizzo per finalità di addestramento.
FAQ generate in cache lato server: 30 giorni dalla generazione.
Dati di licenza (chiave, siti attivati, stato e scadenza): per tutta la durata del rapporto contrattuale e, successivamente, per il termine di prescrizione ordinaria decennale ai fini della tutela dei diritti del Titorare, nonché per i termini previsti dalla normativa fiscale e contabile.
Dati e preferenze relativi ai cookie: secondo le durate indicate nella sezione 3; l'evidenza del consenso è conservata per il tempo richiesto dagli obblighi di accountability.
Contenuti delle comunicazioni ricevute via e-mail agli indirizzi di contatto: per il tempo necessario alla gestione della richiesta e, ove pertinente, per i termini di prescrizione applicabili.

Al termine dei periodi indicati i dati sono cancellati, resi anonimi o distrutti secondo procedure sicure.

10. MISURE DI SICUREZZA

Il Titolare adotta misure tecniche e organizzative adeguate ai sensi dell'art. 32 GDPR, tenuto conto dello stato dell'arte, dei costi di attuazione, della natura, dell'oggetto, del contesto e delle finalità del trattamento, nonché del rischio per i diritti e le libertà delle persone fisiche. Tra tali misure, in termini generali:

cifratura in transito di tutte le comunicazioni tra il Plugin, l'infrastruttura di relay e i fornitori a valle mediante protocollo HTTPS/TLS;
autenticazione e firma crittografica delle richieste in ingresso all'infrastruttura mediante algoritmo HMAC-SHA256, al fine di verificarne l'autenticità e l'integrità e di prevenire manomissioni e utilizzi non autorizzati degli endpoint;
custodia esclusivamente lato server delle credenziali di accesso ai servizi di intelligenza artificiale, che non sono mai incorporate nel software distribuito ai clienti;
minimizzazione strutturale dei log applicativi, con esclusione della registrazione del contenuto degli articoli e impiego di funzioni di hash in luogo degli identificativi in chiaro, ivi compresa la chiave di licenza;
limitazione della frequenza delle richieste e presidi anti-abuso;
controllo degli accessi ai sistemi secondo il principio del privilegio minimo, con autorizzazione nominativa dei soggetti che operano sotto l'autorità del Titolare;
procedure di gestione degli aggiornamenti di sicurezza del software e di gestione delle violazioni dei dati personali, con notifica all'autorità di controllo e comunicazione agli interessati nei casi e nei termini previsti dagli artt. 33 e 34 GDPR.

Nessuna misura di sicurezza può garantire in modo assoluto l'inviolabilità dei sistemi informatici; il Titolare si impegna a mantenere le proprie misure adeguate all'evoluzione del rischio e dello stato dell'arte.

11. DIRITTI DELL'INTERESSATO

L'interessato può esercitare, nei limiti e alle condizioni previste dagli artt. 15-22 GDPR, i seguenti diritti:

diritto di accesso (art. 15): ottenere la conferma dell'esistenza di un trattamento di dati personali che lo riguardano e accedere a tali dati, nonché alle informazioni relative a finalità, categorie di dati, destinatari, periodo di conservazione, origine dei dati e garanzie applicate ai trasferimenti extra-UE;
diritto di rettifica (art. 16): ottenere la correzione dei dati inesatti e l'integrazione dei dati incompleti;
diritto alla cancellazione, c.d. diritto all'oblio (art. 17): ottenere la cancellazione dei dati nei casi previsti, tra cui il venir meno della necessità rispetto alle finalità, la revoca del consenso e l'opposizione al trattamento in assenza di motivi legittimi cogenti;
diritto di limitazione del trattamento (art. 18): ottenere la limitazione del trattamento in caso di contestazione dell'esattezza dei dati, di trattamento illecito, di necessità dei dati per l'accertamento o la difesa di un diritto, ovvero in pendenza della verifica su un'opposizione;
diritto alla portabilità (art. 20): ricevere in formato strutturato, di uso comune e leggibile da dispositivo automatico i dati forniti, e ottenerne la trasmissione a un altro titolare ove tecnicamente fattibile, limitatamente ai trattamenti fondati sul consenso o sul contratto ed effettuati con mezzi automatizzati;
diritto di opposizione (art. 21): opporsi in qualsiasi momento, per motivi connessi alla propria situazione particolare, ai trattamenti fondati sul legittimo interesse del Titolare;
diritto di non essere sottoposto a decisioni automatizzate (art. 22): fermo restando che, come indicato alla sezione 5, il Titolare non effettua trattamenti di tale natura;
diritto di revocare il consenso in qualsiasi momento (art. 7, par. 3), senza pregiudizio della liceità del trattamento basato sul consenso prestato prima della revoca.

