Informativa sulla Privacy
SpackBot Security Suite
ai sensi del GDPR — Regolamento UE 2016/679
Ultimo aggiornamento: 12/04/2026
Titolare del Trattamento: Multimediando Srl — P. IVA: 07105460823
Contatto: [email protected]
1. Titolare del Trattamento
Il Titolare del trattamento è Multimediando Srl — P. IVA: 07105460823, raggiungibile all'indirizzo email: [email protected]
2. Quali Dati Raccogliamo e Perché
2.1 Dati raccolti automaticamente dal bot Discord
| Dato | Dove è conservato | Scopo | Durata |
|---|---|---|---|
| Guild ID (ID server Discord) | PostgreSQL | Identificare il server e applicare le impostazioni di sicurezza | Finché l'Operatore utilizza il Servizio |
| User ID (Snowflake ID Discord) | PostgreSQL + Redis | Registrare infrazioni e calcolare threat score | 90 giorni per il threat score (decadimento ponderato); log storici fino a cancellazione da parte dell'Operatore |
| Tipo di minaccia (es. URL, FILE, SPAM, PHISH) | PostgreSQL | Audit storico e analytics per l'Operatore | Fino a cancellazione da parte dell'Operatore |
| Content Hash | PostgreSQL | Hash dell'URL malevolo o hash binario del file — MAI il contenuto originale | Fino a cancellazione da parte dell'Operatore |
| Timestamp dell'evento | PostgreSQL | Ordinamento cronologico del log | Fino a cancellazione da parte dell'Operatore |
| User ID nel registro minacce federate | Redis (Sorted Set) | Blocco cross-server di minacce confermate | 30 giorni automatici, poi eliminazione automatica |
| Cache reputazione utente | Redis | Evitare query ripetute al database | 60 secondi, poi scadenza automatica |
| Cache URL analizzati | Redis | Evitare chiamate ripetute a Safe Browsing | 24 ore, poi scadenza automatica |
| Chiavi anti-spam velocità | Redis | Rilevare invio massiccio di messaggi | 3-10 secondi, poi scadenza automatica |
2.2 Dati NON raccolti
- Il contenuto dei messaggi non viene mai salvato. Viene analizzato in memoria (in-process) e immediatamente scartato.
- Il contenuto dei file allegati non viene mai salvato. Viene scaricato temporaneamente in memoria, viene calcolato l’hash e l’entropia, poi il buffer viene eliminato.
- Nomi, email o altri dati personali degli utenti Discord non vengono trattati. Lo Snowflake ID è un identificativo tecnico di Discord, non un dato direttamente identificativo raccolto da noi.
2.3 Dati raccolti tramite la Dashboard (Operatori)
| Dato | Scopo |
|---|---|
| Account Discord dell'Operatore (via OAuth2) | Autenticazione alla dashboard |
| Email dell'Operatore (da Stripe) | Gestione abbonamento e fatturazione |
| Dati di pagamento | Gestiti interamente da Stripe Inc. — noi non vediamo mai i dati della carta |
3. Base Giuridica del Trattamento (GDPR Art. 6)
- Esecuzione del contratto (Art. 6.1.b): i dati tecnici di sicurezza (ThreatLog, GuildSettings) sono necessari per erogare il Servizio
- Legittimo interesse (Art. 6.1.f): il registro federato delle minacce è necessario per proteggere l’intero ecosistema di server dalla stessa minaccia coordinata
- Consenso (Art. 6.1.a): per comunicazioni di marketing, laddove applicabili
4. Condivisione con Terze Parti
| Soggetto | Ruolo | Dati condivisi | Privacy policy |
|---|---|---|---|
| Google Safe Browsing API | Sub-responsabile | URL estratti dai messaggi (non il messaggio intero) | google.com/policies/privacy |
| VirusTotal (Google LLC) | Sub-responsabile | Hash SHA del file (non il file stesso) | support.virustotal.com |
| Stripe Inc. | Responsabile pagamenti | Dati di fatturazione dell'Operatore | stripe.com/privacy |
| Discord Inc. | Piattaforma di base | Il bot agisce via Discord API | discord.com/privacy |
| Hetzner / OVH (hosting) | Responsabile infrastruttura | Tutti i dati sopra elencati (server fisico) | [privacy del provider] |
Non vendiamo, non affittiamo e non cediamo i dati a terzi per scopi commerciali o pubblicitari.
5. Trasferimenti Internazionali
Google Safe Browsing e VirusTotal operano su infrastrutture Google LLC (USA). I trasferimenti avvengono sulla base delle Clausole Contrattuali Standard (SCC) adottate dalla Commissione Europea.
6. Misure di Sicurezza
- Tutti i dati in transito sono protetti da TLS 1.2+
- L’accesso alla dashboard richiede autenticazione OAuth2 con Discord
- L’accesso alle API interne richiede un Bearer Token condiviso solo tra i container Docker interni
- Il database PostgreSQL è accessibile esclusivamente dalla rete Docker interna — non esposto a Internet
- Redis è accessibile esclusivamente dalla rete Docker interna
7. Diritti dell'Interessato (GDPR Art. 15-22)
Chiunque i cui dati (User ID Discord) siano presenti nel nostro sistema può esercitare i seguenti diritti contattando [email protected]:
- Diritto di accesso: sapere quali dati abbiamo associati al tuo User ID
- Diritto di cancellazione (“diritto all’oblio”): richiedere la rimozione dal ThreatLog e dal registro federato
- Diritto di rettifica: correggere eventuali dati inesatti
- Diritto di opposizione: opporsi al trattamento basato su legittimo interesse
- Diritto alla portabilità: ricevere i dati in formato strutturato
Risponderemo entro 30 giorni dalla ricezione della richiesta.
8. Conservazione dei Dati
- ThreatLog (PostgreSQL): conservato finché l’Operatore utilizza il Servizio o richiede la cancellazione
- GuildSettings: eliminato entro 30 giorni dalla rimozione del bot dal server o dalla cancellazione dell’abbonamento
- Redis (tutto): scadenza automatica per design (max 30 giorni per il registro federato)
- Dati fatturazione: conservati per 10 anni come previsto dalla normativa fiscale italiana
10. Minori
Il Servizio è rivolto a operatori di community digitali. Non raccogliamo consapevolmente dati di persone di età inferiore ai 13 anni. Se un Operatore scopre che un minore è presente nel ThreatLog, può richiederne l'eliminazione immediata tramite la dashboard o contattando [email protected].
11. Modifiche all'Informativa
Eventuali modifiche verranno comunicate con almeno 30 giorni di preavviso tramite la dashboard o via email. La data in cima al documento indica l'ultima versione vigente.