Privacy Policy

1. Chi siamo

WooshPayment (di seguito "WooshPayment", "noi", "Servizio") è operato da WooshPayment LLC, società di diritto del Delaware (USA).

Titolare del trattamento (Data Controller):
WooshPayment LLC
8 The Green, Suite A
Dover, DE 19901
United States
Email: noreply@wooshpayment.com

Durante la fase beta del Servizio non è ancora nominato un rappresentante UE ex art. 27 GDPR. Per richieste relative al GDPR puoi contattarci direttamente all'indirizzo email indicato sopra; ti risponderemo entro 30 giorni.

2. Dati che raccogliamo

2.1 Dati dei merchant

• Email, password (in hash bcrypt), nome dello store
• Dominio Shopify / WooCommerce, access token (crittografato AES-256)
• Indirizzo IP, user agent, data di login
• Configurazioni del checkout, regole di spedizione, mercati e lingue

2.2 Dati dei clienti finali

Quando un cliente acquista tramite un merchant WooshPayment, raccogliamo nome, email, telefono, indirizzo di spedizione e fatturazione per processare l'ordine. Il dato di pagamento (carta) è gestito da Whop Payments e non passa mai sui nostri server.

3. Base giuridica

• Esecuzione del contratto (Art. 6.1.b GDPR): per fornire il servizio di checkout.
• Obbligo legale (Art. 6.1.c GDPR): fatturazione, antifrode.
• Interesse legittimo (Art. 6.1.f GDPR): analytics aggregate, sicurezza.
• Consenso (Art. 6.1.a GDPR): pixel marketing, email promozionali ai clienti finali (gestito dal merchant).

4. Dove archiviamo i dati

I dati sono archiviati su database PostgreSQL gestito da Supabase su infrastruttura EU (Frankfurt). I backup sono cifrati (AES-256) e conservati per 30 giorni con rotazione. Alcuni servizi sub-processor sono basati negli USA (vedi sezione 5): in quei casi applichiamo le Clausole Contrattuali Standard (SCC) approvate dalla Commissione UE come meccanismo di trasferimento internazionale.

5. Con chi condividiamo (sub-processor)

• Whop Inc. — payment processor (USA, SCC in essere)
• Shopify / WooCommerce — la tua piattaforma e-commerce per creare gli ordini
• Supabase — database PostgreSQL e backup (EU - Frankfurt)
• Vercel Inc. — hosting frontend/edge (EU - Paris + USA, SCC in essere)
• Resend — invio email transazionali (EU eu-west-1 + USA, SCC in essere)
• GoDaddy — DNS e infrastruttura mail authentication (SPF/DKIM)
• Meta (Facebook/Instagram), TikTok, Google Analytics 4 — solo se il merchant attiva i rispettivi pixel marketing

Non vendiamo né cediamo dati a terze parti per scopi pubblicitari propri.

6. Quanto a lungo conserviamo i dati

• Dati merchant: per la durata dell'account, +90 giorni dopo la cancellazione.
• Dati ordine: 10 anni (obbligo fiscale italiano).
• Log di accesso: 12 mesi.
• Carrelli abbandonati non recuperati: 30 giorni.

7. I tuoi diritti

Ai sensi del GDPR puoi esercitare i seguenti diritti contattando noreply@wooshpayment.com: accesso, rettifica, cancellazione, limitazione, portabilità, opposizione, revoca del consenso. Risponderemo entro 30 giorni.

Hai inoltre il diritto di proporre reclamo all'Autorità Garante per la protezione dei dati personali (garanteprivacy.it).

8. Cookie

Usiamo cookie strettamente necessari (sessione, CSRF). I cookie di analytics/marketing sono opzionali e attivati solo previo consenso. Vedi la Cookie Policy per dettagli.

9. Sicurezza

• Crittografia in transito (TLS 1.3) e at-rest (AES-256-GCM)
• Password salvate con bcrypt (cost 12)
• Rate limiting su API pubbliche
• HSTS, CSP, X-Frame-Options DENY
• Backup giornalieri cifrati con rotazione 30 giorni

10. Modifiche

Ci riserviamo il diritto di aggiornare questa policy. Cambiamenti sostanziali saranno notificati via email almeno 30 giorni prima dell'entrata in vigore.