Informativa sulla privacy

Questa è una traduzione. Fa fede il testo in inglese.

Ultimo aggiornamento: 30 ottobre 2026

La presente informativa spiega quali dati personali raccoglie PageCheck, per quale motivo, per quanto tempo li conserviamo e quali diritti spettano all’utente. PageCheck è un servizio di analisi di siti web disponibile su pagecheck.dev, gestito da WEBHAUS, SIA.

1. Chi è il responsabile

Il titolare del trattamento dei dati personali dell’utente è:

WEBHAUS, SIA
Ziemeļu 7, Valmiera, LV-4201, Lettonia
Numero di registrazione 44103102859, partita IVA LV44103102859
Telefono: +371 28440055
Richieste relative alla privacy: privacy@pagecheck.dev
Assistenza: hello@pagecheck.dev

2. Quali dati raccogliamo, perché e su quale base giuridica

2.1 Verifiche dei siti web

Le verifiche possono essere eseguite solo con un account. Quando l’utente digita l’indirizzo di un sito web nella home page prima di accedere, conserviamo l’indirizzo, la lingua utilizzata, l’indirizzo IP (per IPv6, i suoi primi 64 bit) e l’ora per 30 minuti, affinché la verifica possa iniziare non appena l’utente ha effettuato l’accesso; un cookie (pc_intent) collega tali dati al browser dell’utente. Cerchiamo il nome del sito web nel DNS, ma non lo visitiamo finché l’utente non ha effettuato l’accesso.

Per ogni verifica registriamo l’indirizzo del sito web, l’account, l’indirizzo IP, la lingua e gli orari, e conserviamo il report. Utilizziamo l’account e l’indirizzo IP per applicare i limiti giornalieri, compreso un limite alle verifiche gratuite per rete, considerando tutti gli account.

Base giuridica: l’esecuzione del servizio richiesto dall’utente (art. 6, par. 1, lett. b) GDPR) e il nostro legittimo interesse a prevenire abusi di un servizio gratuito (art. 6, par. 1, lett. f) GDPR).

2.2 Protezione contro gli usi impropri automatizzati

La richiesta di un codice di accesso via e-mail, l’acquisto di un piano al checkout e l’aggiunta o la modifica di una carta sono protetti da Cloudflare Turnstile, che esamina segnali provenienti dal browser e dal dispositivo dell’utente per distinguere le persone dai programmi automatizzati. Per impedire la creazione di account in massa, per ogni nuovo account registriamo l’ora, la rete da cui è stato creato (indirizzo IP, IPv6 in base ai primi 64 bit) e il dominio del relativo indirizzo e-mail, e limitiamo il numero di nuovi account che una rete e un dominio e-mail aziendale possono creare al giorno. Base giuridica: il nostro legittimo interesse a mantenere il servizio disponibile e sicuro (art. 6, par. 1, lett. f) GDPR). Si veda anche la sezione 4.

2.3 Account e accesso

L’utente può accedere con un codice via e-mail o con Google, e con Microsoft ove la pagina di accesso lo preveda; non esistono password. Ogni account ha un unico indirizzo e-mail verificato e, accedendo con un altro metodo il cui indirizzo verificato è lo stesso, tale metodo viene collegato allo stesso account.

Google: riceviamo il nome, l’indirizzo e-mail, l’indicazione se Google lo ha verificato e l’identificativo dell’account Google dell’utente.
Microsoft (ove disponibile; account personale, aziendale o dell’istituto di istruzione): riceviamo il nome, l’indirizzo e-mail, un identificativo dell’account e, per gli account aziendali e degli istituti di istruzione, l’indicazione se l’organizzazione dell’utente ha verificato l’indirizzo. Se Microsoft non conferma l’indirizzo, vi inviamo un codice prima di utilizzarlo per l’account dell’utente.
Codice via e-mail: inviamo un codice di 6 cifre e un link di accesso all’indirizzo inserito. Conserviamo solo un hash unidirezionale del codice e del link, validi per 10 minuti, insieme all’ora, all’indirizzo IP dell’utente e a un cookie (pc_login) che collega il codice al browser dell’utente, in modo che un codice funzioni solo dove è stato richiesto. Limitiamo il numero di codici che un indirizzo e una rete possono richiedere.

