Informativa sulla privacy

1. Chi siamo

QA Spider («noi») offre servizi automatizzati di test del software per applicazioni web. Questa informativa riguarda il sito web di QA Spider e la dashboard di QA Spider. Per qualsiasi domanda sulla privacy, o per esercitare un diritto descritto di seguito, scrivi a [email protected].

2. Cosa raccogliamo

Raccogliamo solo ciò che serve al funzionamento del servizio. In particolare:

• Dati dell'account — il tuo nome, l'indirizzo email e una password sotto forma di hash (non conserviamo mai la tua password in forma leggibile). Se accedi con Google o GitHub, riceviamo da quel provider il tuo nome, la tua email e il tuo avatar.
• Dati del workspace — il nome della tua organizzazione, i membri del team con i loro ruoli e gli inviti che invii.
• Configurazione dei progetti — gli URL delle applicazioni che ci chiedi di testare, gli ambienti che definisci e le eventuali credenziali di account di test che scegli di salvare perché i nostri test possano accedere.
• Credenziali delle integrazioni — i token API o gli URL di webhook che fornisci per collegare un bug tracker o uno strumento di chat.
• Accesso a Google Search Console — solo se scegli di collegarlo: un token di accesso in sola lettura al tuo account Google (conservato cifrato), l'indirizzo email di quell'account e la proprietà di Search Console che selezioni. Leggiamo poi le prestazioni di ricerca di quella proprietà (query, pagine, clic, impressioni e posizione media), quali sue pagine Google ha indicizzato e quali sitemap sono state inviate, per mostrartele nella dashboard. Leggiamo inoltre titoli, intestazioni, testi e link di un massimo di 30 tue pagine pubbliche, per suggerire miglioramenti e link interni. Nella sezione Boost SEO «Perché le pagine non sono indicizzate» controlliamo anche fino a circa 100 indirizzi presi dalla tua sitemap e dai link interni (stato HTTP, reindirizzamenti, tag noindex e tag canonical) e leggiamo il tuo robots.txt; sono file e pagine pubblici del tuo sito. Quando premi «Verifica con Google», chiediamo all'URL Inspection di Google informazioni su un massimo di 25 di questi indirizzi alla volta e ti mostriamo le sue risposte. Non ne conserviamo alcuna copia: i dati vengono recuperati quando apri una pagina o premi un pulsante e tenuti solo in memoria (per qualche minuto, fino a un'ora per il controllo delle tue pagine e fino a 24 ore per lo stato di indicizzazione riportato da Google), e il riavvio di un server li cancella. I risultati non vengono passati a nessun altro servizio. L'unica eccezione è Boost SEO: quando premi «L'ho fatto» su un suggerimento, salviamo clic, impressioni e posizione media di quella pagina (e la query di ricerca, se il suggerimento riguarda una query) insieme alle date che coprono, così da poterti mostrare il cambiamento in seguito.
• Idee di argomenti, brief e aggiornamenti per Bing e Yandex di Boost SEO — solo se li usi. Conserviamo le idee di parole chiave restituite per il tuo sito, la data di ogni ricerca (che conta anche per la tua quota mensile) e i brief di contenuto che richiedi, finché non ci chiedi di eliminarli o non chiudi il tuo account. Nulla di tutto ciò sono dati di Search Console: le parole chiave derivano dalle parole delle tue pagine pubbliche e da un servizio di dati sulle parole chiave. La chiave per gli aggiornamenti di Bing e Yandex non viene memorizzata: viene ricavata ogni volta dall'indirizzo del tuo sito quando serve.
• Audit settimanale e controllo giornaliero del sito — solo nei piani che li includono e solo se li attivi (il controllo giornaliero segue il sito dell'audit settimanale o il tuo ultimo audit). Conserviamo l'indirizzo del sito, la data dell'ultimo controllo e il suo risultato (se la home page ha risposto, se è chiusa a Google, quando scade il certificato), per poterti scrivere quando qualcosa cambia. Ogni controllo giornaliero consiste in poche richieste alla home page pubblica e al robots.txt del tuo sito.
• Risultati dei test — esiti delle esecuzioni, tempi, risultati dei singoli passaggi, output degli errori e screenshot delle pagine testate, oltre alle segnalazioni di bug generate da essi.
• Dati di utilizzo e fatturazione — il tuo piano, il saldo di token e un registro degli eventi di consumo (quale esecuzione o generazione ha usato cosa). Se paghi per Solo o Pro, conserviamo anche gli ID cliente e abbonamento Stripe del tuo workspace e lo stato dell'abbonamento (attivo, scaduto, o in disdetta a una certa data). Non vediamo né conserviamo mai il numero della tua carta: lo inserisci nella pagina di pagamento di Stripe.
• Messaggi di contatto — il nome, l'email e il messaggio che invii tramite il nostro modulo di contatto.
• Richieste di scansione — se ci chiedi di analizzare il tuo sito dalla nostra home page, l'indirizzo che ci dai e il sito che hai indicato, per poterti inviare il report e risponderti se replichi. Vedi la sezione 6.
• Strumenti gratuiti — l'indirizzo che digiti in uno dei controlli gratuiti su /tools. Per rispondere leggiamo le pagine pubbliche, il robots.txt, la sitemap, llms.txt o i record DNS di quel sito e ti mostriamo il risultato. Non conserviamo nulla: né l'indirizzo né il risultato vengono memorizzati, e il tuo indirizzo IP resta solo in memoria, fino a un'ora, per limitare quanti controlli può eseguire una singola connessione. Il controllo dei dati strutturati passa l'indirizzo della pagina al validatore pubblico Schema.org (validator.schema.org), che legge la pagina da sé.
• Log del server — log tecnici standard, inclusi indirizzo IP e user agent, conservati per sicurezza e debug.
• Analisi del sito web — quali pagine vengono visualizzate e su quali link si clicca, per capire cosa trovano utile le persone. Dove si applica la normativa sul consenso, la misurazione avviene senza cookie e senza alcun identificativo, quindi ogni visita viene contata a sé; altrove viene impostato un cookie per riconoscere una visita successiva. In quel caso, una volta effettuato l'accesso, PostHog collega questi eventi anche all'ID interno del tuo account (mai la tua email o il tuo nome), così possiamo vedere quali passaggi del prodotto vengono usati. Vedi la sezione 11.

