Informativa privacy

Informativa ai sensi dell'articolo 13 del Regolamento (UE) 2016/679 (GDPR). Ultimo aggiornamento: 20 settembre 2026.

1. Chi tratta i tuoi dati

Il titolare del trattamento è:

Stormingweb S.r.l.s.
Via Monte Peloso 25, 00189 Roma (RM), Italia
Partita IVA e Codice Fiscale: 18576861001 · REA: RM-1793394
PEC: stormingweb@pec.it
Email: info@bahayitalia.it

Non abbiamo nominato un Responsabile della protezione dei dati (DPO). Se in futuro diventerà obbligatorio, lo indicheremo qui.

2. Quali dati raccogliamo

Sono raggruppati per quello che stai facendo: se leggi e basta, raccogliamo pochissimo; se usi le funzioni personali, raccogliamo quello che serve a farle funzionare, e nient'altro.

Se leggi e basta

Il server registra, come fa qualunque sito: indirizzo IP, data e ora, pagina richiesta, tipo di browser. Servono a far funzionare il sito e a difenderlo dagli abusi.

Contiamo anche quante volte una pagina viene aperta, quali parole vengono cercate sul sito e quali pulsanti portano fuori (per esempio verso lo store dell'app). Sono conteggi per giorno: non contengono il tuo identificativo, il tuo indirizzo IP, la tua sessione né l'orario. Da lì non si risale a una persona perché il dato non c'è. Le ricerche che sembrano un dato personale — un'email, un codice fiscale, sei cifre di fila — non vengono scritte affatto.

Se ti registri

Email, nome, cognome, un nome pubblico che scegli tu, la lingua preferita e, se vuoi indicarla, la comunità di appartenenza e il luogo dove vivi. La comunità è facoltativa e la lingua non viene mai dedotta da essa.

Conserviamo inoltre data e indirizzo IP dell'ultimo accesso e il numero di tentativi falliti, per accorgerci se qualcuno prova a entrare nel tuo account.

Se scrivi nei commenti o nel forum

Il testo che scrivi, la data, l'indirizzo IP e il browser. L'IP serve contro lo spam e viene cancellato dopo sei mesi: il commento resta, sparisce il dato che identifica la connessione. Sotto quello che scrivi compare il nome pubblico, mai nome e cognome.

Se usi i moduli guidati

È il trattamento più delicato, e lo diciamo per primo fra quelli personali. Per compilare un modulo ministeriale servono i dati che quel modulo chiede: data e luogo di nascita, cittadinanza, codice fiscale, indirizzo, e a seconda del modulo stato civile, titolo di studio, professione, patente, e i dati dei familiari che entrano nella stessa pratica.

• Quei dati stanno dentro la pratica, cifrati, e con la pratica se ne vanno: una bozza abbandonata si cancella da sola dopo 90 giorni, una pratica chiusa dopo 30.
• Nell'archivio dei tuoi dati personali restano solo il nome e il cognome — più il rapporto di parentela, per un familiare. Tutto il resto non viene conservato: dalla seconda pratica in poi la data di nascita e il codice fiscale si riscrivono, ed è il prezzo di non tenere una scheda anagrafica completa di chi ha smesso di usarci.
• Il PDF che scarichi non lo conserviamo: viene generato al momento e consegnato al tuo browser.

Se usi «I tuoi documenti» e le scadenze

Non carichi nessun file. Di ogni documento — carta d'identità, permesso di soggiorno, passaporto, patente e quello che aggiungi tu — annoti il tipo, l'ente che l'ha rilasciato, la data di scadenza e il numero.

Tipo e data di scadenza restano in chiaro, perché è su quelle che gira il promemoria; il numero è cifrato. Vale lo stesso per i documenti dei tuoi familiari, se li aggiungi.

Se ci scrivi dall'area personale

I messaggi fra te e il supporto: l'oggetto, il testo, le date. Il testo è cifrato, perché chi scrive racconta la propria situazione; l'oggetto no, perché serve a fare l'elenco senza aprire tutti i messaggi.

Se ti iscrivi alla newsletter

La tua email e il fatto che ti sei iscritta, con la data. Per la posta il silenzio vale no: senza la spunta nelle preferenze non parte niente. Ogni email porta il collegamento per togliersi, e togliersi ha effetto subito.

Se ti abboni

Quale piano, quanto hai pagato, quando inizia e quando scade.

I dati della carta non passano dai nostri server e non li vediamo mai: il pagamento avviene sulle pagine di Stripe, a cui comunichiamo la tua email, il piano scelto e un riferimento interno al tuo account. L'indirizzo di fatturazione lo raccoglie Stripe.

Se chiedi la fattura raccogliamo anche il codice fiscale — o la partita IVA — perché senza quello il Sistema di Interscambio scarta la fattura, e Stripe non lo chiede. È cifrato come il resto. Quando la fattura viene emessa, i dati si congelano nella riga della fattura: chi trasloca non cambia una fattura già emessa.

