Privacy Policy

Titolare del trattamento

Il titolare del trattamento è il team LifeSkills, contattabile via email. Poiché il progetto è in fase iniziale e gestito da studenti, non è nominato un Responsabile della Protezione dei Dati (DPO).

Email di contatto privacy: lifeskills.project@gmail.com

Ambito di applicazione

Questa policy si applica al sito lifeskill-web.com e a tutte le sue sotto-pagine, incluse le aree localizzate in inglese, spagnolo e francese.

Il sito offre contenuti informativi pubblici (guide per paese e per stato USA) e un’area account opzionale per salvare profilo, avatar e tracker di pratiche personali.

Dati trattati

Trattiamo le seguenti categorie di dati, distinte tra navigazione anonima e utilizzo dell’account:

• Dati tecnici di navigazione

  Indirizzo IP, user-agent, timestamp delle richieste, pagine visitate. Raccolti nei log del server applicativo e dei servizi di sicurezza (es. rate limiting, mitigazione abusi).

  Legittimo interesse (sicurezza e funzionamento del sito) — art. 6.1.f GDPR.

• Dati di registrazione account

  Email, password (memorizzata come hash Argon2id, mai in chiaro), nickname/username, eventuale avatar. La verifica email è prevista per il prossimo rilascio.

  Esecuzione di un contratto / misure precontrattuali — art. 6.1.b GDPR.

• Dati di sessione

  Cookie tecnico __Host-ls_session (httpOnly, SameSite=Lax, 7 giorni). Il token CSRF per le richieste mutanti e sul server e in memoria JavaScript dopo il login (nessun cookie CSRF). Token di sessione e identificatore CSRF salvati su database; idle timeout 30 minuti.

  Strettamente necessari al servizio — art. 6.1.b GDPR, art. 122 Codice Privacy.

• Dati di sicurezza account

  Tentativi di login (email + IP), eventi di audit (login, logout, signup, reset password, modifiche profilo, eliminazione account, attivazione MFA TOTP), secret MFA TOTP cifrato con AES-256-GCM.

  Legittimo interesse (prevenzione frodi/abusi) e obbligo di legge in caso di richieste — art. 6.1.f e 6.1.c GDPR.

• Dati su strumenti interattivi

  Alcuni tool (tracker visa, calcolatori, preferenze tema) salvano dati solo nel tuo browser via localStorage; se sei loggato, alcuni stati sono salvati in account su database.

  Esecuzione del servizio richiesto — art. 6.1.b GDPR.

• Misurazione del traffico

  Google Analytics 4 (con Consent Mode v2). Senza il tuo consenso GA invia solo "cookieless pings" senza identificatori; con consenso vengono impostati i cookie _ga / _ga_*. L’IP è anonimizzato.

  Consenso — art. 6.1.a GDPR, art. 122 Codice Privacy.

Finalità del trattamento

Trattiamo i tuoi dati per le seguenti finalità:

• Erogare il sito e le guide informative. — Esecuzione del servizio.
• Gestire registrazione, login, sessione e funzionalità account. — Esecuzione di un contratto.
• Garantire la sicurezza (rate limiting, audit, MFA, alert su nuovi login). — Legittimo interesse.
• Inviare email transazionali (reset password, alert di sicurezza, conferme). — Esecuzione del servizio / legittimo interesse.
• Misurare il traffico in forma aggregata tramite Google Analytics. — Consenso.
• Adempiere a obblighi di legge o rispondere a richieste delle autorità. — Obbligo di legge.

Tempi di conservazione

• Account utente: conservati finché l’account è attivo. Puoi richiedere la cancellazione dall’area account o via email; la cancellazione è effettiva entro 30 giorni.
• Sessioni: massimo 7 giorni, con idle timeout di 30 minuti.
• Log di sicurezza e audit: conservati fino a 12 mesi per finalità di sicurezza e prevenzione abusi.
• Tentativi di login falliti: 15 minuti rolling, poi cancellati.
• Token di reset password: 20 minuti, uso singolo, poi invalidati.
• Email transazionali inviate via Gmail SMTP (Google): le copie restano nella casella del mittente secondo le policy di conservazione di Google.

Destinatari e responsabili esterni

Per erogare il servizio ci appoggiamo a fornitori esterni che agiscono come responsabili del trattamento (art. 28 GDPR):

• Vercel Inc.

  Hosting applicativo, edge network, log di accesso, storage avatar (Vercel Blob).

  Stati Uniti — DPA Vercel e Standard Contractual Clauses (SCC) UE.

• Neon Inc.

  Database PostgreSQL gestito (account, profili, sessioni, audit log).

  UE/Stati Uniti — DPA Neon + SCC.

• Upstash Inc.

  Redis serverless per rate limiting distribuito (chiavi temporanee con IP hashed).

  UE/Stati Uniti — DPA Upstash + SCC.

• Google LLC (Gmail SMTP)

  Invio email transazionali (verifica email, reset password, alert di sicurezza).

  Stati Uniti — DPA Google + SCC.

• CookieYes Ltd.

  Gestione del consenso cookie (Consent Management Platform).

  Regno Unito / UE.

• Google Ireland Ltd. (Google Analytics 4)

  Misurazione del traffico — solo previo consenso, con IP anonimizzato e Consent Mode v2 attivo.

  Irlanda — DPA Google + SCC per eventuali trasferimenti.

• Open-Meteo / ipapi

  API meteo e geolocalizzazione IP per logica di sicurezza degli alert login.

  UE / globale.

Trasferimenti extra-UE

Alcuni fornitori sopra elencati sono basati negli Stati Uniti o in Paesi extra-UE. I trasferimenti avvengono sulla base delle Standard Contractual Clauses (SCC) approvate dalla Commissione Europea o, dove applicabile, del Data Privacy Framework UE-USA.

I tuoi diritti

• Accedere ai tuoi dati (art. 15 GDPR).
• Rettificarli se inesatti (art. 16 GDPR).
• Chiederne la cancellazione (art. 17 GDPR — "diritto all’oblio").
• Limitarne il trattamento (art. 18 GDPR).
• Riceverli in formato portabile (art. 20 GDPR).
• Opporti al trattamento basato su legittimo interesse (art. 21 GDPR).
• Revocare il consenso quando il trattamento si basa su di esso (art. 7 GDPR).
• Proporre reclamo al Garante per la Protezione dei Dati Personali (garanteprivacy.it).

Per esercitare i tuoi diritti scrivici all’email indicata sopra: rispondiamo entro 30 giorni, prorogabili di 60 in casi complessi.

Misure di sicurezza

Adottiamo misure tecniche e organizzative adeguate: HTTPS forzato (HSTS 1 anno), header di sicurezza (CSP, X-Frame-Options DENY, Referrer-Policy, Permissions-Policy), password salvate solo come hash Argon2id, MFA TOTP per gli account amministrativi, rate limiting, audit log degli eventi sensibili, alert email su login da IP mai visti, sessioni httpOnly con SameSite=Lax e CSRF token a doppio canale.

Minori

Il servizio è rivolto a un pubblico adulto e a studenti universitari. Non raccogliamo consapevolmente dati di minori di 16 anni; se ritieni che ciò sia accaduto, scrivici e procederemo alla cancellazione.

Modifiche a questa informativa

Possiamo aggiornare questa policy per riflettere nuove funzioni o modifiche normative. Pubblicheremo qui la data di ultimo aggiornamento. Per modifiche sostanziali avviseremo gli utenti registrati via email.

Contatti

Per qualsiasi richiesta privacy puoi scrivere a:

lifeskills.project@gmail.com