Quando l’utente crea un account, registriamo l’accettazione dei Termini di servizio e della presente Informativa sulla privacy, con la relativa versione e la data. In caso di modifiche sostanziali, chiediamo all’utente di accettarli nuovamente. Utilizziamo i dati dell’account per gestire l’account, conservare la cronologia delle verifiche e applicare i limiti del piano. L’utente può collegare e scollegare i metodi di accesso nel proprio account; il codice via e-mail resta sempre disponibile. Base giuridica: l’esecuzione del contratto con l’utente (art. 6, par. 1, lett. b) GDPR).

2.3a Eliminazione dell’account e download dei dati

L’utente può eliminare autonomamente il proprio account dalle impostazioni dell’account, dopo aver confermato la propria identità con un nuovo accesso o con un codice inviato via e-mail. L’account viene quindi disattivato immediatamente — l’utente viene disconnesso ovunque e non è possibile eseguire nuove verifiche — ed eliminato definitivamente 30 giorni dopo. Durante tali 30 giorni l’utente può ripristinarlo accedendo o tramite il link contenuto nell’e-mail che gli inviamo. Il periodo di attesa protegge l’utente nel caso in cui qualcun altro ottenga l’accesso al suo account, consente di annullare le eliminazioni accidentali e impedisce che i limiti vengano azzerati eliminando e ricreando account; la legge ci concede un mese per dare seguito a una richiesta. In presenza di un piano a pagamento, l’utente sceglie tra eliminare l’account alla scadenza del periodo pagato (il piano non si rinnova, l’account funziona fino ad allora e glielo ricordiamo 7 giorni prima) ed eliminarlo subito, rinunciando ai giorni residui; il periodo pagato non viene rimborsato, salvo quanto diversamente previsto dalla sezione 8 dei Termini.

Quando l’account viene eliminato, cancelliamo i dati dell’account, i metodi di accesso e l’indirizzo e-mail dell’utente. I report restano disponibili ai relativi link, ma non sono più collegati all’utente. Le copie nei nostri backup scompaiono entro ulteriori 30 giorni. La carta salvata viene rimossa e il profilo cliente presso Stripe viene eliminato. Conserviamo le fatture e i dati di pagamento per il tempo richiesto dalla normativa contabile e, per 180 giorni, un hash unidirezionale con chiave dell’indirizzo e-mail e dell’ultimo indirizzo di rete utilizzato, al solo scopo di applicare i limiti sui nuovi account e sulle verifiche gratuite (legittimo interesse, art. 6, par. 1, lett. f) GDPR).

L’utente può inoltre scaricare i propri dati in qualsiasi momento — una volta al giorno, dopo un nuovo accesso o un codice: un file ZIP con i dati dell’account (JSON), l’elenco delle verifiche (CSV) e il PDF di ciascun report.

2.4 Piani a pagamento e fatture

Quando l’utente acquista un piano a pagamento, trattiamo il nome, la ragione sociale, l’indirizzo di fatturazione, la partita IVA (se presente), il piano, la cronologia dei pagamenti e le fatture. I pagamenti sono gestiti da Stripe; non vediamo né conserviamo mai il numero completo della carta. I dati della carta vengono inseriti nel modulo di pagamento di Stripe, caricato da Stripe solo nelle pagine di fatturazione (checkout, Piano e fatturazione quando l’utente aggiunge o modifica una carta, e la pagina per confermare un pagamento con la propria banca); in tali pagine Stripe riceve anche informazioni sul browser e sul dispositivo dell’utente per prevenire frodi, ai sensi della propria informativa sulla privacy. Per applicare l’IVA corretta registriamo prove dell’ubicazione dell’utente: il paese di fatturazione, il paese dell’indirizzo IP e il paese della carta. Base giuridica: l’esecuzione del contratto con l’utente (art. 6, par. 1, lett. b) GDPR) e i nostri obblighi legali ai sensi della normativa contabile e fiscale (art. 6, par. 1, lett. c) GDPR).