3. Cosa non facciamo

• Non vendiamo i tuoi dati personali e non lo abbiamo mai fatto.
• Non creiamo profili pubblicitari su di te e non usiamo pubblicità personalizzata né remarketing. Dove la normativa sul consenso non richiede altrimenti, misuriamo se il clic su un annuncio ha portato a una registrazione, per capire quale pubblicità vale la pena pagare.
• Non inseriamo alcuno script di analisi o tracciamento nei report di audit che inviamo alle aziende.
• Non usiamo i dati della tua applicazione né i risultati dei test per addestrare modelli di machine learning.
• Non vendiamo, non condividiamo e non usiamo per la pubblicità i dati di Google Search Console che colleghi, e non li inviamo a nessun modello di AI, servizio di dati sulle parole chiave, motore di ricerca o altra terza parte, né li usiamo per addestrarne uno. Sono mostrati solo a te e al tuo team nella tua dashboard. Le ricerche di parole chiave, i brief di contenuto e gli aggiornamenti per Bing e Yandex descritti nella sezione 7 usano solo il testo pubblico del tuo sito, una parola chiave che scegli e indirizzi di pagina dalla tua sitemap o che digiti tu; nulla di tutto ciò proviene da Search Console. L'uso e il trasferimento da parte di QA Spider delle informazioni ricevute dalle API di Google rispettano la Google API Services User Data Policy, inclusi i suoi requisiti di Limited Use.
• Non leggiamo il tuo codice sorgente a meno che tu non colleghi tu stesso un repository. In tal caso l'accesso è in sola lettura, limitato ai repository che selezioni, revocabile da te in qualsiasi momento su GitHub, e non conserviamo mai il tuo codice: i file vengono letti per il tempo di una domanda e poi scartati.

