Privacy e sicurezza

Trasmissione cifrata

La comunicazione con Evylla avviene tramite HTTPS/TLS.

Le password IMAP per app e della casella e i token OAuth sono salvati cifrati con AES-256-GCM. La password del tuo account Evylla è salvata solo come hash non reversibile.

Accesso secondo il minimo privilegio

Evylla deve accedere solo ai dati necessari per la funzione.

I diritti di accesso interni seguono il principio del minimo privilegio.

Protezione dei dati salvati

I dati personali e gli altri dati da proteggere sono protetti con misure tecniche e organizzative. A seconda del tipo di dati, questo comprende in particolare:

• TLS encryption for every connection to the application
• AES-256-GCM for stored credentials of connected accounts
• Password hashing according to the current state of the art
• CSRF protection, session hardening and server-side permission checks on every request
• Separate roles and permissions for regular accounts and administration
• Regular backups with limited retention
• Logging of security-relevant events with short retention

Le misure concrete dipendono da natura, portata e rischio del trattamento.

Evylla è sviluppato per considerare la protezione dei dati già nella progettazione di una funzione.

Questo significa ad esempio:

Privacy by design
New features are designed from the outset to work with as little personal data as possible.

Privacy by default
The data-minimising setting is the default. Additional processing only happens when you actively trigger it.

Purpose limitation
Data collected for your purchase history is not reused for other purposes.

Deletability
Every kind of data that is created must also be removable – individually or completely.

Transparency
You should not have to guess what happens. That is why this page exists.

This follows the principle of “data protection by design and by default” in Art. 25 GDPR.

Dipende dalle funzioni che usi.

Account utente

Per il tuo account Evylla possono essere trattati ad esempio questi dati:

• First and last name
• Username and email address
• Country and – if provided – phone number
• Password hash as well as session and security attributes
• Plan, payment status and billing identifiers
• Timestamps such as registration, last sign-in or verification

Collegamenti e-mail

Se colleghi un account e-mail, Evylla può trattare i messaggi che hai autorizzato per riconoscere informazioni di acquisto.

Possono rientrare ad esempio:

• IMAP server, port and username of the connection
• Encrypted app password used for retrieval
• Sender, subject, date and identifiers of the recognised emails
• Recognised order data: merchant, order number, items, amounts, currency, status
• Time and result of the last synchronisation

Evylla cerca di trattare solo le informazioni necessarie alla funzione, e non di più.

Servizi di pagamento e finanziari

Se in seguito colleghi un servizio di pagamento o finanziario, possono essere trattate, in base al fornitore e alle autorizzazioni che concedi, ad esempio queste informazioni:

• Customer and subscription identifiers of the payment provider
• Status of payment and term
• References to invoices and receipts

L’estensione concreta dipende dal fornitore e dal collegamento.

🤖 IA e trattamento automatico

Evylla può usare procedimenti automatizzati e, se del caso, supportati dall’IA per riconoscere e strutturare informazioni nei tuoi dati.

Ad esempio, una conferma d’acquisto può essere riconosciuta automaticamente:

« Ordine dal commerciante X – 14.09.2026 – 79,99 € – prodotto Y »

Il trattamento automatico serve a preparare le informazioni per le funzioni Evylla che richiedi.

Un’analisi automatica non significa che venga presa una decisione automatizzata giuridicamente rilevante su di te.

Se Evylla introduce funzioni con decisioni automatizzate o profilazione ai sensi dell’art. 22 GDPR, le informazioni necessarie saranno fornite a parte.

🧠 I tuoi dati non servono ad altri scopi

I dati che fornisci sono in linea di principio trattati per le finalità per cui usi Evylla.

In particolare, i dati di acquisto e di account non devono essere usati per finalità qualsiasi.

Un uso per finalità ulteriori, ad esempio certe analisi, marketing o addestramento, avviene solo se esiste una base giuridica e sono soddisfatti i requisiti di protezione dei dati.

🚫 Nessuna vendita dei tuoi dati personali

Evylla non vende i dati personali dei suoi utenti.

Una comunicazione può però essere necessaria se si usano fornitori per gestire Evylla o se esiste un obbligo di legge.

Questi fornitori ricevono solo l’accesso necessario al loro compito.

Evylla può supportare diversi servizi esterni.

Possono rientrare ad esempio:

• Email accounts via IMAP (active)
• Sign-in via OAuth without an app password (in preparation)
• PayPal receipts (in preparation)
• Bank and card transactions (in preparation)

Quando colleghi un servizio, ti vengono mostrate le autorizzazioni necessarie.

Scollegare ferma i nuovi recuperi; gli acquisti salvati restano. Rimuovere l’account e-mail cancella collegamento, e-mail e acquisti collegati.

Puoi anche cancellare solo i dati importati di un collegamento; il collegamento resta.

🗑️ Cancellazione dei tuoi dati

Nell’account, sotto Privacy e sicurezza, scegli con precisione cosa viene cancellato.

In caso di cancellazione, obblighi legali di conservazione o backup necessari possono far sì che alcuni dati non spariscano subito da tutti i sistemi.

Questi dati vengono cancellati o anonimizzati alla scadenza dei termini di conservazione o di backup, salvo un’altra base legale che imponga di conservarli.