2.5 Novità su PageCheck

Occasionalmente possiamo inviare novità su PageCheck — nuove verifiche, funzionalità e offerte relative al nostro servizio — all’indirizzo e-mail utilizzato per PageCheck. Non inviamo mai offerte di terzi e non vendiamo né cediamo in locazione l’indirizzo dell’utente. Ogni e-mail di novità contiene un link per annullare l’iscrizione con un clic e l’utente può inoltre scrivere in qualsiasi momento a privacy@pagecheck.dev. Base giuridica: il nostro legittimo interesse a informare gli utenti sul nostro servizio (art. 6, par. 1, lett. f) GDPR), in conformità all’articolo 9 della legge lettone sui servizi della società dell’informazione relativo alle comunicazioni ai clienti esistenti su servizi analoghi.

2.6 Registro di consegna delle e-mail

Per ogni e-mail inviata registriamo l’ora, il destinatario, l’oggetto, il tipo e l’esito della consegna — mai il contenuto del messaggio. Utilizziamo il registro per rispondere a domande come “Non ho ricevuto il mio report” e per individuare problemi di consegna. Base giuridica: il nostro legittimo interesse a gestire un servizio affidabile (art. 6, par. 1, lett. f) GDPR).

2.7 Log del server

I nostri server web registrano dati tecnici su ogni richiesta (indirizzo IP, ora, indirizzo richiesto, identificazione del browser). Utilizziamo questi log per finalità di sicurezza e di risoluzione dei problemi. Base giuridica: il nostro legittimo interesse a gestire un servizio sicuro (art. 6, par. 1, lett. f) GDPR).

2.8 I siti web verificati

Per verificare un sito web, PageCheck lo visita come un normale visitatore e legge ciò che qualsiasi visitatore può vedere: le pagine, le intestazioni delle risposte, i record DNS e informazioni pubbliche analoghe. Il report ricevuto dall’utente può contenere informazioni ivi trovate. Non cerchiamo di accedere a nulla che non sia pubblico.

2.9 Statistiche sui visitatori (Google Analytics e Microsoft Clarity)

Solo se l’utente acconsente ai cookie di analisi — “Accetta tutti” o l’opzione Statistiche nell’avviso sui cookie — utilizziamo Google Analytics e Microsoft Clarity per capire come viene usato PageCheck e per migliorarlo. Senza il consenso dell’utente nessuno dei due viene caricato e nulla viene inviato a Google o a Microsoft.

Google Analytics riceve le pagine aperte, la provenienza, il browser, il dispositivo, lo schermo e la posizione approssimativa dell’utente (ricavata dal suo indirizzo IP, che Google Analytics non conserva), un identificatore casuale conservato in un cookie e alcune azioni compiute sul sito — ad esempio che è stato premuto il pulsante “Controlla”, se l’utente aveva effettuato l’accesso e quale piano ha.
Microsoft Clarity registra come vengono usate le pagine — movimenti del mouse, clic, scorrimento e dimensioni dello schermo — sotto forma di registrazioni delle sessioni e mappe di calore, con un identificatore casuale conservato in un cookie. Tutto il testo della pagina e tutto ciò che l’utente digita vengono mascherati prima che qualsiasi dato lasci il suo browser, e le pagine dell’account vengono mascherate interamente.

Dagli indirizzi delle pagine che inviamo rimuoviamo gli identificatori dei report e delle verifiche, i link di accesso e di conferma e altri dati personali, e le pagine che nominano un sito web verificato dall’utente inviano invece un titolo neutro. Non inviamo mai il nome, l’indirizzo e-mail, il numero di account dell’utente né gli indirizzi che verifica, e non carichiamo nessuno dei due strumenti nelle pagine il cui indirizzo contiene un link monouso. Non abbiamo attivato funzioni pubblicitarie, Google Signals né la condivisione dei dati a fini pubblicitari, e non combiniamo le statistiche con l’account dell’utente.