4. Perché lo trattiamo

Per fornire il servizio a cui ti sei iscritto (eseguire test, riportare i risultati, aprire bug nel tuo tracker, inviare avvisi) — è l'esecuzione di un contratto. Per proteggere gli account, prevenire abusi e diagnosticare errori — il nostro legittimo interesse. Per inviarti le email transazionali da cui il servizio dipende, come i codici di accesso e le notifiche delle esecuzioni — esecuzione di un contratto. Dove ci basiamo sul consenso, come per le email di marketing facoltative, puoi revocarlo in qualsiasi momento.

5. Credenziali degli account di test — leggi con attenzione

Se salvi delle credenziali perché i nostri test possano accedere alla tua applicazione, usa un account di test dedicato con i permessi minimi necessari, possibilmente in un ambiente non di produzione. Non salvare mai un account reale di un cliente o di un amministratore.

I token delle integrazioni e le credenziali degli account di test sono entrambi cifrati a riposo con AES-256-GCM. Se il nostro server non riesce a cifrarli, si rifiuta di salvarli invece di conservarli in forma leggibile. Anche così, considera ogni credenziale che ci dai come una che sei pronto a ruotare, e ruotala se smetti di usare QA Spider.

6. Report di audit — quelli che richiedi e quelli che inviamo senza che siano richiesti

Un nostro report può nascere in due modi, e non sono la stessa cosa.

Se l'hai richiesto: ci hai dato un URL e un indirizzo email dalla nostra home page, abbiamo letto quel sito e ti abbiamo inviato il report. Conserviamo il tuo indirizzo per inviartelo, per permetterti di farci domande al riguardo e per eliminarlo su richiesta. Non ti aggiungiamo a nessuna mailing list e non inviamo altro se non ci scrivi prima tu. I report richiesti in questo modo vengono letti per impostazione predefinita a bassa profondità; una verifica più approfondita parte solo se premi il pulsante del report che la richiede.

Se non l'hai richiesto: a volte leggiamo le pagine pubblicamente raggiungibili di un'azienda con cui vorremmo collaborare e le inviamo un report su ciò che abbiamo trovato. Lo facciamo prima che esista qualsiasi rapporto, quindi è giusto dire chiaramente cosa comporta.

Ciò che leggiamo è ciò che chiunque abbia un browser può leggere: pagine collegate dalla tua sitemap, richieste una sola volta ciascuna, nel rispetto del robots.txt, senza gravare sui tuoi sistemi. Non effettuiamo l'accesso a meno che tu non ci dia un account di test e, in tal caso, la verifica legge le pagine e non invia alcun modulo se non quello di login. Il report viene servito da un link non pubblicato, è escluso dai motori di ricerca e può essere ritirato su richiesta.

Ogni link a un report registra quando viene aperto, insieme all'indirizzo IP, alla città e al paese ricavati da esso e al browser. Per un report inviato senza richiesta, lo usiamo per valutare se è stato letto e se è stato inoltrato, che è l'unico modo per sapere se un contatto successivo è gradito; questo trattamento si basa sul nostro legittimo interesse per le attività di contatto business-to-business. Per un report che hai richiesto, esiste lo stesso registro ma non ci serve a questo scopo: c'è perché il link è pubblico per chiunque lo possieda, e vorremmo sapere se qualcuno lo sta diffondendo. Indirizzi e dettagli del browser vengono eliminati dopo 90 giorni, e resta solo il conteggio delle aperture.

Se preferisci che non conserviamo nulla di tutto questo, scrivi a [email protected] ed eliminiamo il report, il link e i relativi dati di apertura. Smetteremo anche di contattarti, e non serve alcun motivo.

