Privacy Policy

1. Chi siamo

Lock Light S.r.l. (di seguito "FORMA Hub", "noi") con sede legale in Via Manfredi di Svevia 13-15, 82100 Benevento (BN), P.IVA IT01868610625, capitale sociale €10.000,00 i.v., è il titolare del trattamento dei dati personali raccolti tramite il sito formahub.it e i servizi correlati. Per ogni richiesta puoi scriverci a info@formahub.it.

2. Quali dati raccogliamo

• Dati di registrazione: nome, email, password (hashed con bcrypt). Se accedi con Google riceviamo nome, email e foto profilo dal tuo account Google.
• Dati di fatturazione: ragione sociale, indirizzo, P.IVA, IBAN se richiesto per pagamenti SEPA.
• Dati di utilizzo: preventivi, progetti, ordini, contributi crowdfunding, file caricati (avatar, materiali per stampa 3D).
• Dati tecnici: indirizzo IP, user-agent, log accessi (per sicurezza e diagnostica).
• Cookie: vedi sezione 7.

3. Perché trattiamo i tuoi dati (basi giuridiche)

• Esecuzione del contratto (Art. 6.1.b GDPR): erogare il servizio richiesto — preventivi, ordini, fatturazione.
• Obbligo legale (Art. 6.1.c GDPR): conservazione fatture e documenti contabili per 10 anni come da normativa fiscale italiana.
• Legittimo interesse (Art. 6.1.f GDPR): sicurezza del sistema (rate limiting, anti-frode), miglioramento del servizio.
• Consenso (Art. 6.1.a GDPR): cookie analitici, comunicazioni di marketing (se attive). Revocabile in qualsiasi momento.

4. Per quanto tempo conserviamo i dati

• Account attivo: finché esiste.
• Account cancellato: i dati personali (nome, email, IBAN, foto) vengono anonimizzati al momento della cancellazione. Ordini e fatture restano in archivio per 10 anni come da obbligo fiscale (DPR 600/1973 e successivi).
• Token di sessione e accesso: max 7 giorni.
• Log tecnici: 90 giorni.
• Tentativi di login falliti: massimo 24 ore.

5. A chi comunichiamo i tuoi dati

I tuoi dati sono accessibili solo a noi e a fornitori tecnici strettamente necessari al servizio:

• Stripe (Irlanda) — elaborazione pagamenti. Non riceviamo né conserviamo dati di carte di credito.
• Resend (USA, con clausole standard) — invio email transazionali.
• Cloudflare R2 (UE) — storage file (avatar, upload). Crittografati a riposo.
• Google Sign-In (USA) — solo se scegli di accedere con Google.
• MongoDB Atlas / hosting (UE) — database principale.
• Plausible Analytics / PostHog — analitiche aggregate, attivate solo con il tuo consenso ai cookie.

Non vendiamo i tuoi dati a nessuno. Mai.

6. I tuoi diritti (Art. 15-22 GDPR)

Hai diritto a:

• Accesso e portabilità: scaricare un archivio ZIP con tutti i tuoi dati dal tuo account → Impostazioni → "Esporta i miei dati".
• Cancellazione: cancellare il tuo account dal tuo account → Impostazioni → "Cancella account". Ti chiediamo conferma via email.
• Rettifica: correggere i tuoi dati personali da Profilo.
• Limitazione del trattamento e opposizione: scrivici a info@formahub.it.
• Reclamo al Garante: se ritieni che il trattamento violi il GDPR, puoi rivolgerti al Garante per la Protezione dei Dati Personali (garanteprivacy.it).

7. Cookie

Usiamo solo due categorie di cookie:

• Tecnici / di sessione (sempre attivi): cookie httpOnly per mantenere il login (access_token, refresh_token) e preferenze UI (tema, sidebar collapsed). Senza questi il sito non funziona. Base giuridica: legittimo interesse / esecuzione del contratto, no consenso richiesto.
• Analitici (solo con consenso): Plausible Analytics (anonimo, GDPR-friendly), PostHog (tracciamento prodotto). Attivati solo se clicchi "Accetta tutti" sul banner; altrimenti sono spenti.

Non usiamo cookie di profilazione pubblicitaria né di terze parti per advertising.

8. Trasferimenti extra-UE

Alcuni fornitori (Stripe Irlanda, Resend USA, Google USA) possono trattare dati al di fuori dell'UE. In ogni caso utilizziamo strumenti previsti dal GDPR — clausole contrattuali standard (SCC) della Commissione Europea o decisioni di adeguatezza applicabili.

9. Sicurezza

Password salvate con bcrypt, comunicazioni in HTTPS, cookie httpOnly + SameSite, protezione CSRF e rate limiting su login/registrazione, rotazione automatica dei refresh token con detect-reuse. Backup giornalieri del database. In caso di data breach notificheremo gli utenti coinvolti e il Garante entro 72 ore come da Art. 33 GDPR.

10. Modifiche a questa policy

Aggiorneremo questa pagina quando cambiamo come trattiamo i dati. La data in alto indica l'ultima revisione. Per modifiche sostanziali notificheremo gli utenti via email.