Google Analytics conserva i dati per 14 mesi. Clarity conserva le registrazioni delle sessioni per 30 giorni e i dati aggregati per un massimo di 13 mesi. L’utente può revocare il consenso in qualsiasi momento tramite Impostazioni cookie in fondo a ogni pagina: entrambi gli strumenti si interrompono immediatamente e i loro cookie vengono eliminati. Base giuridica: il consenso dell’utente (art. 6, par. 1, lett. a) GDPR).

2.10 App di IA collegate

Se il piano lo include, l’utente può collegare un’app di IA (come Claude o ChatGPT) al proprio account PageCheck. Lo sceglie nella nostra schermata di consenso, che elenca ciò che l’app ha chiesto. L’app può quindi leggere il piano e i dati di utilizzo del giorno (controlli usati e rimasti, controlli in corso, posti per pagine monitorate), i controlli e i report dell’utente e le sue pagine monitorate con la loro cronologia, compreso ciò che i report dicono dei siti controllati. Se l’utente lascia selezionata in quella schermata la casella Avviare controlli e controlli in blocco per te, l’app può anche avviare controlli e controlli in blocco per suo conto: questi usano il limite giornaliero come i controlli avviati dall’utente stesso, e registriamo quale app ha avviato ciascuno di essi. L’app non riceve mai il nome o l’indirizzo e-mail dell’utente e non può modificare il suo account o le sue pagine monitorate né vedere altri account. Conserviamo una registrazione di ogni collegamento (nome dell’app, indirizzo a cui ritorna, ciò che l’utente ha consentito, quando è stata collegata e usata l’ultima volta) finché esiste l’account; i token di accesso e di aggiornamento sono conservati solo in forma non reversibile e vengono eliminati 30 giorni dopo la scadenza. L’utente può scollegare un’app in qualsiasi momento in Impostazioni account › App collegate. Ciò che l’app fa con queste informazioni è disciplinato dai termini e dall’informativa sulla privacy del suo fornitore.

2.11 Cookie

Si veda la nostra Informativa sui cookie.

3. L’utente è obbligato a fornirci i propri dati?

No, ma le verifiche possono essere eseguite solo con un account, che richiede un indirizzo e-mail verificato, e senza i dati di fatturazione non possiamo fornire un piano a pagamento.

4. Chi riceve i dati dell’utente

Ci avvaliamo dei seguenti fornitori di servizi, che trattano i dati per nostro conto e secondo le nostre istruzioni:

Hetzner Online GmbH (Germania) — hosting; i nostri server si trovano nell’UE (Finlandia).
Cloudflare, Inc. (USA) — distribuzione dei contenuti, sicurezza, DNS e verifica Turnstile.
Mailgun Technologies, Inc. (USA) — invio di e-mail; utilizziamo la sua regione UE.
Microsoft Ireland Operations Limited / Microsoft Corporation — accesso con Microsoft, ove disponibile, e statistiche sui visitatori di Microsoft Clarity, solo con il consenso dell’utente (sezione 2.9).
Google LLC / Google Ireland Limited — accesso con Google, la nostra e-mail di assistenza, statistiche sui visitatori di Google Analytics, solo con il consenso dell’utente (sezione 2.9), e i servizi Chrome UX Report e PageSpeed Insights, che ricevono l’indirizzo del sito web verificato.
Stripe Payments Europe, Ltd. (Irlanda) — elaborazione dei pagamenti.
Il nostro commercialista e i nostri consulenti fiscali, ove le fatture e i dati di pagamento lo richiedano.

Il riquadro “Sito e presenza online” di un report contiene un pulsante, “Mostra la data del primo salvataggio”. Solo quando l’utente vi fa clic, il suo browser chiede all’Internet Archive (USA, archive.org) quando ha salvato per la prima volta il sito web verificato; come ogni richiesta, essa contiene l’indirizzo IP dell’utente ed è gestita secondo i termini e l’informativa sulla privacy dell’Internet Archive. PageCheck non contatta l’Internet Archive e non conserva nulla della risposta. Il link alla Wayback Machine accanto ad esso funziona come qualsiasi altro link.

