Bozza. L'entità legale Elido è in fase di finalizzazione prima del lancio pubblico; questa pagina sarà riemessa sotto tale entità. Fino ad allora, contatta [email protected] per una versione eseguibile.
Politica sulla Privacy
Ultimo aggiornamento: 2026-11-11
1. Chi siamo
Elido è un servizio di abbreviazione di URL gestito dall'Unione Europea. Contatto del titolare del trattamento: [email protected]. L'entità legale operativa è in fase di finalizzazione prima del lancio pubblico; questa pagina verrà riemessa sotto tale entità e l'indirizzo postale verrà aggiunto qui.
2. Cosa raccogliamo
Dati dell'account (email, nome, hash della password) quando ti registri. Contenuti del workspace (link, tag, domini personalizzati, codici QR) che crei. Eventi di clic quando qualcuno segue il tuo link breve: timestamp, slug dell'URL, indirizzo IP completo del visitatore, user agent, referrer, destinazione, classe del dispositivo e browser, oltre a paese, regione, città e latitudine/longitudine approssimative ricavate dall'indirizzo IP. Dati di fatturazione (piano, paese di fatturazione, partita IVA se fornita) quando sottoscrivi un piano a pagamento; i dati della carta sono gestiti dal processore di pagamento e non da noi. Nelle pagine di registrazione e accesso memorizziamo anche cookie proprietari di origine del traffico (vedi Cookie più avanti).
3. Cosa non raccogliamo
Non tracciamo i visitatori con fingerprinting tramite tracker di terze parti e non vendiamo i flussi di clic a reti pubblicitarie. Importante: al momento MEMORIZZIAMO l'indirizzo IP completo del visitatore con ogni evento di clic, insieme a paese, regione, città e coordinate approssimative che ne ricaviamo con un database MaxMind GeoLite2 offline. Il troncamento o l'hashing dell'IP è pianificato ma non ancora attivo. Non usiamo i dati dei link o dei clic dei clienti per addestrare modelli di IA.
4. Dove risiedono i dati
Il nostro database principale, l'archivio analitico e i backup sono ospitati nell'UE (Hetzner, Germania/Finlandia). La nostra rete di redirect è presente anche su Hetzner Ashburn (USA) e OVH Singapore. Questi nodi ricevono le richieste dei visitatori, quindi indirizzi IP, user agent e referrer dei visitatori vengono trattati lì e possono contenere copie replicate o in cache dei dati dei link. La scelta della regione per workspace (ad esempio US East o Asia-Pacifico) non è ancora disponibile; ogni workspace è servito dalla stessa infrastruttura. Conservazione: gli eventi di clic al momento non vengono eliminati secondo una pianificazione e sono conservati finché non li rimuoviamo (ad esempio dopo una richiesta di cancellazione verificata); gli eventi del registro di audit sono conservati per 730 giorni per impostazione predefinita, configurabili per workspace; i backup del database sono conservati per 14 giorni per impostazione predefinita. I backup sono cifrati prima del caricamento su Backblaze B2.
5. I tuoi diritti (GDPR)
Puoi esercitare i diritti di accesso, rettifica, cancellazione, portabilità, limitazione e opposizione scrivendo a [email protected]; nella dashboard non esiste ancora una pagina privacy self-service. Il nostro team registra ogni richiesta e risponde entro 30 giorni. Una richiesta di accesso restituisce uno zip di file CSV (account, appartenenze ai workspace, workspace di proprietà, link, voci di audit, sessioni). Una richiesta di cancellazione al momento rende anonimo il record del tuo account (email e nome), termina le tue sessioni e rimuove la tua identità di accesso; i dati di fatturazione sono conservati ove la legge lo richieda. Gli eventi di clic registrati sui visitatori dei link brevi (inclusi gli indirizzi IP) non sono ancora inclusi nelle esportazioni né eliminati automaticamente a seguito di una richiesta di cancellazione; inviaci il link breve e gestiremo tali richieste caso per caso. Se sei un visitatore, puoi anche contattare il proprietario del workspace che controlla quel link. Puoi inoltre presentare un reclamo alla tua autorità nazionale per la protezione dei dati; l'elenco UE è su https://edpb.europa.eu/about-edpb/board/members_en.
6. Sub-responsabili del trattamento
Utilizziamo tredici sub-responsabili, non tutti nell'UE: Hetzner (calcolo + hosting del database, DE/FI, più edge USA ad Ashburn), OVHcloud (edge, SG), Backblaze (backup cifrati), Resend (email transazionali, UE + USA), Paddle (merchant of record per i pagamenti con carta fuori dall'Ucraina), Universal Bank JSC / monobank Plata (acquiring di carte, UA), Coinbase Commerce (checkout in criptovalute, solo se attivo, USA), MaxMind (dataset GeoLite2 offline, nessun dato personale condiviso), Cloudflare (CAPTCHA Turnstile in registrazione e accesso, DNS/proxy), Crisp (live chat), Anthropic (funzioni di IA, quando le usi, USA), WorkOS (SSO/SCIM aziendale, se configurato, USA) e Google Safe Browsing (controlli di reputazione degli URL di destinazione). L'elenco aggiornato con finalità e ubicazione è su /legal/subprocessors e ogni modifica comporta un preavviso di 30 giorni.
