API astrologico GDPR-ready per sviluppatori UE

Il primo API astrologico con piena residenza nell’UE. Se stai sviluppando un prodotto B2C per il mercato europeo, la questione della conformità al GDPR si pone prima ancora di scrivere la prima riga di codice. AstroWay risolve questo problema per impostazione predefinita, senza tariffe aggiuntive o acrobazie legali.

Perché è importante

Gli altri API astrologici (DivineAPI, AstrologyAPI, Prokerala) sono ospitati negli USA / India. Questo significa:

Il tuo birth.date, birth.time, birth.lat, birth.lon (=PII nel senso del GDPR) passa attraverso gli USA/India.
Informativa sui sub-processori per la tua privacy policy: devi elencare la loro giurisdizione.
DPA (Data Processing Agreement): o non disponibile, o solo per Enterprise con un contratto separato.
Rischio di audit da parte dell’Autorità per la protezione dei dati UE-EUR: trasferimento transfrontaliero senza SCC = multe di €10M+.

AstroWay con il piano Pro ($59/mese) ti offre la residenza nell’UE per impostazione predefinita: tutti i dati sono archiviati ed elaborati presso Hetzner Norimberga. Amministriamo queste macchine dall’Ucraina, e il DPA copre questo accesso con le Clausole Contrattuali Standard, invece di fingere che non esista.

Stack tecnico

Livello	Posizione / provider
Compute	Hetzner, Norimberga (Germania)
Database	Residente nell’UE, nello stesso data center - i dati non lasciano Norimberga
CDN / DNS	Cloudflare con regole di cache per la regione UE (le richieste dall’UE sono servite dagli edge UE)
Email transazionale	Brevo (ex Sendinblue), basato nell’UE, SMTP conforme al GDPR
File di report	La nostra infrastruttura a Norimberga: accesso solo tramite link firmato con scadenza limitata, senza replicazione al di fuori dell’UE
Analisi	GA4 con anonymizeIp + nessun dato personale negli eventi (Plausible self-hosted in roadmap)
Logs	structured JSON, IP-hash only (no raw IPs), retention 30 days

Per impostazione predefinita (per tutte le chiavi Pro+)

✅ Flusso di dati solo all’interno dell’UE: i dati di nascita non lasciano mai Norimberga
✅ I dati rimangono nell’UE, e diciamo esattamente cosa significa: i dati di nascita sono archiviati ed elaborati a Norimberga e non vengono copiati altrove. Amministriamo questi sistemi dall’Ucraina, e il Capitolo V del GDPR considera il trasferimento e l’accesso remoto come un trasferimento, anche quando nulla esce, quindi il DPA copre questo accesso con le Clausole Contrattuali Standard
✅ Hashing IP: nei log viene memorizzato solo un hash SHA-256 salato più i primi 16 bit dell’indirizzo, che mostrano la rete ma non il nodo. Non memorizziamo l’indirizzo stesso da nessuna parte: la limitazione della frequenza delle richieste viene calcolata nella memoria del processo e l’indirizzo non viene scritto da nessuna parte
✅ Conservazione dei log per 30 giorni: dopo questo periodo, i log vengono automaticamente eliminati
⚠️ Analisi anonimizzata (GA4): anonymize_ip + nessun dato personale negli eventi. Plausible self-hosted (senza cookie) è in roadmap. Prima della migrazione, raccomandiamo il tuo banner cookie sul frontend B2C.
✅ Diritto alla cancellazione: DELETE /v1/me/account (Bearer JWT, corpo {"confirmation": "DELETE"}) disattiva istantaneamente tutte le chiavi dell’account e imposta la cancellazione per 30 giorni. Durante questo periodo, la richiesta può essere revocata tramite POST /v1/me/account/cancel-deletion, dopodiché un’attività giornaliera cancella i nostri dati su di te. La finestra è intenzionale: la cancellazione non dovrebbe essere irreversibile a causa di un singolo comando errato

Su richiesta (abbonati Pro+)

📄 DPA (Data Processing Agreement): modello standard GDPR Art. 28. Leggi il testo completo, accetti con un pulsante nella dashboard e ricevi immediatamente un PDF che include la registrazione dell’accettazione: account, versione, data. L’articolo 28 par. 9 accetta il contratto “in forma scritta, anche elettronica”, quindi non è necessario attendere una firma. Una copia cartacea firmata viene fornita su richiesta a legal@astroway.info.
📋 Elenco dei sub-processori: elenco completo (Hetzner, Cloudflare, il nostro provider SMTP e il provider di pagamenti) con i documenti di conformità di ciascuno. Brevo come fornitore SMTP è indicato nell’allegato DPA per i clienti che lo hanno firmato.
🗂️ Input per DPIA (Data Protection Impact Assessment): se il tuo team legale sta conducendo un DPIA per il tuo prodotto, forniamo un riferimento tecnico da parte nostra.