Comunichiamo dati alle autorità solo quando la legge lo richiede.

5. Trasferimenti al di fuori dell’UE

Alcuni di questi fornitori, o società dei loro gruppi, hanno sede negli Stati Uniti. Qualora i dati vengano trasferiti negli Stati Uniti, il trasferimento è coperto dal quadro UE-USA per la protezione dei dati personali (EU–US Data Privacy Framework) o dalle clausole contrattuali tipo della Commissione europea.

6. Per quanto tempo conserviamo i dati

Indirizzi di siti web digitati prima dell’accesso: 30 minuti, poi scadono; il record viene eliminato un giorno dopo.
Codici e link di accesso: validi per 10 minuti; eliminati un giorno dopo la scadenza.
Record dei nuovi account (rete e dominio e-mail): l’indirizzo di rete viene rimosso dopo 180 giorni.
Indirizzi IP utilizzati per i limiti giornalieri: conservati per 180 giorni, poi rimossi dal record della verifica.
Verifiche completate e relativi report: conservati affinché il report resti disponibile; quando l’account viene eliminato, non sono più collegati all’utente.
Account: fino all’eliminazione dell’account da parte dell’utente; l’eliminazione ha effetto 30 giorni dopo la richiesta (si veda la sezione 2.3a), e i backup vengono sovrascritti entro ulteriori 30 giorni.
Dopo l’eliminazione di un account: un hash con chiave dell’indirizzo e-mail e dell’indirizzo di rete, per 180 giorni, al solo scopo dei limiti antiabuso.
Richieste di verifica non confermate effettuate tramite lo strumento di verifica incorporato nel sito di un titolare di sito web (ove disponibile), compreso l’indirizzo e-mail: eliminate 7 giorni dopo la richiesta.
Fatture e dati di pagamento: per il tempo richiesto dalla normativa contabile e fiscale lettone.
E-mail di novità: interrompiamo l’invio non appena l’utente annulla l’iscrizione e conserviamo l’indirizzo solo in un elenco di esclusione, per poter rispettare la sua scelta.
Statistiche sui visitatori (solo con il consenso dell’utente): Google Analytics 14 mesi; registrazioni delle sessioni di Microsoft Clarity 30 giorni, dati aggregati fino a 13 mesi.
Registro di consegna delle e-mail: 30 giorni.
Log del server: 180 giorni, poi eliminati automaticamente.

7. I diritti dell’utente

L’utente ha il diritto di accedere ai propri dati personali, di ottenerne la rettifica o la cancellazione, di limitarne il trattamento, di riceverli in un formato portabile e di opporsi al trattamento basato sui nostri legittimi interessi — anche, in qualsiasi momento e senza fornire motivazioni, alle e-mail di novità. Scriva a privacy@pagecheck.dev; rispondiamo entro un mese.

L’utente ha inoltre il diritto di proporre reclamo all’autorità di controllo lettone, l’Ispettorato statale per la protezione dei dati (Datu valsts inspekcija, www.dvi.gov.lv), o all’autorità del proprio paese dell’UE.

8. Decisioni automatizzate

Non adottiamo decisioni nei confronti dell’utente che producano effetti giuridici o effetti analogamente significativi basate unicamente su un trattamento automatizzato.

9. Sicurezza

I dati vengono trasmessi solo tramite connessioni cifrate. I codici di accesso, i link di accesso e i link di conferma sono conservati solo come hash unidirezionali, per cui nemmeno una copia del nostro database potrebbe essere utilizzata per accedere o confermare alcunché. L’accesso ai sistemi è limitato alle persone che ne hanno bisogno.

10. Modifiche

Aggiorneremo la presente informativa quando i nostri trattamenti cambiano e indicheremo in alto la data della versione più recente. Le modifiche significative saranno comunicate sul sito o via e-mail.