Data Processing Agreement

Accordo di trattamento dei dati, versione 1

Effettivo 2026-09-20. AstroWay API, api.astroway.info. Chiarito 2026-10-12: la sezione 2 ora specifica cosa gli endpoint AI inviano ai modelli linguistici. Nessun obbligo da entrambe le parti è stato modificato.

1. Chi siamo e cosa copre questo

Questo accordo è tra te, il Cliente, in qualità di titolare del trattamento, e Maksym Burkhan, imprenditore individuale (ФОП), Ucraina, che gestisce api.astroway.info come tuo responsabile del trattamento ai sensi dell’articolo 28 GDPR.

Si applica finché il tuo account esiste e invii richieste all’API, e regola solo i dati che invii tramite l’API. I dettagli del tuo account sono una questione separata, dove noi siamo il titolare e la nostra privacy policy si applica.

2. Cosa trattiamo e perché

Oggetto e scopo. Invi i dati di nascita all’API: una data, un orario, un fuso orario o offset e coordinate. Calcoliamo un risultato astrologico e lo restituiamo. Questo è l’intero scopo, e la chiamata API è la tua istruzione.

Categorie di interessati. I tuoi utenti finali, o chiunque abbia il momento di nascita che invii.

Tipi di dati. Data e ora di nascita, coordinate, e i campi opzionali name e city. name e city non vengono mai memorizzati: sono tenuti in memoria per la durata della richiesta e non scritti da nessuna parte.

Durata. Per tutta la vita del tuo account, soggetto alla sezione 9.

Cosa registriamo sulla chiamata anziché sulla persona. Endpoint, metodo, stato, latenza, conteggi di byte, un digest salato irreversibile dell’indirizzo IP del chiamante e i primi 16 bit di quell’indirizzo, lo User-Agent, l’origine, e un paese, città e operatore di rete approssimativi. Lo conserviamo per 30 giorni.

Endpoint AI. /v1/interpret/*, /v1/horoscope/*, /v1/reports/ai/* e /v1/ai/* scrivono il loro testo con modelli linguistici di terze parti. Quei fornitori ricevono solo la carta calcolata: segni, case e aspetti con orbite a grado intero. Non ricevono mai la data, l’ora, le coordinate, il nome o il luogo che hai inviato, motivo per cui non sono sub‑processor ai sensi della sezione 4. Il testo libero che scrivi tu, come una domanda di tarocchi o un messaggio di chat, viene passato al modello così com’è.

3. Cosa ci impegniamo a fare

• Trattiamo i tuoi dati solo secondo le tue istruzioni documentate, cioè le chiamate API che effettui e qualsiasi istruzione scritta che ci invii, a meno che la legge UE o dello Stato membro non richieda diversamente, nel qual caso ti informeremo prima di procedere, salvo che quella legge lo vieti.
• Se un’istruzione ci sembra illegale, lo dichiariamo subito invece di eseguirla silenziosamente.
• Il servizio è gestito da una sola persona, che è vincolata alla riservatezza ed è l’unico umano con accesso amministrativo.
• Manteniamo le misure di sicurezza della sezione 5.
• Ti aiutiamo a rispondere a una richiesta di un interessato e a rispettare i tuoi obblighi ai sensi degli articoli 32‑36, per quanto possibile e tenendo conto di ciò che trattiamo. Questo vincolo è quello della legge, e qui è concreto: non memorizziamo né nome, né email, né identificatore per i tuoi utenti finali, quindi di solito non possiamo trovare le righe di una singola persona sul nostro lato. Puoi, tramite i tuoi registri, e DELETE /v1/me/account cancella tutto ciò che trattiamo per il tuo account.
• Non usiamo i tuoi dati per scopi propri, non li vendiamo e non li utilizziamo per addestrare modelli.

4. Sub‑processor

Due, e sono l’infrastruttura:

Sub‑processor	Ruolo	Località
Hetzner Online GmbH	calcolo, database e archiviazione file	Norimberga, Germania
Cloudflare, Inc.	CDN, DNS e protezione DDoS, con regole di cache per la regione UE	società statunitense, edge UE servono traffico UE

Imponiamo a loro gli stessi obblighi di protezione dei dati che noi osserviamo, e rimaniamo pienamente responsabili verso di te per ciò che fanno.

Concedi un’autorizzazione generale per questi due. Ti informeremo via email prima di aggiungere o sostituire uno, e potrai opporti per motivi ragionevoli di protezione dei dati; se non riusciamo a risolvere l’obiezione, potrai smettere di usare il servizio e ti rimborseremo la parte non utilizzata del periodo pagato.

