PayAuditInformativa privacy – PayAudit
Versione dell’informativa: 2026-10-10 · Versione dei testi di consenso: 2026-10-10.1
1. Chi siamo
Titolare del trattamento dei dati personali descritti in questa informativa è PayAudit (“noi”). Contatto: info@payaudit.eu.
L’informativa riguarda il sito PayAudit, i free tool che vi funzionano, la waitlist e l’applicazione web PayAudit durante la beta gratuita (insieme, il “Servizio”).
2. Dati retributivi che analizzi con PayAudit
PayAudit è progettato in modo che i dati retributivi individuali non arrivino mai ai nostri server. Quando carichi un export delle paghe nell’app PayAudit o in un free tool, il file viene letto ed elaborato dal tuo browser, sul tuo dispositivo. Non riceviamo, non conserviamo e non registriamo retribuzione, ore, sesso o categoria dei singoli lavoratori. I free tool sono costruiti per funzionare senza inviare il file da nessuna parte.
Ciò che l’app PayAudit conserva sui nostri server, nel tuo workspace:
- la job architecture (schemi di valutazione, fattori, livelli, mansioni, categorie);
- snapshot aggregati dei report (per esempio numero di lavoratori e retribuzione media o mediana per sesso e per categoria);
- i dati delle valutazioni congiunte delle retribuzioni (aggregati, motivazioni, misure correttive);
- un registro delle richieste di informazioni dei lavoratori ai sensi dell’art. 7 della Direttiva (UE) 2023/970 (riferimento interno, date, stato). Nessun dato retributivo.
Gli aggregati di gruppi molto piccoli (per esempio una categoria con una sola donna) possono comunque riferirsi a un lavoratore identificabile. Trattiamo tutto il contenuto dei workspace come dati trattati per tuo conto: per questi dati tu, datore di lavoro, sei il titolare e noi agiamo come tuo responsabile del trattamento, secondo le condizioni sul trattamento dei dati contenute nei Termini della Beta (art. 28 GDPR). Gli utenti in sola lettura (per esempio i rappresentanti dei lavoratori) non vedono le celle sotto la soglia di soppressione [DA CONFERMARE: soglia e soppressione delle celle piccole anche prima del salvataggio]. I lavoratori che vogliono esercitare i propri diritti su questi dati devono rivolgersi al datore di lavoro; noi lo assisteremo.
3. Cosa trattiamo, perché, con quale base giuridica e per quanto tempo
3.1 Waitlist
| Dati | Finalità | Base giuridica (GDPR) | Conservazione |
|---|---|---|---|
| Email, lingua, fonte dell’iscrizione, codice referral e chi ti ha invitato, parametri di campagna (UTM), date | Inviarti aggiornamenti sul lancio e inviti alla beta (launch_updates) |
Consenso, art. 6(1)(a); per le email promozionali anche art. 130 del Codice privacy | Le iscrizioni non confermate sono cancellate dopo 30 giorni (il link di conferma scade dopo 7 giorni). Iscrizioni confermate: fino alla disiscrizione o alla richiesta di cancellazione e al massimo [DA CONFERMARE] dopo la fine della beta. Dopo la disiscrizione conserviamo l’email con lo stato “disiscritto” solo per rispettare la tua scelta [DA CONFERMARE durata] |
| Risposte al questionario (ruolo, dimensione aziendale, Paese, strumenti, problema principale, funzioni preferite, fascia di prezzo, interesse per la beta, sito web) | Personalizzare il tuo invito e la roadmap (personalisation) |
Consenso, art. 6(1)(a) | Fino alla revoca del consenso (le risposte collegate vengono allora cancellate) o alla richiesta di cancellazione |
| Risposte al questionario date senza il consenso alla personalizzazione | Ricerca di prodotto aggregata | Non sono dati personali: salvate senza alcun collegamento alla tua email, con la sola data (senza ora), senza sito web | Conservate per statistiche aggregate |
La tua scelta sul trasferimento a un acquirente (transfer_to_acquirer) |
Trasferimento dei dati della waitlist se PayAudit viene venduto (sezione 5) | Consenso, art. 6(1)(a) | Come i dati della waitlist |