7. Dove si trovano i tuoi dati e chi altro li tratta

L'applicazione e il suo database sono ospitati su Render, nella regione UE (Francoforte), su un disco persistente cifrato. Usiamo un piccolo insieme di responsabili del trattamento, ciascuno per uno scopo ben delimitato:

• Render — hosting dell'applicazione e archiviazione del database (UE).
• Anthropic — il modello di AI che redige casi di test, documenti QA e segnalazioni di bug. Riceve il prompt e il contesto di prodotto necessari per quell'elaborato. In Boost SEO, quando premi «Scrivi un brief», riceve la parola chiave che hai scelto, i suoi dati di ricerca e i titoli, le intestazioni e le descrizioni di un massimo di dodici tue pagine pubbliche, e nulla da Search Console.
• OpenAI — un fornitore alternativo di modelli di AI, usato al posto di Anthropic quando il nostro server è configurato così per una funzione. Riceve lo stesso tipo di prompt che riceverebbe Anthropic per quella funzione (per un brief di Boost SEO, solo quanto descritto sopra) e mai dati di Search Console.
• DataForSEO — un servizio di dati sulle parole chiave, usato solo quando premi «Trova argomenti» in Boost SEO. Riceve fino a dieci brevi frasi tratte da titoli, intestazioni e descrizioni delle tue pagine pubbliche, un codice paese e lingua e le credenziali del nostro account. Non riceve dati personali né nulla da Search Console.
• IndexNow (Bing, Yandex, Naver, Seznam, Yep e altri motori di ricerca aderenti) — solo quando premi un pulsante di invio nella sezione «Bing e Yandex» di Boost SEO. Inviamo il nome host del tuo sito, la tua chiave IndexNow, l'indirizzo del file della chiave e fino a 100 indirizzi di pagina dalla tua sitemap pubblica o digitati da te. I motori aderenti condividono tra loro ciò che ricevono. Google non partecipa. Non vengono inviati dati personali né nulla da Search Console.
• Stripe — elaborazione dei pagamenti per i piani Solo e Pro. Raccoglie i dati della tua carta nella propria pagina di pagamento e li conserva; non riceviamo né conserviamo mai numeri di carta. Gli inviamo il tuo indirizzo email (per precompilare il pagamento e per le ricevute), l'ID del tuo workspace e il piano scelto, e conserviamo solo gli ID cliente e abbonamento Stripe e lo stato dell'abbonamento che ci restituisce.
• Resend — invio delle email transazionali (codici di accesso, notifiche, risposte ai contatti).
• GitHub Actions — esegue le tue esecuzioni di test e ci riporta il risultato.
• Firecrawl — recupera e mappa le pagine pubbliche di un sito che ci chiedi di analizzare.
• Browserbase — fornisce il browser ospitato usato per la registrazione dal vivo dei test, facoltativa. Usato solo se la funzione è attivata per il tuo workspace.
• Umami — conta le visite al nostro sito web. Non imposta cookie e non memorizza nulla sul tuo dispositivo; l'unicità deriva da un hash calcolato sui suoi server a partire da un salt che cambia ogni giorno.
• Google Analytics — misura le visite al nostro sito web e alla dashboard. Gli indirizzi IP sono troncati. L'archiviazione è disattivata dove si applica la normativa sul consenso e attivata altrove.
• PostHog — analisi di prodotto e, solo con il tuo consenso, riproduzione delle sessioni sul nostro sito. Funziona senza archiviazione finché non acconsenti.
• GitHub — se colleghi un repository, leggiamo i file necessari per rispondere a una domanda su un test che fallisce. In sola lettura, e noi non memorizziamo nulla.
• Google e GitHub — provider di identità, solo se scegli di accedere con loro.
• Google Search Console — solo se la colleghi: chiamiamo l'API di Search Console con il tuo permesso di sola lettura per leggere le prestazioni di ricerca, lo stato di indicizzazione e le sitemap inviate della proprietà che scegli. Nulla di ciò che viene letto da Search Console è passato ad altri responsabili del trattamento di questo elenco. Puoi revocare l'accesso in qualsiasi momento (vedi la sezione 8).