Se usi l'app

Un codice casuale generato dall'app alla prima apertura, la piattaforma (Android o iOS), la versione dell'app, la lingua e la data dell'ultima visita. Il codice non è un identificativo del telefono: quelli non li chiediamo. Serve a non contare dieci volte lo stesso apparecchio.

Se fai l'accesso dall'app, teniamo un token — una chiave che tiene l'app collegata — con la data di creazione, l'indirizzo IP di quel momento e la data dell'ultimo uso. Un token si può revocare, e scade da solo.

Oggi non inviamo notifiche push e non raccogliamo il relativo identificativo. Le notifiche che vedi nell'app le costruisce l'app stessa. Se un giorno le manderemo dal server, questa informativa lo dirà prima.

Registro delle attività

Le operazioni importanti — accessi riusciti e falliti, modifiche ai contenuti, decisioni di moderazione, cancellazioni per scadenza — vengono annotate con data, utente, indirizzo IP e browser. Serve a poter ricostruire chi ha fatto cosa se qualcosa va storto.

Consensi

Quando accetti i termini, l'informativa privacy o i cookie, annotiamo che cosa hai accettato, quando e da quale indirizzo IP. L'articolo 7 del GDPR chiede di poterlo dimostrare. Se ritiri un consenso, la riga non sparisce: viene datata come ritirata.

3. Quali dati NON raccogliamo

Questo elenco è importante quanto quello sopra.

• Nessuna copia dei tuoi documenti. Non carichi passaporti, permessi di soggiorno o tessere sanitarie. Puoi annotarne tipo, ente, scadenza e numero — non caricare la scansione. È una decisione presa apposta, perché quei file sono la cosa più pericolosa che potremmo tenere, e sono dati dell'articolo 9 del GDPR su persone in una posizione fragile.
• Nessun dato sanitario e nessuna delle altre categorie particolari dell'articolo 9. Se ne scrivi uno nel forum lo rimuoviamo, anche se riguarda te.
• Nessun identificativo del telefono e nessuna geolocalizzazione. Il luogo lo scriviamo solo se sei tu a sceglierlo, e non lo deduciamo mai dal tuo indirizzo IP.
• Nessuna pubblicità dove stai facendo una pratica. Nei moduli guidati, nelle scadenze e nell'area personale non entra nessuno script di terzi, nemmeno il pixel di Meta.
• Non vendiamo i tuoi dati a nessuno, in nessuna forma.

4. Come li proteggiamo

I dati che riguardano la tua situazione personale — l'anagrafica, le schede dei familiari, il contenuto delle pratiche, i numeri dei documenti, il testo dei messaggi, i dati di fatturazione — sono conservati cifrati nel database, con AES-256-GCM. Non è una cassaforte contro tutto, ed è giusto dirlo: è la garanzia che una copia del database, da sola, non basta a leggerli.

Il traffico fra il tuo browser e il sito viaggia su HTTPS. Le password non sono conservate: di ognuna teniamo solo un'impronta da cui non si torna indietro.

5. Statistiche, pubblicità e social

Se acconsenti dal banner dei cookie si attivano strumenti di società terze. Le due categorie si accettano separatamente: puoi dire sì alle statistiche e no alla pubblicità.

• Google Analytics (Google Ireland Ltd.) — categoria statistiche: conta le visite e ci dice quali pagine servono. Raccoglie pagine viste, provenienza, dispositivo e un identificativo del tuo browser. Il tuo indirizzo IP viene troncato prima di partire.
• Google AdSense (Google Ireland Ltd.) — categoria pubblicità: mostra annunci e li misura. Compare solo nel blog e nel forum.
• Pixel di Meta (Meta Platforms Ireland Ltd.) — categoria pubblicità: comunica a Meta che hai visitato una pagina del sito e, se hai un account Facebook o Instagram, Meta può collegare quella visita al tuo profilo. Non entra mai nelle pagine riservate: area personale, moduli, documenti, accesso e registrazione.

La base giuridica è il tuo consenso (art. 6.1.a del GDPR), che puoi ritirare quando vuoi dal collegamento Preferenze cookie in fondo a ogni pagina. La pagina Cookie spiega tutto per esteso.

Su questi trattamenti Google e Meta agiscono per proprie finalità e come titolari autonomi: quello che fanno dei dati lo spiegano le loro informative, linkate nella pagina Cookie.

6. Trasferimenti fuori dall'Unione europea

Il tuo account, le tue pratiche, le tue scadenze e i contenuti che scrivi stanno su server nell'Unione europea.

Gli strumenti del punto 5, invece, possono trasferire dati negli Stati Uniti, verso società che aderiscono al quadro di adeguatezza fra Unione europea e Stati Uniti (EU-US Data Privacy Framework) o che applicano le clausole contrattuali standard della Commissione europea. Lo stesso vale per Stripe, se ti abboni.