| Registro dei consensi: finalità, concesso/revocato, versione dell’informativa, hash del testo esatto mostrato, lingua, indirizzo IP troncato (IPv4 /24, IPv6 /48), user agent del browser (max 256 caratteri), modulo, data e ora | Dimostrare quale consenso hai dato o revocato | Obbligo di dimostrare il consenso, art. 6(1)(c) e art. 7(1) | Solo in aggiunta (append-only). Dopo la cancellazione resta solo un record pseudonimo (non più riconducibile alla tua email) |
Testi di consenso mostrati (versione italiana; testi equivalenti sono mostrati in inglese, tedesco, francese e spagnolo):
launch_updates(obbligatorio per iscriversi): “Inviatemi via email aggiornamenti sul lancio e inviti alla beta di PayAudit. Posso disiscrivermi in qualsiasi momento.”personalisation(facoltativo): “Usate le mie risposte al questionario per personalizzare il mio invito e la roadmap.”transfer_to_acquirer(facoltativo, separato): “Se PayAudit viene venduto, i miei dati possono essere trasferiti al nuovo titolare, che li userà solo per le stesse finalità. Sarò avvisato e potrò oppormi.”beta_terms(obbligatorio per entrare nella beta): “Accetto i Termini della Beta (gratuita, senza garanzie, cedibile).”
Nessuna casella è pre-selezionata e nessun consenso è abbinato a un altro.
3.2 Account e workspace della beta
| Dati | Finalità | Base giuridica | Conservazione |
|---|---|---|---|
| Email, nome, lingua, date di accesso; per l’accesso con GitHub/Google, l’identificativo dell’account presso il fornitore (non conserviamo i token di accesso del fornitore) | Creare e proteggere l’account | Contratto (Termini della Beta), art. 6(1)(b) | Fino alla cancellazione dell’account [DA CONFERMARE: procedura] |
| Link di accesso | Accesso senza password | Contratto, art. 6(1)(b) | Validi 15 minuti, monouso, salvati solo come hash, cancellati 1 giorno dopo la scadenza |
| Sessioni: hash del token, IP troncato, user agent, date | Mantenere l’accesso; mostrarti le sessioni attive | Contratto, art. 6(1)(b) | 30 giorni dall’ultimo utilizzo; cancellate dopo la scadenza |
| Appartenenza al workspace, ruolo, inviti (email dell’invitato, ruolo, date) | Collaborazione | Contratto, art. 6(1)(b) | Fino alla rimozione o alla cancellazione del workspace; i link d’invito scadono dopo 7 giorni |
| Accettazione dei Termini della Beta | Prova dell’accordo | Contratto, art. 6(1)(b) | Per il tempo necessario a documentare l’accordo [DA CONFERMARE] |
| Eventi d’uso nel workspace (es. “report generato”) e limiti raggiunti | Migliorare il prodotto, misurare l’attivazione | Legittimo interesse, art. 6(1)(f) | [DA CONFERMARE] |
| Registro di audit (accessi, inviti, cambi di ruolo, export, azioni amministrative) | Sicurezza e accountability | Legittimo interesse, art. 6(1)(f) | [DA CONFERMARE, es. 12 mesi] |
3.3 Chiunque visiti il sito
| Dati | Finalità | Base giuridica | Conservazione |
|---|---|---|---|
| Visite con percorso, lingua, sito di provenienza (solo dominio), parametri di campagna, solo la data | Contare le visite senza cookie né identificativi | Legittimo interesse, art. 6(1)(f); nessun identificativo salvato | Non collegate a persone [DA CONFERMARE conservazione] |
| Clic su “Choose plan” nella pagina prezzi (piano, periodo, lingua, fonte; se non hai effettuato l’accesso, un hash giornaliero con sale dell’IP troncato per contare i clic unici) | Misurare l’interesse per i prezzi pianificati. Non si può acquistare nulla | Legittimo interesse, art. 6(1)(f) | [DA CONFERMARE] |
| Anti-abuso: contatori di rate limit identificati da un hash (con pepper) dell’IP troncato o dell’email; verifica Cloudflare Turnstile sui moduli | Proteggere moduli e accesso dagli abusi | Legittimo interesse, art. 6(1)(f) | I contatori si azzerano tra 1 e 24 ore [DA CONFERMARE pulizia] |
| Dati di consegna delle email (destinatario, modello, stato, id del messaggio presso il fornitore); il contenuto viene rimosso dalla nostra coda dopo l’invio | Recapitare email transazionali e della waitlist entro la quota giornaliera | Come la finalità dell’email | Righe della coda [DA CONFERMARE]; log del fornitore 30 giorni |
Non prendiamo decisioni basate unicamente su trattamenti automatizzati che producano effetti giuridici o effetti analoghi significativi su di te (art. 22 GDPR).
