Questa informativa spiega come trattiamo i dati personali di chi visita www.relayalgo.com e di chi usa il servizio su app.relayalgo.com, secondo il Regolamento generale sulla protezione dei dati (GDPR) e le altre norme applicabili.
1. Titolare del trattamento
Il titolare è [COMPANY LEGAL NAME — TO BE COMPLETED], con sede in [REGISTERED ADDRESS — TO BE COMPLETED], partita IVA o codice fiscale [VAT / TAX ID — TO BE COMPLETED].
Per ogni richiesta sulla privacy scrivi a support@relayalgo.com. Responsabile della protezione dei dati (DPO): [DPO — TO BE APPOINTED OR CONFIRMED NOT REQUIRED].
2. Quali dati trattiamo
- Account: email, password (solo in forma cifrata non reversibile), fattori di autenticazione a due fattori, indirizzo IP e browser delle sessioni.
- Profilo: nome, Paese, lingua, fuso orario, canale di notifica preferito, identificativo Telegram se colleghi il bot, esito della verifica d'identità se richiesta.
- Consensi: quale documento hai accettato, versione, impronta del testo, lingua, indirizzo IP, browser e data.
- Conto exchange collegato: exchange, identificativo del conto (UID), etichetta, chiave API cifrata con i soli ultimi 4 caratteri in chiaro, permessi rilevati.
- Dati di trading: regole di copia, ordini, esecuzioni, posizioni, valore del conto nel tempo, risultati, depositi e prelievi rilevati per il calcolo del massimo di riferimento (high water mark).
- Fatturazione: fatture, importi, stato dei pagamenti. I dati della carta li tratta Stripe: noi non vediamo il numero completo. Per i pagamenti in USDT trattiamo l'indirizzo e la transazione.
- Comunicazioni: notifiche inviate, richieste di assistenza e le relative risposte.
- Sicurezza: registro delle azioni rilevanti (chi, cosa, quando, da quale IP) e log tecnici con i dati segreti oscurati.
- Visita al sito: l'indirizzo IP, usato dal fornitore di hosting per consegnare le pagine e da noi per ricavare il Paese e scegliere la lingua. Il Paese non viene salvato sui nostri server e l'IP non viene registrato a questo scopo.
- Prenotazione di una chiamata: se prenoti una chiamata dal sito, nome, email, lingua e fuso orario della chiamata, argomento, la tua nota facoltativa, orario della chiamata e link della videochiamata. La videochiamata si svolge sul fornitore video (di default Jitsi Meet); non registriamo le chiamate.
Non trattiamo categorie particolari di dati (salute, opinioni politiche e simili) e non vendiamo dati a nessuno.
3. Perché li trattiamo e su quale base
| Finalità | Base giuridica |
|---|---|
| Creare e gestire l'account, collegare il conto, eseguire la copia, inviare le notifiche di servizio | Esecuzione del contratto |
| Calcolare commissioni e abbonamenti, emettere fatture, tenere la contabilità | Contratto e obblighi di legge |
| Conservare la prova dei consensi | Obbligo di legge e legittimo interesse a difendere i nostri diritti |
| Proteggere account e sistemi, prevenire abusi e frodi, mantenere il registro di sicurezza | Legittimo interesse e obblighi di legge |
| Applicare sanzioni internazionali, blocco dei Paesi ed eventuale verifica d'identità | Obbligo di legge |
| Comunicazioni commerciali | Solo con il tuo consenso, revocabile in ogni momento |
4. Le chiavi API
La chiave API è il dato più delicato che ci affidi, per questo:
- è cifrata con AES-256-GCM, con una chiave diversa per ogni conto, a sua volta protetta da una chiave principale custodita in un servizio di gestione chiavi (KMS);
- viene decifrata solo in memoria, sui server che inviano gli ordini, e solo per il tempo necessario;
- nessuna persona del team, nemmeno l'amministratore, può vederla in chiaro;
- quando la revochi o chiudi l'account viene distrutta in modo irreversibile.
5. Per quanto tempo li conserviamo
I tempi qui sotto sono una proposta in corso di verifica legale.
| Dati | Conservazione |
|---|---|
| Account e profilo | Per la durata dell'account; pseudonimizzati 30 giorni dopo la chiusura |
| Chiave API | Distrutta alla revoca o alla chiusura |
| Verifiche tecniche della chiave | 90 giorni |
| Ordini, esecuzioni, posizioni, risultati, depositi e prelievi, fatture | 10 anni, per obblighi contabili e fiscali |
| Valore del conto minuto per minuto | 90 giorni, poi riepilogo giornaliero per 10 anni |
| Prova dei consensi | 10 anni dalla chiusura dell'account |
| Notifiche | 12 mesi |
| Incidenti tecnici | 24 mesi |
| Registro di sicurezza | 5 anni, con l'autore pseudonimizzato insieme all'account |
| Log tecnici | 30 giorni |
| Prenotazioni di chiamate (nome, email, nota) | 12 mesi dopo la chiamata, poi anonimizzate |
Quando chiudi l'account, email, nome, identificativo Telegram, UID ed etichette vengono sostituiti o cancellati dopo 30 giorni. I dati finanziari restano, legati a un identificativo interno non più riconducibile a te, fino alla scadenza dei termini di legge.
