API astrologico GDPR-ready per sviluppatori UE

La prima API astrologica con piena residenza nell’UE. Se stai sviluppando un prodotto B2C per il mercato europeo, la conformità al GDPR diventa un problema prima ancora di scrivere la prima riga di codice. AstroWay lo risolve di default, senza costi aggiuntivi né contorsioni legali.

Perché è importante

Gli altri API astrologici (DivineAPI, AstrologyAPI, Prokerala) sono ospitati negli USA / India. Questo significa:

I tuoi birth.date, birth.time, birth.lat, birth.lon (=PII ai sensi del GDPR) passano attraverso gli USA/India.
Disclosure dei sub-processor nella tua privacy policy: devi elencare le loro giurisdizioni.
DPA (Data Processing Agreement) — o non disponibile o solo per Enterprise con un contratto separato.
Rischio di audit da parte dell’Autorità Europea per la Protezione dei Dati: trasferimento transfrontaliero senza SCC = multe superiori a €10M.

AstroWay, con il piano Pro ($59/mese), ti offre residenza nell’UE di default: tutti i dati vengono elaborati su Hetzner a Norimberga, senza trasferimenti transfrontalieri.

Stack tecnico

Livello	Posizione / provider
Compute	Hetzner CPX32, Norimberga (Germania)
Database	Residente nell’UE sullo stesso VPS — i dati non lasciano l’infrastruttura di Norimberga
CDN / DNS	Cloudflare con regole di cache nella regione UE (le richieste dall’UE vengono gestite dagli edge UE)
Email transazionali	Brevo (ex Sendinblue), basato nell’UE, SMTP conforme al GDPR
Archiviazione PDF	Hetzner Storage Box (Norimberga) — URL firmati con TTL 24h, nessuna replica transfrontaliera
Analitiche	GA4 con anonymizeIp + nessun dato personale negli eventi (Plausible auto-ospitato in roadmap)
Logs	JSON strutturato, solo hash dell’IP (nessun IP grezzo), conservazione 30 giorni

Di default (per tutte le chiavi Pro+)

✅ Flusso dati solo all’interno dell’UE — i dati di nascita non lasciano mai Norimberga
✅ Nessun trasferimento transfrontaliero di dati personali — confermato dalla configurazione infrastrutturale
✅ Hashing dell’IP — nei log viene memorizzato solo l’hash SHA-256 + i primi 16 bit per limitare la frequenza delle richieste
✅ Conservazione dei log per 30 giorni — dopo questo periodo i log vengono automaticamente eliminati
⚠️ Analitiche anonime (GA4) — anonymize_ip + nessun dato personale negli eventi. Plausible auto-ospitato (senza cookie) è in roadmap. Fino alla migrazione, ti consigliamo di implementare un banner per i cookie sul tuo frontend B2C.
✅ Diritto all’oblio: DELETE /v1/me/account (Bearer JWT, body {"confirmation": "DELETE"}) — elimina istantaneamente il tuo account e tutti i dati associati dal nostro sistema

Su richiesta (sottoscrittori Pro+)

📄 DPA (Data Processing Agreement) — modello standard GDPR Art. 28, firmato bilateralmente entro 5 giorni lavorativi. Invia una mail a legal@astroway.info.
📋 Elenco dei sub-processor — lista completa (Hetzner, Cloudflare, il nostro provider SMTP, Stripe per i clienti Stripe) con documenti di conformità di ciascuno. Brevo come fornitore SMTP è incluso nell’allegato DPA per i clienti che lo hanno sottoscritto.
🗂️ Accesso al DPIA (Data Protection Impact Assessment) — se il tuo team legale sta effettuando un DPIA per il tuo prodotto, forniamo una relazione tecnica da parte nostra.

Per i clienti Enterprise (tariffa personalizzata)

🛡️ SOC 2 Type II — in roadmap (la società di revisione non è ancora stata selezionata, ETA TBD). Se questo blocca la tua integrazione, scrivi a legal@astroway.info: siamo aperti a valutare una collaborazione separata con un auditor.
🇪🇺 Sede legale nell’UE — attualmente la nostra forma giuridica è un FOP ucraino (Maxim Burkhan). Se il tuo reparto acquisti richiede una GmbH tedesca/estone (Germania/Estonia), possiamo discuterne su base individuale via legal@astroway.info, processo di 4-8 settimane.
🔐 Infrastruttura dedicata su richiesta — VPS separato a Norimberga, database isolato, nessun compute condiviso
📞 Canale diretto per la sicurezza — security@astroway.info per la risposta agli incidenti