Termini di cancellazione concreti:

• Account data: until the account is deleted
• Order and mail data: until you delete it or remove the account
• Server logs: as a rule up to 14 days
• Administrative SQL backups: a maximum of 20 versions, older ones are pruned automatically – with regular backups typically up to about 90 days
• Invoices and payment records: as long as statutory retention obligations apply

📦 Esportazione dei dati

Hai in linea di principio il diritto di ricevere i tuoi dati personali in un formato strutturato, di uso comune e leggibile da dispositivo automatico, se sono soddisfatte le condizioni di portabilità.

Evylla può offrire una funzione di esportazione a questo scopo.

Il diritto alla portabilità è previsto dall’art. 20 GDPR.

In base alle condizioni di legge ti spettano in particolare questi diritti:

Accesso

Puoi chiedere quali dati personali trattiamo su di te.

Rettifica

Puoi chiedere la rettifica di dati personali inesatti.

Cancellazione

Puoi, se ricorrono le condizioni di legge, chiedere la cancellazione dei tuoi dati personali.

Limitazione del trattamento

Puoi, a certe condizioni, chiedere che il trattamento dei tuoi dati sia limitato.

Opposizione

Puoi, se ricorrono le condizioni di legge, opporti a un trattamento.

Portabilità

Puoi, se ricorrono le condizioni di legge, ricevere i dati personali che hai fornito in un formato strutturato, di uso comune e leggibile da dispositivo automatico.

Revoca del consenso

Se un trattamento si basa sul tuo consenso, puoi revocarlo in qualsiasi momento per il futuro. La liceità del trattamento già effettuato resta valida.

⚖️ Su quale base Evylla tratta i dati

La base giuridica concreta dipende dal singolo trattamento.

A seconda della funzione possono essere rilevanti in particolare queste basi:

Art. 6, par. 1, lett. a, GDPR
Consenso.

Art. 6, par. 1, lett. b, GDPR
Trattamento necessario all’esecuzione di un contratto o a misure precontrattuali.

Art. 6, par. 1, lett. c, GDPR
Trattamento necessario per adempiere un obbligo legale.

Art. 6, par. 1, lett. f, GDPR
Trattamento basato sul legittimo interesse, se ricorrono le condizioni di legge.

Quale base vale per quale trattamento è spiegato nell’informativa completa.

🏢 Titolare

Il titolare del trattamento dei dati personali è:

URBAN
Friedensplatz 13
SAN-39164 Seehausen Börde
Deutschland

Rappresentato da: Udo Urban

E-mail

…

🛡️ Responsabile della protezione dei dati

Al momento non è nominato un responsabile della protezione dei dati, perché non ricorrono i presupposti di legge.

🔧 Responsabili e fornitori tecnici

Per gestire Evylla possono essere usati fornitori tecnici.

Possono rientrare in particolare:

• Hosting and infrastructure providers for servers, database and backups
• Stripe as payment service provider for passes and subscriptions
• Mail delivery service for system emails such as confirmations and password links

Se questi fornitori trattano dati personali per nostro conto, lo fanno in base agli accordi di protezione dei dati necessari.

Una panoramica aggiornata dei fornitori e dei trattamenti è nell’informativa completa.

🌍 Dove vengono trattati i tuoi dati

Il trattamento può avvenire nell’Unione europea o nello Spazio economico europeo.

Se fornitori trattano dati fuori da UE o SEE, il trasferimento avviene solo nel rispetto dei requisiti di protezione dei dati.

Luoghi attuali di conservazione e trattamento:
Applicazione, database e backup sono gestiti in Germania o nell’Unione europea.

Trasferimenti verso paesi terzi:
Stripe (USA) può trattare dati di pagamento fuori dall’UE e si basa su garanzie adeguate, in particolare clausole contrattuali tipo. Dettagli: https://stripe.com/privacy

💳 Dati di pagamento

I pagamenti delle tariffe Evylla a pagamento possono essere gestiti da fornitori di pagamento esterni.

Il trattamento dei dati di pagamento segue allora le condizioni e l’informativa del fornitore.

Evylla non salva numeri di carta completi, salvo che la funzione lo richieda e il pagamento tecnico passi da un fornitore specializzato.

Fornitori di pagamento utilizzati:
Stripe Payments Europe, Ltd. e le società del gruppo; dettagli su stripe.com/privacy.

🔒 Misure tecniche e organizzative

Evylla adotta misure tecniche e organizzative adeguate per proteggere i dati personali da perdita, distruzione, modifica e accesso non autorizzato.

Possono rientrare in particolare:

• Encryption in transit (TLS) and for sensitive stored values (AES-256-GCM)
• Role and permission model with server-side checks on every access
• Protection against CSRF, brute-force attempts and session hijacking
• Separation of development and production environments
• Regular backups with a limited number of versions
• Updates of the components and dependencies in use
• Logging of security-relevant events with short retention

Le misure sono verificate e sviluppate secondo lo stato dell’arte e il rischio.

L’art. 32 GDPR richiede misure tecniche e organizzative adeguate tenendo conto, tra l’altro, dello stato dell’arte, dei costi, della natura e della portata del trattamento e del rischio per i diritti e le libertà delle persone.

🚨 Incidenti di sicurezza

Nonostante ampie misure di sicurezza, nessun servizio su internet può garantire un sistema del tutto privo di rischi.

In caso di violazione di dati personali, Evylla valuta l’incidente senza indugio e adotta le misure necessarie.

Se la legge lo richiede, autorità di controllo e persone interessate sono informate secondo le norme applicabili.