7. Cookie
Impostiamo cookie strettamente necessari (ory_kratos_session, csrf_token_*, elido_workspace_id, elido_mfa_pending, elido_sso_state), cookie di preferenza (elido_locale, elido_authed, elido_sidebar_collapsed, cookie del banner di upgrade e promozionali) e cookie proprietari di origine del traffico (sbjs_*, impostati da Sourcebuster nelle pagine di registrazione e accesso, fino a 6 mesi, usati per attribuire le registrazioni a una campagna). Non impostiamo cookie pubblicitari. L'avviso sui cookie del sito di marketing è solo informativo e non blocca alcun cookie; i cookie sbjs_* vengono impostati senza richiesta di consenso. L'analisi dei visitatori del sito di marketing usa un'istanza Plausible senza cookie (quando attiva), che non memorizza cookie. La tabella completa è nella pagina della Cookie Policy.
8. Live chat (Crisp)
Quando il widget di live chat è attivo, Crisp (https://crisp.chat, sub-responsabile UE) carica il proprio script client e apre una connessione WebSocket per inoltrare i tuoi messaggi al nostro team di supporto. Lo script di Crisp viene caricato al caricamento della pagina (non solo quando apri la chat), quindi il tuo browser contatta i server di Crisp e Crisp imposta un cookie di sessione (crisp-client/session/*) per poter riprendere una conversazione tra un caricamento di pagina e l'altro. Nessun contenuto di messaggio lascia il tuo browser finché non ne invii uno. Per gli utenti autenticati della dashboard, email e nome visualizzato vengono passati a Crisp affinché il supporto possa rispondere via email se chiudi la scheda; i visitatori anonimi del sito di marketing restano anonimi a meno che non digitino la propria email nel modulo.
9. Estensione del browser - ambito dei dati
L'estensione per browser Elido (Chrome MV3 + Firefox) memorizza il token API o il token di accesso OAuth2 in chrome.storage.sync, il contenitore di sincronizzazione associato al profilo del browser: Google sincronizza il valore tra i dispositivi collegati, ma Elido non vi accede mai. L'estensione non invia dati di telemetria e non incorpora script di terze parti; l'unica chiamata di rete effettuata è verso l'origine API configurata (predefinita: https://api.elido.app). Al completamento del flusso OAuth2, il refresh token viene salvato in chrome.storage.local anziché in chrome.storage.sync: rimane sulla macchina locale e non viene mai trasferito nel contenitore di sincronizzazione, limitando l'esposizione nel caso in cui una chiave di sincronizzazione venisse compromessa su un altro dispositivo.
10. Trasferimenti internazionali
Alcuni sub-responsabili hanno sede fuori dal SEE (Paddle, Coinbase Commerce, Anthropic, WorkOS e Google negli USA, Resend con una regione di riserva negli USA, Cloudflare a livello globale), e i nostri nodi di redirect negli USA e a Singapore trattano gli indirizzi IP dei visitatori. Ciascuno è coperto dalle Clausole contrattuali standard UE (2021/914) Moduli 2 e 3 e dalle relative misure supplementari. Il nostro DPA (vedi /legal/dpa) include le SCC ed è disponibile su richiesta a [email protected].
11. Elido Assistant (IA)
Quando usi l'assistente nell'app, i tuoi messaggi e i dati dello spazio di lavoro che consulta per rispondere vengono inviati ad Anthropic (Stati Uniti), nostro sub-responsabile, per generare la risposta. Ti mostriamo questa informativa e ti chiediamo di confermarla prima del tuo primo messaggio; se cambia, te lo chiediamo di nuovo. Le conversazioni vengono conservate finché non le elimini o l'account non viene cancellato. Gli argomenti delle domande resi anonimi ci aiutano a migliorare i contenuti di aiuto: quando l'assistente non sa rispondere, possiamo salvare una breve descrizione dell'argomento priva di indirizzi e-mail, link, domini, numeri e segreti, insieme alla tua lingua, al tuo piano e a un codice unidirezionale che ci consente soltanto di contare quanti spazi di lavoro diversi pongono la stessa domanda. Non salviamo argomenti per gli spazi di lavoro Enterprise o in modalità conformità e cancelliamo gli altri dopo 90 giorni. Il nostro personale può leggere una conversazione solo con un motivo scritto e ogni accesso viene registrato.
12. Contatti
Domande sulla privacy: [email protected]. Richieste DPA: [email protected]. Segnalazioni di abusi: [email protected]. Segnalazioni di sicurezza: [email protected] (vedere /legal/security-policy). Per la corrispondenza postale, contattare prima [email protected] così da permetterci l'instradamento all'indirizzo registrato corretto una volta annunciata l'entità operativa.