Confronto: AstroWay vs competitor con hosting negli USA

Critico per uno sviluppatore UE	AstroWay Pro $59	DivineAPI	AstrologyAPI	Prokerala
Compute nell’UE	✅ Hetzner Norimberga	❌ USA	❌ USA	❌ India
DPA standard disponibile	✅ su Pro+	❌ solo Enterprise	❌ solo Enterprise	❌ solo Enterprise
Conformità GDPR di default	✅ a livello infrastrutturale	⚠️ tramite SCC	⚠️ tramite SCC	⚠️ tramite SCC
Analitiche senza cookie	⚠️ GA4 anonimo (Plausible in roadmap)	❌ GA4	❌ GA4	❌ GA4
Garanzia di flusso dati solo nell’UE	✅ confermato per iscritto	❌	❌	❌
Accesso tecnico al DPIA	✅ fornito	❌	❌	❌
Endpoint per il diritto all’oblio	✅ `DELETE /v1/me/account`	❌ tramite ticket	❌ tramite ticket	❌ tramite ticket

Prezzi

Residenza nell’UE, DPA, conformità GDPR a livello infrastrutturale — tutto incluso nel piano Pro a $59/mese. Non è un piano separato, non serve contattare le vendite, non c’è pricing personalizzato.

Questa è una scelta consapevole: l’hosting su Hetzner non ci costa nulla di extra (il nostro VPS è già a Norimberga), e la DPA è un modello standard che viene firmato una volta via email. Non devi pagare per la privacy ciò che dovrebbe essere garantito di default.

FAQ

Sì — il piano Free utilizza la stessa infrastruttura (Hetzner Norimberga), le stesse analitiche anonime, la stessa conservazione dei log per 30 giorni. La DPA non è disponibile nel piano Free (è un overhead amministrativo che si giustifica solo con i piani a pagamento), ma tecnicamente i dati vengono elaborati allo stesso modo.

Se il tuo legale richiede una DPA firmata, anche il piano Indie ($5/mese) non la include. L’opzione più economica con DPA è il piano Pro a $59.

Cosa succede con la sentenza Schrems II? Il vostro CDN Cloudflare è un’azienda statunitense?

Cloudflare è statunitense, ma utilizziamo regole di cache nella regione UE (le richieste da IP UE vengono gestite dagli edge UE), e il server di origine (dove i dati vengono effettivamente elaborati) è su Hetzner a Norimberga. I dati personali sensibili (dati di nascita) transitano attraverso gli edge Cloudflare nella stessa regione e non vengono memorizzati sugli edge — solo in transito.

Per scenari critici (applicazioni mediche, B2G), puoi bypassare Cloudflare tramite routing DNS diretto all’origine — scrivi a legal@astroway.info.

Quanto tempo ci vuole per ottenere la DPA dopo la sottoscrizione al piano Pro?

DPA standard (il nostro modello) — immediato, il file astroway-dpa-v1.pdf è disponibile nella dashboard dopo il primo addebito.
Modifiche personalizzate da parte del tuo legale — 3-5 giorni lavorativi. Non discutiamo aggressivamente i punti standard dell’Art. 28.

Devo firmare la DPA se sono uno sviluppatore B2B senza PII proprietario?

Se il tuo prodotto finale elabora PII (e i dati di nascita sono PII), allora sì, il tuo legale probabilmente chiederà una DPA firmata con tutti i sub-processor. Noi la forniamo standard. Se la tua integrazione è interna (solo dipendenti), probabilmente la DPA non è critica, ma è comunque consigliabile firmarla.

Cosa fa AstroWay quando eseguo `DELETE /v1/me/account`?

Le chiavi API — vengono eliminate in modo soft (cooldown anti-abuse)
Il collegamento account-chiave — viene interrotto; la chiave non può essere riutilizzata
Il profilo utente — viene contrassegnato come eliminato con timestamp
I log di utilizzo — l’hash dell’IP non è più PII, rimane per l’audit di fatturazione
La cronologia degli ordini — viene conservata (conservazione finanziaria legale di 7 anni ai sensi dell’Art. 17 §3 e GDPR)
Le email transazionali — vengono automaticamente eliminate dal nostro provider SMTP dopo 90 giorni

Il flusso completo è disponibile su richiesta via legal@astroway.info.

Contatti

Legale/DPA: legal@astroway.info
Incidenti di sicurezza: security@astroway.info
Elenco sub-processor / DPIA: hello@astroway.info

Utile?

Запропонувати правку

Ultimo aggiornamento: 25 mag 2026

// Indietro

Вартість ендпоінтів

Avanti //

Founders' Lifetime Deal