Per i clienti Enterprise (piano personalizzato)

🛡️ SOC 2 Type II: in roadmap (società di revisione non definita, ETA TBD). Se questo blocca la tua integrazione, scrivi a legal@astroway.info, siamo pronti a considerare una collaborazione di revisione separata.
🇪🇺 Entità legale all’interno dell’UE: la forma giuridica attuale è un imprenditore individuale ucraino (Maxim Burkhan). Se il tuo reparto acquisti richiede una GmbH UE (Germania / Estonia), ne discutiamo individualmente tramite legal@astroway.info, processo di 4-8 settimane.
🔐 Infrastruttura dedicata su richiesta: server separato a Norimberga e database isolato
📞 Canale diretto per la sicurezza: security@astroway.info per la risposta agli incidenti

Confronto: AstroWay vs. concorrenti con hosting negli USA

Critico per uno sviluppatore UE	AstroWay Pro $59	DivineAPI	AstrologyAPI	Prokerala
Compute nell’UE	✅ Hetzner Norimberga	❌ USA	❌ USA	❌ India
DPA standard disponibile	✅ su Pro+	❌ solo Enterprise	❌ solo Enterprise	❌ solo Enterprise
Conformità GDPR per impostazione predefinita	✅ a livello di infrastruttura	⚠️ tramite SCC	⚠️ tramite SCC	⚠️ tramite SCC
Analisi senza cookie	⚠️ GA4 anonimizzato (Plausible in roadmap)	❌ GA4	❌ GA4	❌ GA4
Garanzia di flusso dati solo nell’UE	✅ per iscritto	❌	❌	❌
Input tecnico per DPIA	✅ fornito	❌	❌	❌
Endpoint diritto alla cancellazione	✅ `DELETE /v1/me/account`	❌ tramite ticket	❌ tramite ticket	❌ tramite ticket

Prezzo

Residenza nell’UE, DPA, GDPR a livello di infrastruttura - tutto incluso nel Pro $59/mese. Non è un piano separato, non è necessario contattare le vendite, non è un prezzo personalizzato.

Questa è una strategia consapevole: l’hosting presso Hetzner non ci costa nulla in più (la nostra infrastruttura è già a Norimberga), e il DPA è un modello standard che si firma una volta via email. Non devi pagare per la privacy ciò che dovrebbe essere predefinito.

FAQ

Sì, il piano Free ha la stessa infrastruttura (Hetzner Norimberga), la stessa analisi anonimizzata, la stessa conservazione dei log per 30 giorni. Il DPA non è disponibile per il piano Free (questo è un overhead amministrativo che si ripaga solo a livello a pagamento), ma tecnicamente i dati sono elaborati allo stesso modo.

Se il tuo avvocato richiede un DPA firmato, nemmeno Indie ($5/mese) lo fornisce. L’opzione più economica con DPA = Pro $59.

E la sentenza Schrems II della CGUE? Il tuo CDN Cloudflare: è un’azienda statunitense?

Cloudflare è statunitense, ma utilizziamo regole di cache per la regione UE (una richiesta da un IP UE è servita da un edge UE), e il server di origine (dove i dati sono effettivamente elaborati) è Hetzner Norimberga. I PII (dati di nascita) passano attraverso l’edge di Cloudflare nella stessa regione e non sono memorizzati sull’edge, solo in transito.

Per scenari d’uso criticamente sensibili (applicazioni mediche, B2G) è possibile bypassare Cloudflare tramite il routing DNS sull’origine - scrivi a legal@astroway.info.

Quanto velocemente riceverò il DPA dopo l’abbonamento a Pro?

DPA standard (il nostro modello): immediatamente. Il testo è disponibile su /legal/dpa/, si accetta nella dashboard, il PDF si scarica lì e contiene la registrazione dell’accettazione.
Modifiche individuali dal tuo avvocato: le consideriamo, ma non promettiamo una tempistica, perché non abbiamo un avvocato interno. Non negoziamo i punti standard dell’Art. 28: sono presi dal modello della Commissione Europea proprio per non essere discussi.

Devo firmare un DPA se sono uno sviluppatore B2B senza PII propri?

Se il tuo prodotto finale elabora PII (e i dati di nascita sono PII), allora sì, il tuo avvocato molto probabilmente richiederà un DPA firmato con tutti i sub-processori. Noi lo forniamo di serie. Se la tua integrazione è interna (solo dipendenti), probabilmente il DPA non è critico, ma è comunque meglio firmarlo.

Cosa fa AstroWay se ho eseguito `DELETE /v1/me/account`?

Chiavi API: eliminate in modo soft (cooldown anti-abuso)
Collegamento account-chiave: interrotto; la chiave non può essere riassegnata
Profilo utente: contrassegnato come eliminato con timestamp
Log di utilizzo: l’hash IP non è più PII, rimane per l’audit della fatturazione
Cronologia ordini: conservata, poiché richiesta dalla legislazione fiscale. Per gli imprenditori individuali, sono 1095 giorni secondo il par. 44.3 del Codice Fiscale, ovvero tre anni, non sette: l’Art. 17 §3(b) del GDPR esclude esplicitamente tali registrazioni dal diritto alla cancellazione
Email transazionali: eliminate automaticamente dal nostro provider SMTP dopo 90 giorni

Il flusso completo è disponibile su richiesta tramite legal@astroway.info.

Contatti

Legal/DPA: legal@astroway.info
Security incidents: security@astroway.info
Subprocessor list / DPIA: hello@astroway.info

Utile?

Suggerisci modifica

Ultimo aggiornamento: 29 set 2026

// Indietro

Costo per endpoint

Avanti //

Founders' Lifetime Deal