4. A chi comunichiamo i dati
Usiamo questi fornitori come responsabili del trattamento:
| Fornitore | Servizio | Sede / garanzie |
|---|---|---|
| Cloudflare | hosting di sito e applicazione, API, DNS, inoltro email, anti-bot Turnstile | rete globale; società statunitense [NON VERIFICATO: garanzie per il trasferimento] |
| Neon | database Postgres | regione del database [UE – DA CONFERMARE]; società statunitense [NON VERIFICATO] |
| Resend | invio delle email | [NON VERIFICATO: sede e garanzie] |
Se scegli di accedere con GitHub o Google, il fornitore tratta i tuoi dati come titolare autonomo secondo la propria informativa; noi riceviamo solo l’identificativo dell’account, un indirizzo email verificato e il nome.
Nessun fornitore di pagamento è attivo: la fatturazione è spenta durante la beta e non viene addebitato nulla.
Non vendiamo i tuoi dati e non li condividiamo con inserzionisti. Non abbiamo account pubblicitari.
5. Se PayAudit viene venduto
PayAudit potrebbe essere venduto a un nuovo titolare (software, dominio e waitlist). In tal caso:
- ti scriveremo prima del trasferimento, indicando l’acquirente quando possiamo renderlo noto, la data del trasferimento e un link per opporti o disiscriverti con un clic;
- potranno essere trasferiti solo gli iscritti confermati che non si sono opposti; l’acquirente diventa titolare, può usare i dati solo per le stesse finalità qui descritte e ti invierà la propria informativa entro un mese (art. 14 GDPR). Account e workspace della beta seguono la clausola di cessione dei Termini della Beta.
6. Sicurezza
I token segreti (link di accesso, sessioni, link di conferma e d’invito, chiavi API) sono salvati solo come hash SHA-256; gli indirizzi IP sono troncati o trasformati in hash; l’accesso al database è separato per workspace con la row-level security; ogni email passa da una coda con un limite giornaliero; i dati retributivi individuali restano nel tuo browser.
7. I tuoi diritti
Puoi chiedere l’accesso ai tuoi dati (art. 15), la rettifica (art. 16), la cancellazione (art. 17), la limitazione (art. 18), la portabilità (art. 20) e opporti ai trattamenti basati sul legittimo interesse (art. 21), compreso il trasferimento descritto nella sezione 5. Puoi revocare ogni consenso in qualsiasi momento dal link delle preferenze presente in ogni email, senza pregiudicare i trattamenti precedenti (art. 7(3)). Ogni email contiene un link di disiscrizione con un clic.
Scrivi a info@payaudit.eu. Rispondiamo entro un mese (art. 12(3)). Per proteggerti possiamo confermare la richiesta inviando un link all’indirizzo email interessato.
Puoi proporre reclamo al Garante per la protezione dei dati personali o all’autorità del Paese UE in cui vivi o lavori (art. 77).
8. Cookie
Usiamo solo cookie tecnici (sessione di accesso e un cookie di sicurezza di breve durata per l’accesso) e nessun cookie analitico o pubblicitario. Vedi la Cookie Policy.
9. Minori
Il Servizio è destinato alle imprese e non è rivolto a minori di 16 anni.
10. Modifiche
Pubblicheremo qui ogni modifica con una nuova data di versione. Se una modifica riguarda una finalità per cui hai dato il consenso, te lo chiederemo di nuovo.