Le richieste possono essere inoltrate, senza formalità particolari, all'indirizzo info@wpfaq.it ovvero, ove designato, a info@cosmocode.it. Il Titolare fornisce riscontro senza ingiustificato ritardo e, comunque, entro un mese dal ricevimento della richiesta, termine prorogabile di ulteriori due mesi in ragione della complessità o del numero delle richieste, con informativa all'interessato entro il primo mese. L'esercizio dei diritti è gratuito, salvo il caso di richieste manifestamente infondate o eccessive, in particolare per il loro carattere ripetitivo. Il Titolare può richiedere le informazioni necessarie a verificare l'identità del richiedente ai sensi dell'art. 12, par. 6, GDPR.

Qualora la richiesta abbia ad oggetto dati personali contenuti in articoli pubblicati sul sito di un cliente e trasmessi tramite il Plugin, il Titolare, operando in tali casi quale responsabile del trattamento, indirizzerà l'interessato al cliente titolare del trattamento e presterà a quest'ultimo la necessaria assistenza ai sensi dell'art. 28, par. 3, lett. e), GDPR.

12. RECLAMO ALL'AUTORITÀ DI CONTROLLO

Fatto salvo ogni altro ricorso amministrativo o giurisdizionale, l'interessato che ritenga che il trattamento dei dati personali che lo riguardano avvenga in violazione del Regolamento ha il diritto di proporre reclamo all'autorità di controllo, ai sensi dell'art. 77 GDPR e degli artt. 140-bis e seguenti del Codice Privacy.

Per l'Italia:

Garante per la protezione dei dati personali
Piazza Venezia n. 11 - 00187 Roma
Centralino: +39 06 696771
PEC: protocollo@pec.gpdp.it
Sito web: www.garanteprivacy.it

È altresì facoltà dell'interessato proporre reclamo all'autorità di controllo dello Stato membro in cui risiede abitualmente, lavora o nel quale si è verificata la presunta violazione, nonché adire l'autorità giudiziaria competente ai sensi dell'art. 79 GDPR.

13. MINORI

Né il sito vetrina né il servizio sono destinati a minori di età. Il sito wpfaq.it non offre servizi della società dell'informazione direttamente ai minori ai sensi dell'art. 8 GDPR e dell'art. 2-quinquies del Codice Privacy, e non raccoglie consapevolmente dati personali di soggetti di età inferiore ai quattordici anni. Il prodotto è rivolto a professionisti, imprese e titolari di siti web, e la sua acquisizione presuppone la capacità di agire.

Qualora il Titolare venga a conoscenza di aver trattato, in assenza di un valido presupposto, dati personali riferibili a un minore, provvederà a cancellarli senza ingiustificato ritardo. Chiunque ritenga che dati di un minore siano stati trattati in modo illecito può segnalarlo all'indirizzo info@wpfaq.it.

14. MODIFICHE ALLA PRESENTE INFORMATIVA

Il Titolare si riserva il diritto di modificare o semplicemente aggiornare il contenuto della presente informativa, in tutto o in parte, anche a causa di variazioni della normativa applicabile, dei provvedimenti e degli orientamenti dell'Autorità di controllo, ovvero di modifiche tecniche o organizzative del sito e del servizio, ivi comprese la sostituzione o l'aggiunta di fornitori e sub-responsabili e la variazione dei modelli di intelligenza artificiale impiegati.

Le modifiche saranno pubblicate a questa medesima pagina web e saranno efficaci dalla data di pubblicazione indicata nella sezione 15. In caso di modifiche sostanziali che incidano sui trattamenti già in essere, il Titolare ne darà evidenza con adeguato risalto e, ove il trattamento sia fondato sul consenso, provvederà a raccogliere nuovamente il consenso dell'interessato. Si invitano gli utenti a consultare periodicamente la presente pagina.

15. DATA DI ULTIMO AGGIORNAMENTO

La presente informativa è stata redatta e da ultimo aggiornata in data 8 settembre 2026 e sostituisce ogni precedente versione.