6. A chi li comunichiamo
Usiamo fornitori che trattano dati per nostro conto, con accordi sul trattamento dei dati:
| Fornitore | Servizio | Dove |
|---|---|---|
| Supabase | Database, autenticazione | Singapore |
| Vercel | Hosting del sito e delle app | Rete globale |
| Railway | Server di sviluppo | Singapore |
| Fornitore di server dedicati (da definire) | Server che inviano gli ordini | Singapore |
| Amazon Web Services (KMS) | Custodia della chiave principale di cifratura | Singapore |
| Stripe | Pagamenti con carta | UE e USA |
| Resend | Invio delle email | USA |
| Telegram | Notifiche, se lo attivi | Globale |
| Better Stack | Log e monitoraggio | UE o USA |
| Cloudflare (Turnstile) | Protezione anti-bot su registrazione e recupero password | Globale |
Inoltre:
- Il tuo exchange riceve gli ordini che inviamo con la tua chiave. L'exchange tratta i tuoi dati come titolare autonomo, secondo la sua informativa.
- Google Fonts: il sito carica i caratteri tipografici dai server di Google, che vedono il tuo indirizzo IP.
- Bybit e Binance: il sito mostra i prezzi di mercato leggendoli direttamente dal tuo browser dai loro server pubblici, che vedono il tuo indirizzo IP. Non inviamo loro alcun dato personale.
- Autorità pubbliche, quando la legge ce lo impone.
7. Trasferimenti fuori dall'Unione europea
I dati dell'app sono trattati a Singapore, che non ha una decisione di adeguatezza della Commissione europea: il trasferimento avviene con le clausole contrattuali standard approvate dalla Commissione e con una valutazione dell'impatto del trasferimento. Per i fornitori negli Stati Uniti usiamo il Data Privacy Framework, quando il fornitore vi aderisce, oppure le clausole contrattuali standard. Puoi chiederci una copia delle garanzie adottate.
8. I tuoi diritti
Puoi chiederci in qualsiasi momento di:
- accedere ai tuoi dati e riceverne una copia: dal profilo, con "Esporta i miei dati", ottieni un file con profilo, consensi, conti (senza chiavi), regole, operazioni e fatture;
- correggerli;
- cancellarli, chiudendo l'account, fatta salva la conservazione imposta dalla legge;
- limitarne il trattamento o opporti, in particolare al trattamento basato sul legittimo interesse;
- riceverli in un formato strutturato per portarli altrove;
- revocare il consenso alle comunicazioni commerciali, senza conseguenze sul servizio.
Rispondiamo entro 30 giorni. Hai anche il diritto di presentare reclamo all'autorità di controllo per la protezione dei dati, in particolare quella del Paese in cui vivi o lavori.
9. Cookie e memoria del browser
Il sito non usa cookie pubblicitari né strumenti di analisi o di profilazione. Salva nella memoria del tuo browser (localStorage) solo tre preferenze tecniche, che non ci vengono inviate:
relay_theme: tema chiaro o scuro;relay_lang: la lingua che hai scelto;relay_geo: il Paese ricavato dall'IP, per 24 ore, per non ripetere la richiesta a ogni pagina.
L'app usa la memoria del browser per mantenere la sessione di accesso. Sono strumenti strettamente necessari o richiesti da te, per cui non serve un consenso. Puoi cancellarli dalle impostazioni del browser.
10. Sicurezza
Usiamo connessioni cifrate, autenticazione a due fattori, accessi separati e al minimo necessario per ogni componente, controllo degli accessi riga per riga sul database e un registro delle azioni che non può essere modificato. In caso di violazione dei dati che comporti un rischio per te, avvisiamo l'autorità entro 72 ore e ti informiamo senza ritardo. Se sono coinvolte le chiavi API, ti chiediamo sempre di revocarle dal tuo exchange.
11. Minori
Relay non è destinato a persone con meno di 18 anni e non raccogliamo consapevolmente i loro dati.
12. Decisioni automatizzate
La copia esegue in automatico le regole che hai impostato tu. Il rifiuto automatico della registrazione per i Paesi esclusi si basa sul Paese che dichiari. Puoi sempre chiedere l'intervento di una persona scrivendo a support@relayalgo.com.
13. Modifiche
Se cambiamo questa informativa pubblichiamo la nuova versione con numero e data. Se le modifiche sono rilevanti te lo comunichiamo prima che si applichino.