Vale la pena saperlo con chiarezza: se rifiuti il consenso ai cookie, nessun dato tuo esce dall'Unione europea per finalità di statistica o pubblicità.

7. Perché li trattiamo, e con quale base giuridica

• Farti usare il servizio — account, moduli guidati, scadenzario, promemoria, messaggi con il supporto: esecuzione del contratto, art. 6.1.b.
• Sicurezza, antiabuso, registro delle attività, moderazione: nostro legittimo interesse a tenere il servizio integro e gli spazi pubblici vivibili, art. 6.1.f.
• Conteggi e statistiche fatte in casa (pagine aperte, parole cercate, clic verso l'esterno): legittimo interesse a capire che cosa serve alle persone, art. 6.1.f — resi possibili dal fatto che sono conteggi per giorno senza nessun identificativo.
• Newsletter, notifiche non necessarie, cookie di statistica e pubblicità: solo con il tuo consenso, art. 6.1.a, e lo puoi ritirare quando vuoi.
• Fatture e obblighi fiscali: obbligo di legge, art. 6.1.c.

8. Per quanto tempo li teniamo

Che cosa	Per quanto
Dati dell'account	Finché l'account esiste. Se lo cancelli vengono eliminati o resi anonimi entro 30 giorni.
Moduli guidati — bozze	90 giorni dall'ultima modifica, poi si cancellano da soli.
Moduli guidati — pratiche chiuse	30 giorni, poi si cancellano da sole.
Nome e cognome nell'archivio dei dati personali	Finché l'account esiste. Si possono correggere e togliere quando vuoi dall'area personale.
Scadenze dei documenti	Finché non le cancelli, o finché l'account esiste.
Messaggi con il supporto	Finché l'account esiste.
Indirizzo IP nei commenti	6 mesi. Il commento resta, l'IP sparisce.
Registro delle attività	24 mesi. Sopravvive alla cancellazione dell'account senza il tuo nome: resta traccia che un'operazione è avvenuta, non di chi eri.
Token dell'app	Scadono da soli; le righe si cancellano 30 giorni dopo la scadenza o la revoca.
Fatture e dati fiscali	Il tempo previsto dalla legge fiscale italiana. Questi non si cancellano su richiesta: è un obbligo, non una nostra scelta.
Commenti e interventi nel forum	Restano pubblicati, ma slegati dal tuo nome se cancelli l'account.
Conteggi (pagine aperte, ricerche, clic)	A tempo indeterminato: sono numeri per giorno, e non contengono nessun dato personale.

9. Chi altro li vede

Solo chi deve. Dentro Bahay Italia, le persone autorizzate e solo per la parte che le riguarda: chi scrive gli articoli non ha accesso ai dati degli utenti.

Fuori, i fornitori tecnici necessari a far funzionare il servizio, nominati responsabili del trattamento ai sensi dell'articolo 28 del GDPR:

• Aruba S.p.A. — hosting del sito e del database, e invio delle email. Server nell'Unione europea.
• Stripe — solo se ti abboni: incassa il pagamento e raccoglie i dati della carta e l'indirizzo di fatturazione. Noi la carta non la vediamo.

E, solo se hai dato il consenso, Google e Meta per le finalità del punto 5. Lì non sono nostri fornitori: sono titolari autonomi.

Oltre a questi, solo l'autorità giudiziaria o un'autorità di controllo che ce lo chieda nei modi previsti dalla legge.

10. I tuoi diritti

Puoi chiederci in qualunque momento di:

• sapere quali dati abbiamo su di te e averne copia in un formato riutilizzabile (artt. 15 e 20);
• correggerli, se sono sbagliati (art. 16);
• cancellarli (art. 17);
• limitarne l'uso o opporti a un trattamento (artt. 18 e 21);
• ritirare un consenso che ci avevi dato, senza che questo renda illecito quello che abbiamo fatto prima.

Molte di queste cose le puoi fare da sola, subito, dalla tua area personale: correggere i tuoi dati, togliere una scheda, cancellare una pratica, disiscriverti dalla newsletter, cambiare le preferenze sui cookie.

Per il resto si scrive a info@bahayitalia.it con oggetto Privacy. Rispondiamo entro 30 giorni.

Se pensi che stiamo sbagliando puoi rivolgerti al Garante per la protezione dei dati personali, Piazza Venezia 11, 00187 Roma — garanteprivacy.it.

11. Minori

L'account è riservato ai maggiorenni. Se ci accorgiamo che è stato aperto da un minore lo chiudiamo e cancelliamo i dati.

12. Se cambia qualcosa

Quando modifichiamo questa informativa cambiamo la data in cima e, se la modifica è importante, te lo diciamo prima che abbia effetto. Se la modifica riguarda uno strumento nuovo che richiede il tuo consenso, il banner dei cookie ricompare e la domanda te la rifacciamo.