8. Per quanto tempo li conserviamo

I dati dell'account e del workspace vengono conservati finché il tuo account esiste. I risultati dei test, gli screenshot e le segnalazioni di bug generate vengono conservati perché la tua cronologia e le tue metriche restino significative; puoi eliminare in qualsiasi momento singole esecuzioni, bug e progetti, e l'eliminazione è immediata. I messaggi del modulo di contatto vengono conservati finché ci servono per risponderti. I log del server sono conservati per un breve periodo operativo. Quando chiudi il tuo account eliminiamo i dati del tuo workspace, trattenendo solo ciò che dobbiamo per motivi legali o contabili. Se hai collegato Google Search Console, conserviamo il token di accesso cifrato, l'email del tuo account Google, la proprietà scelta e gli eventuali registri prima-e-dopo di Boost SEO che hai salvato finché non premi Disconnetti nella scheda Google di Boost SEO (che li elimina tutti subito) o chiudi il tuo account. Le idee di parole chiave, i registri delle ricerche e i brief di contenuto creati in Boost SEO vengono conservati finché non ci chiedi di eliminarli o non chiudi il tuo account. Puoi anche revocare l'accesso dal tuo account Google in qualsiasi momento in Sicurezza, poi Accesso di terze parti, e qualsiasi token che conserviamo ancora smette di funzionare.

9. I tuoi diritti

Puoi accedere ai tuoi dati, correggerli, esportarli o eliminarli. Gran parte di questo si fa da solo nella dashboard: puoi esportare i documenti generati, eliminare bug, esecuzioni e progetti e gestire i membri del team. Per tutto il resto — un'esportazione completa, l'eliminazione dell'account, un'opposizione al trattamento o un reclamo — scrivi a [email protected] e risponderemo entro 30 giorni. Se ti trovi nel SEE o nel Regno Unito hai inoltre il diritto di presentare un reclamo alla tua autorità locale per la protezione dei dati.

10. Sicurezza

L'accesso all'ambiente di produzione è limitato alle persone che lo gestiscono. Il traffico è servito tramite HTTPS. I token delle integrazioni sono cifrati a riposo. Le azioni rivolte all'esterno — aprire un ticket nel tuo tracker, pubblicare nella tua chat, eseguire test su un ambiente che sembra di produzione — richiedono un'approvazione esplicita nel prodotto invece di avvenire in silenzio. Nessun sistema è perfettamente sicuro; se veniamo a conoscenza di una violazione che riguarda i tuoi dati, ti avviseremo senza ingiustificato ritardo.

11. Cookie

L'unico cookie che impostiamo è strettamente necessario ed esiste perché il sito non può funzionare senza: un cookie di sessione che ti mantiene connesso. La tua preferenza per il tema chiaro o scuro è memorizzata nel local storage del tuo browser e non in un cookie, quindi non ci arriva mai.

Ciò che memorizzano le nostre analisi dipende da dove ti trovi. Dove si applica la normativa sul consenso — UE, SEE, Regno Unito e Svizzera — Google Analytics e PostHog funzionano con l'archiviazione disattivata: contiamo che una visita c'è stata e quali pagine sono state lette, nulla viene scritto sul tuo dispositivo e nulla collega questa visita alla successiva. Altrove impostano un cookie, che ci permette di riconoscere una visita successiva e di capire se il clic su un annuncio ha portato a una registrazione.

Umami, il nostro contatore principale, non imposta cookie da nessuna parte e non richiede permessi. Per questo il sito non ti mette davanti un muro di cookie.

La riproduzione delle sessioni sul nostro sito — una registrazione di come la pagina si è comportata per te — viene attivata solo se acconsenti quando ti viene chiesto, e rifiutare non ti costa nulla: vieni comunque contato.

Non usiamo pubblicità personalizzata né remarketing e non creiamo profili dei visitatori.

12. Minori

QA Spider è uno strumento professionale e non è rivolto a persone di età inferiore ai 16 anni. Non raccogliamo consapevolmente i loro dati.

13. Modifiche

Se modifichiamo questa informativa in modo sostanziale, aggiorneremo la data indicata sopra e, per le modifiche che incidono sul modo in cui trattiamo i tuoi dati, avviseremo via email i titolari degli account prima che la modifica entri in vigore.