I nostri fornitori di pagamento e email non sono inseriti nella tabella, perché non vedono mai dati coperti da questo accordo. Brevo invia email transazionali a te, e Monobank gestisce i pagamenti con carta, con LiqPay aggiunto nell’ottobre 2026. Entrambi riguardano il tuo account piuttosto che i tuoi utenti finali, quindi sono citati nella privacy policy.

5. Sicurezza

• Il trasporto è solo TLS, e l’HTTP semplice viene reindirizzato.
• Le password sono hashate con bcrypt e le chiavi API sono memorizzate hashate.
• Gli indirizzi IP sono memorizzati solo come SHA‑256 salato, calcolato al momento della scrittura. Il sale vive nell’ambiente del server, mai nel codice.
• Gli account del database sono separati per consumatore, ciascuno con il privilegio più ristretto che funzioni, e il database ascolta solo su loopback.
• I backup sono criptati con AES‑256 prima di lasciare la macchina.
• L’accesso amministrativo è tramite chiave SSH, una sola persona, nessuna credenziale condivisa.

Ciò che non abbiamo, perché affermarlo sarebbe peggio che negarlo: non disponiamo di un report SOC 2 né di un certificato ISO 27001 nostro. Hetzner possiede ISO/IEC 27001 per il data center in cui risiedono i nostri server.

6. Trasferimenti, in parole semplici

I tuoi dati sono trattati su server a Norimberga, Germania, e non li replichiamo fuori dallo SEE.

Siamo comunque stabiliti in Ucraina, che non ha una decisione di adeguatezza ai sensi dell’articolo 45. Secondo le Linee guida EDPB 05/2021 ciò costituisce già un trasferimento verso un paese terzo, e lo è anche l’accesso amministrativo dall’Ucraina a quei server tedeschi, perché l’accesso remoto conta anche quando non viene copiato nulla. Quindi non ti diciamo che non ci siano trasferimenti transfrontalieri; ce n’è uno, ed è questo ciò che copre il presente accordo.

Stipuliamo le Standard Contractual Clauses della Decisione di Attuazione (UE) 2021/914, Modulo Due (titolare → responsabile), che sono incorporate in questo accordo per riferimento e prevalgono su di esso in caso di conflitto. Le sezioni 2, 5 e 4 di questo accordo fungono da Allegati I, II e III rispettivamente. Una copia firmata con i nomi di entrambe le parti è disponibile su richiesta a legal@astroway.info.

Quello che viene trasferito in pratica è l’accesso amministrativo autenticato ai sistemi in Germania, non l’esportazione di un database.

7. Dimostrare la conformità

Ti forniamo le informazioni necessarie per dimostrare la conformità all’articolo 28 tramite questo accordo e la descrizione della sicurezza sopra, e completeremo un questionario di sicurezza scritto ragionevole in qualsiasi periodo di dodici mesi senza costi.

Se ciò non fosse sufficiente, puoi auditare la conformità a questo accordo una volta ogni dodici mesi, con preavviso scritto di trenta giorni, da remoto, durante l’orario lavorativo, coprendo solo il trattamento che eseguiamo per te e mai i dati di altri clienti. Tu sostieni i costi dell’audit e di eventuali auditor che nomini. Questi limiti non si applicano quando un’autorità di vigilanza richiede un’ispezione.

8. In caso di violazione

Ti notifichiamo senza indebito ritardo dopo aver preso conoscenza di una violazione di dati personali che riguarda i dati che trattiamo per te, via email all’indirizzo del tuo account. La prima notifica può essere incompleta, e ti forniremo aggiornamenti man mano che apprendiamo di più.

Non conserviamo contatti dei tuoi utenti finali, quindi la notifica a loro ai sensi dell’articolo 34 rimane tua responsabilità.

9. Termine

Quando il tuo account termina, comunicaci se desideri che i dati che trattiamo per te siano restituiti o cancellati, e lo faremo. Se non ci dici nulla, li cancelliamo.

L’unica eccezione è ciò che la legge fiscale richiede di conservare: i registri di pagamento, per 1095 giorni ai sensi del §44.3 del Codice Fiscale ucraino. Tre anni, non i sette che una bozza precedente di questo testo ipotizzava. L’articolo 17(3)(b) GDPR esclude i registri tenuti per obblighi legali dal diritto alla cancellazione, perciò una richiesta di cancellazione non li tocca.

10. Accettazione del presente accordo

Lo accetti nel tuo pannello di controllo, e il record di tale accettazione indica il tuo account, la versione e il momento. L’articolo 28(9) richiede che il contratto sia scritto, “incluso in forma elettronica”, quindi quel record è il contratto e non c’è nulla da attendere. Il PDF scaricabile contiene lo stesso record. Una copia cartacea controfirmata è disponibile su richiesta.

Se modifichiamo sostanzialmente questo testo, diventa una nuova versione e ti chiediamo di accettare quella; la versione che hai accettato rimane quella a cui hai aderito.